总部要把中国区的运营数据同步到境外系统做全球分析，法务问了一句「这里面有没有重要数据」，业务部门当场哑火——很多人搜「数据出境安全评估」，第一反应都是个人信息，却忘了重要数据这条更粗的线：它跟个人信息无关，跟国家安危有关，罚则也重得多。数据安全法第三十一条定框架，第四十六条挂罚则，中间衔接网络安全法与网信部门的出境管理办法。2026 年写的这篇，把重要数据出境的判断、申报、罚则一次讲清，帮你把出海数据流的前置闸门装对。
先看这三个要点
- 先看主体分两条路：关键信息基础设施运营者的重要数据出境，直接适用网络安全法的规定（境内存储＋出境安全评估）；其他数据处理者按国家网信部门会同有关部门制定的出境安全管理办法执行。
- 重要数据认目录：是不是「重要数据」不由企业自说自话，按数据安全法第二十一条的分类分级制度与行业重要数据目录判断，进目录就要走出境管控。
- 罚则顶格一千万：违反第三十一条向境外提供重要数据，先警告加十万至一百万罚款；情节严重的一百万至一千万，并可责令停业、吊销证照（第四十六条）。
一、条文原文
- 《中华人民共和国数据安全法》第三十一条
- 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
- 《中华人民共和国数据安全法》第四十六条
- 违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
二、第一步：先判断手里是不是重要数据
出境合规的第一道门不是评估表，而是定性。按第二十一条的逻辑，重要数据以行业目录为准：工业、汽车、自然资源、卫生健康等行业主管部门发布过本领域重要数据目录或识别指南，进目录或者符合目录描述特征的数据（比如大规模测绘数据、人口健康数据、关键工艺参数），按重要数据管理。判断不了就从严——把可能属于重要数据的数据按重要数据管，做的是动作；漏管接的是第四十六条的罚单。
重要数据与个人信息要分开看：一份出境数据包里可能既有个人信息又有重要数据，两套出境规则并行适用，各自过闸，不是过了一个就免了另一个。
| 要件 | 关基运营者 | 其他数据处理者 |
|---|---|---|
| 存储义务 | 个人信息和重要数据境内存储（网络安全法第三十九条） | 重要数据按出境管理办法管理 |
| 出境前提 | 确需向境外提供的，按国家网信部门制定的办法进行安全评估 | 按行业目录判断定性，达标的走出境安全评估申报 |
| 法律依据 | 网络安全法＋数据安全法第三十一条 | 数据安全法第三十一条＋出境安全管理办法 |
| 例外 | 法律、行政法规另有规定的依照其规定 | 同左 |
| 罚则 | 数据安全法第四十六条＋网安法相关罚则 | 数据安全法第四十六条 |
三、什么情形必须申报安全评估
结合出境安全管理制度框架，出现以下情形的，向境外提供重要数据前应当申报数据出境安全评估：一是数据处理者向境外提供重要数据；二是关键信息基础设施运营者向境外提供个人信息或重要数据。申报材料的核心是说明出境的必要性、数据情况、出境后面临的风险与保障措施，由省级网信部门上报国家网信部门审查。评估结果有效期内数据情况发生变化的，要重新申报。
实务中最容易漏的场景是「被动出境」：境外母公司通过远程权限直接访问境内数据库，技术上数据没「寄出去」，法律上已经构成向境外提供——系统权限的跨国开放，同样要过评估这道闸。
五、常见问题快答
问：我们的行业还没发布重要数据目录，怎么判断？ 目录没出台不等于真空：先按第二十一条的两个尺度自评，再看所在行业有没有识别指南或征求意见稿，同时参考「一旦泄露危害国家安全、国民经济命脉、重要民生」的功能定义从严把握。判断存疑时向主管部门或专业机构求证，留档判断过程——有过程记录的审慎判断，与拍脑袋放行，追责时是天壤之别。
问：数据出境安全评估、保护认证、标准合同，重要数据能走后两条吗？ 重要数据的出境管控以安全评估为核心通道；标准合同与认证主要服务个人信息出境场景。一份出境数据包里个人信息与重要数据并存时，个人信息部分按其通道走，重要数据部分按评估走，不能互相打包替代。
问：境外客户只是远程查一下报表，算出境吗？ 算。「向境外提供」看的是数据能否被境外主体访问，不看是否下载落地。远程查询、在线看板、境外 SaaS 工具接入境内数据库，都构成数据出境的事实，同样纳入评估管控。企业排查时别只盯「传输」动作，「可访问」就是出口。
问：评估申报要准备多久？要不要先停掉业务？ 申报周期取决于数据体量与材料质量，核心材料是出境必要性说明、数据清单、风险分析与保障措施。申报期间出境活动应暂停或先做境内隔离——带病运行一旦出事，第四十六条的罚单和申报材料上的「已整改」会互相打脸。
问：总部要求全球统一 CRM 系统，境内数据必须进境外系统，怎么办？ 两条路：一是系统改造，境内数据留在境内实例，境外只同步脱敏汇总数据；二是确需同步的，就同步范围申报安全评估，按评估结论限定字段与用途。合规的答案从来不是「做不做全球系统」，而是「哪些数据能进全球系统」。
六、一次出境合规自查的完整动线
把上文拼成一条可执行动线：数据盘点（列出拟出境的数据包字段与来源）→定性判断（个人信息、重要数据、一般数据三色标注）→路径匹配（关基与否、目录比对、通道选择）→材料准备（必要性论证、风险分析、保障措施、接收方情况）→申报或备案→结论落地（评估限定的范围写进系统权限与技术配置）→持续管理（数据与场景变更触发重报，评估结论到期复核）。每一步都有产出物，归档成「出境项目卷宗」。监管检查时，这份卷宗就是企业尽责的证明；真出问题时，它也是界定责任范围的依据。
七、边界与误区
- 误区一：「数据服务器在境内就不算出境」。境外主体可远程调阅、远程运维的，数据实际上已出境流动，同样落入第三十一条的管控。
- 误区二：「小批量试试水，查不到我」。第四十六条的罚款起点是十万元，直接责任人另罚；情节严重的一千万封顶并可停业吊照，没有量小豁免。
- 误区三：「个人信息合规了，重要数据顺便就过了」。两条线独立适用，个人信息走的授权与标准合同路径，替代不了重要数据的安全评估。
- 反向提醒：非经主管机关批准，不得向外国司法或执法机构提供境内数据（第三十六条），跨境诉讼、境外调查取证调数据，先走批准程序，违者罚款五十万到五百万（第四十八条）。
八、实操建议
- 出境项目立项前先做数据盘点，逐包标注「是否含重要数据、是否含个人信息」，两张清单分开管；
- 对照本行业重要数据目录出具定性意见，拿不准的请专业机构出识别意见，留档备查；
- 排查境外总部的远程访问权限，凡涉及境内生产数据库的，纳入出境管控并走评估；
- 评估通过不等于一劳永逸：数据类型、数量、出境目的变化的，及时重新申报，别用过期的评估结论。
站内数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、关键信息基础设施运营者，要多扛哪五件事、境外机构处理境内个人信息：跨境提供的三条合规通道对相关义务与路径有专文，可对照使用。
八、数据包里两类数据并存时的拆包策略
实务中最常见的难题是「一包混装」：一份同步给境外的数据集里，既有客户个人信息，又有行业敏感统计字段。拆包策略分三步：第一步按字段做三色标注——个人信息类、疑似重要数据类、一般业务类，标注依据是数据来源与行业目录特征；第二步按颜色分通道，个人信息走个保法体系的授权路径，疑似重要数据先做定性、定成重要数据的纳入评估通道，一般业务数据做常规合规审查；第三步按通道结论重组出境包——评估或授权只覆盖其对应部分，未被覆盖的字段留在境内。拆包的成本主要在第一步的字段级盘点，但这笔投入一劳永逸：盘点台账建立后，后续每一次出境需求都只是在既有地图上画路线。反过来，不做拆包混着走，一旦任何一部分的合法性出问题，整包数据的出境合法性都会被连坐推翻。
关于罚则的适用主体再补一句：第四十六条的罚单不只开给单位——直接负责的主管人员和其他直接责任人员同档处罚，情节严重时个人罚款十万至一百万。哪些人算「直接负责」？决策出境方案的分管高管、签批数据同步流程的负责人、明知违规仍执行的技术负责人，都在射程内。对个人的提示是：对出境方案有异议时，把意见书面化、留痕化——会议纪要里的反对意见和邮件里的风险提示，都是将来切割个人责任的关键证据；对企业的提示是：出境审批流上每多一个署名节点，责任就多一分分散，但程序的严肃性也多一分保障，两者权衡后建议保留双签而非省略。
一句话总结：重要数据出境先定性、再分路——关基运营者直接按网络安全法走境内存储加安全评估，其他企业按目录定性后申报出境安全评估；跳过闸门直接出境，罚单一百万起步、一千万封顶。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体数据出境项目的申报路径与材料准备，请结合行业目录与监管要求，咨询执业律师后推进。