国内公司把客户名单发给海外总部、跨境电商把订单信息同步给境外物流、外企把员工信息交境外HR系统——每一笔都是数据出境，每一笔都要有合法通道，数据出境合规的第一步就是把通道选对。过去大家熟知的路径只有安全评估、标准合同、保护认证三条，条件不满足就卡死；网络数据安全管理条例2025年1月1日施行后，第35条一口气列出八种可以向境外提供个人信息的情形，四类新增豁免让大量日常业务场景落地有据。很多企业搜「数据出境有哪几种合法方式」「向境外提供员工信息要评估吗」「重要数据能出境吗」，这篇把八条路逐条走一遍，再讲重要数据出境的硬门槛。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌‌‌‌‌​​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

关键结论
  • 八种通道按业务对号入座：评估、认证、标准合同三条制度通道之外，第35条新增合同必需、跨境人事、法定义务、紧急情况四类直接豁免情形，日常小额、高频、必要的出境不再一律要过评估。
  • 重要数据出境只有一条路：第37条规定境内运营中收集产生的重要数据确需出境的，必须通过国家网信部门组织的数据出境安全评估，没有豁免选项。
  • 评估通过不等于一劳永逸：第38条要求按评估时明确的目的、方式、范围、种类、规模执行，超出的部分照样违规。

一、条文原文

法条依据
  • 第三十五条　符合下列条件之一的，网络数据处理者可以向境外提供个人信息：
  • （一）通过国家网信部门组织的数据出境安全评估；
  • （二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
  • （三）符合国家网信部门制定的关于个人信息出境标准合同的规定；
  • （四）为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息；
  • （五）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息；
  • （六）为履行法定职责或者法定义务，确需向境外提供个人信息；
  • （七）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息；
  • （八）法律、行政法规或者国家网信部门规定的其他条件。
  • 第三十七条　网络数据处理者在中华人民共和国境内运营中收集和产生的重要数据确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。
  • 第三十八条　通过数据出境安全评估后，网络数据处理者向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。

二、通道要件对照

要件·通道条文依据适用场景
出境安全评估第三十五条第一项重要数据出境、大规模敏感个人信息等法定必须评估情形
保护认证第三十五条第二项集团内跨境传输等需要长期稳定通道的场景
标准合同第三十五条第三项中小规模、偶发性个人信息出境的备案通道
合同必需豁免第三十五条第四项跨境网购、国际机票酒店预订等履约必需的传输
跨境人事豁免第三十五条第五项依法依约实施的跨境人力资源管理、员工信息传输
法定义务豁免第三十五条第六项配合境外司法协助、履行法定报送义务
紧急情况豁免第三十五条第七项生命健康财产安全危急时的必要传输
重要数据出境第三十七条唯一通道是国家网信部门的安全评估，无豁免

三、四类新增豁免，救了哪些业务

合同必需豁免（第四项）解决了跨境消费与跨境履约。境内用户在境外网站购物、订国际机票酒店，商家履行合同必然要向境外传输收货人姓名、地址、联系方式——过去这类传输严格讲也要走标准合同备案，合规成本高到小微企业干脆不报。条例把它升格为直接豁免：为订立、履行个人作为一方当事人的合同确需提供的，不用再走三制度通道。注意两个限定：一是「个人作为一方当事人」，把用户的购物数据转给关联公司做营销不在豁免内；二是「确需」，只传履约必需的字段，别夹带画像数据。

跨境人事豁免（第五项）给跨国用工松了绑。外企把中国员工的花名册、薪资、社保信息汇入集团全球HR系统，是几十年一直在做又一直不合规的灰色动作。第五项开的条件有三个：依法制定的劳动规章制度、依法签订的集体合同、确需提供——三个条件都要落地。制度没写跨境人事安排的，先补制度；集体合同没有相应条款的，补签或明确依据；传输范围以人事管理必需为限，员工的人脸数据、行踪数据不属于人事必需。企业宜同步在员工手册和劳动合同里写明跨境传输的内容与接收方，双重保险。

法定义务与紧急情况豁免（第六、七项）覆盖了小概率但真实存在的场景。配合跨境司法协助、按国际条约履行报送义务的，走第六项；紧急避险场景（如境外医疗机构急需境内患者病历救人）走第七项。两项都强调「确需」，事后要能说明必要性——豁免不是备案的替代品，是必要性已经明摆着的情形不再重复审查。

制度通道没死，只是归位。评估、认证、标准合同三条路仍然是大流量、长期性、集团化出境的主力：达到法定门槛（如重要数据、大规模个人信息）的必须走评估；集团内常态化传输适合认证；中小规模偶发传输用标准合同最经济。第36条还补了一个外部依据：我国缔结或参加的国际条约协定对出境条件另有规定的，可以按其规定执行——自贸协定框架下的数据流动安排由此入法。

这条规则的边界

  1. 豁免只及于个人信息，重要数据没有豁免。第37条写死了重要数据出境必须过评估；企业识别申报了重要数据但未被认定的，按第37条第二款不需要作为重要数据申报评估，一般数据照常走个人信息通道。
  2. 八种情形是并列选择，不是累加。符合其一即可，但选了豁免通道的业务如果要常态化、规模化传输，监管预期仍可能引导回到制度通道，豁免不是永久免检。
  3. 评估通过后的执行纪律。第38条的五要素（目的、方式、范围、种类、规模）任一超出都构成违规，出境后新增数据类别或扩大规模的，要重新评估或补做变更。
  4. 境外接收方仍受约束。通道合法不等于接收方可以为所欲为，第12条的合同约束、第2条第二款的域外适用依然在，接收方违规处理会连带产生风险。

四、常见疑问快答

我们把用户订单同步给境外物流公司发货，走哪条通道？**

典型的合同必需豁免（第35条第四项）：用户是运输合同相关当事人，履约确需提供收件信息。传的字段以姓名、地址、电话、订单内容为限，别同步完整画像和消费偏好。

外企总部要全球统一收集员工健康打卡数据，能用人事豁免吗？**

有风险。健康信息属于敏感个人信息，跨境人事豁免覆盖的是「确需」的人事管理信息，健康监控超出常规人事范围。建议单独评估必要性，能走标准合同通道的走标准合同，并注意敏感信息的单独同意（条例第22条第二项）。

我们申报过重要数据但主管部门一直没回复，能出境吗？**

看第37条第二款的机制：按规定识别申报了、但未被告知或公开发布为重要数据的，不需要作为重要数据申报出境安全评估。保留好申报凭证，出境走个人信息或一般数据的通道即可；一旦日后被认定，已出境部分要按第38条和主管部门要求补救。

五、实操建议

  1. 先画出出境数据流：盘点每一条出境链路（传什么、传给谁、为什么、多大量），八种通道按业务逐条对号，映射表归档备查；
  2. 豁免场景留好必要性证据：合同豁免留订单与合同文本，人事豁免留规章制度与集体合同，法定义务豁免留法律依据，豁免不是免证；
  3. 过评估的业务设执行台账：把评估决定书里的五要素抄进操作规程，每次传输对照核查，新增类别先走变更评估再传；
  4. 盯紧集团内传输：认证是集团化企业的最优解，境外总部、关联公司之间的数据往来统一纳入认证范围，避免每条链路单独报备。

站内《数据出境怎么合规：安全评估、标准合同、认证三条路怎么选》把三条制度通道的选择标准讲得很细；《境外机构处理境内个人信息：跨境提供的三条合规通道》从境外主体视角做了展开，两篇与本篇的八通道框架互补阅读。

相关阅读

一句话总结：第35条把数据出境从三条窄门扩成八条路，合同履约、跨境人事、法定义务、紧急情况四类日常场景拿到直接豁免——但重要数据出境仍只有安全评估一条道，豁免场景也要留好必要性证据。

以上内容为一般性法律知识介绍，不构成正式法律意见。具体出境通道选择请结合业务链路，咨询执业律师后处理。