企业做数据出境合规，最常见的停在「通道」这一步：安全评估报了、标准合同备了、认证做了，然后认为万事大吉。但个人信息保护法对数据出境合规义务的设计是「通道＋配套」双轨：第三十八条解决凭哪条通道出境，第三十九条解决对个人的告知与单独同意，第三十八条第三款还压了一条容易被忽略的持续义务——采取必要措施保障境外接收方的处理活动达到境内保护标准；第四十一条更画了一条碰不得的红线。本文按条文顺序把通道之外的四件事讲清，企业和个人各拿一份可用的清单。
先看这三个要点
- 通道只是起点：第三十八条列了安全评估、保护认证、标准合同三条主通道＋法定兜底，选哪条要看过境数据量与主体身份；但过通道≠合规完成。
- 对个人要单独同意：第三十九条要求告知境外接收方名称、联系方式、目的、方式、种类及个人向境外接收方行使权利的方式和程序，并取得单独同意。
- 红线要记牢：非经主管机关批准，不得向外国司法或者执法机构提供存储于境内的个人信息（第四十一条）——收到境外调取函直接转办，是违规。
一、条文原文
- 《中华人民共和国个人信息保护法》第三十八条
- 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：
- （一）依照本法第四十条的规定通过国家网信部门组织的安全评估；
- （二）按照国家网信部门的规定经专业机构进行个人信息保护认证；
- （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；
- （四）法律、行政法规或者国家网信部门规定的其他条件。
- 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。
- 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
- 《中华人民共和国个人信息保护法》第三十九条
- 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
二、通道之外的四项配套义务
| 要件 | 条文 | 内容 | 最常见的漏项 |
|---|---|---|---|
| 告知＋单独同意 | 第三十九条 | 告知境外接收方五要素＋权利行使方式程序，取得单独同意 | 只更新隐私政策不弹单独确认；权利行使程序写成空话 |
| 接收方达标 | 第三十八条第三款 | 采取必要措施保障境外接收方达到境内保护标准 | 签完合同不再监督；接收方转委托失控 |
| 域外调取红线 | 第四十一条 | 非经主管机关批准，不得向外国司法、执法机构提供境内存储的个人信息 | 收到境外法院/监管调取函直接应答 |
| 国家机关出境 | 第三十六条 | 国家机关处理的个人信息境内存储；确需出境做安全评估 | 事业单位、政务平台按普通企业通道处理，误判主体 |
三、逐项拆解：通道选完之后的动作
第一件：把单独同意做实。第三十九条的告知清单比一般告知更长——境外接收方的名称或姓名、联系方式、处理目的、处理方式、信息种类之外，还有一项特殊内容：个人向境外接收方行使权利的方式和程序。这要求企业先与接收方约定境外端的响应通道（投诉邮箱、争议处理机制），再写进告知文本。同意形态必须是单独同意：把「数据可能传输至境外」塞进一揽子协议不算数；目的地、接收方或处理方式变更的，重新告知重新同意。
第二件：持续盯接收方。第三十八条第三款是持续义务，不是签约义务。标准合同通道里，双方权利义务要落到合同条款；认证与评估通道同样要约定接收方的安全措施、审计配合、事件通知。实务漏点在两层：一是接收方变更处理目的或方式时未重新取得同意；二是接收方擅自转委托——按第二十一条，未经处理者同意受托人不得转委托，出境场景叠加后风险加倍。
第三件：记住第四十一条红线。境外司法机关、执法机构来函调取存储于境内的个人信息，处理者无权自行决定是否提供——须报主管机关按法定程序处理。这条保护的是数据主权：企业收到境外传票、监管询问函，正确动作是暂停提供、报告主管部门、同步咨询法律意见；直接应答不仅违规，还可能触碰更严重的法律后果。
第四件：分清主体身份。国家机关处理的个人信息应境内存储，确需出境走安全评估（第三十六条）；关基运营者与达到规定数量的处理者，本地化存储同样是前置义务（第四十条）。主体身份不同，通道选择的天花板不同——先定位自己是谁，再谈选哪条路。
四、边界与误区
- 误区一：「三条通道里随便选一条」。通道适用有前提：关基运营者和达到规定数量的处理者必须走安全评估；量小的才可走认证或标准合同。先核数量门槛，再做选择。
- 误区二：「用户在境外使用服务就不算出境」。判断标准是信息是否向境外提供（服务器、接收方在境外即可能触发），不是用户人在哪；远程访问境内数据同样可能构成出境。
- 误区三：「有国际条约、协定就能直接出」。第三十八条第二款的条约、协定路径有严格限定，按其规定执行，不是企业自行援引互惠原则的口子。
- 不适用：经匿名化处理无法识别且不能复原的信息不属于个人信息，不触发出境义务；但去标识化数据仍是个人信息，别拿去标识化当匿名化用。
五、延伸问答
问：总部在境外的跨国公司，境内收集的信息回传总部算出境吗？ 算。出境看的是信息是否进入境外可访问的环境，集团内共享、总部运维远程访问都可能构成向境外提供；跨国架构恰恰是第三十八条、第三十九条配套义务最容易被跳过的场景。
问：境外接收方所在国的保护水平比境内低，还能出吗？ 第三十八条第三款要求的是采取必要措施使其处理达到本法标准，而不是比照对方国家标准；通过合同锁定义务、开展尽调与审计、约定事件通知与审计权，把「补差」做实，才是合规姿势。
问：标准合同备了案，接收方擅自转委托第三方处理，算谁的违规？ 接收方擅自扩大处理范围本身违约违规；处理者若未在合同中禁止或未监督，自己的持续义务（第三十八条第三款）也没尽到。发现转委托的，及时制止、补齐评估与告知，必要时终止传输。
问：境外监管直接向境内企业调取数据，能不能先给再说？ 不能。第四十一条是禁止性规定：非经主管机关批准不得向外国司法、执法机构提供；先提供再补报的顺序颠倒本身就是违规，正确动作是暂停应答、报告主管机关并咨询法律意见。
问：个人的信息出境后，权利找谁行使？ 第三十九条的告知内容里专门有「向境外接收方行使权利的方式和程序」——企业必须在告知文本中写明境外端的联系与响应渠道；个人可以同时向境内提供方主张，境内处理者对链条履行负整体责任。
问：出境场景要做影响评估吗？ 要。第五十五条明确「向境外提供个人信息」属于应当事前进行个人信息保护影响评估的情形，评估报告至少保存三年；它与出境通道是两套并行义务，别用「过了评估」替代「走了通道」，也别反过来。
问：短期的境外演示、测试要走出境流程吗？ 只要构成向境外提供个人信息（哪怕演示数据里含真实个人信息），义务就触发；用假名化、脱敏数据做演示，或者把真实信息换成不可复原的虚构数据，是更省事的合规路径。临时性不等于豁免性。
问：出境后用户行使删除权，境内企业要做什么？ 传导义务：把删除请求转达境外接收方、要求其停止处理并删除、取得完成反馈，再回复用户。第三十九条告知的权利行使程序，落地时就是这套传导机制；只回用户一句「已记录」，不算履行完毕。
问：认证和标准合同能混用吗？ 一次出境一条主通道，避免「半评估、半合同」的混合状态导致责任不清；集团多业务场景可以按数据流分别选通道，但每条数据流的路径要清晰可查、文档齐备。
问：境外接收方发生数据泄露，境内企业有责任吗？ 有对外责任。对个人而言，境内处理者是权利主张的对象；对监管而言，境内企业负事件报告与传导补救的义务。与接收方的合同要预设这类情形的通知时限与配合义务，事后再追内部责任。
问：员工出差把存有客户信息的笔记本带出国，算出境吗？ 纸质与设备携带同样可能构成向境外提供：数据进入境外可访问环境即触发。商务出行场景的解法是设备脱敏（不带明细数据）或按通道办理，把「人出去了数据跟着出去」的惯性管理掉。
问：三年前的出境合规文件还有效吗？ 通道文件（标准合同、评估结论）有动态管理要求：处理目的、接收方、数据类型变化的要更新重报；长期不动的架构也建议定期复核——出境合规不是一次性工程，是与业务同步的持续状态。
问：选择通道前要做哪些准备动作？ 三件事：梳理数据流（哪些信息、去哪国、给谁用）、盘点主体身份（是否关基、是否达到数量门槛）、对照传输场景匹配通道。顺序别反——先选通道再找数据流的方案，返工率极高。
问：出境场景的用户投诉应答，由境内还是境外团队处理？ 对用户只呈现一个入口：境内企业统一受理，再按约定转境外接收方办理并反馈；让用户自行联系境外主体，本身就说明第三十九条的「权利行使方式与程序」没有设计好。
六、实操建议：出境合规的延伸清单
- 选完通道补两件事：单独同意弹窗（含境外权利行使程序）＋接收方达标措施合同条款，缺一补一；
- 年度核查接收方：接收方安全措施、处理范围、有无转委托、有无变更目的，形成年度审计记录（第五十四条合规审计一并覆盖）；
- 建立境外调取响应流程：收到境外司法执法调取函的，指定专人暂停应答、报主管机关、留档咨询，把红线流程写进制度；
- 个人的核查点：用跨境服务前看隐私政策里有没有境外接收方五要素与权利行使程序；没有的，这本身就是违规信号，可拒用或投诉。
站内《数据出境怎么合规：安全评估、标准合同、认证三条路怎么选》《境外机构处理境内个人信息：跨境提供的三条合规通道》《什么情况必须做个人信息保护影响评估：五类场景与操作》对通道选择与评估有专文，可对照使用。
一句话总结：出境合规不是「过了通道就完」——单独同意要做实、接收方要盯住、境外调取有红线、主体身份定通道；四件事补齐，第三十八条才算真正走完。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体案件请结合数据类型与出境架构，咨询执业律师后主张。