数据出境怎么合规：安全评估、标准合同、认证三条路怎么选

数据出境的合规问题，几乎每一家做海外业务、用境外 SaaS 工具的企业都会遇到。很多企业主的误解是“服务器在国外才叫出境”，实际上只要把境内的个人信息或重要数据提供给位于境外的机构、组织或个人，哪怕只是发一封邮件、开一个跨国视频会议后台同步了通讯录，都属于向境外提供个人信息。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌‌​‌​‌‌‌​​‌​​​​‌‌​‌​‌​‌​‌​‌​‌‌​​⁠

法律给出的答案是：出境不是不能做，而是必须走通道。 通道一共三条——安全评估、标准合同、保护认证。选错通道，轻则整改，重则被认定为违规向境外提供个人信息。

一、三条通道怎么分

《个人信息保护法》把出境条件写得非常清楚：

对应到操作层面，三条通道的分工是：

• 安全评估：强制通道。关键信息基础设施运营者，或者处理个人信息达到国家网信部门规定数量（现行口径为 100 万人以上、或累计向境外提供 10 万人以上个人信息等情形）的处理者，必须申报安全评估，不能“自选”另外两条。
• 标准合同：最常见的通道。不触发强制评估的一般企业，与境外接收方签订国家网信部门制定的标准合同，并向省级网信部门备案即可。
• 保护认证：适合跨国集团。集团内部跨境传输，可申请由专业机构开展个人信息保护认证。

如果是重要数据出境，口径更严格。工业、测绘等行业的重要数据，只要出境原则上都要过安全评估：

2025 年 1 月 1 日起施行的《网络数据安全管理条例》进一步明确，未被相关地区、部门告知或者公开发布为重要数据的，不需要按重要数据申报出境安全评估——这给企业免去了“猜自己是不是重要数据”的负担。

二、出境前的告知义务经常被漏掉

很多企业签完标准合同就以为万事大吉，漏掉了对用户本人的义务。出境前必须向个人单独告知并取得单独同意：

注意三点：第一，“单独同意”不等于隐私政策里塞一段勾选就完事，出境这一项要从其他授权中拆出来单独提示；第二，告知内容必须落到“境外接收方是谁、在哪”这个颗粒度，只写“我们的关联公司”不合格；第三，这条义务和走哪条通道无关——就算走的是标准合同或认证，对用户的单独同意一样不能少。

关键信息基础设施运营者和达到数量门槛的处理者，还必须先过评估再出境：

三、容易被抗辩和踩坑的几个点

• “免费开放给全球用户的官网”算不算出境？ 境外用户主动访问境内网站并提交个人信息，一般不属于“向境外提供”；但境外客服系统、境外服务器备份、境外合作方调用接口，都属于出境。
• “标准合同签了就合规”是误区。 标准合同不能拆改主体条款，但企业还需要同步完成个人信息保护影响评估并留存评估报告，报告至少保存三年，备案时要提交。
• 通过评估后不能超范围。 出境的目的、方式、范围、种类、规模都锁定在评估结论之内，业务扩张后新增数据类型要重新评估，不能沿用旧批文。
• 豁免情形是有限的。 跨境购物、跨境寄递、跨境支付、国际航班等场景按现行豁免规则可以不纳入计数，但豁免的是“数量门槛”，不是“告知与单独同意义务”。

四、企业自查清单

五、常见误区

• 误区一：内网传输不算出境。 实际上境内外网连通、VPN 远程办公都可能构成向境外提供。
• 误区二：匿名化之后随便出境。 匿名化处理且无法复原、无法关联到个人的数据不属于个人信息，出境限制不适用，但“假匿名”（保留设备号、可回溯）不豁免。
• 误区三：走认证就不用管用户。 通道解决的是政府监管侧的路径问题，对用户的告知和单独同意义务始终存在。

六、问答

问： 我们是中小企业，客户名单不到一万条，发邮件给海外供应商算数据出境吗？

答： 算。但数量远低于强制评估门槛，走标准合同加备案即可；同时要对客户完成出境告知并取得单独同意，否则合同备案了仍然不合规。

问： 安全评估没过还能出境吗？

答： 不能。评估未通过意味着这条路径被否定，企业应当先整改（比如更换境外接收方、压缩出境范围）再重新申报，不能“边审边传”。

问： 标准合同备案被退回了怎么办？

答： 常见原因是评估报告缺失、合同附件擅自改动、告知义务履行证据不足。按退回意见补正后重新提交即可，不影响之前已取得的其他合规动作的有效性。

企业侧的日常数据安全管理要求，见网络数据安全管理条例实施，企业收集数据有什么新要求；违规出境和数据安全保护不到位会面临什么处罚，见企业没做数据安全保护，会有什么处罚；涉及敏感个人信息时的单独同意规则，见体检报告、行踪轨迹、人脸信息：敏感个人信息为什么要单独同意。

以上内容为一般性法律知识分享，不构成正式法律意见；具体出境方案请结合业务形态与数据规模咨询执业律师。