个人信息出境三部法怎么对照：网安法42条衔接条款与数安法31条的分工

一家做跨境业务的企业问律师：客户资料要发给境外总部，个人信息出境的规则在个保法，重要数据出境的规则在数安法，那网络安全法管什么？答案是：网安法是那张「总接线图」——第四十二条把用户信息保密和个保法、民法典接在一起，第三十九条给关基上了境内存储的锁。三部法各管一段，漏读一部就可能走错路。2026 年写的这篇，用对照的方式把三部法的出境条款捋成一张航线图，帮企业按数据类型选对通道。

⁠​‌​‌​​‌​‌‌‌​‌​‌​‌​​‌​‌‌​‌‌​‌‌‌​‌‌​​‌‌​‌​‌​‌​‌‌​​⁠

先看这三个要点

一、条文原文

二、三部法的分工对照

网安法管「人」和「关基」。它的个人信息条款（第四十二至四十六条）确立了用户信息保密、合法正当必要收集、不得泄露篡改毁损、删除更正权等基本盘，第四十二条第二款明确这些规则与民法典、个保法衔接适用——遇到个人信息问题，三部法一并查，不是只看一部。它的第三十九条则对关基上了最严的锁：境内存储为默认、出境评估为例外。

数安法管「重要数据」。重要数据不等于个人信息——它按国家安全、公共利益维度划定，行业目录说了算。第三十一条把出境规则接回网安法（关基部分），并授权网信部门为其他数据处理者定出境办法。

个保法管「个人信息的出境通道」。个人信息出境的授权路径（安全评估、标准合同、认证）由个保法及其配套办法细化，本文点到为止，细节以个保法专门解读为准。

三、对照之后怎么用：三步定位法

第一步，给数据定型。手里这批数据是个人信息、重要数据还是一般业务数据？个人信息按个保法定义判断，重要数据对照行业目录，两者可以重叠——一条含身份证号的行业敏感统计包，两边都是。

第二步，给主体定型。自己是不是关基运营者？以保护工作部门认定通知为准。是关基，先过第三十九条的存储与评估总闸，再谈个保法通道；不是，直接按数据类型选路。

第三步，叠加取严。同一批数据落到多部法射程内时，义务叠加、从严执行——出境评估与标准合同不互相替代，存储义务与保密义务并行存在。跨境系统架构设计时把「最严的那条线」画进默认配置，而不是事后打补丁。

五、常见问题快答

问：「用户信息」和「个人信息」在网安法里是一回事吗？ 不是。第四十二条第一款的「用户信息」外延更宽：凡网络运营者收集的用户相关信息都在保密与制度义务之内；「个人信息」是其中可识别特定自然人的部分，按第二款的指引走个保法等专门规则。理解这个两层结构，就能明白为什么有些数据够不上个人信息、却仍在保密义务内。

问：网安法第四十三条至第四十六条与个保法是什么关系？ 是基础盘与专门法的关系：四十三条的合法正当必要与同意、四十四条的不得泄露篡改毁损、四十五条的删除更正权、四十六条的禁止非法获取出售，构成网络运营者处理个人信息的基本底线；个保法在其上细化告知同意、单独同意、敏感个人信息等规则。两套并行，检查时哪套都躲不掉。

问：非关基企业的用户信息可以自由出境吗？ 不是自由，是换通道：非关基的个人信息出境按个保法体系走安全评估、标准合同或保护认证，重要数据按数安法第三十一条授权的办法管理。网安法第三十九条的强制境内存储只压在关基头上，但「关基之外无约束」是误读——通道变了，闸门还在。

问：同一批数据既是个人信息又落在重要数据目录里，怎么处理？ 双轨并行：个人信息属性走个保法的出境授权路径，重要数据属性走出境安全评估；两边材料可共用（数据清单、风险分析），但许可或结论要分别取得。实务上按「就严原则」设计流程，避免只办一边的半截合规。

问：2025 年修正对出境条款有影响吗？ 修正保持了关基本地存储条款的基本框架，但法律责任条款全面加码——违反义务的罚款档次上限大幅提高。出境合规的经济账因此要重算：此前按旧罚则做的风险测算，按新档次更新后，很多「打擦边球」方案的成本收益彻底反转。

六、给跨境业务画一张「数据航线图」

把三部法的分工落成一张实操工具：横轴是数据类型（个人信息、重要数据、一般业务数据、用户信息），纵轴是主体身份（关基运营者、普通网络运营者），每个格子标注适用的条款与动作——关基×个人信息：境内存储＋出境评估＋个保法授权；关基×重要数据：境内存储＋出境评估；普通×个人信息：个保法三通道；普通×重要数据：网信部门办法评估；普通×用户信息：第四十二条保密与制度义务。这张图贴在数据团队的工位上，任何跨境需求提出时先落格子、再谈方案。航线图的另一层价值在于动态维护：行业重要数据目录更新、网安法配套办法出台、个保法细则调整，都只需改对应格子，不用推翻整个合规框架——合规体系能持续运转的秘密，从来不是一次做对，而是留好了更新的接口。

七、边界与误区

• 误区一：「网安法是旧法，个人信息问题只看个保法」。第四十二条第二款明确「遵守本法和民法典、个人信息保护法等法律」——网安法仍在适用链条上，2025年修正后义务与罚则还全面加码，四条基本盘（收集、保密、删除、不出售）依旧是检查的起手式。
• 误区二：「重要数据出境评估过了，里面的个人信息自动合规」。评估针对重要数据出境的整体风险，个人信息出境另按个保法通道取得合法性，两道闸都要过。
• 误区三：「用户信息不是个人信息，随便用」。第四十二条第一款的「用户信息」外延比个人信息更宽——手机号、设备指纹、上网记录即便达不到个人识别程度，也在严格保密义务之内。
• 境外侧提醒：境外机构、组织、个人危害我国网络安全的，可被采取冻结财产等制裁措施（网安法第七十七条）；境外接收方同样要纳入出境合规评估。

八、实操建议

1. 出境项目立项表加两栏：「数据类型」（个人信息/重要数据/一般）与「主体身份」（关基/普通），先填表再选通道；
2. 把第四十二条落地成两份制度：《用户信息保密管理制度》和与个保法衔接的《个人信息处理规程》，检查时分别出示；
3. 跨境架构评审请法务、数据、安全三方会签，最严义务进默认配置；
4. 跟踪网安法2025年修正后配套办法的出台动态，出境规则与罚则口径随新规更新，别用旧底稿做新项目。

站内数据出境怎么合规：安全评估、标准合同、认证三条路怎么选、平台收集你的个人信息，网安法划了四条线、境外机构处理境内个人信息：跨境提供的三条合规通道对相关义务与路径有专文，可对照使用。

八、三类常见错误示范

错误一：只办个保法、不查重要数据。出境包按个人信息规则办完标准合同就觉得完事，结果包里混着行业目录内的重要数据字段——重要数据的评估义务完全没触发。纠错方法：出境立项表强制加「重要数据定性」一栏，由数据团队与法务双签，没有定性结论不出境方案。

错误二：把用户信息保密制度写成一纸空文。第四十二条第一款的「建立健全用户信息保护制度」常被抄一段制度条文交差，内部访问毫无权限控制、员工随意导出客户信息——制度与实际两张皮，检查与诉讼中都被认定为「未建立」。纠错方法：制度每一条对应到技术配置与审批流程，能演示、能导出记录。

错误三：出境通道「办一次用终身」。三年前过的评估、签的标准合同，今天数据类型、规模、接收方都变了还在沿用——变更后未重新评估的出境，性质上就是新的违法行为。纠错方法：在出境台账里给每条通道设「复核触发条件」与「有效期」，到期或触发即复审，台账由专人按季度维护。三类错误的共同根源是把出境合规当成一次性项目——它其实是随数据流动持续存在的状态，管理的对象是「流」，不是「那一批」。

一句话总结：个人信息与数据出境的航线图——网安法第四十二条接通三部法并守用户信息保密，第三十九条给关基上境内存储的锁，数安法第三十一条管重要数据出境；先定型数据、再定型主体、最后叠加取严，三条路就不会走岔。

---

以上内容为一般性法律知识介绍，不构成正式法律意见。具体出境项目的合规路径选择，请结合数据类型与监管要求，咨询执业律师后推进。