企业数据合规与个人信息出境：13 个最常问的问题
员工信息传给境外总部、客户资料存在境外服务器、境外机构来函要数据——这三件事只要做错一件，罚款可以按上一年度营业额的比例计算，负责人还可能被禁止任职。本专题按出境路径、重要数据识别、告知与单独同意、境外机构请求、泄露报告、处罚标准六段，把数据合规的落地动作讲清楚，条文全部照录。
问题一览（点标题直达）
1公司要把员工信息传给境外总部，需要办什么手续？
合规上是四件事，缺一件都算没做完。 第一件，选路径。个人信息出境必须满足三条合法路径之一：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；与国家网信部门制定的标准合同与境外接收方订立合同。此外还有法律、行政法规或者网信部门规定的其他条件。三条路不是随便挑，要看数据量、数据性质和企业身份。 第二件，告知。向境外提供个人信息，应当向员工告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类，以及员工向境外接收方行使权利的方式和程序。告知要真实、准确、完整，用清晰易懂的语言。 第三件，单独同意。这一项最容易被漏掉：向境外提供个人信息要取得个人的单独同意，不能混在入职时签的那份一揽子授权里。所谓「单独」，通常要做成独立弹窗、单独勾选、单独签字。 第四件，影响评估。向境外提供个人信息属于必须事前做个人信息保护影响评估的情形，评估内容要覆盖处理目的和方式是否合法正当必要、对个人权益的影响与安全风险、保护措施是否有效并与风险相适应，评估报告和处理情况记录至少保存三年。 如果公司属于关键信息基础设施运营者，或者处理个人信息达到网信部门规定数量，还有一条更严的要求：境内收集和产生的个人信息应当存储在境内，确需出境的必须通过安全评估。所以「把表格传给总部」这句话，落到合规上是路径、告知、同意、评估四份文件。
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
个人信息保护影响评估应当包括下列内容： （一）个人信息的处理目的、处理方式等是否合法、正当、必要； （二）对个人权益的影响及安全风险； （三）所采取的保护措施是否合法、有效并与风险程度相适应。 个人信息保护影响评估报告和处理情况记录应当至少保存三年。
2用境外服务器存客户资料，违法吗？
不一定违法，但风险等级取决于三件事：数据性质、企业身份、有没有走完程序。 第一，一般个人信息可以出境，前提是满足三条路径之一，并且完成告知与单独同意。做不到，就是违规处理个人信息，可能被责令改正、警告、没收违法所得，拒不改正的处一百万元以下罚款，直接负责人员处一万元以上十万元以下罚款；情节严重的，罚款可到五千万元以下或者上一年度营业额百分之五以下，还可以责令停业整顿、吊销执照。 第二，重要数据要另走一套。数据处理者向境外提供在境内运营中收集和产生的重要数据，适用国家有关规定；违反的，责令改正、警告，可处十万元以上一百万元以下罚款，情节严重的处一百万元以上一千万元以下罚款，并可停业、吊证。 第三，关键信息基础设施运营者有本地化要求：境内收集和产生的个人信息、重要数据应当在境内存储，确需出境的必须通过安全评估。 还有一条最容易被外企踩中：非经我国主管机关批准，境内组织、个人不得向外国司法或者执法机构提供存储于境内的数据。总部发来一封「配合总部合规调查」的邮件，就把数据打包发出去，这一条直接命中。 所以顺序不能颠倒：先分类（是不是重要数据、是不是关基、含不含敏感个人信息），再选路径，最后才谈服务器放在哪里。
关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。
开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
3什么算「重要数据」？怎么判断自己手里的数据算不算？
重要数据不是一个可以靠感觉判断的概念，它走的是「分类分级＋目录」两条线。 法律确立的分类分级保护制度是这么设计的：根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护；关系国家安全、国民经济命脉、重要民生、重大公共利益的数据属于国家核心数据，实行更严格的管理。 落到操作层面，判断方法是三步。第一步，查目录。各地区、各部门按照分类分级制度确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据重点保护。汽车、工业和信息化、金融、医疗健康、征信等行业都已经或者正在发布自己的目录，先看自己在不在其中。第二步，逐项比对。把手里掌握的数据类型、字段、规模、覆盖人群与目录逐条对照，别用「我们数据不多」这种直觉代替比对。第三步，留痕。比对过程、结论、依据要形成书面材料；确实无法判断的，向主管部门咨询或者委托专业机构评估，把过程记录下来。 两个常见误区要避开：一是把「客户名单」直接等同于重要数据，其实多数客户名单属于个人信息或者企业经营信息，不等于是重要数据；二是认为「公司规模小就不涉及」，重要数据看的是类型和影响，不看体量——小公司手里的一份测绘数据、一份行业运行数据，同样可能落入目录。
国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。 各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。
关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。 风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
4个人信息出境有哪几条合法路径？哪条最省事？
三条主路径：安全评估、保护认证、标准合同。选择逻辑可以按三个问题走。 第一个问题：数据量大不大、含不含敏感个人信息？处理个人信息达到网信部门规定数量，或者关键信息基础设施运营者向境外提供个人信息，要走安全评估。敏感个人信息（生物识别、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人的信息等）出境，监管关注度更高，多数情形下安全评估更稳妥。 第二个问题：传输是不是长期、高频、集团内部？跨境集团内部每月都在传员工与客户数据，走认证更稳定，一次认证覆盖一类场景，不用每签一份合同就备案一次。 第三个问题：能不能接受合同备案的成本？标准合同路径最轻——与境外接收方按网信部门制定的标准合同签约、备案、完成告知与单独同意、做过影响评估即可，适合数据量小、场景单一的中小企业。 要说清一个误区：很多人以为签了标准合同就万事大吉。标准合同只是「路径」这一件事，告知、单独同意、影响评估是三条独立的义务，缺任何一条仍然违规。所谓「最省事」，是在三件事都做到的前提下选成本最低的路径，而不是只做一件。 判断「量」的门槛由网信部门规定并且会调整，所以正确做法是：先盘点字段与人数，再对照现行规定选路径，把选择依据写成书面评估留档。这样即便后来标准变了，也能证明当时是善意合规。
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
5只把数据给境外子公司，要不要单独同意？
要。法律看的是「向境外提供」这个行为，不看接收方是不是关联公司、是不是自己人。 条文写得很清楚：个人信息处理者向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人行使权利的方式和程序等事项，并取得个人的单独同意。这里没有任何「关联方例外」。 为什么会有人误以为可以豁免？因为处理个人信息本身有若干合法性基础，其中一项是「为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需」。企业据此认为，处理员工信息用于人力资源管理不需要同意，那么传给总部做人事管理，似乎也不需要。这个推论错在把两件事混成一件：合法性基础解决的是「能不能处理」，单独同意解决的是「能不能出境」。《个人信息保护法》第三十九条是独立条款，不因前者成立而免除。 注意「单独同意」的形式要求：不能藏在隐私政策的一揽子同意中，通常要做独立弹窗、独立勾选、单独签字；涉及敏感个人信息时，法律、行政法规要求书面同意的还要书面。 实务建议：给境外关联方传输，按「最严的那条」准备——告知书、单独同意记录、路径文件（标准合同或评估）、影响评估报告，四份材料齐了，才谈得上合规。
个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
6员工不同意信息出境，公司能不能不录用或者辞退？
不能简单以「不配合」为由处理，这么做风险很大。 第一步要看有没有其他合法性基础。处理个人信息需要具备法定情形之一，「为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需」是常见的一项。如果员工信息处理确实属于人力资源管理所必需，公司处理本身有依据——但「向境外提供」仍要单独同意，这是两回事。 第二步要看能不能不用出境。很多场景是可以替代的：在境内完成处理、脱敏后再传输、只传汇总结果不传原始信息、调整系统架构把数据留在境内。企业应先评估替代方案，而不是把「不同意」直接等同于「不服从管理」。 第三步才是处理劳动关系。如果岗位客观上必须依赖跨境处理（比如全球统一的人力系统），且入职前已经明确告知并作为录用条件，员工在知情后拒绝，双方可以协商调整岗位；直接解除劳动合同，可能被认定为违法解除——违法解除的，劳动者可以要求继续履行，或者要求按经济补偿标准的二倍支付赔偿金。 正确顺序是：说明必要性、提供替代方案、取得单独同意并留痕；确实无法取得同意的，调整流程或岗位，而不是处理员工。把合规成本转嫁给员工，往往两头都输。
符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。
个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
用人单位违反本法规定解除或者终止劳动合同，劳动者要求继续履行劳动合同的，用人单位应当继续履行；劳动者不要求继续履行劳动合同或者劳动合同已经不能继续履行的，用人单位应当依照本法第八十七条规定支付赔偿金。
用人单位违反本法规定解除或者终止劳动合同的，应当依照本法第四十七条规定的经济补偿标准的二倍向劳动者支付赔偿金。
7境外机构来调查，要求提供境内数据，能不能给？
原则上不能直接给，这一条没有「合同约定优先」的空间。 法律规定：我国主管机关根据有关法律和我国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求；非经我国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于我国境内的数据。 这句话有三层含义。第一，审批主体是「我国主管机关」，不是公司法务、不是境外总部、也不是对方监管机构。第二，覆盖范围是「存储于境内的数据」，不管数据由中国团队保管还是存在境内机房。第三，没有例外条款——不存在「对方是母公司所在国监管机构」「合同里写了要配合」这类豁免。 违规后果是双向的：单位可能被责令改正、警告、罚款，情节严重的罚款可到一千万元并停业整顿、吊销许可证或营业执照；直接负责的主管人员和其他直接责任人员也可能被罚。 正确做法是三步：书面回复对方「依据中国法律，需经中国主管机关批准后方可提供」，把这句话写进回函；同时向主管部门报告并申请指导；在获批前不提供任何数据，包括样本与摘要。最忌讳的是「先给一小部分试试」——数据一旦出境，无法撤回。
中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。
开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
8数据泄露了，多久必须报告？报给谁？
条文用词是「立即」，没有几天之内的宽限期，拖时间本身就是违规情节。 数据安全法要求：开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。个人信息保护法进一步规定：发生或者可能发生个人信息泄露、篡改、丢失的，应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。 通知个人时要写清三件事：泄露或者可能泄露的信息种类、原因和可能造成的危害；已经采取的补救措施和个人可以采取的减轻危害的措施；处理者的联系方式。还有一个例外要知道：如果采取措施能够有效避免泄露造成的危害，可以不通知个人；但主管部门认为可能造成危害的，有权要求通知。 报告对象按场景定：网络安全事件向公安网安部门，个人信息问题向网信部门，行业另有规定的向行业主管（金融、医疗、教育都有各自渠道）。不确定的时候多报不漏报，比漏报安全。 最实际的一条建议：事前把应急预案做出来——谁判断等级、谁在两小时内上报、报给谁、对客户怎么措辞、要不要请外部技术团队。事发当天现找人、现写话术，几乎一定出错。
开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。
发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项： （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害； （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施； （三）个人信息处理者的联系方式。 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
9没有做个人信息保护影响评估，会有什么后果？
这是一个可以单独处罚的违法行为，不需要以「出了事故」为前提。 法律列举了必须事前做评估并记录的情形：处理敏感个人信息；利用个人信息进行自动化决策；委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；向境外提供个人信息；其他对个人权益有重大影响的处理活动。也就是说，只要业务落在其中一项，评估就是前置动作。 评估要覆盖三项内容：处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。评估报告和处理情况记录至少保存三年——这一条常被忽略，很多人做了评估但没留档，等于没做。 不做的后果按一般违法处理：责令改正、警告、没收违法所得，对违法处理个人信息的应用责令暂停或者终止提供服务；拒不改正的处一百万元以下罚款，直接负责的主管人员和其他责任人员处一万元以上十万元以下罚款。情节严重的，罚款可到五千万元以下或者上一年度营业额百分之五以下，并可停业整顿、吊销许可或执照。 还有一层隐性价值：评估报告是发生纠纷时证明「已尽合规义务」的核心证据。真出了事，有报告和没报告，责任认定差别很大。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
个人信息保护影响评估应当包括下列内容： （一）个人信息的处理目的、处理方式等是否合法、正当、必要； （二）对个人权益的影响及安全风险； （三）所采取的保护措施是否合法、有效并与风险程度相适应。 个人信息保护影响评估报告和处理情况记录应当至少保存三年。
违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
10数据被境外合作方泄露了，责任在谁？
对外你先担责，对内再追偿，顺序不能反。 法律明确要求：个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的保护标准。这句话的含义是——选任境外接收方、约定合同条款、监督其履行，都是境内处理者的法定义务。境外方泄露，境内企业很可能被认定「未尽到保障义务」，仍要向用户和监管承担责任。 对内的追偿依据是合同。标准合同或者认证要求里通常包含处理目的与方式的限制、安全措施、泄露通知时限、审计权、协助义务、违约责任与终止条款。所以签约时这三件事必须写进去：处理目的与方式的范围限制（超出范围即违约）、泄露通知时限（比如二十四小时内书面通知）、审计与赔偿（含监管罚款的内部承担）。 一个常见错误是直接拿境外总部的模板签。欧美那套数据处理协议（数据保护附录之类）解决的是它本国法下的义务分配，不一定满足我国法对境外接收方的要求，尤其在「不得向第三国再转移」「协助履行个人权利请求」「配合我国监管」这几项上往往缺失。 还有一条实操建议：对境外接收方做年度核查，要求其提供安全认证或者审计报告。真出了事，这份核查记录是证明你「已尽监督义务」的关键材料。
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
11应用收集身份证、人脸，哪些属于敏感个人信息？
法律给了定义加列举，人脸和身份证号都在里面。 敏感个人信息的定义是：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。列举的类型包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。人脸属于生物识别，身份证号属于特定身份，两者都是典型的敏感个人信息；指纹、声纹、虹膜同理。 处理规则比一般个人信息严三层。第一，目的与必要性：只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，才可以处理。第二，单独同意：处理敏感个人信息应当取得个人的单独同意，法律、行政法规规定应当取得书面同意的从其规定。第三，程序义务：事前做个人信息保护影响评估，履行告知义务，告知处理目的、方式、种类、保存期限以及必要性。 现实中最常见的违规有两种：一是把人脸识别设为唯一验证方式，强制刷脸才能进小区、进商场、办业务——这属于必要性不成立，用户可以拒绝并要求替代方式；二是把身份证照片长期原图存储在业务系统里，没有加密、没有权限隔离、没有期限管理，一旦泄露就是重大事件。 合规做法很朴素：能不用敏感信息就不用，非用不可的做到「最小必要、单独同意、加密存储、限期删除」四件事。
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。
处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。
个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （一）个人信息处理者的名称或者姓名和联系方式； （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； （三）个人行使本法规定权利的方式和程序； （四）法律、行政法规规定应当告知的其他事项。 前款规定事项发生变更的，应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。
有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。
12数据合规出问题，罚多少钱？谁会被罚？
双罚制，公司和个人都可能被罚，这是很多负责人没意识到的部分。 个人信息保护这一端：违法处理个人信息或者未履行保护义务的，责令改正、警告、没收违法所得，对违法处理个人信息的应用责令暂停或者终止提供服务；拒不改正的，处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。情节严重的，由省级以上部门责令改正、没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，可以责令暂停相关业务、停业整顿、通报吊销许可或营业执照，对责任人处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。 数据安全这一端：不履行数据安全保护义务的，责令改正、警告，可以并处五万元以上五十万元以下罚款，对直接负责人员处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可停业整顿、吊销执照。违规向境外提供重要数据的，处十万元以上一百万元以下罚款，情节严重的处一百万元以上一千万元以下罚款。 看清楚两个特点：一是有「按营业额比例」的罚款，大企业一次就可能上亿元；二是有「禁止任职」，这不是钱的问题，是职业生涯的问题。所以合规负责人不是挂名的岗位，签字就要担责。
违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。
违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
13公司规模小、只做外贸，也要做数据出境合规吗？
要做，只是路径可能更轻、成本更低。法律义务不因规模小而免除——个人信息保护法、数据安全法适用于所有个人信息处理者和数据处理者，没有小微企业豁免条款。 但规模确实影响具体要求，差别在三处。第一，是不是关键信息基础设施运营者：小微企业一般不是，所以不触发「境内存储＋必须安全评估」的最严要求。第二，处理个人信息有没有达到网信部门规定的数量：没达到的，通常不强制走安全评估，可以选标准合同或者认证。第三，涉不涉及重要数据：外贸企业如果涉及行业重要数据目录内的数据（比如某些行业的运行数据、测绘数据），仍然受严格约束，这一条与规模无关。 小微外贸企业的现实动作可以简化成五步：盘点客户与员工信息（哪些字段、多少人、存在哪）；判断有没有敏感个人信息或者重要数据；选路径（多数是标准合同）并完成备案；履行告知与单独同意；做一份简化版影响评估留档，指定一名责任人。 成本主要是流程与文档，不是技术投入。反过来，什么都不做才是最大的风险：一旦被投诉或者发生泄露，罚款起点往往高于合规成本，而且客户在签采购合同时几乎都会问一句「你们的数据合规怎么做的」——这套材料本身就是商业竞争力。
开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。 风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。
个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。
违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
接着往下办：本站能直接用的东西
下面每一块都指向站内另一个栏目——算钱的、备证据的、走流程的、写文书的、查判例的，需要哪一步就点哪一步。
从头到尾怎么办这件事从第一步到最后一步，本站按场景串成了一条路
先用计算器算一算金额先自己算出来，谈判和起诉才有底数
要准备哪些证据每一项写明证明什么、怎么取、注意什么
办这件事的完整流程步骤、材料、期限，全部标注法条依据
高频疑问一句话能问清的事，先在这里找答案
同类问题法院怎么判按争议焦点整理的真实判决与裁判规则
相关办事指南
法律上的结论看本文；落到办事流程，每个场景都配了一份办事指南，照单准备即可。