个人信息出境：海淘、外资HR系统、境外服务器、海外总部调数据合不合法

一句话定义

个人信息出境，指处理者将境内收集、产生的个人信息传输、存储至境外，或者让境外机构、个人可以访问、调取境内个人信息的行为。它不只看「数据存在哪」，还看「谁能拿到」——数据存在境内服务器，但境外总部有账号可以随时查询，同样构成出境。

法律对它设了双重门槛：一是路径门槛，必须走安全评估、保护认证、标准合同三条路之一；二是同意门槛，必须向个人告知境外接收方的情况并取得单独同意。两道门槛都要过，缺一不可。

这条规则在2021年之后明显收紧，很多企业还没跟上。常见的情形是：外资企业用境外总部的人力资源系统、跨境电商把订单数据同步到海外仓、APP用境外云服务、国内公司把用户数据交给海外关联公司做分析。这些做法在过去很普遍，现在大多不合规，只是没人查。

构成要件 / 适用条件

什么算「出境」

四种情形，都是出境。

第一，物理传输。 把数据打包发给境外主体、上传到境外服务器、拷贝到境外设备。

第二，远程访问。 数据存在境内，但境外人员可以通过账号、接口、运维通道访问。这一条最容易被忽略，「数据没出去，只是他们能看」——法律上这就是出境。

第三，境外主体直接收集。 境外机构向境内自然人提供产品或者服务、分析评估境内自然人行为，直接收集境内个人信息，依第三条第二款同样适用本法，其处理活动受约束。

第四，再转移。 境外接收方把数据转给第三国的主体，属于二次出境，仍需符合条件。

三条路径

路径一，安全评估。 由网信部门组织。适用于：关键信息基础设施运营者处理的个人信息；处理个人信息达到规定数量的处理者（实务口径通常按「一百万人以上」把握）；向境外提供重要数据；国家机关处理的信息确需出境。

路径二，保护认证。 经专业机构认证。适用于未达到安全评估门槛、但希望以认证方式证明保护水平的处理者。认证的有效期、监督要求依认证机构规则。

路径三，标准合同。 与境外接收方订立网信部门制定的标准合同，并向所在地省级网信部门备案。适用于未达到安全评估门槛的多数中小企业。

三条路径不是自由选择。达到安全评估门槛的，必须走评估，不能用标准合同替代；未达门槛的，可以在认证与标准合同之间选。

告知与单独同意

无论走哪条路径，都必须向个人告知并取得单独同意。告知的内容（第三十九条）：境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类，以及个人向境外接收方行使权利的方式和程序。

「单独同意」不是隐私政策里的概括同意。要以独立的方式取得，且能证明「这一次出境、这一批信息、这一个接收方」获得了同意。

处理者的保障义务

第三十八条第三款要求处理者采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的保护标准。这意味着：签了合同不等于尽责，还要有实际的监督与救济安排（如审计权、违约救济、终止传输的机制）。

法条依据

与相邻概念的区别

与「向第三方提供」

境内向第三方提供，走的是「告知＋单独同意＋记录」；出境在此基础上还要加「路径合规」。也就是说，出境是「提供」的加强版，要求更多。

实务意义：一份数据既提供给第三方、又传输到境外，两项义务都要履行，不能只做其中一项。

与「境外访问」

很多人以为数据没出境就没问题。判断标准是「能不能被境外主体获取」——境外员工通过VPN登录境内系统查数据，属于出境；境内系统在境外有只读副本，属于出境；境外客服可以调取订单详情，属于出境。

反过来，境外游客在境内使用境内APP、数据存在境内、境外无人访问，不构成出境。

与「数据本地化」

数据本地化是「必须存在境内」，出境规则是「存在境内也可以出去，但要合规」。第四十条对关键信息基础设施运营者与达量处理者提出本地化要求，同时留了「确需出境、通过评估」的口子。

与「域外适用」

第三条第二款是反向的：境外主体处理境内自然人的信息，符合特定情形的，也适用本法。这与「境内数据出境」是两个方向，但常在同一个案子里出现——境外主体既直接收集境内数据，又接收境内传输的数据，两头都受约束。

三条路径怎么选

先判断门槛

第一步看主体：是不是关键信息基础设施运营者。是，则本地化＋安全评估，无选择余地。

第二步看数量：处理的个人信息是否达到规定数量。达到的，走安全评估。

第三步看数据类型：是否涉及重要数据。涉及的，走安全评估。

三项都不涉及的，可以在认证与标准合同之间选。

门槛判断的实务难点

数量怎么算？是按累计处理的人数，还是按出境的条数？实务口径倾向于「处理者处理的个人信息数量」，而非单次出境的条数。这意味着用户量大的平台，即便只出境一小部分数据，也可能落入安全评估。

重要数据怎么认？依数据分类分级的规定，由行业主管部门认定或者目录确定。企业不能自行判断「我们这不重要」，稳妥做法是查本行业的目录、咨询主管部门。

标准合同的要点

标准合同不是自由起草的，须采用网信部门制定的文本，不得实质性修改。可以补充约定，但不得降低保护标准。

备案是必经程序。签订后向所在地省级网信部门备案，备案不是审批，但不备案属于程序违规。

认证的适用

认证适合有长期、稳定出境需求，且希望以第三方背书证明合规水平的企业。成本高于标准合同，但对外可信度更高。跨国集团内部传输，多采用这一路径或者「集团内部规则」类的安排。

告知与单独同意怎么做

告知的内容

六项必写：接收方名称与联系方式、处理目的、处理方式、信息种类、个人行使权利的方式和程序、拒绝出境的后果。

实践中常见的问题是告知过于笼统：「我们可能与境外合作伙伴共享您的信息」。这种表述不构成有效告知，因为没有指明接收方、没有说明种类。

单独同意怎么取得

三种可行方式：独立的弹窗（与隐私政策分离）、独立的勾选项、独立的确认页。要点是「可证明」——能拿出后台记录，证明某用户在某时间对某次出境作出了同意。

「继续使用即视为同意」不符合单独同意的要求。「不同意就不能用」在出境属于必要环节时可能有一定空间，但应当提供替代方案（如仅境内处理的功能）。

拒绝之后怎么办

个人拒绝出境的，处理者不得因此拒绝提供核心服务（除非出境确属核心功能所必需）。可以提供「境内版」服务，或者限制部分功能。

以「不同意出境就无法注册」逼迫，属于以拒绝服务变相强制，缺乏正当性。

境外接收方的义务

接收方虽在境外，仍受两重约束：合同约束（标准合同或者专项条款）与法律约束（第三条第二款的域外适用）。

合同层面

标准合同要求接收方承诺：按约定目的处理、采取安全措施、接受监督、配合审计、事件通知、终止后删除或者返还、协助个人行使权利。

法律层面

接收方侵害境内自然人个人信息权益的，境内个人可以依本法主张；网信部门可以将其列入限制或者禁止提供清单（第四十二条）；情节严重的，可以采取限制或者禁止向其提供个人信息等措施。

二次转移

接收方把数据转给第三方的，需经处理者同意，并承担与接收方同等的义务。这一条常被忽略，导致数据「出境一次、流转多国」。

外国司法执法机构的请求

第四十一条是一条容易被低估的条款：非经我国主管机关批准，处理者不得向外国司法或者执法机构提供存储于境内的个人信息。

三个要点。

主体：外国司法机构（法院）、执法机构（警察、监管机关）。商业机构的商业请求不在本条范围内，但仍受一般出境规则约束。

程序：须经我国主管机关（依条约、协定或者互惠原则）批准。企业不能自行判断「对方是法院，必须给」。

后果：违反的，可能同时承担行政责任与刑事责任；在境外引发的合规冲突，不能作为免责理由。

跨国企业常面临「两头为难」：境外监管要求提供，境内法律禁止提供。正确的处理方式是走双边司法协助或者主管机关审批渠道，而不是「先给了再说」。

个人的处境：怎么知道、怎么拒绝

怎么知道

三个渠道。第一，隐私政策中的「出境」专章，合规的做法会列明接收方、目的、种类。第二，隐私政策或者APP中的「第三方共享清单」，出境属于共享的一种。第三，向处理者提出查阅申请，要求提供「出境情况说明」。

怎么拒绝

在设置中关闭「数据跨境传输」选项（若提供）；书面提出拒绝出境并要求境内处理；对已经出境的部分，要求删除或者要求处理者协调境外接收方删除。

出境后被侵害怎么救济

可以向境内处理者主张（它是义务主体），也可以向网信部门投诉。诉讼中，境内处理者不能以「数据在境外、我们管不了」免责——第三十八条第三款要求它采取必要措施保障境外接收方达到保护标准。

实操指引：企业七步与个人五步

企业侧七步

第一步，画数据地图。 列出所有涉及境外的数据流：哪些系统、存哪、谁能访问、流向哪个国家、经过哪些中间方。这一步不做，后面全是猜。

第二步，判断是否构成出境。 用「境外能否获取」这一个标准筛一遍。远程访问、运维通道、境外备份、境外客服账号，都要算进去。

第三步，算门槛。 先看是否属于关键信息基础设施运营者；再算处理个人信息的总量；再查本行业的重要数据目录。三项中任一项命中，走安全评估；都不命中，在认证与标准合同之间选。

第四步，选路径并落地。 安全评估走申报；认证找有资质的机构；标准合同用官方文本、签完备案。三条都要留档。

第五步，改告知与同意。 在隐私政策中设出境专章，列明接收方、目的、种类、路径；在界面上做单独同意；后台留存同意记录（用户、时间、版本）。

第六步，管住接收方。 合同里写明安全措施、审计权、事件通知、二次转移限制、终止后删除。不要以为签了官方标准合同就完事，补充条款与执行记录同样是证据。

第七步，建应急机制。 境外接收方发生泄露，境内处理者要在第一时间知道、评估、报告、通知个人。没有这条链路，出事必然拖延。

七步做完，才算「有合规架构」。只做第四步的，是「有文件没执行」；只做第五步的，是「有告知没路径」。两者在监管检查中都不算过关。

个人侧五步

第一步，查。 翻隐私政策里的出境条款，看有没有列明接收方与目的。只写「可能向境外提供」的，属于告知不合格。

第二步，问。 向客服提出书面询问：我的哪些信息出境了、给了谁、依据哪条路径、有没有做安全评估或者签标准合同。写明十五日内答复。

第三步，拒。 在设置中关闭跨境传输选项（若有）；书面表示不同意出境，要求境内处理。处理者不得因此拒绝核心服务。

第四步，删。 对已经出境的部分，要求删除，并要求处理者协调境外接收方删除。删除请求写明「含境外接收方持有的副本」。

第五步，诉。 造成损害的，向境内处理者主张赔偿；同时可以向网信部门投诉其出境违规。诉讼中重点主张第三十八条第三款的保障义务未履行。

五步之中，第二步最有用。一份写清「哪些信息、给了谁、走哪条路」的询问函，往往能逼出企业的真实合规状况——很多企业答不上来，因为它确实没做。

四类特殊场景

跨境电商与海外仓

订单信息同步至海外仓用于发货，是最常见的出境场景。合规的关键是把「履约必需」与「出境合规」分开处理：前者解决合法性基础，后者解决路径与同意。两者都要满足。

实操做法：下单页以独立勾选告知「为发货目的将收件信息提供给位于某国的仓库」，完成标准合同备案，在隐私政策中列明接收方。

跨国集团内部传输

集团内部的人力资源、客户关系管理、财务系统，往往集中部署在总部。这类传输的难点在于：接收方是关联公司，容易被认为是「内部事务」。

法律上没有「关联公司豁免」。合规路径通常是：签订集团内部的标准合同或者通过认证，明确各实体的角色（处理者/受托人），建立内部审批与审计机制。

境外上市与审计底稿

境外上市涉及向境外监管机构、审计机构提供资料，其中可能包含个人信息。这类提供需要区分两种情形：依外国法律强制要求的，走主管机关审批或者双边合作渠道；商业性委托审计的，按一般出境规则处理。

审计底稿的出境尤其敏感，应当做去标识化处理，只提供审计必需的部分。

模型训练数据出境

把境内用户数据传到境外训练模型，属于出境；把境内数据用于境外模型的API调用（数据实际传输到境外服务器处理），同样属于出境。

这一场景的合规难点在于「难以逐人取得同意」。可行的做法是：在境内完成训练或者做去标识化处理；确需出境的，按路径合规并做单独同意；对无法取得同意的历史数据，停止出境并删除境外副本。

六个判断难题

难题一：境外服务器上的备份，算不算出境

算。备份的用途是恢复，但恢复后的数据可被境外主体读取，仍属出境。合规做法是把备份也纳入评估范围，或者采用境内备份、境外仅存加密分片且密钥在境内管理的架构。

难题二：境外员工远程运维，算不算出境

算。运维账号能访问生产数据，就构成「境外可获取」。可行的降低风险方式：只给脱敏环境、只给最小权限、全程录屏审计、按需开通按次关闭。这些措施不能免除出境合规义务，但能降低风险等级。

难题三：数据在境内处理，结果给境外，算不算出境

算。处理结果的输出仍是个人信息（如评分、画像、标签）。只要境外主体获得了可识别到人的结果，就构成出境。

难题四：用户自己在境外平台上发布的信息

用户自行公开的信息，处理者依第十三条第一款第六项在合理范围内可以处理，但这不等于可以随意出境。公开不等于放弃保护，出境仍需路径与告知。

难题五：境外主体主动抓取境内公开信息

抓取行为本身可能构成不正当竞争或者侵害个人信息权益。被抓取的公开信息若包含个人信息，境外主体的处理活动依第三条第二款受约束；境内被爬取的企业若未采取防护措施，可能被认为未尽安全义务。

难题六：集团内部「全球统一数据库」

这是最典型的违规架构：所有子公司的数据都存在总部数据库，各地只是前端。这种架构下，中国用户的个人信息天然处于境外可访问状态，属于持续出境。

合规改造通常有三条路：一是分区存储（中国区独立部署）；二是逻辑隔离加本地化密钥（境外无法解密）；三是走完路径合规并取得同意。三条路的成本差别很大，改造成本最低的往往是第二条。

监管与执法：谁会来查、查什么

谁查

网信部门统筹，行业主管部门（工信、卫健、金融监管、教育等）在各自职责范围内查。涉外场景还可能涉及商务、公安。

查什么

六类材料最常被调取：数据出境清单与流程图；路径合规文件（评估报告、认证证书、标准合同及备案回执）；告知与同意的记录；与境外接收方的合同及执行记录；安全事件处置记录；内部制度与培训记录。

常见的处罚情形

未经路径合规即出境；未取得单独同意；告知内容不实或者不完整；向境外提供重要数据未评估；向外国司法执法机构提供数据未经批准；发生泄露未报告。

处罚依第六十六条：责令改正、警告、没收违法所得、罚款；情节严重的，五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务、吊销许可，对责任人处罚并可禁业。

民事风险

出境违规往往与泄露相伴。一旦境外接收方发生泄露，境内处理者难以证明「已采取必要措施保障其达到保护标准」，过错推定下极易被认定有过错。这类案件的赔偿金额通常高于纯境内泄露，因为影响范围更难控制。

三条路径的成本与周期

企业最关心的往往是这一节，说清楚才好选。

安全评估。 周期最长，通常以月计；需要提交申报材料、配合问询、按反馈整改。成本主要在人力与整改（架构调整、加密改造），不在费用。适用于达到门槛的主体，没有选择余地时不必纠结成本，只能排期。

保护认证。 周期中等，费用依机构与范围而定，通常高于标准合同。优势是有效期内的稳定性与对外可信度，适合有持续出境需求、需要向合作方证明合规水平的企业。认证到期需重新评估，期间的监督也要配合。

标准合同。 周期最短，材料相对简单，主要成本在合同谈判与备案。劣势是灵活性低（不能实质修改官方文本），且需要逐家接收方签订。接收方较多时，工作量会迅速上升。

选择的一个实用原则：接收方少、数据量不大、需求稳定，走标准合同；接收方多、数据敏感、需要长期对外背书，走认证；达到门槛的，只能走评估。三者不互斥——集团可以对核心场景走评估、对次要场景走标准合同。

六个常见误区（补充）

误区一，先传再补。 数据已经出去了，再补合规文件。这在监管看来是「持续违法状态」，不会因为事后补办而消灭违法性，只能作为整改情节。

误区二，把「用户同意」当作唯一答案。 同意只解决一道门槛。达到安全评估门槛的，同意了也不能替代评估。

误区三，认为标准合同可以自由改。 官方文本不得实质性修改，改动保护标准的条款可能导致备案被拒。

误区四，忽略二次转移。 只签了第一手的合同，接收方转给第三方时没有任何约束，等于数据出境后失控。

误区五，以为技术措施可以替代合规。 加密、去标识化能降低风险，但不能免除路径与同意义务。

误区六，把出境合规当成一次性的项目。 业务在变、接收方在变、规则也在变，需要定期复核，通常每年一次。

三个完整案例

案例一：外资企业的HR系统

某外资企业在华分支机构使用总部统一的人力资源系统，员工的人事、薪酬、绩效考核数据全部存储在境外服务器，境外总部人力资源部门可以直接查看。

员工提出异议，要求说明出境合规情况。企业答复「集团统一系统，全球都这么用」。

这个答复不成立。员工数据出境需具备三条路径之一，且需告知并取得单独同意。集团内部传输不构成豁免。合规做法是：签订标准合同或者通过认证，向员工告知接收方与目的，取得单独同意，并提供拒绝后的替代安排（如数据仅境内存储、由本地HR管理）。

案例二：跨境电商的订单同步

某跨境电商平台把订单信息（含收件人姓名、地址、电话）同步至海外仓系统，用于发货。平台认为「这是履约必需，不需要同意」。

这个看法部分正确。为履行合同所必需的处理，可以不依赖同意（第十三条第一款第二项），但「出境」本身仍受第三章约束：需要具备路径条件，且第三十九条的告知与单独同意并未因「合同必需」而免除。

实践中，多数平台采取的做法是：在用户下单时以独立勾选方式告知「为发货目的将订单信息提供给境外仓库」，并完成标准合同备案。既履约，也合规。

案例三：境外法院的调取要求

某境外法院在民事诉讼中要求一家中国公司提供其境内用户的个人信息。公司收到对方律师函后，直接将数据提供给对方。

这一做法违反第四十一条。正确路径是：告知对方需通过司法协助渠道，或者向我国主管机关申请批准；在未获批准前不得提供。公司后来被监管部门调查，认定为违规向境外提供个人信息。

这个案子提示：境外诉讼不是「必须配合」的理由，境内法律优先。企业应当建立内部审批机制，遇到此类请求先报法务与主管机关。

七个常见误区

误区一：数据存在境内就没出境。 境外可访问即构成出境，不看存储位置，看获取能力。

误区二：集团内部传输不用合规。 关联公司之间传输同样是出境，同样需要路径与同意。

误区三：用户同意了隐私政策就可以出境。 需要单独同意，且需要路径合规。同意只解决一道门槛。

误区四：签了标准合同就万事大吉。 还要备案、还要取得单独同意、还要有实际监督措施。

误区五：境外法院要求提供就必须提供。 须经我国主管机关批准，未经批准不得提供。

误区六：出境后出事，境内公司不负责。 境内处理者是义务主体，不能以「数据在境外」免责。

误区七：小企业不会管。 监管资源有限，但民事索赔不看规模；一旦发生泄露，出境违规会成为加重情节。

常见问题

问：我用境外云服务存客户资料，算出境吗？

算。数据存储在境外机房，属于物理出境。若云服务商在境内有节点、数据实际存在境内，且境外无人访问，则不构成出境。选购云服务时应当确认数据存储地，并在合同中明确。

问：公司用境外总部的邮箱系统，员工邮件都经过境外服务器，合法吗？

需要合规路径。集团内部邮件系统传输员工与客户的个人信息，属于出境。合规做法是：完成标准合同或者认证，向员工与客户告知，取得同意；或者改用境内服务器、境内邮件系统。

问：境外电商平台直接向中国用户卖货，收集我的信息，能管吗？

能。依第三条第二款，以向境内自然人提供产品或者服务为目的、或者分析评估境内自然人行为的，适用本法。可以向其境内代表或者专门机构主张，也可以向网信部门投诉。

问：我不同意出境，平台就不让我用，怎么办？

看出境是否为核心功能所必需。多数情况下不是，平台应当提供境内处理的替代方案。可以拒绝并投诉；平台以拒绝服务变相强制的，缺乏正当性。

问：出境数据被境外机构泄露，我在国内起诉谁？

起诉境内处理者。它是义务主体，负有保障境外接收方达到保护标准的义务。境外接收方可以作为共同被告，但送达与执行难度较大，实务中多以境内主体为被告。

问：怎么查一家企业有没有完成出境合规？

三条线索：隐私政策中的出境专章是否列明接收方与路径；标准合同是否已备案（可向省级网信部门咨询）；是否通过认证（认证机构可查）。三条都答不上来的，其出境合规状况值得怀疑。

问：境外接收方把数据又转给了另一家公司，我该找谁？

先找境内处理者。它负有保障境外接收方达到保护标准的义务，二次转移未经其同意的，属于接收方违约，处理者应当采取措施（要求停止、终止传输、追责）。同时可以向网信部门反映，由主管部门依第四十二条处理。

问：企业说「我们已经做了安全评估」，怎么核实？

可以要求其说明评估的申报时间、通过时间、评估范围。安全评估的结果会反馈给申报者，企业有相应文件。若企业含糊其辞，可以请其提供「评估通过的说明」，或者向省级网信部门咨询该类评估的公开信息。

问：我在境外网站上注册的账号，能依中国法律要求删除吗？

视情形。若该境外主体以向境内自然人提供产品或者服务为目的，或者分析评估境内自然人行为，依第三条第二款适用我国个人信息保护法，可以主张。若纯粹是境外主体在境外向境外人提供服务，我国法律的适用存在障碍，实务中较难实现。

问：出境合规没做好，个人能索赔多少？

单纯程序违规、未造成实际损害的，赔偿请求较难获得支持，但可以向监管部门投诉，推动整改。因违规出境导致泄露、被境外机构滥用、遭受诈骗的，可以主张实际损失与精神损害，金额视后果而定。群体性泄露案件中，可以关注公益诉讼的启动。

问：数据出境后，境内还有副本，删除请求要不要写「含境外」？

要写。不写「含境外接收方持有的副本」，处理者可能只删境内部分，境外仍在使用。请求中明确三点：删除境内全部副本（含备份）、通知境外接收方删除、书面确认删除完成。

问：企业用境外AI工具处理客户咨询记录，算出境吗？

算。咨询记录被传输至境外服务器处理，属于出境。合规做法有三：改用境内部署或者境内节点；对记录做去标识化后再处理；走完路径合规并取得客户单独同意。三种做法可以叠加，其中「去标识化＋境内节点」成本最低。

问：出境合规做不好，会不会影响企业上市或者融资？

会影响。境外上市与融资的尽职调查中，数据合规是必查项；存在未整改的出境违规，可能构成重大风险事项，影响申报进程。境内融资中，投资方也会要求出具合规说明。这也是很多企业主动补合规的现实动力——不是为了应付检查，而是为了交易能做成。

问：境外接收方所在国法律要求其披露数据，境内处理者要负责吗？

要。第三十八条第三款要求处理者采取必要措施保障接收方达到本法规定的保护标准，包括在合同中约定「所在国法律要求披露时的通知与抗辩义务」。若接收方因所在国要求而披露，处理者应当及时获知、评估、通知个人，并采取措施减少损害。完全放任的，不能免责。

一句话收尾：数据出境这件事，真正的分界线不是「数据在哪」，而是「谁能够到它」。能够到的人在国外，规则就得按出境来走——这不是形式，是管辖。