个人信息出境标准合同：什么情况能用、签完还要备案吗

一句话定义：个人信息出境标准合同，是个人信息保护法第三十八条第一款第三项规定的三条出境路径之一——个人信息处理者按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务，从而在不需要安全评估、不需要认证的情况下完成个人信息出境；但适用有门槛，签完还要向省级网信部门备案。

构成要件

一、它是「三选一」中的一条路，不是唯一路。个人信息保护法第三十八条第一款列了四条：通过国家网信部门组织的安全评估；经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同；法律、行政法规或者国家网信部门规定的其他条件。标准合同是第三条，其价值在于程序最简、周期最短、成本最低——不需要申报安全评估，也不需要认证机构介入。但「最简」不等于「谁都能用」，适用条件是硬门槛。

二、适用有门槛：数量、敏感信息、关键主体三条限制。依《个人信息出境标准合同办法》的规定，适用标准合同路径通常要求：非关键信息基础设施运营者；处理个人信息不满一百万人（不含敏感个人信息）；自上年 1 月 1 日起累计向境外提供不满十万人的个人信息（不含敏感个人信息）；累计向境外提供不满一万人的敏感个人信息。四条中任何一条不满足，就要走安全评估或者认证。实务中最常踩的坑是「人数算错」：按自然人计算、按去重后的主体计算，而不是按记录条数。

三、必须「按照国家网信部门制定的标准合同」订立，不能自行发挥。这里的「标准合同」是官方文本，条款由网信部门统一制定，当事人可以补充约定，但不得与标准合同条款相冲突，也不得降低个人信息保护标准。自行起草一份「数据出境协议」不能替代标准合同，这一点在监管检查中经常被发现。

四、签署之外还有两项法定义务：影响评估与告知同意。依个人信息保护法第五十五条，向境外提供个人信息属于应当事前进行个人信息保护影响评估的情形，评估报告和处理情况记录至少保存三年；第三十九条要求向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类，以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意。「单独同意」不是隐私政策里的一揽子勾选，需要就出境事项单独取得同意。

五、签完要备案。依《个人信息出境标准合同办法》，个人信息处理者应当在标准合同生效之日起十个工作日内向所在地省级网信部门备案，备案材料包括标准合同和个人信息保护影响评估报告。备案是行政程序，不代表监管对合规的认可，但未备案属于违规，在检查中会被要求整改。

六、境外接收方超出约定处理，境内方仍要担责。第三十八条第三款要求个人信息处理者采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。这意味着「合同签了、责任转移了」的想法不成立——境内处理者仍是第一责任人，需要做尽职调查、约定审计权、约定违约与终止条款。

法条依据

与相邻概念的区别

与安全评估的区别，在「适用门槛与周期」。安全评估由网信部门组织，适用于关键信息基础设施运营者、处理个人信息达到规定数量、或者向境外提供重要数据等情形，周期长、材料多、通过后方可出境；标准合同是自我执行的路径，签合同加备案即可，但门槛低意味着适用面窄。判断顺序是：先看是否落入安全评估范围，不落入再看能否用标准合同。

与保护认证的区别，在「由谁背书」。认证由专业机构实施，适合集团公司统一出境场景、或者出境人数较多但又未达安全评估门槛的情形；标准合同是双方合同加行政备案，没有第三方背书。认证的持续监督更强，标准合同更依赖自律与事后监管。

与数据出境一般规则的区别，在「个人信息与重要数据分开走」。重要数据的出境不适用标准合同路径，必须走安全评估。处理的数据里既有个人信息又有重要数据的，整批按重要数据路径处理，不能拆分规避。两者的整体框架见数据出境与重要数据。

与「境外提供豁免情形」的区别，在「是否需要任何手续」。法律、行政法规或者网信部门规定的一些情形（例如为订立、履行个人作为一方当事人的合同所必需，或者在跨境贸易、学术合作等活动中不涉及重要数据、数量极小）可以不申报，但这些豁免情形需要严格对照规定，不能以「量少」自行认定。

实操指引

第一，先做「路径判断表」，不要先谈合同。四项判断：是否关键信息基础设施运营者；处理个人信息是否达到一百万人；年度出境人数是否达到十万人（一般）/一万人（敏感）；是否涉及重要数据。四项全部「否」，才落进标准合同路径。

第二，人数按「去重自然人」统计，并留好台账。建议按年建立出境台账：出境时间、信息主体标识（脱敏）、信息类型、接收方、用途。监管检查时最常要的就是这份台账，临时拼凑很难自证。

第三，用官方标准合同文本，补充条款注意「不降低标准」。允许补充的常见内容：数据用途的具体限制、审计权的行使方式、分包处理的审批、违约赔偿、终止后的数据删除与证明。禁止的内容：约定境外接收方不承担删除义务、约定争议由境外法院排他管辖从而架空境内责任、约定个人信息主体无权直接主张权利。

第四，影响评估要在签合同之前完成。评估至少覆盖：出境目的与必要性、信息类型与敏感程度、境外接收方的保护能力与所在国法律环境、个人权益受影响的风险、已采取的保护措施。报告要能回答「为什么必须出境」「为什么必须给这家」两个问题。

第五，备案按「生效后十个工作日」把握，材料一次备齐。备案机关为所在地省级网信部门；材料一般为标准合同文本、影响评估报告、主体信息。备案后发生接收方变更、处理目的变更、出境信息类型重大变化的，需要重新评估并更新合同与备案。

常见问题