数据出境：个人信息和重要数据各走哪条路、哪些情形可以豁免

一句话定义：数据出境是指把在中华人民共和国境内运营中收集和产生的数据传输、提供给境外接收方。它由两条独立轨道构成：个人信息出境走「机制三选一加四项豁免」，依据是个人信息保护法第三十八条和《网络数据安全管理条例》第三十五条的八项条件；重要数据出境走「必须通过安全评估」，依据是数据安全法第三十一条、《网络数据安全管理条例》第三十七条和网络安全法第三十九条。走哪条轨道，取决于数据是什么，不取决于数据有多少。

本词条属于网络与数据栏目。这一领域最贵的错误是把两条轨道混成一条：以为「个人信息量小就不用评估」，或者以为「不是重要数据就什么都不用做」。第一种错在漏了个人信息出境的三项机制，第二种错在漏了单独同意与告知。反过来，也有企业把什么都按最严的标准做，白交了评估材料、白等了几个月。分清轨道，是省钱也省时间的起点。

构成要件

一、第一步永远是分类，不是算量。 出境合规的路径由数据类型决定：属于重要数据的，走安全评估；属于个人信息的，走第三十五条的八项条件；既不是重要数据也不含个人信息的普通数据，原则上不适用这两套规则（但仍受出口管制、行业监管等其他规则约束）。实务中最常见的错误是从「我们用户不多」开始推理——数量只影响是否触发第四十条的「达到国家网信部门规定数量」，不改变数据类型的定性。

二、个人信息出境有八项条件，前四项是机制，后四项是豁免。 《网络数据安全管理条例》第三十五条把路径写得比个人信息保护法第三十八条更细：前三项是安全评估、保护认证、标准合同；第四至七项是针对特定场景的豁免——为订立、履行个人作为一方当事人的合同所必需；按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需；为履行法定职责或者法定义务所必需；紧急情况下为保护自然人的生命健康和财产安全所必需；第八项是兜底。前四项与后四项的法律效果不同：前三项要求走完一套程序，后四项是在满足条件时可以直接出境、无须走那三道程序。

三、豁免不是「不用管」，而是「不用走机制」。 这一层要单独说清：即使落入第四至七项，第三十九条的告知与单独同意仍然要做，第三十八条第三款的「保障境外接收方处理活动达到本法规定的保护标准」仍然要做。很多企业把「合同必需可以豁免」理解成「什么都不用做」，这是把「免程序」读成了「免义务」。豁免的准确含义是：不必通过安全评估、不必做认证、不必签标准合同，但其他义务照旧。

四、重要数据出境只有一条路：通过国家网信部门组织的数据出境安全评估。 数据安全法第三十一条把重要数据出境分成两类主体：关键信息基础设施的运营者适用网络安全法的规定；其他数据处理者适用国家网信部门会同国务院有关部门制定的办法。网络安全法第三十九条对前者写得更具体：在境内运营中收集和产生的个人信息和重要数据应当在境内存储，因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。

五、识别申报了但没被认定为重要数据的，不必按重要数据申报出境评估。 这是《网络数据安全管理条例》第三十七条第二款给出的一条明确出路，实务价值极高：「网络数据处理者按照国家有关规定识别、申报重要数据，但未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估。」这一句解决了很多企业的两难：既不能漏报，又不愿被一个没有结论的申报拖住业务。适用前提是「已按国家有关规定识别、申报」——没有申报过的，不能援引这一款。

六、通过评估不等于可以随便传：范围和目的都被锁定。 《网络数据安全管理条例》第三十八条规定：通过数据出境安全评估后，向境外提供个人信息和重要数据的，不得超出评估时明确的数据出境目的、方式、范围和种类、规模等。这意味着评估材料里写的每一栏都是承诺：评估时写「用于售后支持」，后来拿去训练模型，就是超出范围；评估时写「每年十万条」，实际传了一百万条，也是超出范围。超出范围需要重新申报，不是补充说明能解决的。

七、三类主体被额外加码：关键信息基础设施运营者、达数量的处理者、国家机关。 个人信息保护法第四十条要求前两类主体将在境内收集和产生的个人信息存储在境内，确需向境外提供的应当通过安全评估；第三十六条对国家机关提出同样要求——处理的个人信息应当在境内存储，确需向境外提供的应当进行安全评估。这三类主体没有「三选一」的空间，只有安全评估一条路。「达到国家网信部门规定数量」的具体数字，因规定文件未收录，本词条不给数值。

八、出境必须单独同意并告知境外接收方信息。 个人信息保护法第三十九条规定：向境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。这条义务独立于第三十八条的机制：机制是「对监管的程序」，单独同意是「对个人的授权」，两者并行，不能互相替代。

九、向外国司法或者执法机构提供数据，是另一条轨道，且更严。 个人信息保护法第四十一条、数据安全法第三十六条的表述几乎一致：非经中华人民共和国主管机关批准，不得向外国司法或者执法机构提供存储于境内的个人信息、数据。注意这里没有「量」的门槛，也没有「合同必需」之类的豁免——只要对方是外国司法或者执法机构、只要数据存储在境内，就必须先经批准。实务中最容易踩线的情形是境外诉讼的取证请求、境外监管的问询、境外母公司转来的「协助调查函」，这些都不能直接照办。

十、国际条约可以优先适用。 个人信息保护法第三十八条第二款、《网络数据安全管理条例》第三十六条都规定：我国缔结或者参加的国际条约、协定对出境条件等有规定的，可以按照其规定执行。这是一条「可以」而非「应当」的通道，适用时要先确认条约的具体内容与适用范围，不能凭「有条约」就跳过国内程序。

法条依据

与相邻概念的区别

第一，与「数据本地化」的区别。 数据本地化要求的是「存在境内」，出境规制管的是「能不能传出去」。两者是不同的义务：个人信息保护法第四十条、第三十六条和网络安全法第三十九条先要求境内存储，再对出境设置条件；满足本地化不等于可以自由出境，反过来，不具备本地化义务的主体也可能受出境规制约束。实务中常见的误解是「服务器在国内就没事了」——境内存储只是第一步，向境外提供（包括让境外主体远程访问）仍然要走相应路径。

第二，与「数据跨境传输」在技术意义上的区别。 技术上的「跨境传输」看的是链路是否跨越国境；法律上的「出境」看的是数据是否提供给境外接收方、使其可以获取。两者不完全重合：境内服务器上的数据被境外总部账号远程调阅，链路上可能没有明显的跨境传输动作，但法律上已经构成提供；反过来，数据在跨境链路上中转但接收方在境内，通常不构成出境。判断的落点是「谁拿到了、能不能用」。

第三，与「委托处理」在出境场景的区别。 境内企业委托境外服务商处理数据（如境外云服务、境外客服外包），同样构成出境。委托关系不改变出境定性：受托方在境外，数据就到了境外，第三十八条的机制和第三十九条的单独同意照旧适用。唯一的区别在责任分配：委托处理下委托方仍要按第二十一条监督受托方，出境路径的选择义务也落在委托方身上。

第四，与「重要数据识别申报」的区别。 识别申报是分类分级的动作，出境评估是跨境传输的前置程序。两者是上下游关系：先识别申报，确定是不是重要数据；是的，走出境评估；识别申报了但没被认定的，按第三十七条第二款不必按重要数据申报出境评估。所以申报不是负担，反而是取得确定性的一条路。

第五，与「向外国司法执法机构提供」的区别。 商业出境走第三十八条、第三十五条；司法执法协助走第四十一条、数据安全法第三十六条。两条轨道的门槛完全不同：前者有机制可选、有豁免可用；后者只有一条——经主管机关批准。把境外诉讼的取证请求当成普通的数据提供来处理，是这一领域风险最高的错误之一。

第六，与「出口管制」的区别。 出口管制管的是两用物项、技术、软件的出口，依据是出口管制法及相关清单；数据出境管的是个人信息与重要数据的跨境提供。两者可能同时适用：一段含技术参数的重要数据出境，既可能是数据出境，也可能触及技术出口管制。遇到交叉情形，两条线都要过，不能因为通过了其中一条就认为合规。

实操指引

第一步，画一张数据出境地图。 逐条业务问四句：数据从哪来、存在哪、给谁（境内外主体分别列）、对方怎么用。这张图的用处是找出「隐形出境」：境外总部的管理后台、境外客服系统、境外云服务的运维通道、境外第三方插件的数据回传，都属于容易被漏掉的口子。

第二步，按数据类别分流。 对每一股数据流标注：是否含个人信息、是否属于重要数据。含个人信息的，判定是走三选一还是落入第三十五条第四至七项的豁免；属于重要数据的，直接走安全评估，同时核对第三十七条第二款能否适用。标注结果要落到文档上，因为这份判定记录本身就是应对检查的核心材料。

第三步，把「免程序」场景的证据做实。 主张「为订立、履行个人作为一方当事人的合同所必需」的，要有合同文本、必要性说明（为什么非出境不可）、数据最小化的论证；主张「跨境人力资源管理所必需」的，要有依法制定的劳动规章制度、集体合同、员工范围清单。豁免不是自我声明，是要能举证的。

第四步，把单独同意做成场景化的。 第三十九条要求告知境外接收方的名称或者姓名、联系方式、处理目的、方式、种类，以及个人向境外接收方行使权利的方式和程序，并取得单独同意。落地上要注意两点：一是不能与总政策共用一次勾选；二是接收方变更时要重新告知并重新取得同意。同意日志要绑定具体的出境场景与接收方。

第五步，评估材料写成「可执行的承诺」。 第三十八条锁定了目的、方式、范围、种类、规模。写材料时不要为了通过而写得宽泛，写宽了后面每传一次都可能是超范围；也不要为了稳妥而写得过窄，写窄了业务一动就要重新申报。务实的做法是按真实业务场景分项列明，把可以预见的扩展写进去，把不确定的留到下一次申报。

第六步，建立变更管理。 出境合规不是一次性的：接收方变了、目的变了、量级变了、数据类型变了，都要重新判断。最低要求是设一张变更清单，每季度对一遍；涉及重要数据或达数量主体的，变更前先与主管部门沟通。企业侧整体合规安排的梳理，可参考企业数据合规与个人信息出境的分场景说明。

常见问题