最近接到的跨境数据咨询，十个里面有八个开口就问："吴律师，我们要做安全评估吗？"

我先泼一盆冷水：绝大多数企业，根本不需要做安全评估。

但也别高兴太早——你可能落在"标准合同备案"或"个人信息保护认证"那一档，仍然要做。今天我把国家网信办《促进和规范数据跨境流动规定》（2024 年 3 月 22 日施行）的三档门槛和豁免情形，按企业法务能用的颗粒度讲清楚。

一、最重一档：必须向 CAC 申报安全评估

满足以下任一情形，强制申报：

1. 关键信息基础设施运营者（CIIO）向境外提供个人信息或重要数据；
2. 任何数据处理者向境外提供重要数据；
3. 非 CIIO 自当年 1 月 1 日起累计向境外提供 100 万人以上一般个人信息（不含敏感）；
4. 自当年 1 月 1 日起累计向境外提供 1 万人以上敏感个人信息。

关于"重要数据"，2024 年新规给了一个企业很关心的"安全锚"：未被有关部门、地区明确告知或公开发布为重要数据的，企业不需要作为重要数据申报安全评估。 但我建议内部识别流程仍要留痕，未来一旦被认定，至少可以证明尽到了合理注意义务。

二、中等一档：标准合同备案 / 个人信息保护认证

非 CIIO 满足以下任一：

- 自当年 1 月 1 日起累计向境外提供 10 万人以上不满 100 万人一般个人信息（不含敏感）；
- 自当年 1 月 1 日起累计向境外提供不满 1 万人敏感个人信息。

这两条路径的法律依据是《个人信息保护法》第 38 条。标准合同要按 CAC 发布的范本拟定，签署后向省级网信部门备案。

三、最轻一档：可豁免

以下情形可豁免：

- 非 CIIO 自当年 1 月 1 日起累计向境外提供不满 10 万人一般个人信息（不含敏感）；
- 为订立、履行以个人为一方当事人的合同所必需（跨境购物、汇款、机票酒店预订、签证办理等）；
- 按依法制定的劳动规章制度、依法签订的集体合同实施跨境人力资源管理所必需；
- 国际贸易、跨境运输、学术合作、跨国生产制造和营销等活动中，向境外提供不含个人信息或重要数据的数据；
- 紧急情况下为保护自然人生命健康和财产安全所必需。

四、审查时限和实操提醒

CAC 安全评估法定时限为 45 个工作日，可延长。我的实务经验是：材料形式审查、补正环节往往才是"真大头"，企业应当预留更充裕时间，不要卡着上线日期去申报。

几个常见误区，提前打预防针：

第一，不要把 10 万人门槛当成安全评估——那是标准合同备案的起点，不是安全评估的强制触发。

第二，敏感个人信息和一般个人信息要分开统计。涉及健康、金融账户、行踪轨迹、14 岁以下未成年人信息、生物识别等都属于敏感。

第三，累计周期是"自当年 1 月 1 日起"——不是从公司成立日算，也不是从合同签订日算。每年 1 月 1 日清零重算。

第四，跨境电商、出海 SaaS、外资企业 HR 系统、跨国集团内部数据共享，是我接到咨询最多的四类场景，建议年初做一次基线评估，每季度复盘出境量。

---

我在涉外法律、跨境合规这块做了多年，PIPL/GDPR/LGPD 多法域客户都接触过。如果你正面临"该不该申报""材料怎么准备""跨集团数据流转怎么搭"这类具体问题，欢迎在 wzklaw.com/booking.php 预约咨询。

———
吴展鵾律师 · 广东竞琅律师事务所 · 执业号 144012510953782
涉外法律 · 跨境合同 · 中/英/西/日 4 语执业
主站：wzklaw.com · 预约咨询：wzklaw.com/booking.php
资质核验：credit.acla.org.cn