数据出境，走哪条路？企业法务必须掌握的三条合规路径
数据出境合规是当前企业法务最头疼的问题之一。三条路径：安全评估、标准合同、个人信息保护认证——到底选哪条？本文用一张决策树帮你理清楚。
为什么数据出境是个真问题？
跨国企业在中国的运营，几乎无法避免数据出境：
- 员工信息传回境外总部的 HR 系统
- 客户数据同步到境外的 CRM 或 ERP
- 向境外云服务商（AWS、Azure）上传数据
- 跨境电商平台将用户订单数据传至境外服务器
- 使用境外的 AI 工具处理含有中国用户数据的内容
2023年以来，随着《个人信息保护法》（PIPL）、《数据安全法》和《数据出境安全评估办法》相继落地执行，数据出境的合规门槛已经实质性提高。
不合规的代价：罚款最高 5000 万元或上一年度营业额的 5%，情节严重者吊销营业执照，负责人个人也可能承担法律责任。
三条路径一图清
数据出境
│
├─ 是否属于"重要数据"？
│ ↓ 是
│ 必须走【路径一：安全评估】
│
├─ 是否达到数量门槛？
│ ├─ 100万人以上个人信息
│ ├─ 1万人以上敏感个人信息
│ ↓ 是
│ 必须走【路径一：安全评估】
│
├─ 是否为关键信息基础设施运营者？
│ ↓ 是
│ 必须走【路径一：安全评估】
│
└─ 上述均不满足？
↓
┌─────────────────────────────────┐
│ 自由选择： │
│ 【路径二：标准合同】 │
│ 【路径三：个人信息保护认证】 │
└─────────────────────────────────┘
路径一：安全评估
什么情况下强制要求？
根据《数据出境安全评估办法》第4条，以下情形必须通过安全评估：
- 处理者向境外提供重要数据
- 关键信息基础设施运营者向境外提供任何个人信息
- 处理 100 万人以上个人信息的处理者向境外提供个人信息
- 自上年1月1日起累计向境外提供 10 万人以上个人信息，或 1 万人以上敏感个人信息
"重要数据"的判断：目前没有全国统一的重要数据目录，各行业主管部门有各自认定标准。金融、医疗、交通、能源、电信等行业的数据，被认定为重要数据的可能性较高。
安全评估的流程
第一步：自评估（企业自行完成）
- 数据出境的目的、方式、范围是否必要
- 境外接收方所在国的数据保护水平
- 数据出境后泄露、篡改、滥用的风险
- 个人信息权益保障措施
第二步：向省级网信办申报
提交材料包括：
- 申报书
- 与境外接收方签订的数据出境协议
- 自评估报告
- 其他必要材料
第三步：网信办审查
- 审查周期：45个工作日（可延期至60个工作日）
- 评估有效期：2年（到期需重新评估）
安全评估的实操难点
难点1：如何判断"必要性"
→ 监管机关关注数据出境的范围是否最小化
→ 建议：只传输必须传的字段，不要"打包"传全量数据
难点2：与境外接收方的协议谈判
→ 境外母公司往往使用全球统一合同模板，与中国要求存在冲突
→ 建议：在全球合同模板上附加"中国附件"，覆盖PIPL特有要求
难点3：数据出境的持续合规监控
→ 评估通过后，业务扩展导致数据量增加，可能触发重新评估义务
→ 建议：建立数据流转台账，定期审查是否触发重新评估阈值
路径二：标准合同（SCC）
适用场景
不满足安全评估强制要求、数据量相对较小的个人信息出境场景，可以选择与境外接收方签订标准合同。
标准合同版本：国家互联网信息办公室2023年发布的《个人信息出境标准合同》（俗称"中国SCC"），参考了欧盟GDPR的SCC框架但有本土化调整。
标准合同的核心内容
中国SCC共6章26条，企业需要原文照单签署，不得修改强制性条款，但可在附件中约定：
- 个人信息的种类、数量、目的
- 境外接收方的处理活动描述
- 数据主体权利保障机制
- 数据安全技术措施
标准合同的操作流程
Step 1: 完成个人信息保护影响评估（PIPIA）
→ 这是签订标准合同的前置条件，不可省略
Step 2: 与境外接收方签订标准合同
→ 合同须为中文版本，或中英双语
Step 3: 向网信办备案
→ 合同签订后10个工作日内，向省级网信办备案
→ 备案≠审批，网信办仅留存记录
Step 4: 留存合规档案
→ PIPIA报告、合同、备案记录，留存至数据出境活动结束后3年
标准合同 vs 安全评估：如何选择？
| 维度 | 安全评估 | 标准合同 |
|---|---|---|
| 数据量要求 | 大数据量强制 | 中小数据量适用 |
| 审批时间 | 45-60个工作日 | 备案制，10日内完成 |
| 灵活度 | 低（监管主导） | 中（核心条款不可改） |
| 适合主体 | 大型企业、关基运营者 | 中小企业、跨国集团子公司 |
| 有效期 | 2年 | 与合同期限一致 |
路径三：个人信息保护认证
什么是个人信息保护认证？
由国家认证认可监督管理委员会（CNCA）指定的认证机构（目前主要是中国网络安全审查技术与认证中心，CCRC）开展的第三方认证。
认证标准：GB/T 35273《信息安全技术 个人信息安全规范》+ 《个人信息跨境处理活动安全认证规范》
适用场景
主要适用于跨国公司集团内部的数据共享场景：
- 境内子公司向境外母公司传输员工数据
- 集团内部不同国家主体之间的数据流转
- 具有一定规模但未达到安全评估门槛的集团数据共享
认证的优势与局限
优势：
- 一次认证，覆盖集团内所有数据流转（无需逐笔评估）
- 对于跨国集团来说，比逐份签标准合同更有效率
- 认证有效期3年（比安全评估的2年更长）
局限：
- 认证成本较高（认证费用 + 内部整改成本）
- 认证机构资源有限，排期较长
- 不适用于向境外无关联方（客户、合作伙伴）传输数据的场景
三条路径的综合决策框架
你的企业情况 → 建议路径
大型平台，用户超100万 → 路径一（安全评估）必须
跨国集团，子公司向母公司传HR数据 → 路径三（认证）优先
或路径二（标准合同）
中小企业，向境外合作伙伴传客户数据 → 路径二（标准合同）
不确定数据是否属于"重要数据" → 先做数据资产梳理，
再咨询法律意见
企业常见的三个误区
误区一："我们用的是境外 SaaS，不算数据出境"
错。只要含有中国境内个人信息的数据被传输到境外服务器（无论是直接传输还是经由 SaaS 工具），都属于数据出境，需要合规评估。
误区二："签了标准合同就高枕无忧"
错。标准合同是合规的起点，不是终点。还需要完成 PIPIA、持续监控境外接收方的合规情况、出现数据泄露时履行通知义务等后续义务。
误区三："等监管来查再说"
这是成本最高的合规策略。一旦发生数据泄露事件，监管处罚叠加声誉损失，远比事前合规建设的成本高得多。
结语
数据出境合规不是一道选择题，而是一张需要持续填写的答卷。
随着中国数据出境监管的持续深化，以及与欧盟 GDPR、美国 CCPA、巴西 LGPD 之间的跨境数据流通规则逐步成型，企业数据合规的复杂度只会增加，不会减少。
越早建立系统性的数据出境合规体系，越能把合规成本控制在可管理的范围内。
如果你的企业正面临数据出境合规问题，或者不确定走哪条路径，欢迎联系我做一次合规评估。
吴展鵾律师 | 跨境 × 区块链 × AI 合规
官网：www.wzklaw.com
专长：数据出境合规、PIPL 实施、跨国数据流转协议、算法备案
相关页面
来源
- 《数据出境安全评估办法》（2022年9月施行）
- 《个人信息出境标准合同办法》（2023年6月施行）
- 《个人信息跨境处理活动安全认证规范》（CCRC，2022年）
- 《个人信息保护法》（PIPL，2021年11月施行）