数据出境安全评估：先筛路径，再核期限

本页替换旧生成稿的现行问答入口。旧稿完整保存在[修改前版本](../../reports/data_export_correction_20260916/assessment.before)，仅供审计，不作现行法律依据。旧稿中的客户经历、办理效果、已发布状态没有因此得到确认。

先问清事实

收集处理者是否为关键信息基础设施运营者（CIIO）、实际接收方及处理地点、个人信息是否敏感、自然人数量、重要数据识别结果、用途与必要性、行业及自贸区条件。仅凭使用某个AI品牌、企业总用户数或“已脱敏”不能选定合规路径。无法回答这些问题时，应列出缺失资料。

一般路径与豁免

以下按[2024年规定第2—8条](https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm)筛查；重要数据识别、行业规则及特殊豁免另核，不把概览当作所有场景的完整清单。

先核第3—6条豁免：例如不含个人信息及重要数据的指定活动、符合条件的境外来源数据回传、个人合同履行所必需、合规跨境人力资源管理所必需、紧急保护生命健康财产、适用自贸区负面清单外数据等。各自条件不能省略；免三项出境机制不等于免除其他保护义务。

不适用豁免时，CIIO提供个人信息或重要数据，以及非CIIO提供重要数据，进入安全评估路径。

非CIIO按当年1月1日起累计出境人数筛查：非敏感个人信息达到100万人，或敏感个人信息达到1万人，进入安全评估；非敏感达到10万人而不足100万人，或提供不足1万人的敏感个人信息，依法选择标准合同或认证。不含重要数据且不提供敏感个人信息的不足10万人情形，核第5条第4项豁免。

计数须核验适用指南及豁免数据的计入规则，不直接用数据库行数替代人数。合同必要性等豁免也不能仅凭业务名称成立。

[2026年9月官方问答](https://www.cac.gov.cn/2026-09/11/c_1790876549989064.htm)确认认证适用范围并不限于集团内部；不能拆分数量规避评估，取得认证后达到评估门槛仍需申报，认证情况可供评估参考。

期限如何计算

依据[2022年办法第7、12条](https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm)：省级收到材料后5个工作日内查验完备性；国家网信部门收到材料后7个工作日内决定受理。45个工作日评估期限从向处理者发出书面受理通知起算。复杂或需补正时可延长并告知预计延长时间，该正式文本未设“最多60日”的统一上限。不能将三个阶段机械相加承诺拿结果日期。

2024年规定第9条将结果有效期定为自出具日起3年。需要继续出境且没有重新申报情形时，可在届满前60个工作日内申请延期；批准后延长3年，不能把提出申请当成自动延期。

[2026年7月官方问答第2问](https://www.cac.gov.cn/2026-07/24/c_1786638883119336.htm)说明延期须同时符合第三版指南条件：目的范围、双方主体等未变；未来三年的个人信息人数或重要数据规模相对原准予过去三年的对应数量增幅不超过20%；法律文件符合第9条；过去三年按评估结果合规开展且无重大数据安全事件。这里20%用于延期资格，不能改写成有效期内所有变更的通用重新申报阈值。

员工资料不因身份当然豁免

2024年规定第5条第2项要求按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，并且确需向境外提供员工个人信息；该条所涉个人信息不含重要数据。[2025年10月官方问答第3问](https://www.cac.gov.cn/2025-10/31/c_1763633376984070.htm)进一步要求用途明确、必要、最小化，仅处理与人力资源管理直接相关的信息，并采取对个人权益影响最小的方式。

因此，身份证、护照、银行账户等字段是否确需，应逐项核用途和必要性，不能因“员工资料”或“总部要求”一概豁免。使用前取得制度、集体合同、字段清单及必要性说明；资料缺失时保留待判断，不自动认定符合或不符合。免三项出境机制不等于免其他保护义务。

认证证书与安全评估结果：期限分别核

[《个人信息出境认证办法》第8—10条](https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm)自2026年1月1日起适用：认证证书有效期为3年，到期需继续使用，应在届满前6个月提出认证申请。此依据独立于安全评估结果有效期，不能套用安全评估的届满前60个工作日内申请延期规则。

证书覆盖的范围仍需持续核对。专业认证机构发现实际出境与认证范围不一致等、不再符合认证要求的，应暂停使用直至撤销证书。新增接收方或扩大数据范围前，应取得证书及认证范围、对照拟变更数据流，并向认证机构核清适用程序；不能仅凭尚未到期的证书断言新活动已被覆盖。本轮未核各机构实施细则及全部技术标准，不编造统一“变更后几日内重报”期限。

第9条的5个工作日报送义务主体是专业认证机构，针对出具证书或证书状态变化后向公共平台报送，不是给企业超范围出境的5日宽限期。达到安全评估门槛的，仍按上文核评估义务。

已纠正的旧答案

| 旧说法（不得沿用） | 纠正与依据 |

|---|---|

| “省级决定受理”“45天最多延到60日” | 区分完备性查验、国家受理、工作日起算及延期，见上文。 |

| “到期前60日”“无需重新评估” | 区分工作日、申请窗口、延期条件和批准；不承诺免维护。 |

| “变化后30个工作日内重报”“量增30%一律重报” | 本轮所核规则不支持这两个统一数字。应逐项核2022年办法第14条的安全影响、延长境外保存期限等触发条件，不擅设宽限期。 |

| “协议必须12项条款” | 2022年办法第9条列六类最低责任义务，涉及用途、保存、转移、安全变化、救济和事件处置；不能据旧稿虚构公告或只按条款数量验收。 |

| “PIPIA必须自己写，不许外包” | 本轮依据不足，撤出事实答案。处理者对申报材料真实性负责，不等于证明法律一律禁止专业协助。 |

| “输入Prompt即发生出境” | 先查实际传输与境外访问、数据类别和服务配置；品牌名本身不能证明具体数据流。 |

维护与待核

具体项目：取得数据流、数量和豁免证据后再做路径判断；本页未完整核查行业规则、自贸区清单及申报附件。

电子单证场景：另核[2026年电子单证应用规定](https://www.cac.gov.cn/2026-04/17/c_1778166821092785.htm)的具体条件，不能仅用上述一般门槛排除特别规则。

告知与同意：2026年7月问答第1问区分法定无须同意情形与仍须告知；不得把豁免机制误写成一律不用告知，或把单独同意写成没有例外。

认证变更：实际项目新增接收方、范围或数据流时，核证书和认证机构实施细则；本页不证明具体变更已获覆盖。

下次复查：实际项目使用前、发现规则更新时，或2026-10-16复查以上官方来源及第三版指南。此日期是内部复查提醒，不是法定期限，也不代表已建立自动任务。

来源

上述链接分别定位2022年办法、2024年规定、2026年7月和9月官方问答。访问日期2026-09-16。第三版指南的延期条件依据官方问答复述，本轮未声称逐项审核该指南全部附件。

⚖ Mike Wu Law

反馈_数据出境安全评估