数据出境管理框架
数据出境实行分类管理，判断的核心不是数据在哪里，而是数据属于哪一类、主体是谁、规模有多大。关键信息基础设施运营者的个人信息与重要数据出境、重要数据出境原则上要申报安全评估；个人信息按规模分档走安全评估、标准合同备案或保护认证三条路径之一。判断顺序很关键：先定数据类型，再看主体身份，最后看规模。
基本信息
| 法律依据 | 数据安全法；网络安全法第三十七条与配套规定 |
|---|---|
| 对象 | CII 运营者数据、重要数据、达到规模门槛的个人信息 |
| 三条路径 | 数据出境安全评估 / 个人信息出境标准合同备案 / 个人信息保护认证 |
| 关键动作 | 出境前识别数据类型与规模，完成申报或备案后再传输 |
| 判断顺序 | 数据类型 → 主体身份 → 累计规模 → 选择路径 |
出境前自查三问
出境前自查三问
# 按顺序问，任一步命中就要走对应手续
1 数据里有没有重要数据？（有 → 原则上申报安全评估）
2 是不是 CII 运营者的个人信息？（是 → 申报安全评估）
3 个人信息累计规模与敏感程度落在哪一档？（决定评估 / 合同 / 认证）
# 附注：部分场景（合同履行必需、跨境人力资源管理等）可豁免，需留评估记录三条路径怎么选
| 情形 | 路径 | 要点 |
|---|---|---|
| CII 运营者的个人信息或重要数据出境 | 安全评估 | 向主管部门申报，评估通过后再传输 |
| 重要数据出境 | 安全评估 | 未被公布或告知为重要数据的除外 |
| 个人信息达到一定规模 | 安全评估或标准合同或认证 | 按累计人数与敏感信息规模分档 |
| 小规模个人信息 | 可免予申报与备案 | 仍需履行告知与单独同意义务 |
落地工作项
- 数据地图：梳理哪些业务会把数据传输到境外，含云服务、境外分支机构与外部供应商
- 数据属性判定：确认是否含个人信息、敏感个人信息与重要数据
- 规模统计：按年度累计口径统计出境人数与敏感信息条数并留计算说明
- 法律文本准备：评估申报材料或标准合同文本、认证相关材料提前准备
- 留痕归档：数据出境评估记录、合同与备案材料统一归档，便于监管调阅
典型使用场景
- 跨国集团内部系统：员工信息与业务数据回传总部前的合规判断
- 云服务选型：确认云平台的数据存储位置与跨境运维通道
- App 出海与反向：面向境内用户的服务使用境外服务器时的自查
- 供应链管理：向境外供应商提供数据前的属性与规模判断
判断顺序优于记忆条款：先把数据属性与规模厘清，再对照配套规定选路径，比先记住哪条门槛数字更可靠，因为门槛与豁免口径会随配套规定更新。
先传输后补手续属于违规出境：手续要在传输发生之前完成，事后补办无法消除已经发生的违规事实。
容易被忽略的出境通道
- 境外云服务与境外 CDN、邮件服务、客服系统等第三方平台
- 境外分支机构的系统访问与运维通道
- 境外供应商按需访问境内数据的技术支持流程