一、结论先行：标准合同的门槛已经不是"100万"
个人信息出境有三条合法路径：数据出境安全评估、个人信息出境标准合同、个人信息保护认证（《个人信息保护法》第三十八条）。选择标准合同的条件，由两部规范共同划定，只看其中一部会算错：
- 《个人信息出境标准合同办法》第四条的四项条件须同时满足：非关键信息基础设施运营者；处理个人信息不满100万人；自上年1月1日起累计向境外提供个人信息不满10万人；自上年1月1日起累计向境外提供敏感个人信息不满1万人。不得采取数量拆分等手段规避安全评估。
- 《促进和规范数据跨境流动规定》第五条第四项又作了一次豁免：关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，免予申报安全评估、订立标准合同、通过认证。
- 两条叠加后的实际适用区间：非敏感个人信息，自当年1月1日起累计10万人以上、不满100万人，才需要订立标准合同；敏感个人信息，累计不满1万人的仍需订立（该项豁免明确不含敏感个人信息）。
- 备案是强制义务。个人信息处理者应当在标准合同生效之日起10个工作日内向所在地省级网信部门备案，提交标准合同与个人信息保护影响评估报告，并对材料真实性负责（《标准合同办法》第七条）。
二、三条路径的适用门槛对照
| 比较项 | 数据出境安全评估 | 个人信息出境标准合同 | 个人信息保护认证 |
|---|---|---|---|
| 适用主体 | 关键信息基础设施运营者；或向境外提供重要数据 | 非关基运营者、非重要数据 | 同标准合同 |
| 人数门槛 | 非关基：自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感），或1万人以上敏感个人信息 | 10万人以上、不满100万人（不含敏感）；敏感个人信息不满1万人 | 同标准合同 |
| 核心动作 | 申报评估，由网信部门组织 | 订立标准合同＋开展影响评估＋10个工作日内备案 | 委托认证机构认证 |
| 可选性 | 强制，无替代 | 与认证二选一 | 与标准合同二选一 |
需要强调：安全评估是唯一的强制路径，达到门槛就没有选择空间。标准合同与认证之间才是"二选一"的关系。
三、备案的完整流程
第一步：开展个人信息保护影响评估
向境外提供个人信息前，应当开展影响评估，重点评估六项内容：处理目的、范围、方式的合法性正当性必要性；出境信息的规模、范围、种类、敏感程度与可能带来的风险；境外接收方承诺的义务及履行能力；出境后被篡改、破坏、泄露、丢失、非法利用的风险及维权渠道是否通畅；境外接收方所在国家或地区保护政策法规对合同履行的影响；其他可能影响出境安全的事项（《标准合同办法》第五条）。
影响评估不是一次性动作。依《个人信息保护法》第五十六条，处理情况记录至少保存三年；依《标准合同办法》第八条，出现法定情形时应当重新开展评估。
第二步：严格按范本订立合同
标准合同应当严格按照办法附件订立，国家网信部门可以调整附件；当事人可以约定其他条款，但不得与标准合同相冲突（第六条）。标准合同生效后方可开展出境活动（第六条第三款）。这一句很关键：先传数据、后补合同，属于程序违法。
第三步：10个工作日内备案
自标准合同生效之日起10个工作日内，向所在地省级网信部门备案，提交标准合同与影响评估报告（第七条）。依《个人信息出境标准合同备案指南（第一版）》，省级网信办在收到材料后15个工作日内完成查验并反馈结果，通过的发备案编号，不通过的告知原因，需补充材料的应在10个工作日内再次提交。
第四步：动态维护
标准合同有效期内出现三类情形之一的，应当重新开展影响评估、补充或者重新订立标准合同，并履行相应备案手续（第八条）：出境目的、范围、种类、敏感程度、方式、保存地点或者境外接收方处理用途、方式发生变化，或者延长境外保存期限的；境外接收方所在国家或地区保护政策法规发生变化等可能影响个人信息权益的；其他可能影响个人信息权益的情形。
四、常见误区与合规要点
- 误区一：备案等于审批。备案不是行政许可，网信部门查验材料齐备性与合规性后发放编号，不产生"批准出境"的效果。企业仍对出境活动的合法性负全部责任。备案被拒不影响行政处罚的追溯。
- 误区二：签了集团模板就行。标准合同必须按范本订立，集团内部模板若删减了范本中的义务条款（如境外接收方的配合义务、个人信息主体作为第三方受益人的权利），可能被认定为不符合要求。
- 误区三：境外接收方在"白名单"国家就不用管。现行制度没有"白名单"豁免，除跨境流动规定第三条至第六条列举的豁免情形外，均须履行相应程序。
- 要点：单独同意不能省。向境外提供个人信息，应当向个人告知境外接收方名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使权利的方式和程序等事项，并取得个人的单独同意（《个人信息保护法》第三十九条）。标准合同解决的是"企业与境外接收方"之间的关系，替代不了"企业对个人"的告知同意义务。
五、违规后果
违反《标准合同办法》的，依据《个人信息保护法》等法律法规处理，构成犯罪的依法追究刑事责任（《标准合同办法》第十二条）。对应的罚则主要是《个人信息保护法》第六十六条：责令改正、警告、没收违法所得；拒不改正的处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销业务许可或营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
除行政处罚外，未履行告知同意与影响评估义务还可能引发民事索赔。依《个人信息保护法》第六十九条，处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。
六、常见问题
问：一年只向境外传几千条员工信息，需要签标准合同吗？
可能不需要。跨境人力资源管理确需向境外提供员工个人信息的，属于《促进和规范数据跨境流动规定》第五条第二项的豁免情形；即便不属于该情形，累计不满10万人（不含敏感）也依第五条第四项免予订立。但豁免不等于免除告知义务，仍须依《个人信息保护法》第三十九条履行告知并取得单独同意。
问：标准合同备案后，换一家境外供应商要重新备案吗？
要。境外接收方变更属于"境外接收方处理个人信息的用途、方式发生变化"或者主体变更，应当重新开展影响评估、重新订立标准合同并履行备案手续（《标准合同办法》第八条）。
问：备案需要提交哪些材料？
核心是两项：标准合同、个人信息保护影响评估报告（《标准合同办法》第七条）。按备案指南，还需提交统一社会信用代码证件、法定代表人及经办人身份证件、授权委托书、承诺书等材料。
问：没备案就传数据，合同还有效吗？
合同本身的民事效力一般不因未备案而无效，但备案是法定义务，未备案属于违反监管规定，可能被责令改正、警告、罚款；且标准合同生效后方可开展出境活动（第六条第三款），未生效即传输构成程序违法。
问：关键信息基础设施运营者能用标准合同吗？
不能。标准合同办法第四条第一项即排除关基运营者；关基运营者向境外提供个人信息或者重要数据，应当申报数据出境安全评估。
问：自贸区企业有特殊规则吗？
有。《促进和规范数据跨境流动规定》第六条允许自贸区制定负面清单，清单外的数据出境可以免予申报评估、订立标准合同、通过认证。清单须经省级网信委批准并报备。
法条与依据核验：《中华人民共和国个人信息保护法》第三十八条（三条出境路径）、第三十九条（向境外提供的告知与单独同意）、第五十五条（应当开展影响评估的情形）、第五十六条（影响评估内容与记录保存三年）、第六十六条（法律责任）、第六十九条（过错推定与损害赔偿）；《个人信息出境标准合同办法》（国家互联网信息办公室令第13号，2023年6月1日施行）第二条、第三条、第四条（四项条件与禁止数量拆分）、第五条（影响评估六项内容）、第六条（严格按范本订立、生效后方可出境）、第七条（10个工作日内备案及材料）、第八条（重新评估与重新订立的三类情形）、第十二条（违规处理）；《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日公布施行）第三条、第四条、第五条（六类豁免情形，含第四项10万人门槛）、第六条（自贸区负面清单）；《个人信息出境标准合同备案指南（第一版）》（2023年5月）关于材料清单与15个工作日查验的规定。口径提示：《标准合同办法》第四条采用"自上年1月1日起"累计，《促进和规范数据跨境流动规定》第五条第四项采用"自当年1月1日起"累计，两者起算点不同，判断时须分别计算。特别说明：备案的审查强度、未备案对合同民事效力的影响，实务中存在不同理解，本文已作区分表述；请以国家互联网信息办公室官方公布文本为准。
