一、结论先行：接收方义务不能靠一句「保密」带过
向境外提供个人信息，法律对境外接收方设定了明确的义务群，而不是笼统的保密承诺。按《个人信息保护法》第三十八条至第四十三条，接收方至少承担六项义务：按约定目的和方式处理、采取必要安全措施、保障个人行使权利、发生泄露时协助通知、接受处理者监督、未经同意不得再向第三方提供。
这些义务必须在合同层面落地为可执行、可追责的条款。标准合同提供的是底线模板，不覆盖具体业务场景的全部风险。合同写得越具体，事后追责越容易；只写「双方应遵守中国法律」的，等于没有约定。
二、规范依据：三条主线
路径与义务主线：《个人信息保护法》第三十八条规定三条出境路径，第三十九条要求告知境外接收方相关事项并取得单独同意，第四十条规定关键信息基础设施运营者和处理个人信息达到规定数量的处理者应当将在境内收集和产生的个人信息存储在境内、确需出境的应通过安全评估。
个人权利主线：第四十四条至第五十条规定个人的知情、决定、查阅复制、可携带、更正补充、删除等权利，并要求处理者建立便捷的个人行使权利的申请受理和处理机制。接收方作为实际处理者，必须能够响应这些请求。
合同主线：《个人信息出境标准合同办法》规定了标准合同的必备条款与备案要求，适用于未触发安全评估的情形。若采用认证路径，合同条款仍需覆盖同等义务，只是形式更灵活。
三、境外接收方的六项义务
| 义务 | 法律依据 | 合同落地要点 | 常见缺失 |
|---|---|---|---|
| 按约定目的和方式处理 | 第三十八条、第三十九条 | 列明处理目的、数据类别、处理方式、保存期限 | 只写「为合作目的」，范围无边 |
| 采取必要安全措施 | 第三十八条、第五十一条 | 约定加密、访问控制、日志留存的最低标准 | 笼统写「符合行业标准」 |
| 保障个人行使权利 | 第四十四至五十条 | 约定响应时限、协助机制、拒绝理由的书面说明 | 无响应时限，个人请求无人处理 |
| 泄露时协助通知 | 第五十七条 | 约定通知时限（小时级）、通知内容、协同处置 | 仅约定「及时通知」无具体时限 |
| 接受监督与审计 | 第三十八条、第五十八条 | 约定审计权、现场检查权、整改期限 | 无审计条款，出事只能事后追责 |
| 限制再传输 | 第三十八条 | 明确再传输须事先书面同意，并承担同等义务 | 未限制转委托，数据二次外流 |
四、跨境合同的九类关键条款
- 定义与范围条款：明确个人信息类别、数据主体范围、处理活动清单，避免用「相关数据」这类模糊表述。
- 处理目的与方式条款：目的应具体到业务场景，方式应写明存储位置、是否用于模型训练、是否用于营销。
- 安全措施条款：以可验证的方式约定（加密算法、密钥管理、访问审批、日志保存期限）。
- 再传输与转委托条款：未经书面同意不得再传输；同意后仍须承担连带责任。
- 个人权利响应条款：响应时限、协助义务、拒绝理由的书面化。
- 安全事件条款：通知时限、通知内容、协同处置、费用承担。
- 审计与合规证明条款：年度合规报告、现场审计权、整改期限与后果。
- 终止与删除条款：合同终止后删除或返还数据，出具删除证明，例外情形（法律要求留存）需明确。
- 法律冲突与政府调取条款：接收方所在国法律要求其提供数据时的处理机制。
五、再传输限制与「隐性出境」
再传输指接收方将数据提供给第三方，包括其关联公司、分包商、云服务商。常见的隐性出境场景包括：使用境外 SaaS 的备份节点、境外客服外包、集团总部的统一数据仓库、境外上市的审计底稿。
控制要点有三：一是全量排查数据流向，把「谁在什么系统里能访问到数据」画清楚；二是合同穿透，要求接收方对其转委托方施加同等义务，并对转委托行为承担连带责任；三是技术管控，通过访问日志与出口流量监测发现未申报的传输。
六、未订立合同或未履行义务的后果
- 行政责任：违法向境外提供个人信息，可依《个人信息保护法》第六十六条处罚，情节严重的可处五千万元以下或者上一年度营业额百分之五以下罚款，并可能被责令暂停相关业务、吊销许可。
- 民事责任：造成损害的，按第六十九条承担过错推定责任。
- 刑事责任：违反国家规定向境外提供公民个人信息，情节严重的，可能构成侵犯公民个人信息罪。
- 合同责任：未订立合同本身不当然导致合同无效，但可能被认定为未履行法定义务，在争议中处于不利地位。
七、常见问题
问：境外接收方是集团母公司，还需要签合同吗？
需要。关联关系不豁免法定义务。关联公司之间的数据传输同样属于「向境外提供」，仍须具备第三十八条的路径依据、履行第三十九条的告知与单独同意，并以合同或集团内部规则（如约束性公司规则思路）落实接收方义务。
问：标准合同已经签了，还需要另外签商业合同吗？
建议同时具备。标准合同解决的是监管合规底线（必备条款、备案），商业合同解决的是具体业务责任（服务范围、赔偿、服务水平）。两者可以合并为一份文件，但必备条款不能删减。
问：接收方所在国法律要求其提供数据，我方怎么办？
《数据安全法》第三十六条规定，非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。因此，合同应约定接收方在收到此类要求时立即通知，并由处理者依法向主管机关报告、申请批准，不能径行提供。
问：境内处理者能否把责任全部推给境外接收方？
不能。境内处理者是《个人信息保护法》上的义务主体，对出境活动承担首要责任。合同中可以将内部责任分配给接收方，但不能对抗监管与个人。对外承担后，可依合同向接收方追偿。
问：合同签了但没备案，有什么后果？
采用标准合同路径的，应当按《个人信息出境标准合同办法》向省级网信部门备案。未备案属于程序瑕疵，可能在检查中被要求补正，情节严重的可能被认定为未依法履行出境程序。具体后果以监管部门认定为准。
八、小结：把义务写成动作
判断一份跨境合同是否合格，有一个简单标准：每一条义务是否对应一个可执行的动作、一个可核查的时限、一个可追责的后果。「双方应保障数据安全」是宣示；「接收方应在发现未授权访问后 24 小时内书面通知，并提交事件报告与补救方案」才是条款。前者在争议中毫无用处，后者可以直接主张违约。
法条与依据核验：《中华人民共和国个人信息保护法》第三十八条（向境外提供个人信息的三条路径与接收方义务）、第三十九条（告知事项与单独同意）、第四十条（境内存储与安全评估）、第四十四条至第五十条（个人权利与申请受理机制）、第五十一条（安全保护措施）、第五十七条（泄露通知）、第五十八条（大型平台的特殊义务）、第六十六条（违法处理个人信息的法律责任，含五千万元或上一年度营业额百分之五的罚款）、第六十九条（过错推定）；《个人信息出境标准合同办法》（国家互联网信息办公室发布）关于标准合同必备条款与备案的规定；《中华人民共和国数据安全法》第三十六条（非经主管机关批准不得向外国司法或执法机构提供境内数据）；《中华人民共和国刑法》第二百五十三条之一（侵犯公民个人信息罪）。特别说明：标准合同的具体条款序号与备案程序以《个人信息出境标准合同办法》官方文本为准；关联公司间传输的合规安排、约束性公司规则在我国的适用空间，实务中存在不同做法，文中已作提示；罚款金额的计算基数与「情节严重」的认定，以监管部门裁量为准。
