境外司法或执法机构调取境内数据：批准前置、适用范围与应对路径

一、结论先行：非经批准不得提供，违规最高五百万元并停业

境外法院的传票、境外监管机构的调查函、境外仲裁的举证通知，一旦指向存储在中国境内的数据，就进入两条禁止性规定的射程：

1. 数据安全法路径：中华人民共和国主管机关根据有关法律和缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求；非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据（《数据安全法》第三十六条）。
2. 个人信息保护法路径：中华人民共和国主管机关依照有关法律和国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求；非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于境内的个人信息（《个人信息保护法》第四十一条）。
3. 后果：违反第三十六条的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接责任人员处五万元以上五十万元以下罚款（《数据安全法》第四十八条）。

这三条共同说明一点：是否提供，不取决于境外文书是否生效，而取决于中国主管机关是否批准。直接按境外要求提交材料，即使在本国程序上「合法」，在中国法下仍可能构成违法。

二、两条禁令的适用范围差异

两条规定存在交叉但不重合。纯业务数据（如设备运行日志、财务数据）落入数据安全法；涉及自然人的信息同时落入两法，需要同时满足两项要求。实务中一份材料往往混合两类内容，建议按「是否含个人信息」「是否含重要数据」「是否含国家秘密」三层拆分，分别判断。

三、谁是「主管机关」，走什么渠道

两条规定都使用「主管机关」这一表述，未在法律层面明确具体部门。从现有制度与实践看，处理路径大致有三类：

1. 国际司法协助渠道。我国已与多国签订民商事、刑事司法协助条约，境外司法机关的取证请求应通过中央机关转递，由国内主管机关依法办理。这是最正规的路径。
2. 行业主管部门。特定行业有专门规定，例如工业和信息化领域数据处理者向外国工业、电信、无线电执法机构提供境内数据的，须经工业和信息化部批准；金融领域则有反洗钱法的特别要求。
3. 网信部门统筹。涉及重要数据、个人信息出境的，通常需要结合数据出境安全评估、标准合同或者认证程序一并判断。

必须诚实指出：一般性的申请批准程序、受理机关、审查期限与文书格式，目前在公开层面缺乏统一、明确的规定，实务中存在较大不确定性。企业在收到境外请求后，通常需要同时向网信、行业主管与省级司法行政部门沟通，按各部门口径确定路径。这也是此类业务最需要专业判断与提前沟通的原因。

四、与常规数据出境的四条路径不是一回事

最常见的误解是「已经取得了员工或者客户的单独同意，就可以向境外提交」。这一理解不成立：第四十一条的批准要求是独立的公法义务，个人同意只解决个人信息处理的合法性基础，不能豁免主管机关批准。另一常见误解是「材料存在境外服务器就不受约束」——条文规制的是「存储于境内」的数据，境外服务器上的数据是否属于境内存储，需要按实际存储位置与控制状态判断。

五、收到境外请求后的四步应对

1. 第一步，核主体与性质。确认发出请求的是法院、监管机构、仲裁庭还是私人当事方的律师函。只有「外国司法或者执法机构」的请求才落入第三十六条、第四十一条；私人之间的证据开示请求，仍需评估是否构成变相协助执法。
2. 第二步，核数据位置与类型。逐项列出被要求的数据，标注存储地、是否含个人信息、是否属于重要数据、是否涉及国家秘密或者出口管制技术。这一步决定后续走哪条路径。
3. 第三步，走协助渠道或申请批准。通过司法协助条约、行业主管部门或者网信部门提出申请；在获批前，不提交实质数据，可提交数据范围说明与法律障碍说明。
4. 第四步，书面留痕并申请延期。向境外请求方书面说明中国法的批准前置要求，申请延长举证期限或者调整提交方式（如仅提交脱敏摘要、允许境内查阅）。这份说明在境外程序中也常被法院接受为「合理理由」。

需要提醒的是，第三步的沟通往往需要时间，而境外的举证期限通常很短。因此第一步与第四步应当同步启动——先书面说明法律障碍并申请延期，再推进批准程序，避免出现「期限已过、数据未交、两头被动」的局面。

六、违规后果与行业特别规定

除《数据安全法》第四十八条外，还需关注三类特别规则：

1. 个人信息保护法第六十六条。情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停相关业务、停业整顿、吊销业务许可或营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
2. 工业和信息化领域数据安全管理办法（试行）第二十一条。非经工业和信息化部批准，工业和信息化领域数据处理者不得向外国工业、电信、无线电执法机构提供存储于境内的该领域数据。
3. 反洗钱法第五十条。外国国家、组织违反对等、协商一致原则直接要求境内金融机构提交客户身份资料、交易信息，扣押、冻结、划转境内资金、资产的，金融机构不得擅自执行，并应当及时向国务院有关金融管理部门报告；涉及重要数据和个人信息的，还应当符合国家数据安全与个人信息保护规定。

此外，向境外提供涉及国家秘密的材料，可能触及保守国家秘密法；涉及受管制技术的，还需评估出口管制与技术出口管理要求。这三类审查应当与数据合规审查同步进行，而不是事后补救。

七、跨境证据开示的冲突与应对

实践中真正棘手的是「两头都是强制」：境外法院命令提交，中国法禁止未经批准提供。这一冲突目前没有统一的解决机制，属于实务中存在争议的领域。可以尝试的路径包括：

1. 申请境外法院发布保护令。说明中国法的刑事与行政后果，请求限制提交范围、允许境外就地查阅或者以脱敏方式提交。
2. 申请中国主管机关批准。这是唯一能同时满足两边的路径，应尽早启动，并把境外的期限压力作为紧迫性说明。
3. 调整证据策略。以不涉及境内数据存储的替代证据（如境外主体持有的副本、公开信息、第三方报告）履行举证责任。
4. 避免「先交后报」。一旦提交即已构成提供行为，事后补批不能消除违法性。这是最需要守住的一条底线。

八、常见问题与实务提示

问：境外法院要求提交中国员工的工资表，能直接给吗？

不能。工资表含个人信息，落入《个人信息保护法》第四十一条；若同时构成重要数据或者涉及国有企业人员信息，还落入《数据安全法》第三十六条。应通过司法协助渠道或者申请批准后提供。

问：已经取得员工书面同意，还需要批准吗？

需要。第四十一条的批准是独立的公法义务，个人同意不能替代。这一点与常规业务场景下的数据出境规则不同。

问：数据存在境外服务器，是否就不受约束？

不能简单这样判断。条文规制的是「存储于中华人民共和国境内」的数据，判断依据是实际存储位置与控制状态，而不是服务器注册地或者合同约定。境外主体直接从境外系统调取、境内无副本的，通常不落入本条，但仍需评估是否构成向境外提供。

问：不批准会有什么后果？

境外程序上可能面临藐视法庭、不利推定或者败诉风险；境内则面临行政处罚，情节严重的可停业整顿、吊销执照，直接责任人亦被罚款。两端风险需要同时评估，不能只看一边。

问：主管机关多久能批下来？

目前公开层面没有统一的审查期限规定，实务中差异较大，无法给出确定时间。这也是必须在收到请求的第一时间启动沟通的原因。具体时限以官方公布文本为准，应以受理机关的实际答复为准。

问：只提交脱敏后的统计数据，算不算「提供数据」？

仍可能构成。是否属于「提供」取决于数据是否可识别到具体对象、是否具有实质信息价值。经不可逆匿名化处理且无法复原的统计结果，风险显著降低，但需留存匿名化方法与重标识风险评估记录。

律师提示：这类事项的处理顺序应当是「先定性、再沟通、后提交」，而不是「先提交、再解释」。建议企业事前准备一份《境外数据请求应对预案》，明确受理窗口、内部审批链、可提交范围清单与对外说明模板；收到请求后 48 小时内完成主体与数据类型核查，同步向境外申请延期。对跨国集团而言，还应把该预案纳入年度合规演练，避免临场决策。

法条与依据核验：《中华人民共和国数据安全法》第二条（适用范围）、第三十一条（重要数据出境的安全评估）、第三十五条（公安机关、国家安全机关依法调取数据）、第三十六条（外国司法或者执法机构调取数据的批准前置）、第四十八条（违反第三十五条、第三十六条的罚则）；《中华人民共和国个人信息保护法》第三十八条（向境外提供个人信息的路径）、第三十九条（告知与单独同意）、第四十条（关键信息基础设施运营者与达量处理者的境内存储与安全评估）、第四十一条（外国司法或者执法机构调取个人信息的批准前置）、第六十六条（法律责任）；《工业和信息化领域数据安全管理办法（试行）》第二十一条；《中华人民共和国反洗钱法》第五十条。特别说明：主管机关的具体受理部门、申请材料、审查期限，公开层面缺乏统一明确规定，实务中存在较大不确定性，文中已作相应说明；跨境证据开示冲突的解决机制缺乏统一规则，实务中存在争议；「存储于境内」的认定标准尚无司法解释细化，需按实际存储位置与控制状态个案判断；匿名化处理能否排除「提供」定性，各地监管口径不完全一致。本文未引用具体裁判文书与案号，条文序号依现行有效文本标注，请以全国人大、国家网信办等官方公布文本为准。