一、结论先行：先判断「是否触发」，再谈「怎么报」
数据出境的安全评估不是所有出境行为都要做。企业常犯的错误是反过来：先花几个月准备材料，最后发现根本不属于必须申报的情形，或者相反，明明已经触发门槛却以为签一份标准合同就足够了。
判断顺序应当固定为三步：第一步看数据类型（是否含重要数据、是否含个人信息）；第二步看主体身份（是否关键信息基础设施运营者）；第三步看数量累计（自当年1月1日起累计向境外提供的个人信息人数、敏感个人信息人数）。三步中任何一步落入法定情形，就必须申报安全评估；三步均不落入，才在标准合同与保护认证两条路径中选择。
还需要注意一个容易被忽略的前提：「出境」的认定标准是数据是否被境外机构、组织、个人访问、调取、存储，而不仅是物理服务器是否在境外。集团总部统一数据仓库、境外远程运维、境外客服坐席能够实时查看境内系统，都可能构成出境。
二、规范依据：两部规范分工明确
《数据出境安全评估办法》（2022年9月1日施行）确立了评估的实体规则与程序，包括申报情形、申报材料、自评估要求、受理与评估时限、评估重点、重新申报与终止出境。
《促进和规范数据跨境流动规定》（2024年3月22日施行，国家互联网信息办公室令第16号）对实务影响最大，它做了三件事：一是收窄了必须申报的情形，把门槛量化为「100万人以上个人信息」与「1万人以上敏感个人信息」；二是明确了多项免于申报的场景，包括国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据且不含个人信息或重要数据的，以及为订立履行个人作为一方当事人的合同所必需、为履行法定职责或法定义务所必需、为应对突发公共卫生事件或紧急情况下保护自然人生命健康和财产安全所必需等情形；三是授权自贸试验区制定负面清单，清单外的数据出境免于申报。
《个人信息保护法》第三十八条至第四十条是上位法依据：第三十八条列明三条出境路径，第三十九条要求向个人告知境外接收方名称、联系方式、处理目的方式、数据类别以及行使权利的方式并取得单独同意，第四十条要求关键信息基础设施运营者和处理个人信息达到规定数量的处理者将在境内收集和产生的个人信息存储在境内、确需出境的应通过安全评估。
三、必须申报的三种情形
| 序号 | 情形 | 判断要点 | 常见误判 |
|---|---|---|---|
| 一 | 关键信息基础设施运营者向境外提供个人信息或重要数据 | 只要主体身份成立，无论数量多少、是否敏感，均须申报 | 自认为不属于关基运营者，未做认定即排除 |
| 二 | 关基运营者以外的处理者向境外提供重要数据 | 只要涉及重要数据，无论数量多少均须申报 | 把「重要数据」等同于「敏感个人信息」 |
| 三 | 关基运营者以外的处理者，自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息），或1万人以上敏感个人信息 | 按自然年度累计、按人数而非条数计算 | 只算当年新增用户，漏算历史存量与员工数据 |
三种情形是并列关系，命中其一即须申报。最需要提前布局的是第三种：累计口径按自然年重置，意味着同一业务在年中可能突然跨过门槛，若等到跨过才启动申报，评估周期与业务节奏会发生冲突。建议在年度中期即测算全年出境人数，预留至少一个季度的申报窗口。
四、免于申报的例外与自贸区负面清单
| 类型 | 典型场景 | 成立条件 |
|---|---|---|
| 不含个人信息与重要数据 | 国际贸易、跨境运输、学术合作、跨国生产制造、市场营销中收集和产生的数据 | 数据内容确不含个人信息与重要数据，需可举证 |
| 「过境数据」 | 境外收集并产生的个人信息传输至境内处理后再次向境外提供 | 处理过程中未引入境内个人信息或重要数据 |
| 合同必需 | 跨境购物、跨境寄递、跨境支付、机票酒店预订、签证办理等 | 为订立、履行个人作为一方当事人的合同所必需 |
| 法定职责或义务 | 履行法律法规明确规定的义务、司法机关与执法机关依法调取 | 须有明确法律依据，不能以内部制度代替 |
| 紧急情况 | 突发公共卫生事件、紧急情况下保护自然人生命健康与财产安全 | 紧急状态消失后不得继续以该理由出境 |
| 自贸区负面清单外 | 自贸试验区内数据处理者向境外提供清单外数据 | 须由自贸区管理机构制定并报批的清单，且仅适用于区内 |
免申报情形的举证责任在数据处理者一方。实务中应以书面台账固定判断依据：数据字段清单、是否含个人信息的比对结论、适用哪一项例外、例外成立的支撑材料。空口主张「属于国际贸易数据」，在检查或诉讼中几乎不被采信。
五、风险自评估报告应覆盖的六个重点
- 出境目的与方式的合法性、正当性、必要性：为什么必须出境、是否有境内替代方案、出境的最小必要范围。
- 出境数据的数量、范围、种类、敏感程度：字段级清单，标明个人信息、敏感个人信息、重要数据的分布。
- 境外接收方承诺的责任义务及履约能力：不能只写「承诺保护」，要看其技术与管理措施、既往安全事件记录。
- 出境中和出境后的安全风险：篡改、破坏、泄露、丢失、转移、被非法获取利用的具体风险场景与发生概率。
- 个人权益维护渠道是否通畅有效：境内联系人、投诉入口、响应时限、跨境投诉的处理路径。
- 法律文件的充分性：与境外接收方签订的数据安全保护责任义务是否覆盖再传输、审计、事件通知、删除返还。
自评估报告最容易被退回的原因不是「写得不好」，而是结论与事实互相矛盾：正文承认存在境外再传输，法律文件却没有再传输条款；正文写敏感个人信息逐条单独同意，附件却没有同意记录样本。评估机构看的是闭环，不是文采。
六、申报流程与时限
- 主体确定：由数据处理者（而非境外接收方）申报；集团内多主体分别出境的，各自判断、各自申报，不得合并为一个主体规避门槛。
- 材料准备：申报书、数据出境风险自评估报告、与境外接收方拟订立的法律文件、安全评估工作需要的其他材料。
- 省级网信部门完备性查验：材料不齐的一次性告知补正；此阶段不计入评估时限。
- 国家网信部门受理：决定受理后书面通知，评估时限自受理通知之日起算，一般45个工作日内完成；情况复杂需补充材料的可以延长。
- 评估结果：通过、不通过、终止。不通过的可在整改后重新申报；有效期内出现新增出境目的、方式、数据种类或规模，或境外接收方所在国家地区数据安全政策法规发生变化的，应当重新申报。
- 有效期管理：评估结果有有效期，届满前需继续出境的应当按规定重新申报。有效期起算点为书面通知之日，不是业务上线之日，务必在台账中单独登记到期日并设置提前提醒。
七、六类常见退回原因与补救
| 退回原因 | 表现 | 补救 |
|---|---|---|
| 数据清单颗粒度不足 | 只写「用户信息」，无字段、无数量、无敏感标记 | 做字段级数据地图，标注来源、去向、存储位置 |
| 境外接收方范围不清 | 只写集团母公司，未列关联公司、云服务商、外包商 | 穿透到最终接收方，逐一列明并纳入法律文件 |
| 法律文件为框架协议 | 仅有合作意向书或采购框架，无数据安全条款 | 补充数据保护附件，明确再传输、审计、事件通知 |
| 自评估与事实矛盾 | 报告称无再传输，实际存在境外备份节点 | 先修正数据流向，再重写结论，不留硬伤 |
| 人数测算口径错误 | 按条数计算、按去重前数量计算、漏算员工与客服数据 | 建立统一口径的年度累计台账，留存测算过程 |
| 重要数据未识别 | 未做重要数据识别即断言「不涉及」 | 先完成重要数据识别与申报，再判断出境路径 |
八、常见问题
问：100万人如何计算，是否去重？按自然人人数计算，同一自然人在一年内多次出境只计一人；统计范围包括用户、员工、供应商联系人等全部个人信息主体。以信息条数替代人数，是典型的低报。
问：评估通过后新增一个境外接收方，是否要重新申报？属于新增数据出境方式与接收方范围，通常构成应当重新申报的情形。稳妥做法是把接收方清单作为动态台账管理，新增即评估是否触发重新申报。
问：未申报直接出境会有什么后果？《个人信息保护法》第六十六条规定了责令改正、警告、没收违法所得、罚款直至停业整顿、吊销相关业务许可或营业执照的处罚；《数据安全法》第四十五条、第四十六条分别就未履行数据安全保护义务、违法向境外提供重要数据等行为规定了处罚。情节严重的，还可能触及刑事责任。
问：自贸区负面清单能否用于区外主体？不能。负面清单依附于自贸试验区的管理措施，仅适用于区内数据处理者，区外企业援引即属适用错误。
申报工作的核心不是堆材料，而是把数据流向画清楚、把人数算准确、把合同写扎实。这三件事做实，评估通过只是时间问题；这三件事虚，材料再多也会被退回。
法条与依据核验：《个人信息保护法》第三十八条、第三十九条、第四十条、第六十六条；《数据安全法》第四十五条、第四十六条；《数据出境安全评估办法》（2022年9月1日施行）；《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日施行）。评估时限、有效期年数与重新申报的具体期限，以国家互联网信息办公室现行公布文本为准，援引前建议核对最新版本。
