数据出境的数量门槛与自贸区负面清单：10万人、100万人与1万人敏感个人信息的适用边界

一、结论先行：一张数量表决定走哪条路

数据出境的三条法定路径——安全评估、标准合同、保护认证——不是自由选择，而是由数据类别与累计人数决定。按《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日施行），结论可以先行给出：

1. 关键信息基础设施运营者向境外提供个人信息或者重要数据，一律申报安全评估（第七条第一项）。
2. 非关键信息基础设施运营者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）、1万人以上敏感个人信息的，申报安全评估（第七条第二项）。
3. 累计10万人以上、不满100万人个人信息（不含敏感），或者不满1万人敏感个人信息的，订立标准合同或者通过保护认证（第八条）。
4. 累计不满10万人个人信息（不含敏感）的，免予三项程序（第五条第一款第四项）。

此外还有五类场景性豁免，与人数无关：国际贸易与跨境运输等不含个人信息或重要数据的活动（第三条）；境外收集、境内处理后回传且未引入境内个人信息或重要数据的过境数据（第四条）；订立履行个人作为一方当事人的合同所必需（如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务）；依法制定的劳动规章制度和集体合同下的跨境人力资源管理；紧急情况下保护自然人生命健康和财产安全（第五条第一款前三项）。

二、三条路径与数量门槛对照

表格有两个容易被忽略的细节：第一，一般个人信息与敏感个人信息是两条独立的分母，不是相加关系，敏感个人信息单独适用1万人与1万人的门槛。第二，重要数据不适用人数豁免，只要构成重要数据，无论数量多少、无论是否属于豁免场景，都必须申报安全评估。

三、六类免予情形的适用边界

《规定》设置的免予情形共六类，其中三类是场景性豁免，三类是数量型豁免。适用时须逐项核对，不能笼统主张「我们是国际贸易所以不用办」。

豁免一：不含个人信息或重要数据的业务数据。国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予三项程序（第三条）。边界在于「不包含」——只要夹杂一条个人信息，就不再适用该条，应回到第五条判断。

豁免二：过境数据。在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予三项程序（第四条）。边界在于「未引入」——境内处理环节一旦叠加境内用户信息，即丧失豁免。

豁免三：合同必需。为订立、履行个人作为一方当事人的合同所必需，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务（第五条第一款第一项）。边界在于「必需」——营销推送、用户画像、二次分析不属于履行合同所必需。

豁免四：跨境人力资源管理。按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的（第五条第一款第二项）。边界在于「依法制定」与「集体合同」两个前提，仅有公司内部通知不足以支撑。

豁免五：紧急情况。为保护自然人的生命健康和财产安全所必需（第五条第一款第三项）。该情形具有临时性，紧急状态结束后继续提供的，应当回到常规路径。

豁免六：数量未达门槛。非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的（第五条第一款第四项）。

需要强调：第五条第二款明确，上述豁免所称向境外提供的个人信息不包括重要数据。豁免只对个人信息开放，不对重要数据开放。

四、自由贸易试验区负面清单

自由贸易试验区可以在国家数据分类分级保护制度框架下，自行制定区内需要纳入安全评估、标准合同、保护认证管理范围的数据清单，即负面清单；负面清单经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案（第六条第一款）。

清单之外的数据，区内数据处理者向境外提供时可以免予三项程序（第六条第二款）。这一机制的意义在于把「逐笔判断」变为「一次列明」：企业只需核对拟出境数据是否落入负面清单，不在清单内的即可直接出境。

适用时有四个边界必须清楚：

• 地域边界：仅在自贸试验区范围内适用，区外主体不能援引。
• 程序边界：清单须经省级网信委批准并报国家网信部门、国家数据管理部门备案，未经批准公布的清单不产生豁免效力。
• 内容边界：负面清单只解决「是否纳入三项程序的管理范围」，不改变《个人信息保护法》下的告知、单独同意、影响评估等实体义务。
• 时间边界：负面清单出台前，区内数据出境活动仍按国家统一规定执行。

五、重要数据的识别与申报

《规定》第二条给出了一条重要的减负规则：数据处理者应当按照相关规定识别、申报重要数据；未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。

这条规则把「重要数据」的认定从企业自我判断转向「被告知或公开发布」的客观标准，但并未免除企业的识别义务。操作上应当完成三步：

1. 检索本行业目录：确认本行业、本地区是否已公开发布重要数据目录，以及本企业业务是否落入目录列举的范围。
2. 留存检索记录：保存目录检索、行业主管部门答复、内部评估结论，作为「未被告知」的证明材料。
3. 动态复核：目录更新后重新判断；收到主管部门告知的，立即按重要数据管理。

需要注意区分「重要数据」与「敏感个人信息」。二者法律属性不同：重要数据关涉国家安全与公共利益，敏感个人信息关涉个人权益；一条数据可能同时构成二者，此时按重要数据处理，须申报安全评估。

六、数量计算口径与评估结果有效期

数量门槛的计算有三条硬口径，来自监管机关的解释：

• 计算周期：自当年1月1日起至申报安全评估之日（或者判断是否达到标准合同门槛之日）。跨年度重新起算。
• 统计单位：以自然人为单位去重后的统计结果为准。同一自然人多次出境的，只计一人。
• 不计入情形：属于第三条、第四条、第五条第一款第一项至第三项、第六条规定情形的出境活动，不计入累计数量。

通过安全评估的结果有效期为三年，自评估结果出具之日起计算；有效期届满需要继续开展数据出境活动且未发生需要重新申报情形的，可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长申请，经批准可以延长三年（第九条）。

这条规定解决了一个长期困扰企业的问题：此前评估结果有效期较短，业务尚未铺开就面临重新申报。三年有效期加可延长三年，实际可覆盖六年，为长期稳定的数据出境业务留出了空间。

七、告知、单独同意与影响评估并未免除

《规定》第十条明确：数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。豁免的是三项出境管理程序，不是《个人信息保护法》下的实体义务。

这一区分在实践中经常被混淆。企业常以「不满10万人，免予申报」为由，既不告知也不做影响评估，这属于对豁免范围的误解。正确的理解是：

达到豁免门槛的，可以不申报安全评估、不订立标准合同、不申请认证；但仍须履行告知义务，向个人说明境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及向个人行使权利的方式和程序；仍须取得单独同意；仍须开展个人信息保护影响评估并留存记录。三条程序可免，三项实体义务不可免。

八、常见问题与实务提示

问：向境外提供9万人个人信息，需要办什么手续？

若均为一般个人信息且不属于关键信息基础设施运营者，累计不满10万人，免予申报安全评估、订立标准合同、通过保护认证，但仍须履行告知、单独同意与影响评估义务。

问：一般个人信息与敏感个人信息的人数要相加吗？

不相加。两类信息分别适用各自门槛：一般个人信息为10万人与100万人两级，敏感个人信息为1万人。同一自然人既涉及一般信息又涉及敏感信息的，按敏感个人信息统计更稳妥。

问：自贸区企业是否一律免办出境手续？

不是。只有落入本自贸区已批准并备案的负面清单之外的数据，才可以免予三项程序；清单内的数据仍须按国家规定办理。负面清单出台前，按国家统一规定执行。

问：不确定是否属于重要数据，怎么办？

先检索本行业、本地区已公开发布的重要数据目录；未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报安全评估（第二条）。但应留存检索与评估记录，并在目录更新后重新判断。

问：评估结果有效期多久？可以延长吗？

三年，自评估结果出具之日起计算。需要继续开展且未发生重新申报情形的，可以在届满前60个工作日内提出延长申请，经批准可以延长三年（第九条）。

问：免予申报后就可以直接传输了吗？

不可以。免予的是三项出境管理程序，告知、单独同意、个人信息保护影响评估等实体义务仍然适用（第十条），并应当采取技术措施保障出境安全、发生安全事件及时报告（第十一条）。

律师提示：数据出境合规的实务顺序是「先分类、再计数、后选路径」：先确认是否涉及重要数据与敏感个人信息，再按自然人去重统计当年累计人数，最后对照门槛选择安全评估、标准合同或者认证。三步中任何一步判断错误，都会导致后续程序走错方向。建议企业建立一张年度数据出境台账，按季度更新人数与数据类型，避免在申报时临时拼凑。

法条与依据核验：《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，2024年3月22日公布并施行）第二条（重要数据识别与申报）、第三条（不含个人信息或重要数据的业务数据豁免）、第四条（过境数据豁免）、第五条（合同必需、跨境人力资源管理、紧急情况、不满10万人四类豁免及重要数据除外）、第六条（自由贸易试验区负面清单）、第七条（应当申报安全评估的两类情形）、第八条（标准合同与保护认证的适用区间）、第九条（评估结果三年有效期与延长）、第十条（告知、单独同意、影响评估义务）、第十一条（数据安全保护与事件报告）、第十三条（与《数据出境安全评估办法》《个人信息出境标准合同办法》的衔接）；《中华人民共和国个人信息保护法》第三十八条、第三十九条、第五十五条。特别说明：数量计算口径（自当年1月1日起、以自然人为单位去重、特定情形不计入）来自国家互联网信息办公室就该规定所作的答记者问，属监管解释而非条文本身；各自贸区负面清单的批准与备案进度不同，适用前应核对本区已公布的清单文本。本文条文序号依官方公布文本标注，请以国家网信办、中国政府网公布文本为准。