出海合规专题 · 第 5 篇
数据出境合规：跨境数据传输的 3 条合法路径（出海企业必看）
发布：2026-10-14 · 适用对象：出海企业法务/合规负责人、IT 与数据安全岗、跨境电商/海外业务负责人
"业务可以慢一步，数据出境不能裸奔。" 只要你的用户、员工、或运营数据要从中国传到境外，就落入了数据出境监管。中国现行制度下，合法出境只有 3 条法定路径——安全评估、标准合同（SCC）、个人信息保护认证——外加一批免办情形。选错路径、漏做评估，后果是千万级罚款（携程 2026-06 已被罚 1000 万）。本文用 2026 年最新法规与真实案例，拆解三条路径的适用边界、欧美侧的对应要求，并给出一张可直接照抄的路径选择决策表。
数据来源：国家网信办《数据出境安全管理政策法规问答（2026年1月）》、CAC《促进和规范数据跨境流动规定》（2024-03-22 施行）、上海市网信办 2026-06 携程处罚通报、《个人信息出境认证办法》（2026-01-01 施行）、工信部等八部门《汽车数据出境安全指引（2026版）》、欧盟委员会 SCC Decision (EU) 2021/914、EU-US 数据隐私框架（2023-07-10 生效）、Schrems II（C-311/18）
一、为什么数据出境是硬约束：不是技术题，是合规红线
出海业务天然伴随数据跨境：海外子公司要调境内用户数据、海外 SaaS/AI 平台要碰员工信息、跨境电商要同步订单与收货人信息。这些都不是"传个文件"那么简单，而是触发《网络安全法》《数据安全法》《个人信息保护法》（PIPL）三法叠加的监管义务。
1000 万元携程 2026-06-13 因未落实出境安全评估、违法出境个人信息被上海市网信办处罚金额
约 10%截至 2025-12 国家网信办安全评估不通过率（323 个项目中 32 个不通过）
-60% / -50%《促进和规范数据跨境流动规定》实施一年，评估月均受理↓60%、标准合同月均备案↓50%
3 条路径安全评估 / 标准合同（SCC）/ 认证，外加免办情形
真实案例携程千万罚单：业务狂奔，合规掉队
2026-06-13，上海市网信办通报：上海携程商务有限公司未落实数据出境安全评估要求、违法出境个人信息，依据《个人信息保护法》罚款 1000 万元并责令限期改正。通报明确点出「情节严重」。直接背景是其国际 OTA 平台高速增长——2025 年国际预订同比 +60%、贡献 40% 总收入，跨境机票、境外酒店、海外供应商结算、国际客服与风控模型训练等环节持续向境外主体/境外云传输数据，但出境安全评估与合规审计未同步跟上。这给所有中小出海企业一个清晰信号：业务出海越快，数据出境合规越不能滞后。
来源：上海市网信办 2026-06-13 通报、中国网/澎湃新闻 2026-06-17 报道
二、中国数据出境的 3 条法定路径 + 免办情形
根据《促进和规范数据跨境流动规定》《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息出境认证办法》，非 CIIO（关键信息基础设施运营者）企业的个人信息出境，按"量级"对应不同路径。下表是压缩后的速查表。
| 路径 | 适用门槛（当年 1/1 起累计，按自然人去重） | 办理周期 | 适用场景 |
|---|
① 安全评估
（CAC） | CIIO 出境任何个人信息/重要数据；或非 CIIO 出境重要数据、或 >100 万人非敏感个人信息、或 >1 万人敏感个人信息 | 4–6 个月以上 | 大型平台、含重要数据、敏感数据量大、集团级跨境 |
② 标准合同
（SCC） | 非 CIIO，10 万–100 万人非敏感个人信息，或不满 1 万人敏感个人信息 | 合同生效后 10 个工作日内备案（准备期数周） | 中型跨境业务、单一境外接收方、SaaS/AI 平台 |
③ 认证
（2026/01/01 新增） | 同标准合同阈值 | 约 3 个月起，证书 3 年有效 | 集团内多主体、高频跨境、长期合规 |
| 免办 | 不满 10 万人非敏感且不满 1 万敏感；或符合《规定》第三–六条特定情形 | — | 小额业务、履行合同必需、人力资源管理等 |
2.1 数量怎么算？三个关键规则
- 单位是"人"不是"条"：《促进和规范数据跨境流动规定》明确 10 万/100 万/1 万的计算单位为"自然人（去重）"，不是人次或条数；按单一数据处理者为统计口径。
- 禁止数量拆分：不得按业务线或其他方式拆分规避安全评估，《个人信息出境标准合同办法》第 4 条、《个人信息出境认证办法》第 5 条均明令禁止。
- 动态升级：已签标准合同或已认证，但当年累计突破 100 万人（非敏感）或 1 万人（敏感）的，必须转报安全评估，且要把已出境部分纳入申报范围。
2.2 免办情形：别一上来就走重路径
《促进和规范数据跨境流动规定》第三–六条列出一批免予申报评估/订立标准合同/通过认证的情形，典型包括：
- 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销中收集产生的数据向境外提供，且不含个人信息或重要数据；
- 境外收集产生的个人信息传至境内处理后向境外提供，处理中未引入境内个人信息或重要数据；
- 为订立、履行个人作为一方当事人的合同确需提供个人信息（如跨境订单履约）；
- 跨境人力资源管理（依法规章制度/集体合同）确需提供员工个人信息；
- 紧急情况下为保护自然人生命健康、财产安全确需提供；
- 非 CIIO 当年累计向境外提供不满 10 万人非敏感个人信息。
自贸区负面清单：更进一步的便利。《促进和规范数据跨境流动规定》设立自贸区数据出境负面清单制度——清单外数据出境免予三条路径。天津、北京、海南、上海、浙江、重庆、广西等地已发布清单；上海于 2026-04-24 将清单扩至全市（自贸区+临港+国家服务业扩大开放综合试点），生物医药药物警戒场景的敏感个人信息阈值从 1 万提升至 10 万。北京 2026-08-06 落地首例银行业——韩国农协银行北京分行成为中国首家通过负面清单实现数据合规出境的银行机构。但注意：清单内数据仍须走三条路径之一，且告知同意、PIPIA、技术措施等基础义务不豁免。
三、欧美侧对应要求：出海企业还要看"目的地法律"
数据出境是双向的：中国法管"出得去"，欧美法管"进得来"。对绝大多数出海企业，欧盟是绕不开的目的地，而 GDPR 对跨境传输有独立机制。
3.1 GDPR 三种跨境传输机制
| 机制 | 适用 | 要点 |
|---|
充分性决定
（Adequacy） | 传输至欧盟认定的"充分保护"国家/地区 | 含日本、英国（2025-12 续期）、瑞士、韩国、加拿大（商业组织）、新西兰、阿根廷、巴西等；美国仅限通过 EU-US 数据隐私框架（DPF）自认证的企业 |
标准合同条款
（SCC） | 无充分性决定时的默认工具 | 2021 版 Decision (EU) 2021/914，四模块（C2C / C2P / P2P / P2C），旧版已失效；须做传输影响评估（TIA） |
约束性企业规则
（BCR） | 跨国集团内部 | 审批 12–18 个月，仅适合大型跨国企业 |
⚠️ Schrems II 改变了游戏规则。欧盟法院 C-311/18 判决（2020-07-16）推翻了 Privacy Shield，明确 SCC 仍有效但"条件性"——出口方必须评估目的地法律是否会实质削弱 SCC 保护（典型如美国 FISA 702、EO 12333 监控风险），必要时叠加补充措施（端到端加密且密钥留 EEA、合同告知条款、组织访问控制）。未做 TIA 直接传，等于非法传输。
3.2 EU-US 数据隐私框架（DPF）：美国接收方的"快速通道"
2023-07-10 欧盟通过 DPF 充分性决定，取代被推翻的 Privacy Shield。美国企业到 dataprivacyframework.gov 自认证、承诺 DPF 原则、每年续证即可凭 DPF 接收欧盟数据，无需再签 SCC。截至 2026 年中，约 2700 家美国组织完成认证。注意：DPF 仍面临民间组织法律挑战，实操上建议保留 SCC 作为 fallback。
🔴 反向适用：中国公司处理欧盟数据也要守 GDPR。GDPR 第 3 条有域外效力——只要向欧盟境内数据主体提供商品/服务或监控其在欧盟行为，处理活动即落入 GDPR，与中国主体是否在欧盟无关。把欧盟用户数据传回中国处理，必须依托合法机制（DPF 仅覆盖已认证美国接收方；对中国主体须签 SCC + TIA，或走充分性路径）。GDPR 罚款上限为全球营业额 4% 或 2000 万欧元，二者较高者。
四、怎么选路径：一张决策表照抄
选路径的本质是"先算量、再看目的地、最后定工具"。下面这张表覆盖绝大多数出海企业场景。
| 你的场景 | 首选路径 | 关键动作 |
|---|
| 当年出境 <10 万人非敏感且 <1 万敏感 | 免办（或《规定》第三–六条情形） | 仍做 PIPIA、留日志、签数据处理协议 |
| 10 万–100 万人非敏感 / 不满 1 万敏感，单一接收方 | 标准合同（SCC） | 用网信办模板、10 工作日内省级备案 |
| 同上，但集团内多主体、高频 | 认证 | 登录 data.isccc.gov.cn 申请，建体系 |
| >100 万人 / >1 万敏感 / 重要数据 / CIIO | 安全评估 | 省级初核 → 国家网信办，4–6 月+ |
| 在自贸区/上海全市清单外 | 负面清单免办 | 确认场景字段在清单外、留痕 |
| 向欧盟传数据，接收方已 DPF 认证 | DPF | 核验 active 状态、保留证明 |
| 向欧盟传数据，接收方未认证 | 2021 版 SCC + TIA | 选对模块、补加密等补充措施 |
4.1 选路径前的第一步：数据资产映射
无论走哪条路，数据映射（Data Mapping）是共同前置项。建议按这四步做：
- 画链路：列清每一类数据从收集、存储、处理到传出的完整流向，标出"出哪国、给谁、为什么"。
- 分级别：按国标做数据分类分级，识别"重要数据"与"个人信息"，敏感个人信息单独标注。
- 算数量：按自然人去重统计当年累计出境量，对照 10 万/100 万/1 万门槛定路径。
- 做 PIPIA：个人信息保护影响评估覆盖合法性基础、风险、境外接收方保障能力、境外法律环境影响等，留存书面记录。
五、数据出境合规自查清单（签约/上线前必过 12 项）
数据出境 · 12 项自查清单
- □ 完成数据资产映射：画出全部跨境数据链路（出哪国/给谁/用途）
- □ 数据分类分级完成，重要数据、敏感个人信息已单独标注
- □ 按自然人去重统计当年累计出境量，对照 10 万/100 万/1 万门槛选定路径
- □ 确认未用拆分业务线方式规避安全评估（合规红线）
- □ 若走安全评估：已做自评估、备齐材料、经省级初核报国家网信办
- □ 若走标准合同：用网信办模板、核心条款未删改、生效后 10 工作日内省级备案
- □ 若走认证：已在 data.isccc.gov.cn 申请、体系通过、证书在 3 年有效期内
- □ 涉及自贸区/上海清单：确认场景字段在负面清单外并已留痕
- □ 向个人告知出境事项并取得单独同意（PIPL 第 39 条）
- □ 完成 PIPIA 并留存书面记录；约定境外接收方数据保护责任
- □ 向欧盟传数据：接收方 DPF active 状态核验，或已签 2021 版 SCC + 完成 TIA
- □ 建立出境日志与年度报送机制，场景/接收方/数据量变化时重新评估
六、Lexwise 如何帮你做数据出境合规
数据出境的难点在于"量级一变、路径就变"，且中国法、欧盟法两套规则叠加。Lexwise 把路径判断、条款审查、义务追踪做成可标准化的能力，让中小出海企业不必依赖个别资深律师的经验。
① 出境路径智能判断
上传一份跨境数据处理场景（或合同/隐私政策），Lexwise 会根据数据类型、累计量级、是否 CIIO、是否在自贸区清单内，自动判定应走安全评估 / 标准合同 / 认证 / 免办，并提示对应的备案或申报动作与时限——避免"该评估却裸奔"的千万级风险。
② 出境条款与 PIPIA 辅助
针对与海外 SaaS、海外子公司、海外客户的协议，Lexwise 会审查其中的数据出境条款（接收方信息、再转移限制、保存期限、违约责任），并对照 PIPL 第 38–40 条、第 55–56 条提示 PIPIA 必做项与告知同意要点，输出可直接补充到合同里的条款建议。
③ 欧盟 GDPR 传输机制对照
面向欧盟业务的合同，Lexwise 会标注是否落入 GDPR 域外效力（第 3 条），提示 2021 版 SCC 模块选择、TIA 必做项，以及接收方 DPF 认证状态的核验要求，帮你在"中国出境合规"与"欧盟入境合规"之间一次对齐。
④ 义务日历与变更预警
Lexwise 将安全评估结果 3 年有效期、认证 3 年有效期、标准合同备案、DPF 年审等关键节点纳入义务日历，并在出境量级临近阈值、接收方/场景变化时主动预警，防止"备案后高枕无忧"导致动态违规。
七、常见问题
- 什么是「数据出境」？哪些情形算向境外提供个人信息？
- 数据出境是指在中国境内运营中收集和产生的个人信息、重要数据，向境外接收方提供。典型场景包括：把境内用户/员工个人信息传到海外母公司、海外子公司、海外 SaaS 供应商（如海外云、CRM、AI 训练平台）、或在境外部署可直接访问境内数据的系统。只要数据接收方位于境外，无论是否物理移动，都落入数据出境监管。
- 我公司每年出境多少条个人信息就需要办手续？门槛怎么算？
- 数量门槛按「自然人（去重）」计算，不是条数或人次。非 CIIO 企业：当年 1 月 1 日起累计出境不满 10 万人（非敏感）且不满 1 万敏感个人信息 → 多属免办；10 万–100 万人（非敏感）或不满 1 万敏感 → 走标准合同备案或认证；超过 100 万人（非敏感）或超过 1 万敏感 → 必须申报安全评估。注意禁止数量拆分规避，统计以单一数据处理者为口径，不按业务线拆分、也不与集团内其他主体合并。
- 标准合同（SCC）和认证到底有什么区别？哪个更适合中小企业？
- 二者适用门槛完全相同（10 万–100 万非敏感或不满 1 万敏感）。区别在形式与适用面：标准合同是与特定境外接收方签一份网信办模板合同、生效后 10 个工作日内向省级网信部门备案，成本最低、最灵活；认证是对企业整体个人信息保护体系做系统评估（入口 data.isccc.gov.cn），证书有效期 3 年，适合集团内多主体、高频跨境。中小企业首次出境、接收方单一，优先选标准合同；跨国集团、长期多链路，选认证更省事。
- 自贸区数据出境负面清单是什么？能直接免办吗？
- 《促进和规范数据跨境流动规定》设立自贸区负面清单制度：清单外数据出境免予申报安全评估、订立标准合同或通过认证。天津、北京、海南、上海、浙江、重庆、广西等地已发布清单，上海 2026-04-24 已将清单扩至全市。但清单内数据仍须走三条路径之一；且无论是否适用负面清单，企业都仍须履行告知与单独同意、开展个人信息保护影响评估（PIPIA）、约定数据保护责任、采取安全技术措施等基础义务，并留存出境日志。
- 我们公司把欧盟用户数据传到中国处理，要遵守 GDPR 吗？
- 要。GDPR 第 3 条有域外效力：只要向欧盟境内数据主体提供商品/服务，或监控其在欧盟境内行为，相关处理活动就落入 GDPR 适用范围，与中国企业主体在不在欧盟无关。向中国传欧盟个人数据，必须依托合法传输机制——要么接收方属「充分性决定」覆盖国家（美国仅限通过 EU-US 数据隐私框架 DPF 自认证的企业），要么签 2021 版标准合同条款（SCC）并做传输影响评估（TIA），否则构成非法跨境传输。
- 欧盟的 SCC 和美国 DPF 我该怎么选？
- 若你的美国接收方已在 EU-US 数据隐私框架（DPF）官网 self-certification 名单且状态 active（截至 2026 年中约 2700 家美国组织认证），可直接凭 DPF 传输，无需再签 SCC。若接收方未认证，则必须签 2021 版 SCC（Decision (EU) 2021/914，四个模块按角色选）并做 TIA，必要时叠加端到端加密等补充措施。注意 2021 版 SCC 取代了 2001/2010 旧版，旧版已失效。
- 携程被罚 1000 万是什么情况？对我们中小出海企业有什么警示？
- 2026-06-13 上海市网信办通报，上海携程商务有限公司「未落实数据出境安全评估要求、违法出境个人信息」，依据《个人信息保护法》罚款 1000 万元并责令限期改正，通报明确点出「情节严重」。直接诱因是其国际 OTA 平台高速增长（2025 年国际预订同比 +60%、贡献 40% 总收入）带来的强跨境数据协同需求，却未对出境数据做安全评估与合规审计。警示：业务出海越快，数据出境合规越不能滞后；一旦达到安全评估门槛仍「裸奔」出境，单笔罚款即可达千万级。
- 走完一条数据出境合规路径大概要多久？
- 标准合同（SCC）最快：合同用网信办模板、生效后 10 个工作日内备案即可，准备期通常数周；认证约 3 个月起、证书 3 年有效；安全评估周期最长，一般 4–6 个月以上（含自评估、材料申报、省级初核、国家网信办评估）。无论哪条路径，前置的个人信息保护影响评估（PIPIA）与数据资产映射是共同耗时项，建议提前与业务上线节奏同步规划。
📚 相关文章
下一篇预告：《海外公司架构：红筹/香港/新加坡怎么选》——出海第一步往往是搭架构。下一篇拆解香港、新加坡、BVI 的税负/保密/合规差异，红筹架构的适用场景与成本，以及中小企业"先香港/新加坡控股"的轻量起步法，帮你把数据出境、税务、融资的合规底座一次想清楚。
数据出境路径拿不准？让 Lexwise 帮你先做一轮映射
上传你的跨境数据处理场景或一份涉外协议，Lexwise 会按数据类型、累计量级、目的地法规（PIPL + GDPR）自动判定应走安全评估 / 标准合同 / 认证 / 免办，并输出路径建议与义务日历，30 分钟即可拿到初稿。
预约免费 PoC