促进和规范数据跨境流动规定

建立出境链路清单并逐条分流：属第七条情形的（CIIO 向境外提供个人信息或重要数据；非 CIIO 向境外提供重要数据，或自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或 1 万人以上敏感个人信息）必须申报安全评估；属第八条区间的（非 CIIO 自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或不满 1 万人敏感个人信息）应当订立标准合同或通过个人信息保护认证。数量统计口径为「自当年 1 月 1 日起累计」，需要按月滚动统计而非按次判断。

触发条件

所有向境外提供数据的企业。用户增长快的 C 端 AI 产品尤其需要提前设监控点，避免年中跨过 100 万人门槛却仍在用标准合同。

做完之后应留存的证据

• · 数据出境链路清单（业务场景、接收方、数据种类、是否含敏感个人信息、是否含重要数据）
• · 累计出境人数的月度滚动统计表与统计口径说明
• · 每条链路的路径分流结论（评估 / 标准合同 / 认证 / 豁免）及依据条款
• · 门槛临近预警机制说明与预警记录

首次达标投入估算：10–25 人日（估算，非承诺）

援引第三条（国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生、不含个人信息或重要数据的数据）、第四条（境外收集产生的个人信息传输至境内处理后向境外提供，处理过程未引入境内个人信息或重要数据）或第五条四类情形之一（第（一）项个人作为一方当事人的合同、第（二）项跨境人力资源管理、第（三）项紧急情况下保护自然人生命健康和财产安全、第（四）项非 CIIO 自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息且不含敏感个人信息）的，应当在决策时形成书面论证，说明所依据的项号、事实基础与边界条件。豁免是自我判断而非报批，一旦被监管质疑，举证责任在企业。

触发条件

「境内研发、海外运营」架构的企业（第四条）、跨境电商与跨境支付（第五条第一项）、有海外子公司需要报送员工数据的集团（第五条第二项）、以及出境量低于 10 万人的早期出海企业（第五条第四项）。

做完之后应留存的证据

• · 豁免适用论证书（逐场景写明条款项号、事实基础、边界条件与复核周期）
• · 证明「不含个人信息或重要数据」的数据字段清单与技术核验记录
• · 援引第四条的，境外数据来源证明与「未引入境内个人信息或重要数据」的处理链路说明
• · 援引第五条第二项的，依法制定的劳动规章制度与依法签订的集体合同
• · 豁免前提发生变化时的重新判定记录

首次达标投入估算：5–15 人日（估算，非承诺）

数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。这条规则把「是否重要数据」的最终认定权交给主管部门，但企业仍须完成识别动作并留痕；一旦被告知或公开发布列入目录，相关数据出境即无条件进入安全评估路径（《网络数据安全管理条例》第三十七条）。

触发条件

具身智能、自动驾驶、工业与能源场景的 AI 企业，其采集的高精地图、路侧与厂区环境数据、设备运行参数是行业重要数据目录的高频候选。

做完之后应留存的证据

• · 重要数据识别工作记录（识别方法、评审人、结论日期）
• · 所属行业、所在地区重要数据目录的检索与跟踪记录
• · 收到主管部门告知或公开发布通知的归档件（如有）
• · 一旦被认定后的出境路径切换预案

首次达标投入估算：5–15 人日（估算，非承诺）

数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。这三项义务独立于门槛分流：即便某条链路依第三条至第六条获得豁免，只要出境的是个人信息，PIPL 第三十九条的单独同意与第五十五条的影响评估仍须履行（除非存在同意豁免的其他法定情形）。同时还须履行数据安全保护义务，发生或可能发生数据安全事件的，采取补救措施并及时向省级以上网信部门和其他有关主管部门报告。

触发条件

所有出境个人信息的企业，包括援引豁免的企业。这是实务中最常见的误解：豁免免的是评估/合同/认证这一道手续，不免告知同意与影响评估。

做完之后应留存的证据

• · 出境专项告知文本与展示留证
• · 出境单独同意日志（与一般同意分开记录）
• · 个人信息保护影响评估报告及三年留存归档
• · 数据出境安全事件的报告记录与省级以上网信部门回执

首次达标投入估算：8–20 人日（估算，非承诺）

自由贸易试验区可以在国家数据分类分级保护制度框架下，自行制定区内需要纳入数据出境安全评估、标准合同、认证管理范围的数据清单（负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自贸试验区内数据处理者向境外提供负面清单外的数据，可以免予申报评估、订立标准合同、通过认证。企业在选址与主体架构设计时应把这一制度纳入考量，并核实目标自贸区是否已发布清单及清单覆盖的行业。

触发条件

考虑在自贸试验区设立数据处理主体或研发中心的出海企业；不同自贸区的清单覆盖行业与数据类别差异较大，需逐个核实。

做完之后应留存的证据

• · 目标自贸试验区负面清单文本及其批准与备案情况说明
• · 本企业数据与负面清单的逐项比对结论
• · 区内主体的注册与实际运营证明（证明数据处理确实发生在区内）
• · 清单更新的跟踪机制与复核记录

首次达标投入估算：5–15 人日（估算，非承诺）