数据出境安全评估办法
国家互联网信息办公室 · 国家互联网信息办公室令第11号
数据出境三条路径中门槛最高、周期最长的一条：由数据处理者通过所在地省级网信部门向国家网信部门申报，材料包括申报书、数据出境风险自评估报告、与境外接收方拟订立的法律文件。省级网信部门自收到申报材料之日起 5 个工作日内完成完备性查验（第七条）；国家网信部门受理后发出书面受理通知书，自该通知书发出之日起 45 个工作日内完成评估，情况复杂或需补正的可适当延长（第十二条）。第九条列出法律文件至少应约定的六项内容。评估结果有效期经令第16号调整为 3 年。
三种动作强制走本路径：（1）被认定为关键信息基础设施运营者后，向境外提供任何个人信息或重要数据——例如为能源、交通、金融客户驻场部署并回传运行数据；（2）向境外提供重要数据，例如把高精地图、厂区点云、路侧感知数据传给境外研发中心；（3）非 CIIO 但自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或 1 万人以上敏感个人信息——例如面向中国用户的 App 把用户画像与人脸特征同步到境外总部。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、智能驾驶、具身智能与机器人
2022-09-01
办法施行
自评估、申报、法律文件必备条款、45 个工作日评估时限、有效期与重新申报情形开始适用；施行前已开展的出境活动须在 6 个月内完成整改。
2024-03-22
《促进和规范数据跨境流动规定》施行，覆盖本办法的门槛与有效期
申报门槛改为：关键信息基础设施运营者向境外提供个人信息或重要数据；非 CIIO 自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或 1 万人以上敏感个人信息；以及提供重要数据。评估结果有效期由 2 年改为 3 年，并可在届满前 60 个工作日内申请延长 3 年。
每条都写明触发条件、需要留存的证据与条款出处
申报前开展自评估，重点评估六项：出境与境外接收方处理数据的目的、范围、方式的合法性正当性必要性；出境数据的规模、范围、种类、敏感程度及可能带来的风险；境外接收方承诺的责任义务及其管理与技术措施、能力能否保障安全；出境中和出境后被篡改、破坏、泄露、丢失、转移或非法获取利用的风险以及个人信息权益维护渠道是否通畅；拟订立的法律文件是否充分约定数据安全保护责任义务；以及其他可能影响出境安全的事项。
首次达标投入估算：15–40 人日（估算，非承诺）
提交申报书、数据出境风险自评估报告、与境外接收方拟订立的法律文件及安全评估工作需要的其他材料（第六条）。省级网信部门自收到申报材料之日起 5 个工作日内完成完备性查验，材料齐全的报送国家网信部门，不齐全的退回并一次性告知需补充的材料（第七条）。国家网信部门受理后发出书面受理通知书，自该通知书发出之日起 45 个工作日内完成评估，情况复杂或需要补充、更正材料的可适当延长并告知（第十二条）。对评估结果有异议的，可在收到评估结果 15 个工作日内申请复评，复评结果为最终结论（第十三条）。办法本身未规定「收到材料后几个工作日内决定是否受理」，受理环节的具体时限见国家网信办发布的《数据出境安全评估申报指南》，本轮未取得其正文，故不在此写具体日数。
首次达标投入估算：10–30 人日（估算，非承诺）
法律文件至少约定：出境的目的、方式和数据范围，境外接收方处理数据的用途与方式；数据在境外的保存地点与期限，以及达到保存期限、完成约定目的或文件终止后的处理措施；对境外接收方再转移给其他组织、个人的约束性要求；境外接收方实际控制权或经营范围发生实质性变化、所在国家地区数据安全政策法规与网络安全环境发生变化及其他不可抗力导致难以保障数据安全时应采取的安全措施；违约的补救措施、违约责任与争议解决方式；以及数据遭篡改、破坏、泄露、丢失、转移或被非法获取利用时的应急处置要求和保障个人维护权益的途径方式。
首次达标投入估算：8–20 人日（估算，非承诺）
评估结果有效期为 3 年（《促进和规范数据跨境流动规定》第九条覆盖原办法的 2 年）。有效期届满需继续出境且未发生重新申报情形的，可在届满前 60 个工作日内通过省级网信部门申请延长，经批准可延长 3 年。有效期内出现以下情形须重新申报：出境目的、方式、范围、种类或境外接收方处理用途、方式发生变化影响出境数据安全，或延长境外保存期限；境外接收方所在国家地区数据安全政策法规与网络安全环境变化、发生不可抗力、数据处理者或接收方实际控制权变化、法律文件变更等影响出境数据安全；以及其他影响出境数据安全的情形。
首次达标投入估算：5–15 人日（估算，非承诺）
第十八条：违反本办法规定的，依据《网络安全法》《数据安全法》《个人信息保护法》等法律法规处理；构成犯罪的依法追究刑事责任。实务上对应《数据安全法》第四十六条（违规向境外提供重要数据，十万元以上一百万元以下，情节严重一百万元以上一千万元以下）与《个人信息保护法》第六十六条（情节严重可至五千万元或上一年度营业额百分之五）。第十七条另设：已通过评估的出境活动不再符合管理要求的，国家网信部门可书面通知终止出境活动。
本办法第四条的原始申报门槛（含「处理 100 万人以上个人信息的数据处理者向境外提供个人信息」「自上年 1 月 1 日起累计向境外提供 10 万人个人信息或 1 万人敏感个人信息」）与第十四条的 2 年有效期，已被 2024 年《促进和规范数据跨境流动规定》第七条、第九条覆盖，判断门槛时应以令第16号为准（令第16号第十三条明示不一致时适用该规定）。另有一处时限本轮未能落到一手文本：办法正文只规定省级 5 个工作日完备性查验（第七条）与自书面受理通知书之日起 45 个工作日完成评估（第十二条），并未规定国家网信部门在收到材料后多少个工作日内决定是否受理；实务中广泛引用的「7 个工作日内决定受理」出自国家网信办《数据出境安全评估申报指南》，该指南正文本轮未取得（cac.gov.cn 仅可见发布公告页，指南本体为附件），因此本条目不写该日数，排期时应向属地网信部门确认。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。