个人信息出境认证办法
国家互联网信息办公室、国家市场监督管理总局 · 国家互联网信息办公室令第20号
把《个人信息保护法》第三十八条第一款第二项的「个人信息保护认证」落成一套完整制度：由依法取得个人信息保护认证资质的专业认证机构，对个人信息处理者向境外提供个人信息等处理活动是否符合法律、行政法规、部门规章、标准与技术规范作合格评定，符合要求的出具认证证书。认证标准与技术规范由国家网信部门会同国家数据管理部门等制定，认证规则与统一证书标志由国家市场监督管理部门会同国家网信部门制定。认证机构须在取得资质后 10 个工作日内向国家网信部门备案。
适用区间与标准合同相同：非关键信息基础设施运营者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或不满 1 万人敏感个人信息的，可以选择认证替代标准合同。对以下三类中国 AI 企业价值最高：（1）集团内多主体、多流向的出境场景——一次认证覆盖一组关联传输，胜过逐对签署标准合同；（2）需要向境外企业客户证明数据治理能力的 B2B 服务商，认证证书可直接进入客户尽调包；（3）出境流向频繁变动、逐次备案成本过高的平台型业务。
重点行业：通用、企业软件 SaaS、大模型 / 生成式 AI、AI 智能体
2025-07-21
国家网信办 2025 年第 17 次室务会会议审议通过，并经国家市场监督管理总局同意
2026-01-01
办法施行，个人信息保护认证成为规则完备的第三条出境路径
适用条件（第五条）、申请前的告知与单独同意及影响评估（第六条）、向具备资质的专业认证机构申请（第七条）、认证机构 5 个工作日内向全国认证认可信息公共服务平台报送证书信息（第九条）、以及出境情况与认证范围不一致时暂停直至撤销证书（第十条）开始适用。第十八条：施行前制定的关于个人信息出境认证的相关规定与本办法不一致的，按本办法执行。
每条都写明触发条件、需要留存的证据与条款出处
按第五条确认同时符合适用情形后，明确界定申请认证的出境范围：涉及的业务场景、数据种类与字段、境内外主体、传输方向与频次、境外接收方所在国家或地区。认证范围一旦确定即成为后续合规的红线——第十条规定出境情况与认证范围不一致的，认证机构应当暂停直至撤销证书，因此范围既不能画得过窄导致业务受限，也不能画得过宽而无法举证。
首次达标投入估算：8–20 人日（估算，非承诺）
在申请认证向境外提供个人信息前，按法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。影响评估的重点内容由第六条列明，并与 PIPL 第三十九条的出境单独同意、第五十五条与第五十六条的评估要求相衔接。认证机构会把这套材料作为合格评定的输入，材料不完整会直接导致认证不通过。
首次达标投入估算：10–25 人日（估算，非承诺）
向依法取得个人信息保护认证资质的专业认证机构提出申请，由其按认证基本规范与个人信息保护认证规则开展认证；符合要求的及时出具认证证书。证书签发或状态变化后 5 个工作日内，认证机构须向全国认证认可信息公共服务平台报送证书编号、获证处理者名称、认证范围与状态变化信息，因此证书状态是公开可查的。获证后须持续保持出境情况与认证范围一致，并接受市场监管总局与国家网信部门的监督、抽查与评价。
首次达标投入估算：15–40 人日（估算，非承诺）
第十七条：违反本办法规定的，依据《个人信息保护法》《网络数据安全管理条例》《认证认可条例》等法律法规处理；构成犯罪的依法追究刑事责任。第十条另设行业性后果：获证个人信息处理者出境情况与认证范围不一致等不再符合认证要求的，专业认证机构应当暂停其使用直至撤销认证证书。第十六条：省级以上网信部门发现较大风险或发生个人信息安全事件的，可以约谈获证处理者并要求整改。
办法第四条规定认证相关标准、技术规范由国家网信部门会同国家数据管理部门等制定，认证规则与统一证书标志由国家市场监督管理部门会同国家网信部门制定；本轮未取得这些配套标准与认证规则的文本，因此无法给出认证的具体技术要求、审核周期与费用区间，effortDaysRange 为按同类合格评定项目的经验估算。落地前应向拟选定的认证机构确认现行认证规则版本与审核范围要求。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。