数据出境风险自评估报告（按网信办申报指南模板）

章节结构（10）

1. 1. 前置一、门槛判定：本条链路该走哪条路径（申报指南"一、适用范围"）

   先确定是否真的需要申报安全评估，再决定写不写这份报告。**门槛必须按现行的《促进和规范数据跨境流动规定》（网信办令第 16 号，2024-03-22 公布施行）判断，不要照搬 2022 年《数据出境安全评估申报指南（第一版）》"适用范围"一节所列的旧门槛**——令第 16 号第十三条明示：令第 11 号《数据出境安全评估办法》等规定与本规定不一致的，适用本规定。现行申报门槛为令第 16 号第七条两项：（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者**自当年 1 月 1 日起**累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。第八条：关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或者不满 1 万人敏感个人信息的，应当订立个人信息出境标准合同或者通过个人信息保护认证。第三条至第六条另有豁免（无个人信息与重要数据的国际贸易等活动数据、境外收集后回流再出境、订立履行个人为一方当事人的合同、跨境人力资源管理、紧急情况、非关基处理者自当年 1 月 1 日起累计不满 10 万人个人信息（不含敏感个人信息），以及自贸区负面清单之外的数据）。另注意第二条：未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报。同时，指南对"数据出境行为"的界定包含两类：将境内运营中收集和产生的数据传输、存储至境外；以及数据存储在境内但境外的机构、组织或者个人可以查询、调取、下载、导出。后一类是最常被漏判的——境外团队通过跳板机访问境内数据库同样构成出境。低于门槛的链路应转入标准合同备案或个人信息保护认证路径；援引《促进和规范数据跨境流动规定》豁免情形的，须留下可核查的书面依据。本节的产出是一张链路—路径对照表，并写明累计口径的起算点与统计方法。

   需要附的证据

   • · 链路—路径对照表（每条出境链路对应申报/备案/认证/豁免）
   • · 累计人数统计方法说明与统计记录（起算点、去重口径、统计系统）
   • · 关键信息基础设施认定情况说明（是否被认定、由哪一部门告知）
   • · 重要数据识别结论与依据（是否被有关部门或地区告知/公开发布目录命中）
   • · 远程访问链路清单（境内存储、境外可查询调取的情形）
   • · 援引豁免情形的书面依据与内部审批

   常见失分点

   • · 只统计"主动传输"的数据量，漏掉境外远程查询、调取、导出的链路，累计人数因此严重低估；
   • · 仍按令第 11 号第四条的旧门槛（100 万人、10 万人/1 万人，"自上年 1 月 1 日起"）判断，而令第 16 号第七条、第八条已改为"自当年 1 月 1 日起"并重排了数量档位；
   • · 把集团内部传输当作内部流转而不计入出境；
   • · 援引豁免但无书面依据，检查时无法自证；
   • · 未识别重要数据即断言"不涉及重要数据"，缺少识别过程记录。

2. 2. 前置二、报告封面与四项说明（申报指南附件 4"说明"）

   附件 4 的模板要求在正文之前给出数据处理者名称并加盖公章、落款年月日，并载明四项说明：数据处理者申报数据出境安全评估时需提供自评估报告；数据处理者须对所提交的自评估报告及附件材料真实性负责；本报告所述自评估活动为本次申报前 3 个月内完成；如有第三方机构参与自评估，须在自评估报告中说明第三方的基本情况及参与评估的情况，并在相关内容页上加盖公章。"申报前 3 个月内完成"是硬性时间窗，也与申报书承诺书中的第四项承诺相呼应（自评估工作为申报之日前 3 个月内完成，且至申报之日未发生重大变化），因此排期时要把自评估完成日与递交日之间的间隔作为一个受控变量，而不是任由材料准备周期拉长。若聘请第三方机构，本节要写清其名称、资质、参与范围（哪几章由其执行）与责任边界。

   需要附的证据

   • · 加盖公章的报告封面与落款日期
   • · 自评估完成日与申报递交日的时间间隔记录（证明在 3 个月内）
   • · 第三方机构的资质文件、委托合同与参与范围说明
   • · 真实性责任的内部签署记录（数据安全负责人、法定代表人）

   常见失分点

   • · 自评估在半年前完成，材料准备拖延导致递交时已超出 3 个月窗口，需要整体重做；
   • · 第三方机构做了大部分工作却未在报告中说明，一旦被问及参与情况会被认为隐瞒；
   • · 公章只盖在封面，第三方参与内容页未盖章；
   • · 自评估完成后业务发生重大变化（新增出境链路、接收方变更）仍按原报告递交。

3. 3. 一、自评估工作简述（附件 4 第一章）

   附件 4 第一章要求说明自评估工作开展情况，包括起止时间、组织情况、实施过程、实施方式等内容。把它写成可核查的项目记录而不是一段套话：起止时间精确到日；组织情况写明牵头部门、参与部门（法务、安全、业务、IT、人力）、评估组成员与其职责、以及数据安全负责人与管理机构的参与方式；实施过程按阶段写（范围界定 → 资产与链路梳理 → 访谈与取证 → 风险分析 → 整改 → 复核 → 结论），每个阶段给出时间与产出物；实施方式说明采用了哪些方法（文档审查、系统核查、人员访谈、技术测试、抽样验证）以及各自的覆盖范围与抽样比例。若有第三方参与，按封面说明的要求在此展开。评审人在本章主要看两点：评估是否真的做过（而非事后补写），以及评估组是否具备覆盖业务、技术与法律的完整能力。

   需要附的证据

   • · 评估工作方案与启动会纪要
   • · 评估组名单与职责分工（含外部专家）
   • · 访谈记录与被访谈人签字
   • · 系统核查与技术测试的原始记录
   • · 抽样方案与抽样覆盖率说明
   • · 阶段性产出物清单与时间戳

   常见失分点

   • · 本章写成三行套话，看不出评估实际投入；
   • · 评估组全部由法务组成，没有技术人员，风险分析的技术部分因此空洞；
   • · 起止时间与其他材料（访谈记录日期、测试报告日期）对不上；
   • · 实施方式只写"文档审查"，没有任何系统核查或技术测试。

4. 4. 二、出境活动整体情况（上）：数据处理者基本情况、业务与信息系统（附件 4 第二章 (一)(二)）

   附件 4 第二章 (一) 要求说明数据处理者基本情况，包括：组织或者个人基本信息；股权结构和实际控制人信息；组织架构信息；数据安全管理机构信息；整体业务与数据情况；境内外投资情况。(二) 要求说明数据出境涉及业务和信息系统情况，包括：数据出境涉及业务的基本情况；数据出境涉及业务的数据资产情况；数据出境涉及业务的信息系统情况；数据出境涉及的数据中心（包含云服务）情况；数据出境链路相关情况。股权结构与实际控制人、境内外投资情况这两项对 AI 企业尤其敏感——存在境外投资人、VIE 架构或境外关联实体的，应当主动、准确披露并说明其对数据访问的影响与相应隔离措施，回避反而会延长审查。信息系统部分要写到能与申报书第 08 项"数据出境链路"对得上：链路提供商、链路数量与带宽、境内外落地数据中心名称及机房物理位置、IP 地址等。

   需要附的证据

   • · 营业执照、统一社会信用代码证件与公司章程
   • · 股权结构图与实际控制人说明（含境外股东穿透）
   • · 组织架构图与数据安全管理机构的设立文件、人员编制
   • · 业务与数据资产清单（分类分级结果）
   • · 信息系统清单与网络拓扑图
   • · 数据中心/云服务合同与机房物理位置证明
   • · 出境链路技术说明（链路提供商、带宽、IP 段）

   常见失分点

   • · 股权结构只写到直接股东，未穿透至实际控制人，境外资本背景被认为刻意隐瞒；
   • · 数据安全管理机构只在纸面存在，无人员编制、无会议记录；
   • · 数据资产清单未做分类分级，后续"拟出境数据情况"无从展开；
   • · 链路描述与申报书第 08 项不一致；
   • · 云服务商的实际机房位置未核实，仅引用销售材料。

5. 5. 三、出境活动整体情况（中）：拟出境数据与安全保障能力（附件 4 第二章 (三)(四)）

   (三) 拟出境数据情况要求说明：数据出境及境外接收方处理数据的目的、范围、方式，及其合法性、正当性、必要性；出境数据的规模、范围、种类、敏感程度；拟出境数据在境内存储的系统平台、数据中心等情况，计划出境后存储的系统平台、数据中心等；数据出境后向境外其他接收方提供的情况。个人信息敏感程度的判定可参照《信息安全技术 个人信息安全规范》国家标准。(四) 数据处理者数据安全保障能力情况要求说明四方面：数据安全管理能力，包括管理组织体系和制度建设情况，全流程管理、分类分级、应急处置、风险评估、个人信息权益保护等制度及落实情况；数据安全技术能力，包括数据收集、存储、使用、加工、传输、提供、公开、删除等全流程所采取的安全技术措施等；数据安全保障措施有效性证明，例如开展的数据安全风险评估、数据安全能力认证、数据安全检查测评、数据安全合规审计、网络安全等级保护测评等情况；遵守数据和网络安全相关法律法规的情况。"有效性证明"是本章的分水岭：只写制度名称而无测评报告、审计结论或认证证书的，会被要求补充材料。

   需要附的证据

   • · 拟出境数据字段级清单（种类、规模、敏感度标注、涉及自然人数量）
   • · 最小必要性论证（为何这些字段必须出境，能否脱敏或聚合）
   • · 境内外存储位置对照表（出境前后）
   • · 再转移情况说明与相应约束条款
   • · 数据安全管理制度汇编与执行记录（培训、演练、审批流水）
   • · 网络安全等级保护测评报告与备案证明
   • · 数据安全合规审计报告、能力认证证书、风险评估报告
   • · 个人信息保护影响评估报告（见 PIPIA 模板）

   常见失分点

   • · "必要性"论证写成业务重要性论证，没有回答"少传这些字段行不行"；
   • · 安全保障能力只列制度目录，没有任何有效性证明材料；
   • · 等级保护测评未做或已过期，而出境系统恰恰是定级对象；
   • · 敏感程度判定无依据，未参照国家标准；
   • · 再转移情况写"无"，但合同中并未禁止境外接收方转委托。

6. 6. 四、出境活动整体情况（下）：境外接收方与法律文件约定（附件 4 第二章 (五)(六)(七)）

   (五) 境外接收方情况要求说明：境外接收方基本情况；境外接收方处理数据的用途、方式等；境外接收方的数据安全保障能力；境外接收方所在国家或地区的网络和数据安全法律法规情况；境外接收方处理数据的全生命周期过程描述。(六) 法律文件约定数据安全保护责任义务的情况，须逐项对应《数据出境安全评估办法》第九条要求法律文件应当明确约定的六项：数据出境的目的、方式和数据范围，境外接收方处理数据的用途、方式等；数据在境外保存地点、期限，以及达到保存期限、完成约定目的或者法律文件终止后出境数据的处理措施；对于境外接收方将出境数据再转移给其他组织、个人的约束性要求；境外接收方在实际控制权或者经营范围发生实质性变化，或者所在国家、地区数据安全保护政策法规和网络安全环境发生变化以及发生其他不可抗力情形导致难以保障数据安全时，应当采取的安全措施；违反法律文件约定的数据安全保护义务的补救措施、违约责任和争议解决方式；出境数据遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等风险时，妥善开展应急处置的要求和保障个人维护其个人信息权益的途径和方式。申报书第 13 项还要求给出这六项条款在法律文件中的页码与条款号，并对相关条款作高亮、线框等显著标识；法律文件以中文版本为准，若仅有非中文版本须同步提交准确的中文译本。(七) 为数据处理者认为需要说明的其他情况。

   需要附的证据

   • · 境外接收方工商登记、股权结构与实际控制人材料
   • · 境外接收方安全能力证明（认证证书、审计报告、问卷应答）
   • · 接收方所在国家或地区网络与数据安全法律的分析（含政府访问框架）
   • · 接收方数据处理全生命周期流程图
   • · 已签署或拟签署的法律文件（中文版本；如为外文须附准确中文译本）
   • · 六项必备约定的页码/条款号对照表与高亮标识版本
   • · 接收方既往数据安全事件记录的尽调结果

   常见失分点

   • · 六项必备约定中的第四项（实际控制权变化、所在国法律环境变化、不可抗力）在多数外文标准合同里没有对应条款，直接套用会缺项；
   • · 只提交英文合同，未同步提交准确中文译本；
   • · 未按申报书第 13 项标注页码与条款号，也未高亮，审查人需自行查找；
   • · 境外接收方所在国法律分析只写"该国有完善的数据保护法"，未涉及政府访问；
   • · 接收方安全能力全部依赖其自我声明，无任何第三方证明。

7. 7. 五、拟出境活动的风险评估情况（附件 4 第三章，对应办法第五条六项）

   附件 4 第三章要求就下列事项逐项说明风险评估情况，重点说明评估发现的问题和风险隐患，以及相应采取的整改措施及整改效果：数据出境和境外接收方处理数据的目的、范围、方式等的合法性、正当性、必要性；出境数据的规模、范围、种类、敏感程度，数据出境可能对国家安全、公共利益、个人或者组织合法权益带来的风险；境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境数据的安全；数据出境中和出境后遭到篡改、破坏、泄露、丢失、转移或者被非法获取、非法利用等的风险，个人信息权益维护的渠道是否通畅等；与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件等，是否充分约定了数据安全保护责任义务；其他可能影响数据出境安全的事项。本章最容易出问题的地方是"只说没有风险"：模板明文要求"重点说明评估发现的问题和风险隐患"，一份通篇无问题、无整改的报告本身就是不合格信号。建议每一项写成"发现的问题 → 风险影响 → 整改措施 → 整改完成情况与验证证据 → 残余风险"五段式，并允许保留少量可接受的残余风险且说明为何可接受。

   需要附的证据

   • · 六项风险评估的逐项分析（含问题、整改、验证、残余风险）
   • · 整改任务台账（责任人、时限、完成证据、验证记录）
   • · 国家安全与公共利益影响的专项分析（重要数据链路必写）
   • · 个人信息权益维护渠道的可用性测试记录（响应时长、可达性）
   • · 合同条款充分性的逐条对照结论
   • · 残余风险接受记录（签署人与理由）

   常见失分点

   • · 六项全部写"经评估不存在风险"，模板明文要求重点说明发现的问题，通篇无问题反而不可信；
   • · 整改措施只写计划，没有完成证据与验证记录；
   • · 个人信息权益维护渠道只写"可通过邮箱联系"，未测试实际可达性与响应时长；
   • · 国家安全与公共利益影响一栏留空或写"不涉及"，未给出判断依据；
   • · 风险分析与第二章事实描述脱节，看不出结论从哪些事实推出。

8. 8. 六、出境活动风险自评估结论（附件 4 第四章）

   附件 4 第四章要求：综合上述风险评估情况和相应整改情况，对拟申报的数据出境活动作出客观的风险自评估结论，充分说明得出自评估结论的理由和论据。"客观"与"充分说明理由和论据"是本章的两个关键词：结论不能只有一句"风险可控，具备出境条件"，而要把支撑该结论的关键事实与论证链条复述出来——哪些风险经整改后降至可接受、哪些残余风险为何可接受、在什么前提条件下结论成立（例如出境数据范围不扩大、接收方不变更、所在国法律环境不发生重大变化）。建议同时写明结论的适用边界：本结论覆盖哪些链路、哪些数据类别、哪一时间区间。最后由数据安全负责人与法定代表人签署，并与申报书承诺书中"自评估工作为申报之日前 3 个月内完成，且至申报之日未发生重大变化"的承诺保持一致。

   需要附的证据

   • · 结论的论证链条（关键事实 → 分析 → 结论）
   • · 结论适用边界声明（链路、数据类别、时间区间、前提条件）
   • · 数据安全负责人与法定代表人的签署页
   • · 与申报书承诺书内容的一致性核对记录
   • · 结论成立前提被打破时的处置安排

   常见失分点

   • · 结论只有一句话，与第三章发现的问题之间没有任何论证衔接；
   • · 结论未写前提条件，后续业务变化后无法判断结论是否仍然成立；
   • · 签署人只有经办人，法定代表人未签；
   • · 结论口径与申报书承诺书不一致（如自评估日期对不上）。

9. 9. 七、申报材料清单与申报流程衔接（申报指南"二、申报方式及流程""三、申报材料"）

   自评估报告只是申报材料之一。申报指南列明应提交的材料为：统一社会信用代码证件影印件；法定代表人身份证件影印件；经办人身份证件影印件；经办人授权委托书（模板见附件 2）；数据出境安全评估申报书（模板见附件 3，含承诺书与申报表两部分）；与境外接收方拟订立的数据出境相关合同或者其他具有法律效力的文件影印件；数据出境风险自评估报告（模板见附件 4）；其他相关证明材料。附件 1 还规定了各项材料的形式要求（影印件加盖公章 / 原件），并要求在提交书面材料的同时通过光盘方式提交相应电子版文件。流程方面：数据处理者通过所在地省级网信办申报，申报方式为送达书面申报材料并附带材料电子版；省级网信办收到后在 5 个工作日内完成完备性查验，通过的上报国家网信办，未通过的退回；国家网信办自收到上报材料之日起 7 个工作日内确定是否受理并书面通知；被告知补充或更正材料的应当及时办理，无正当理由不补正的评估将会终止；情况复杂的会被告知评估预计延长的时间；评估完成后收到评估结果通知书，对结果有异议的可以在收到通知书 15 个工作日内向国家网信办申请复评，复评结果为最终结论。数据处理者对所提交材料的真实性负责，提交虚假材料的按照评估不通过处理，并依法追究相应法律责任。以上材料清单与时限均逐字取自第一版申报指南；其中省级 5 个工作日完备性查验与自受理通知书起 45 个工作日完成评估另有《数据出境安全评估办法》第七条、第十二条作为规章层面的依据，而"国家网信办 7 个工作日内确定是否受理"仅见于指南，属于可能随指南换版调整的事项，排期前请向属地网信部门确认现行版本。

   需要附的证据

   • · 申报材料清单与形式要求核对表（影印件加盖公章/原件/电子版）
   • · 经办人授权委托书（按附件 2 模板，含授权期限，无转委托权）
   • · 申报书承诺书（法定代表人签字、单位盖章）与申报表
   • · 合同六项条款的高亮标识版本与页码对照
   • · 省级网信办送达回执与完备性查验结果
   • · 国家网信办受理通知书与后续补正记录
   • · 评估结果通知书与（如适用）复评申请材料

   常见失分点

   • · 材料形式不合要求（该盖章的未盖、该原件的给了影印件），在完备性查验阶段即被退回；
   • · 经办人授权委托书未写授权期限，或经办人已离职；
   • · 只准备书面材料，未同步准备电子版，递交当日被要求补齐；
   • · 补正通知未及时响应，导致评估被终止后需从头再来；
   • · 把 5 个工作日与 7 个工作日理解为评估总时长，项目排期严重低估。

10. 10. 八、有效期管理、延期与重新申报触发

    通过评估不是终点。本节写明三件事。其一，有效期与延期：记录评估结果通知书的有效期起止日、内部提前提醒的时点（建议在届满前留出足以完成新一轮自评估与申报的时间），以及延期申请的办理路径与所需材料。其二，重新申报触发条件：把《数据出境安全评估办法》与《促进和规范数据跨境流动规定》项下会导致原评估结论不再成立的情形写成可监测清单——出境数据的目的、方式、范围、种类、敏感程度发生变化；出境数据在境外的保存期限延长；境外接收方所在国家或地区数据安全保护政策法规和网络安全环境发生变化；境外接收方实际控制权发生变化；与境外接收方的法律文件变更；以及其他影响出境数据安全的情形。每一项指定监测责任人与监测方式（合同变更评审、业务需求评审、法规监测、供应商年度复评）。其三，出境台账的持续维护：出境链路、数据量、接收方、法律文件版本的变更历史，使下一次自评估可以在既有台账上增量完成，而不是每次从零开始。

    需要附的证据

    • · 评估结果通知书与有效期台账（含内部提醒设置）
    • · 重新申报触发条件清单与监测责任人
    • · 出境台账变更历史（链路、数据量、接收方、法律文件版本）
    • · 延期申请材料与办理记录（如已办理）
    • · 触发条件命中时的内部评审记录与处置结论

    常见失分点

    • · 把有效期届满当作一个提醒事项而非项目，届满前两周才启动，来不及完成新一轮自评估；
    • · 业务侧新增出境字段或新增接收方，未经评审直接上线，原评估结论事实上已失效；
    • · 境外接收方被并购、实际控制权变化未被监测到；
    • · 出境台账无人维护，下一次自评估仍需从零梳理，成本与出错率同时上升。