筛选目标司法管辖
规则提示
- ▸EU 数据：默认 SCC + TIA；若集团内常态化传输，考虑 BCR 一次性投入。
- ▸PIPL：年传输 ≥ 100 万条触发 CAC 安全评估，提前 16 周准备。
- ▸APPI：中国不在白名单，需签同等保护契约 + 取得用户同意。
- ▸UAE：DIFC / ADGM 自由区按其专属法规，本土须遵守联邦 PDPL。
- ▸美国：按州法 (CCPA/CPRA/CT/CO/VA) 差异化签 DPA；行业客户另有 BAA/HIPAA。
- ▸涉及敏感个人信息（医疗 / 生物识别）的，全部机制 lead-time 上浮 30-50%。
欧盟
欧盟充分性认定（GDPR 第 45 条）
- 适用范围
- 欧盟委员会认定某第三国、该国某地域或某部门、或某国际组织具备充分保护水平后，向该目的地传输个人数据无需再另行提供第 46 条保障措施，等同于欧盟境内传输。截至 2026-09-12，委员会官网列明的认定对象包括：安道尔、阿根廷、巴西、加拿大（商业组织）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、韩国、瑞士、英国（GDPR 与 LED 两项认定已于 2025-12-19 续期）、美国（仅限参加欧美数据隐私框架的商业组织）、乌拉圭与欧洲专利组织。中国大陆不在清单内，因此中国企业本身无法「靠充分性认定出境」；本机制的实际价值在于为集团内的第三国落地点（如日本、韩国、英国子公司）选址。
- 触发情景
- 无数量门槛。只要传输的接收方位于清单所列国家/地域/部门，且落在该认定的范围内即可适用。注意两类部分认定的边界：加拿大仅覆盖受 PIPEDA 约束的私营部门商业活动；日本仅覆盖 APPI 意义上的「个人信息处理事业者」（PIHBO），且日本认定配有《补充规则》。美国认定仅覆盖已在数据隐私框架名单上自我认证且该数据类别在其认证范围内的接收方。
- 准备周期
- 估算：1-3 个工作日（仅为核对与留痕，无审批流程）。
- 约束力
- 对出口方与接收方无额外合同义务；数据主体权利由目的地法律与该认定所依赖的保障机制提供。
- 有效期
- 认定长期有效但非永久：委员会须定期审查并向欧洲议会与理事会报告，可暂停、修改或撤销。历史上安全港（2015）与隐私盾（2020）均被法院宣告无效，因此依赖充分性的架构必须预置 SCC 回退路径。
官方来源 ↗复核 2026-09-12
欧盟
欧盟标准合同条款 SCC（2021/914 决定，四模块）
- 适用范围
- 欧盟委员会 2021 年第 914 号实施决定通过的标准合同条款，是 GDPR 第 46(2)(c) 条项下最常用的「适当保障措施」，无需监管机构逐笔授权。采取模块化结构，按双方角色四选一：模块一 控制者→控制者；模块二 控制者→处理者；模块三 处理者→处理者；模块四 处理者→控制者。结构上分为通用条款 + 所选模块条款 + 附件（附件一 A 当事方 / B 传输说明 / C 主管监管机构、附件二 技术与组织措施、附件三 次处理者清单）。第 7 条「对接条款」(Docking clause) 为可选条款，允许第三方日后加入同一套 SCC 成为出口方或接收方，适合集团与供应链批量接入。
- 触发情景
- 无数量门槛。目的地无充分性认定、且不适用第 49 条减损时，向第三国接收方传输个人数据即应订立 SCC。三点常被做错：(1) 必须先用第 14 条评估目的地法律与实践（TIA），并把评估结果记录备查；(2) 旧版 SCC 已于 2021-09-27 废止，据此签订的合同的过渡期已于 2022-12-27 届满，仍在沿用旧版模板的合同属无效保障；(3) 若接收方本身直接受 GDPR 约束（第 3(2) 条情形），本套 SCC 在设计上未覆盖该场景，欧盟委员会曾表示将另行制定条款 —— 截至 2026-09-12 本轮未核实到已通过的新决定，此种情形下的处理方式请按项目具体法律意见执行。
- 准备周期
- 估算：单一供应商 2-4 周（含 TIA）；集团内多主体 + 供应链批量接入 6-12 周。若接收方对第 14 条信息披露与审计权抗辩，谈判期可显著延长。
- 约束力
- 对双方具合同约束力，并为数据主体创设第三方受益权（第 3 条），数据主体可直接向出口方或接收方主张。文本为强制性条款，不得修改，只能在不与其冲突的前提下嵌入更大的商业合同或叠加更强保障。
- 有效期
- 无固定有效期，随合同存续。但第 14(e)-(f) 条设有动态义务：接收方一旦有理由相信自己受到与第 14(a) 条要求不符的法律或实践约束（含收到披露要求），须立即通知出口方；出口方须识别补救措施，若认为无法保障则应暂停传输，并有权终止合同。
官方来源 ↗复核 2026-09-12
欧盟
欧盟传输影响评估 TIA（SCC 第 14 条 / EDPB 六步法）
- 适用范围
- TIA 不是独立的出境通道，而是使用 SCC、BCR 等第 46 条工具的前置与持续义务。SCC 第 14(a) 条要求双方保证「没有理由相信目的地国适用于接收方的法律与实践会妨碍接收方履行本条款」；第 14(b) 条列明评估应考虑的三类要素：传输的具体情形（处理链长度、参与主体数量、传输通道、拟议的转移、接收方类型、处理目的、数据类别与格式、行业、境外存储地点）、目的地国的法律与实践（尤其是要求向公共机关披露或授权其访问的规定及其限制与保障）、以及为补充本条款而采取的合同、技术与组织措施。第 14(c) 条要求接收方尽最大努力提供相关信息；第 14(d) 条要求把评估书面化并应监管机构要求提供。EDPB 第 01/2020 号建议给出被广泛用作评审基准的六步法。
- 触发情景
- 无数量门槛。凡依赖第 46 条工具（SCC、BCR、经批准的行为准则或认证机制）向第三国传输个人数据的，均须完成并保存 TIA；依赖第 45 条充分性认定的传输不需要 TIA。对中国出海企业最需要预判的是：当中国母公司或中国境内子公司作为接收方时，欧盟客户与其法务会重点质询《国家情报法》《反间谍法》《数据安全法》第 36 条（未经主管机关批准不得向外国司法或执法机构提供境内数据）等条款在具体传输情形中的适用性、透明度与救济渠道。因此 TIA 应由中方主动准备、而非等对方提问。
- 准备周期
- 估算：单一低风险目的地（如已有成熟先例的国家）1-2 周；高敏感数据或目的地法律争议较大时 4-8 周（通常需外部当地法律意见）。
- 约束力
- TIA 本身不创设第三方权利，但其结论直接决定 SCC 是否成立：评估结论为「无法保障」而仍继续传输，等同于无有效传输依据，可按 GDPR 第 83(5)(c) 条处罚（最高 2000 万欧元或上一财年全球年营业额 4%，以高者为准）。
- 有效期
- 无固定有效期，但属持续义务：第 14(e) 条要求接收方在情况变化时随时通知，第 14(f) 条要求出口方随即识别补救措施、必要时暂停传输。实务上建议至少每 12 个月复核一次，并在目的地立法变动时即时触发。
官方来源 ↗复核 2026-09-12
欧盟
欧盟具有约束力的公司规则 BCR（GDPR 第 47 条）
- 适用范围
- 面向「企业集团」或「从事共同经济活动的企业群」内部传输的一次性批准型工具。经主管监管机构依第 63 条一致性机制批准后，集团内向第三国的传输无需逐笔签署 SCC。第 47(1) 条要求 BCR 必须：对集团每个相关成员（含其员工）具法律约束力并被执行；明确赋予数据主体可执行的权利；满足第 47(2) 条的最低内容清单。第 47(2) 条要求至少写明：集团结构与成员联系方式；传输的范围（数据类别、处理类型与目的、数据主体类型、涉及的第三国）；内外部的法律约束力；数据保护原则的适用（目的限制、最小化、存储期限、数据质量、设计与默认保护、处理的合法性依据、特殊类别数据、安全措施，以及向未受 BCR 约束主体转移的要求）；数据主体权利与行使方式（含不受自动化决策约束的权利、向监管机构与法院申诉的权利、获得救济与赔偿的权利）；欧盟境内控制者/处理者对集团境外成员违规行为承担责任；向数据主体提供 BCR 信息的方式；数据保护官或合规监督人的职责；投诉程序；合规验证机制（含数据保护审计与纠正措施）；变更的报告与记录机制；与监管机构的合作机制；将第三国可能实质性削弱 BCR 保障的法律要求报告监管机构的机制；以及第 47(2)(n) 条要求的、对长期或经常访问个人数据的人员的适当数据保护培训。
- 触发情景
- 无数量门槛，但有结构门槛：仅适用于同一企业集团或从事共同经济活动的企业群内部；对外部客户、供应商、渠道商的传输不能用 BCR，仍须 SCC。分为控制者 BCR（BCR-C，覆盖集团作为控制者的传输）与处理者 BCR（BCR-P，覆盖集团为客户提供处理服务时的集团内传输）。对中国 AI 企业的典型适用场景：在欧盟设有实体、且模型训练/推理运维/客服支持由中国或其他第三国团队远程承担，集团内跨境访问频繁且长期化 —— 此时 BCR 比逐一维护数十份 SCC 更经济。但须注意：BCR 同样不豁免第 46 条项下的传输影响评估义务，第 47(2)(m) 条本身即要求把第三国的冲突性法律要求报告监管机构。
- 准备周期
- 估算：从启动到正式批准通常 12-24 个月（起草 3-6 个月、监管审查与一致性机制 9-18 个月）。这是本矩阵中周期最长的机制，不适合为单一项目临时启动。
- 约束力
- 对集团每个相关成员及其员工具法律约束力，并明确赋予数据主体可执行权利；第 47(2)(f) 条要求欧盟境内的控制者或处理者对境外成员的违规承担责任，仅在证明该成员对损害事件不负责任时才能全部或部分免责。
- 有效期
- 批准后长期有效，无固定到期日；但集团结构、传输范围或第三国法律环境变化时须按第 47(2)(k)(m) 条报告并可能重新审查。依第 46(5) 条，基于 95/46/EC 指令第 26(2) 条作出的旧授权在被相关监管机构修改、替换或废止前继续有效。
官方来源 ↗复核 2026-09-12
欧盟
欧盟特定情形减损（GDPR 第 49 条）
- 适用范围
- 在既无第 45 条充分性认定、也无第 46 条适当保障措施（含 BCR）时的兜底通道。第 49(1) 条第一款列举七项情形：(a) 数据主体在被告知无充分性认定与适当保障措施情况下的可能风险后，明确同意该项传输；(b) 传输为履行数据主体与控制者之间的合同或应数据主体请求采取的缔约前措施所必需；(c) 传输为控制者与他人之间为数据主体利益订立或履行合同所必需；(d) 为重大公共利益所必需；(e) 为确立、行使或抗辩法律主张所必需；(f) 为保护数据主体或他人的重大利益、且数据主体在身体或法律上无法同意；(g) 从依欧盟或成员国法设立、面向公众提供信息的登记簿中作出的传输（须满足查阅条件，且依第 49(2) 条不得涉及登记簿的全部数据或整类数据）。第 49(1) 条第二款另设极窄的「compelling legitimate interests」通道：仅在不能依第 45 或 46 条、也无上述任一减损时，且传输非重复性、仅涉及有限数量的数据主体、为控制者所追求的不被数据主体利益或权利自由所压倒的令人信服的正当利益所必需、控制者已评估全部情形并据此提供了适当保障 —— 同时必须告知监管机构，并在第 13、14 条之外另行告知数据主体该传输及所追求的令人信服的正当利益。
- 触发情景
- 无数量门槛，但有「例外性」门槛：第 49 条设计为例外而非常规通道，监管实践一致反对把它用于系统性、重复性、大规模的业务传输。可执行的判断口径：如果该传输是产品或服务运行的常态链路（例如日常把欧盟用户提示词传给中国推理集群），就不能靠第 49(1)(a) 的同意或 (b) 的合同必要性支撑，必须走 SCC/BCR。第 49(1) 的 (a)(b)(c) 项与第二款的令人信服正当利益通道，依第 49(3) 条不适用于公共机关行使公权力的活动；第 49(1)(d) 的重大公共利益须由欧盟法或控制者所属成员国法予以承认（第 49(4) 条）。
- 准备周期
- 估算：1-2 周（同意流程设计与文档化）；若走第二款令人信服正当利益通道，因需向监管机构告知，另加 2-4 周。
- 约束力
- 不产生对接收方的合同义务，因此接收方不受任何数据保护承诺约束 —— 这正是监管机构对其保持敌意的原因。滥用第 49 条属无有效传输依据，适用 GDPR 第 83(5)(c) 条罚则（最高 2000 万欧元或上一财年全球年营业额 4%，以高者为准）。
- 有效期
- 随该次具体情形而定，不具持续效力。依赖同意的，数据主体可随时撤回；撤回后已传输数据的处理须另寻依据或删除。第二款通道明确限于「非重复性」传输，不可作为长期安排续用。
官方来源 ↗复核 2026-09-12
欧盟
欧美数据隐私框架 EU-US DPF（第 (EU) 2023/1795 号决定）
- 适用范围
- 针对美国的部门性充分性认定：欧盟委员会于 2023-07-10 通过、2023-09-20 在官方公报公布的第 (EU) 2023/1795 号实施决定认定，参加欧美数据隐私框架的美国商业组织具备充分保护水平。2026-09-12 抓取时，EUR-Lex 显示该决定法律状态为「现行有效」，且欧盟委员会充分性清单仍将美国（仅限参加 DPF 的商业组织）列为认定对象。司法挑战方面：欧盟普通法院于 2025-09-03 就 T-553/23 号案（Latombe 诉欧盟委员会）作出判决，主文第 1 项为驳回诉讼请求，即一审维持该认定；但该判决已被上诉，欧盟法院 C-703/25 P 号上诉案于 2025-10-31 提起（公告载 OJ C, C/2025/6610, 22.12.2025），截至 2026-09-12 未见终审判决 —— 因此不能把 T-553/23 当作「DPF 已获终局司法确认」。对中国出海企业的实际含义：DPF 只能由美国组织自我认证，中国主体无法加入；它的价值在于当欧盟数据需要落到美国云服务商、SaaS 或分析服务商时，可省去与该美国接收方之间的 SCC 与 TIA。
- 触发情景
- 无数量门槛。仅当美国接收方在数据隐私框架名单上处于「有效」(Active) 状态、且该传输所涉数据类别落在其自我认证范围内时才可依赖。三个高频误判：(1) 人力资源数据（HR data）需要单独认证，未覆盖则不能依赖；(2) 名单状态可能变为「非有效」(Inactive) 或被除名，届时该美国主体对已收数据仍负持续义务，但新传输失去依据；(3) 英国与瑞士各有独立的扩展机制（英国为 UK-US 数据桥 / DPF 英国扩展），欧盟认定不自动覆盖英国或瑞士出境。
- 准备周期
- 估算：1-3 个工作日（名单核验与合同条款调整）。
- 约束力
- 对欧盟出口方无额外合同义务；美国接收方受其对商务部作出的自我认证承诺约束，由美国联邦贸易委员会或运输部执法，并须提供独立争议解决与（在特定条件下）具约束力的仲裁。数据主体另可通过决定所设的救济机制就国家安全访问提出申诉。
- 有效期
- 决定本身长期有效但须定期审查（欧盟委员会已于 2024-10-09 发布首次审查报告）。两类风险须并行跟踪：一是司法风险 —— 其两个前身安全港与隐私盾分别于 2015 与 2020 年被欧盟法院宣告无效，且现行认定的一审判决（T-553/23）正在 C-703/25 P 号上诉案中接受欧盟法院复审，终审结果未定；二是政治与制度风险（如美方救济机制的实际运作）。因此任何依赖 DPF 的架构都应把 SCC 作为可立即启用的备用依据。单个企业侧的有效性取决于其年度重新认证是否按时完成。
官方来源 ↗复核 2026-09-12
中国大陆
数据出境安全评估申报（网信办令第 11 号 + 令第 16 号）
- 适用范围
- 中国三条法定出境通道中门槛最高、审查最实质的一条：由数据处理者通过所在地省级网信部门向国家网信部门申报，国家网信部门组织国务院有关部门、省级网信部门与专门机构进行评估。评估重点（令第 11 号第八条）包括：出境目的、范围、方式的合法性正当性必要性；境外接收方所在国家或地区的数据安全保护政策法规和网络安全环境对出境数据安全的影响，及境外接收方的数据保护水平是否达到中国法律、行政法规规定和强制性国家标准要求；出境数据的规模、范围、种类、敏感程度及各类风险；数据安全与个人信息权益能否得到充分有效保障；拟订立法律文件中数据安全保护责任义务的约定是否充分；遵守中国法律法规规章情况等。
- 触发情景
- 按令第 16 号第七条，符合下列情形之一的应当申报安全评估：(一) 关键信息基础设施运营者向境外提供个人信息或者重要数据；(二) 关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。属于令第 16 号第三、四、五、六条情形的从其规定（即可先适用豁免与自贸区负面清单）。两点必须准确把握：(1) 计数口径为「自当年 1 月 1 日起累计」，取代了令第 11 号第四条的「自上年 1 月 1 日起累计」；(2) 重要数据的识别遵循令第 16 号第二条与《网络数据安全管理条例》第三十七条 —— 未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报。
- 准备周期
- 估算：法定环节合计约 57 个工作日（省级完备性查验 5 + 国家网信受理决定 7 + 评估 45，可延长）。加上前期自评估、法律文件谈判与材料准备，实践中从启动到取得结果通常 4-8 个月；材料被退回补正会显著拉长。
- 约束力
- 行政许可性质：未通过评估即出境构成违法出境，依《网络安全法》《数据安全法》《个人信息保护法》追责；构成犯罪的依法追究刑事责任。国家网信部门发现已通过评估的出境活动在实际处理中不再符合管理要求的，可书面通知终止出境活动，整改后重新申报。故意提交虚假材料按评估不通过处理并追责。
- 有效期
- 按令第 16 号第九条，通过评估的结果有效期为 3 年，自评估结果出具之日起计算（该条取代了令第 11 号第十四条原定的 2 年）。有效期届满仍需继续出境且未发生需重新申报情形的，可在届满前 60 个工作日内通过省级网信部门向国家网信部门申请延长，经批准可延长 3 年。申请延长的具体条件见国家网信办《数据出境安全管理政策法规问答（2026 年 7 月）》所援引的《数据出境安全评估申报指南（第三版）》，须同时满足六项：一、数据出境的目的、范围等未发生变化；二、数据处理者和境外接收方等未发生变化；三、出境个人信息的，未来三年涉及自然人数量增幅不超过原评估结果准予过去三年出境数量的 20%；四、出境重要数据的，未来三年出境数据规模增幅不超过原评估结果准予过去三年出境数据规模的 20%；五、与境外接收方订立的法律文件符合令第 11 号第九条规定；六、过去三年数据出境活动严格按照评估结果通知书合规开展，且未发生重大数据安全事件。有效期内出现令第 11 号第十四条所列变化（出境目的方式范围种类或接收方用途方式变化、延长境外保存期限、接收方所在国家地区政策法规与网络安全环境变化或不可抗力、控制权变化、法律文件变更等影响出境数据安全的情形）应重新申报评估。
官方来源 ↗复核 2026-09-12
中国大陆
个人信息出境标准合同备案（网信办令第 13 号 + 令第 16 号）
- 适用范围
- 中等数量区间最常用的通道：个人信息处理者与境外接收方按网信办令第 13 号附件的标准合同范本订立合同，并向所在地省级网信部门备案。制度设计为「自主缔约与备案管理相结合」——合同生效后方可开展个人信息出境活动，备案为事后 10 个工作日内完成，不是前置审批。合同文本必须严格按附件订立；可以另行约定其他条款，但不得与标准合同相冲突。
- 触发情景
- 按令第 16 号第八条：关键信息基础设施运营者以外的数据处理者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。属于令第 16 号第三、四、五、六条情形的从其规定。令第 13 号第四条原本还设有「非关键信息基础设施运营者」「处理个人信息不满 100 万人」「自上年 1 月 1 日起累计向境外提供个人信息不满 10 万人」「自上年 1 月 1 日起累计向境外提供敏感个人信息不满 1 万人」四项并列条件；其中与令第 16 号不一致的部分，按令第 16 号第十三条适用令第 16 号。禁止以数量拆分等手段规避安全评估（令第 13 号第四条末款）。术语提示：令第 16 号第八条所称的并列选项「通过个人信息保护认证」，自 2026-01-01 起由《个人信息出境认证办法》（网信办、市场监管总局令第 20 号）专门规范，官方现行表述为「个人信息出境认证」，详见本矩阵对应条目。
- 准备周期
- 估算：影响评估与合同谈判 3-6 周；备案本身为合同生效后 10 个工作日内提交。各省对备案材料的形式要求与反馈节奏不一，实践中从提交到收到反馈或补正通知通常 2-8 周。
- 约束力
- 标准合同文本为强制性范本，对双方具约束力并为个人创设可主张的权利（范本设有个人作为第三方受益人的条款）。不得以数量拆分规避安全评估；违反的按《个人信息保护法》等法律追责。
- 有效期
- 标准合同本身无法定有效期，随合同存续；但发生令第 13 号第八条所列变化时须重新评估、补充或重新订立并重新备案。备案属事后管理，备案完成不等于监管机构对合规性作出确认，网信部门仍可事中事后监督并要求整改。
官方来源 ↗复核 2026-09-12
中国大陆
个人信息出境认证（网信办、市场监管总局令第 20 号，2026-01-01 施行）
- 适用范围
- 《个人信息保护法》第三十八条第一款第二项项下的认证路径，与标准合同备案在同一数量区间内二选一。现行专门规章是《个人信息出境认证办法》（国家互联网信息办公室、国家市场监督管理总局令第 20 号，2025-10-17 公布，自 2026-01-01 起施行），此前仅有 2022 年《个人信息保护认证实施规则》的通用条款。办法第三条界定：个人信息出境认证是由依法取得个人信息保护认证资质的专业认证机构，证明个人信息处理者向境外提供个人信息等处理活动符合相关法律、行政法规、部门规章、标准、技术规范的合格评定活动。第四条分工：国家网信部门会同国家数据管理部门和其他有关部门制定认证相关标准与技术规范；国家市场监督管理部门会同国家网信部门制定个人信息保护认证规则、统一认证证书及标志。认证依据标准已变更：依市场监管总局、网信办 2025 年第 53 号公告（署期 2025-12-12），涉跨境处理活动的认证依据标准自公告发布之日起变更为 GB/T 35273《信息安全技术 个人信息安全规范》与 GB/T 46068《数据安全技术 个人信息跨境处理活动安全认证要求》—— 原先作为跨境依据的 TC260-PG-20222A 已不再适用，2025 年底前编写的认证方案与尽调问卷须据此更新。认证实施层面仍沿用《个人信息保护认证实施规则》的「技术验证 + 现场审核 + 获证后监督」三段式模式与两类认证标志（区分是否含跨境处理活动，标志中 ABCD 代表认证机构识别信息）。
- 触发情景
- 数量门槛与标准合同相同，并由办法第五条独立重述：个人信息处理者以认证方式向境外提供个人信息的，应当同时符合 (一) 非关键信息基础设施运营者；(二) 自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息。第五条第二款明确：前款所称向境外提供的个人信息不包括重要数据；第四款禁止以数量拆分等手段将依法应当通过安全评估的个人信息改走认证。达到令第 16 号第七条安全评估门槛的不得以认证替代。两点实务补充（依国家网信办《数据出境安全管理政策法规问答（2026 年 9 月）》）：(1) 不论出境规模大小，任何个人信息处理者都可以自愿向专业认证机构申请认证以证明合规、提升合规能力，但只有落在第五条区间内的才能以认证作为出境合法性依据；(2) 已通过认证但当年累计出境达到 100 万人以上个人信息或 1 万人以上敏感个人信息的，仍应申报安全评估，申报时可将认证情况附后，网信部门在评估中予以参考。选型建议：集团内多主体、多链路、长期常态化出境更适合认证（一次认证可覆盖认证范围内的多项处理活动）；单一对手方、单一链路更适合标准合同。
- 准备周期
- 估算：从委托到发证通常 3-6 个月（技术验证与现场审核各占数周，整改轮次会延长）。《个人信息出境认证办法》与《个人信息保护认证实施规则》均未规定统一的法定办结时限，仅要求认证机构对各环节时限作出明确规定并按时完成；办法中有明确时限的是机构侧义务（机构备案 10 个工作日内提出、网信部门 30 个工作日内审核、证书信息 5 个工作日内报送）。实际周期取决于所选机构的实施细则与企业配合度。
- 约束力
- 认证属自愿性合格评定，但一经作为出境依据即产生持续合规义务：获证后监督不通过、或出境行为超出认证范围，将导致证书暂停或撤销，届时该出境活动失去合法性依据。办法第十一条另要求专业认证机构在认证活动中发现个人信息出境活动违反法律、行政法规和国家有关规定的，及时向国家网信部门和有关部门报告 —— 即认证机构同时承担发现问题的报告义务，企业不应把认证视为纯商业服务。证书与认证标志的使用受限，在广告等宣传中须正确使用、不得误导公众。
- 有效期
- 认证证书有效期为 3 年（办法第八条）；有效期内须通过认证机构的获证后监督以保持有效性。续证应在有效期届满前 6 个月提出认证申请。依办法第十条，专业认证机构发现获证处理者存在出境情况与认证范围不一致等不再符合认证要求的情形，应当暂停其使用直至撤销证书；国家网信部门和有关部门在监督管理中发现该等情形的，认证机构应当配合暂停直至撤销；上述情形须通过全国认证认可信息公共服务平台公布。因此认证不是一次性拿证，而是一项持续挂钩「实际出境行为是否仍落在认证范围内」的资格。
官方来源 ↗复核 2026-09-12
中国大陆
中国数据出境豁免情形与数量门槛（令第 16 号第三至五条）
- 适用范围
- 2024-03-22 起施行的《促进和规范数据跨境流动规定》为多数出海场景打开了「三不」通道 —— 免予申报数据出境安全评估、免予订立个人信息出境标准合同、免予通过个人信息保护认证。逐条列明如下。第三条：国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的。第四条：数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的。第五条（四项，前款所称向境外提供的个人信息不包括重要数据）：(一) 为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；(二) 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；(三) 紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；(四) 关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）的。《网络数据安全管理条例》第三十五条在此之外另列可向境外提供个人信息的条件，包括「为履行法定职责或者法定义务，确需向境外提供个人信息」以及「法律、行政法规或者国家网信部门规定的其他条件」。
- 触发情景
- 关键数量门槛（必须与安全评估、标准合同门槛连读）：非关键信息基础设施运营者，自当年 1 月 1 日起累计向境外提供的个人信息（不含敏感个人信息）不满 10 万人 —— 完全豁免；10 万人以上、不满 100 万人 —— 标准合同或认证；100 万人以上 —— 安全评估。敏感个人信息另计：不满 1 万人 —— 标准合同或认证；1 万人以上 —— 安全评估。关键信息基础设施运营者须特别注意：第五条第四项的 10 万人豁免按其文义只给「关键信息基础设施运营者以外的数据处理者」，CIIO 不能援引；同时令第 16 号第七条末款规定「属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定」，即第三条、第四条、第五条第一至三项与第六条在文义上并未排除 CIIO —— 但 CIIO 出境个人信息或重要数据属第七条第一项的明确申报情形，实务上监管从严，CIIO 拟援引上述豁免的应事先与主管网信部门沟通，不应自行判定。三个最易踩的坑：(1) 计数口径是「自当年 1 月 1 日起累计」，跨年归零重算，不是滚动 12 个月；(2) 豁免仅豁免出境机制，不豁免《个人信息保护法》项下的义务 —— 令第 16 号第十条明确要求仍须履行告知、取得个人单独同意、进行个人信息保护影响评估等义务，第十一条仍要求履行数据安全保护义务并在发生或可能发生数据安全事件时向省级以上网信部门报告；(3) 敏感个人信息不适用第五条第四项的数量豁免，第五条第四项括注明确写明「不含敏感个人信息」。
- 准备周期
- 估算：2-4 周（台账搭建、阈值计数口径确定与豁免适用说明成文）；无审批环节。
- 约束力
- 豁免不减损其他法定义务：令第 16 号第十条（告知、单独同意、个人信息保护影响评估）、第十一条（数据安全保护义务、事件补救与向省级以上网信部门报告）继续适用；第十二条规定各地网信部门强化事前事中事后全链条监管，发现较大风险或发生事件的可要求整改，拒不改正或造成严重后果的依法追究法律责任。
- 有效期
- 豁免随事实状态存续，不设有效期；但数量门槛是逐年重新计数的动态判断，业务放量或新增敏感数据类别都可能在年中使豁免失效。建议每月复核台账、每年 1 月重置计数并重新出具豁免适用说明。
官方来源 ↗复核 2026-09-12
中国大陆
自由贸易试验区数据出境负面清单（令第 16 号第六条）
- 适用范围
- 令第 16 号第六条授权：自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（即负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自贸试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。其制度逻辑与前述全国性规则相反：不是「达到门槛才管」，而是「清单内才管、清单外放行」，因此对区内企业而言是最宽松的通道。
- 触发情景
- 适用前提是主体与数据都落在某个自贸试验区的管辖范围内，且该自贸区已发布经批准并备案的负面清单。数量门槛由各自贸区在其清单中自行设定（通常按行业与数据类别分层，可能对某些类别设定人数或数据量阈值），因此不存在全国统一的数字门槛 —— 必须逐个自贸区、逐个行业目录核对现行清单原文。核实范围说明：令第 16 号第六条所确立的机制与审批链路（省级网络安全和信息化委员会批准 → 报国家网信部门、国家数据管理部门备案）已核实；自贸区确有正式公布的负面清单亦已核实一例 —— 北京市互联网信息办公室等三部门《关于印发〈中国（北京）自由贸易试验区数据出境负面清单管理办法（试行）〉〈中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024 版）〉的通知》（京网办发〔2024〕16 号，成文 2024-08-26，发布 2024-08-30，首都之窗标注有效），管理办法与清单以附件形式发布。但本轮未逐条核对任何一份清单的具体条目、覆盖行业与阈值，且各自贸区版本不同并持续更新（国家网信办政策栏目另列上海 2026-04-29、北京 2026-05-11、广东 2026-05-18 的更新通知，天津、浙江、江苏、重庆、广西、海南亦有各自版本），北京 2024 版很可能已被后续版本取代。confidence 因此定为 medium：使用本条目时必须回到目标自贸区管委会或所在地网信部门公布的最新清单原文核对。
- 准备周期
- 估算：清单比对与文档化 2-4 周。本轮未核实各自贸区是否另设本地登记环节及其时限，如目标自贸区设有登记程序，应按当地公告另行计算。
- 约束力
- 该通道只豁免三项出境机制，不豁免令第 16 号第十条、第十一条义务，也不改变重要数据与关键信息基础设施运营者的特别规则。清单外数据的判定责任在数据处理者，判定错误按违法出境处理。
- 有效期
- 豁免效力随负面清单版本而定，清单修订后须重新比对。本轮未核实任何具体自贸区清单的有效期或修订周期；从各地公布节奏看（多地在 2024 版之后于 2025、2026 年发布新版），至少应按年度复核。
官方来源 ↗复核 2026-09-12
美国（联邦）
美国司法部大宗敏感个人数据规则（28 CFR 第 202 部分）：禁止交易与受限交易
- 适用范围
- 这是一种方向相反的传输管制：它不给中国企业提供「出境通道」，而是限制美国主体向受关注国家或受涵盖人员提供美国人的大宗敏感个人数据与政府相关数据。受关注国家清单见 28 CFR § 202.601(a)：中国、古巴、伊朗、朝鲜、俄罗斯、委内瑞拉；其中「中国」依 § 202.208 明确包含香港特别行政区与澳门特别行政区（§ 202.209 只规定认定标准，不含清单本身）。规则把交易分为两类：禁止交易 —— § 202.301 禁止美国主体在生效日后明知地与受关注国家或受涵盖人员开展涉及数据经纪（data brokerage）的受涵盖数据交易，§ 202.302 进一步禁止可能导致数据转手的其他数据经纪交易，§ 202.303 禁止涉及大宗人类组学数据与可从中提取该数据的人体生物样本的交易，§ 202.304 禁止规避、企图、促成违规与共谋，§ 202.305 禁止明知地指使禁止或受限交易；受限交易 —— § 202.401(a) 规定，除依 E 分部或 H 分部另行授权外，美国主体在生效日后不得明知地与受关注国家或受涵盖人员开展涉及供应商协议、雇佣协议或投资协议的受涵盖数据交易，除非遵守 D 分部要求的安全要求（§ 202.248 将 CISA 于 2025 年 1 月发布的《E.O. 14117 实施：受限交易安全要求》以引用方式并入）及本部分其他适用要求。§ 202.401(b) 明确 D 分部不适用于涉及大宗人类组学数据或可从中提取该数据的人体生物样本、并受 § 202.303 禁止的交易。
- 触发情景
- 「大宗」(bulk) 门槛见 28 CFR § 202.205：在此前 12 个月内的任一时点，通过单笔受涵盖数据交易或在涉及同一美国主体与同一外国人/受涵盖人员的多笔交易中合计达到或超过以下数量的敏感个人数据 —— (a) 涉及超过 1,000 名美国人的人类组学数据，其中人类基因组数据为超过 100 名美国人；(b) 涉及超过 1,000 名美国人的生物识别标识符；(c) 涉及超过 1,000 台美国设备的精确地理位置数据；(d) 涉及超过 10,000 名美国人的个人健康数据；(e) 涉及超过 10,000 名美国人的个人财务数据；(f) 涉及超过 100,000 名美国人的受涵盖个人标识符；(g) 组合数据，即包含上述 (a) 至 (f) 中一个以上类别的数据集合，或包含与 (a) 至 (e) 类别相关联的任一列举标识符，其中任一数据类型达到该类别中人数或设备数最低的门槛。对中国 AI 企业的直接含义：即便中方不直接接触数据，只要美国供应商、客户或被投企业判定与你的交易落入「受限交易」，其合规成本与安全要求会向下传导为对你的技术与合同条件（如禁止中国境内人员访问、密钥托管、数据隔离），并可能直接导致美方拒绝交易。
- 准备周期
- 估算：交易与数据分类分析 2-4 周；受限交易的安全要求落地与数据合规计划建设 3-6 个月（涉及访问控制改造、数据隔离、日志与审计能力）；特定许可申请周期由司法部个案决定，本轮未核实其法定时限，应按项目单独评估。
- 约束力
- 依《国际紧急经济权力法》(IEEPA) 执行的强制性禁令，违反可导致民事与刑事责任；§ 202.304 另将规避、企图、促成违规与共谋一并禁止，§ 202.305 禁止明知地指使禁止或受限交易，因此通过第三方或结构设计绕行同样违法。本条目仅核实了条文本身，未核实具体处罚金额与已公开的执法案例。
- 有效期
- 规则自 2025-04-08 生效（联邦公报最终规则文件的生效日字段；同日为引用并入材料的批准日）。§ 202.1001(a) 的数据合规计划最迟应于 2025-10-06 建立并实施。受关注国家清单可被修改，且依 § 202.601(b)，对清单的任何修订适用于在修订生效日当日或之后启动、待决或完成的受涵盖数据交易 —— 即具有对在途交易的即时效力。2026-09-12 经联邦公报 API 检索，此后对 28 CFR 第 202 部分的唯一修订为 2025-04-18 公布并同日生效的更正性修订（2025-06477），仅更正一处交叉引用，未变更实体义务；未见其他修订规则。
官方来源 ↗复核 2026-09-12
英国
英国国际数据传输协议 IDTA 与欧盟 SCC 附录 Addendum
- 适用范围
- 英国 GDPR 项下的「标准数据保护条款」，由信息专员办公室（ICO）发布两套可选文本：一是国际数据传输协议（IDTA），二是《对欧盟委员会标准合同条款的国际数据传输附录》（Addendum）。欧盟 SCC 本身在英国 GDPR 下不构成有效保障，但叠加 Addendum 后即可用于英国受限传输。IDTA 由四部分构成：第 1 部分 表格（Tables，必须填写）、第 2 部分 额外保护条款（Extra Protection Clauses）、第 3 部分 商业条款（Commercial Clauses）、第 4 部分 强制性条款（Mandatory Clauses）。选型建议（ICO 明示）：同时在英国与欧洲经济区运营、且已就欧洲数据流使用欧盟 SCC 的，或接收方已签署欧盟 SCC 的，用 Addendum 更快；仅在英国 GDPR 下运营也可以使用 Addendum。ICO 同时明确：作出受限传输时，除签署条款外还须完成传输风险评估（TRA），以确保传输后个人信息的保护标准不会显著降低。
- 触发情景
- 无数量门槛。凡从英国向境外另一组织作出「受限传输」，且不被英国充分性规章覆盖、也不适用「例外」（立法中称减损）的，即须使用适当保障措施，IDTA 或 Addendum 是最常用的两种。术语变化须注意：《2025 年数据（使用与获取）法》(DUAA) 引入了新表述，把传输风险评估在立法中称为「数据保护测试」(data protection test)，ICO 指南仍沿用 TRA 一词；保护标准在 ICO 指南中表述为传输后个人信息的保护标准「不显著低于」(not materially lower)。版本状态：ICO 指南（页面 DC.Date 元数据 2026-01-15）原文载「We plan to update the IDTA and Addendum in the course of 2026. You should continue to use the current versions.」；现行模板为 2022-02-02 依《2018 年数据保护法》第 119A 条提交议会的 IDTA A.1.0 与 Addendum B.1.0；IDTA 第 5.4 条与 Addendum 第 18 条允许双方约定在 ICO 发布新版本时自动更新。
- 准备周期
- 估算：单一供应商 2-4 周（含 TRA）；若已有欧盟 SCC 可直接叠加 Addendum，1-2 周即可完成。
- 约束力
- 对出口方与接收方具合同约束力，并为个人创设可执行权利。欧盟 SCC 单独使用不能满足英国 GDPR，必须叠加 Addendum —— 这是中国企业同时服务英欧客户时最常见的遗漏。
- 有效期
- 无固定有效期，随合同存续。ICO 已公告计划在 2026 年内更新 IDTA 与 Addendum 以反映 DUAA 的修订；若未在合同中选择自动更新，届时须主动换签新版本。TRA 须随情势变化复核。
官方来源 ↗复核 2026-09-12
英国
英国充分性规章（「数据桥」，含 DPF 英国扩展）
- 适用范围
- 英国政府依英国 GDPR 作出的充分性规章（亦称「数据桥」），确定哪些国家、国家内的地域或部门、或国际组织的数据保护水平「不显著低于」(not materially lower) 英国法所提供的水平。分为全面充分性与部分充分性：全面覆盖对该国或国际组织的全部受限传输；部分充分性仅覆盖特定类型组织或部门、特定数据类型、特定地域或特定条件下的传输，依赖前必须核对范围。据 ICO 指南（页面 DC.Date 元数据 2026-01-15，2026-09-12 实测抓取），现行清单包括：欧洲经济区全部国家（欧盟 27 国 + 冰岛、挪威、列支敦士登）与欧盟/欧洲经济区的机构、机关、办事处或署；2020-12-31 时有效或已转入英国法的欧盟委员会认定所覆盖对象 —— 全面：安道尔、阿根廷、法罗群岛、直布罗陀、根西岛、马恩岛、以色列、泽西岛、新西兰、瑞士、乌拉圭；部分：加拿大（仅限受 PIPEDA 约束的信息）、日本（仅限 APPI 意义上的个人信息处理事业者，且该认定第 1(2) 条列明了不被覆盖的接收方类别）；2020-12-31 之后英国另行作出的 —— 全面：韩国；部分：美国（仅覆盖依 DPF 英国扩展传输的个人信息，即 UK-US 数据桥）。
- 触发情景
- 无数量门槛。三点必须准确把握：(1) 英国对美国的充分性规章是英国政府独立作出的、且范围仅限依 DPF 英国扩展（UK-US 数据桥）传输的个人信息，与欧盟对美国的第 (EU) 2023/1795 号决定是两份独立文件 —— 因此欧盟侧 DPF 的任何变动（含 C-703/25 P 上诉结果）不自动等于英国侧失效，反之亦然，两侧须分别跟踪；(2) 依赖充分性规章的传输不需要完成传输风险评估，也不需要另设适当保障措施，但 ICO 明示仍应对接收方遵守其当地数据保护义务作出合理、相称的核查；(3) 英国清单与欧盟清单不同 —— 例如直布罗陀在英国清单上而不在欧盟清单上，欧盟与巴西 2026 年初互认的充分性也未出现在 ICO 该页所列清单中，跨欧英双法域运营时不可把一侧清单套用到另一侧。
- 准备周期
- 估算：1-3 个工作日（核对与留痕）。
- 约束力
- 对出口方与接收方不产生额外合同义务；保护由目的地法律与该规章所依赖的机制提供。
- 有效期
- 规章长期有效但可被修改或撤销，且英国政府会开展审查。近期节奏可作参考：欧盟对英国的两项认定曾于 2025-06-24 技术性延期、并于 2025-12-19 续期，说明两侧的认定都处在周期性复核之中。依赖方应设定至少每年一次的复核。
官方来源 ↗复核 2026-09-12
新加坡
新加坡 PDPA 传输限制义务（第 26 条 + 2021 年条例第 3 部分）
- 适用范围
- 《个人数据保护法》第 26(1) 条规定：组织不得将任何个人数据传输至新加坡境外的国家或地区，除非符合本法项下规定的要求，以确保组织对所传输个人数据提供与本法保护相当的保护标准。第 26(2) 条允许个人数据保护委员会（PDPC）应组织申请、以书面通知豁免该组织就特定传输适用第 26(1) 条项下的规定要求；第 26(3) 条规定该豁免可附条件、无需在宪报公布且委员会可随时撤销；第 26(4) 条允许委员会随时增加、变更或撤销所附条件。具体要求见《2021 年个人数据保护条例》第 3 部分：条例 10 规定传输组织在传输前须采取适当步骤查明并确保接收方受「具法律强制力的义务」约束，以提供与本法保护相当的保护标准；条例 11 界定该等义务可源于任何法律、符合条例 11(2) 的合同、符合条例 11(3) 的具约束力的公司规则，或任何其他具法律约束力的文书；条例 12 规定持有「特定认证」的接收方视为受该等义务约束。
- 触发情景
- 无数量门槛。凡向新加坡境外传输个人数据即触发。条例 10(2) 列明视为已满足条例 10(1) 要求的五种情形：(a) 个人同意向该国家/地区的该接收方传输其个人数据（但受条例 10(3) 限制）；(b) 依本法第 15(3)(4)(5)(6)(7) 或 (8) 条个人被视为同意传输组织向该接收方披露；(c) 传输是依本法附表一第 1 部分或第 2 部分第 2 段使用或披露个人数据所必需，且传输组织已采取合理步骤确保接收方不将其用于其他目的；(d) 属过境数据（data in transit）；(e) 个人数据在新加坡境内已公开可得。条例 10(3) 明确，在下列情形下不视为个人已同意跨境传输：(a) 个人在同意前未获得书面的合理摘要，说明所传数据在该国家/地区将在何种程度上受到与本法相当的保护；(b) 传输组织以同意传输作为提供产品或服务的条件，除非该传输为向该个人提供产品或服务所合理必需；(c) 传输组织通过提供关于该传输的虚假或误导性信息，或使用其他欺骗性或误导性做法，取得或试图取得个人同意。条例 10(4) 明确本部分不妨碍个人撤回其已作出的跨境传输同意。合同路径的最低要求（条例 11(2)）：须要求接收方提供与本法相当的保护标准，并明确列明可依该合同传输至的国家与地区。具约束力的公司规则（条例 11(3)）仅可用于与传输组织相关联的接收方，须要求每个相关联接收方提供相当保护标准，并须载明适用的接收方、可传输至的国家与地区、以及所提供的权利与义务。
- 准备周期
- 估算：合同路径 1-3 周；集团内具约束力公司规则 4-8 周；认证路径取决于接收方是否已持证，若需新申请 CBPR/PRP 认证通常数月（本轮未核实认证机构的具体时限）。
- 约束力
- 第 26(1) 条为强制性义务，其法律效果是把「相当保护标准」的责任留在传输组织身上：即使接收方违约，传输组织仍对 PDPC 负责。PDPC 的书面豁免可附条件并可随时撤销，且无需在宪报公布。
- 有效期
- 无固定有效期，随合同或规则存续；认证路径的有效性随接收方所持认证状态而定。规则版本须注意：条例 12 经 S 86/2026 修订，自 2026-03-02 起在「特定认证」中新增 Global CBPR 体系与 Global PRP 体系，与原有 APEC 体系并列 —— 2026 年 3 月前编写的合同与尽调问卷可能未覆盖这两项，应据此更新。
官方来源 ↗复核 2026-09-12
日本
日本 APPI 向外国第三方提供的限制（第 28 条）
- 适用范围
- 《个人信息保护法》第 28(1) 条规定：个人信息处理事业者向外国（指本国域外的国家或地区）的第三方提供个人数据时，除第 27(1) 条各项情形外，应当事先取得本人同意其向外国第三方提供，且此时第 27 条不适用。该条同时排除两类对象：一是经个人信息保护委员会规则认定为「在保护个人权利利益方面具有与我国同等水平的个人信息保护制度的外国」；二是「已建立符合个人信息保护委员会规则所定基准、能够持续采取相当措施的体制的第三方」（相当措施指相当于本节规定个人信息处理事业者在处理个人数据时应采取的措施）。第 28(2) 条要求：拟依第 28(1) 条取得本人同意时，应当按个人信息保护委员会规则的规定，事先向本人提供该外国的个人信息保护制度、该第三方所采取的个人信息保护措施，以及其他应供本人参考的信息。第 28(3) 条要求：向已建立第 28(1) 条所述体制的外国第三方提供个人数据后，应当按个人信息保护委员会规则的规定，采取必要措施确保该第三方持续实施相当措施，并应本人要求向其提供有关该必要措施的信息。
- 触发情景
- 无数量门槛。任何向外国第三方提供个人数据的行为均触发（日本法下的「提供」包含使外国第三方可获取数据的情形，集团内不同法人之间亦属第三方提供）。三条路径择一：(1) 白名单国家 —— 目的地被个人信息保护委员会规则认定为具有与日本同等水平的制度，则不适用本条限制。本轮未从官方渠道逐一核实当前白名单国家名单，使用时应回到个人信息保护委员会规则原文核对；(2) 体制路径 —— 接收方已建立符合委员会规则基准、能持续采取相当措施的体制（实务上通过合同或集团内规则实现），此时无需就跨境单独取得同意，但须履行第 28(3) 条的持续确保义务与应本人要求的信息提供义务；(3) 同意路径 —— 事先取得本人就向外国第三方提供的同意，并须按第 28(2) 条事先提供该外国制度、接收方措施等参考信息。中国企业最常见的错误是把第 28 条与第 27 条混同：依第 28(1) 条提供的，第 27 条不适用，但第 29 条的记录制作义务仍按其但书条件适用。
- 准备周期
- 估算：体制路径（合同 + 持续确保机制）3-6 周；同意路径 2-4 周（含告知文本编制与同意流程改造）。
- 约束力
- 第 28 条为法定义务，违反可由个人信息保护委员会依法采取指导、建议、命令等监督措施。本条目仅核实了第 28、29 条条文本身，未核实罚则条款的具体金额。
- 有效期
- 无固定有效期。第 28(3) 条的持续确保义务使其成为动态义务：接收方所在国制度变化或接收方实施状况恶化时，须重新评估并采取必要措施。版本提示：本条目依据的是个人信息保护委员会公布的合并文本英译；日本《个人信息保护法》设有定期检视机制，修法动向应另行跟踪，本轮未核实 2025-2026 年是否有已生效的第 28 条修订。
官方来源 ↗复核 2026-09-12
韩国
韩国 PIPA 个人信息国外移转（第 28 条之 8 至第 28 条之 11）
- 适用范围
- 《个人信息保护法》第 28 条之 8 第 1 款规定，个人信息处理者不得将个人信息向国外提供（包括被查询的情形）、处理委托或保管（本节统称「移转」），但符合下列情形之一的可以移转：(一) 取得信息主体关于国外移转的单独同意；(二) 法律、以大韩民国为当事方的条约或其他国际协定对个人信息国外移转有特别规定；(三) 为与信息主体订立及履行合同而确有必要进行个人信息的处理委托、保管，且符合以下之一：(甲) 已将第 2 款各项事项在依第 30 条制定的个人信息处理方针中公开；(乙) 已按电子邮件等总统令规定的方法将第 2 款各项事项告知信息主体；(四) 接受个人信息移转者取得依第 32 条之 2 的个人信息保护认证等保护委员会确定并公告的认证，且已采取以下全部措施：(甲) 个人信息保护所需的安全措施及保障信息主体权利所需的措施，(乙) 为在个人信息被移转的国家执行获认证事项所需的措施；(五) 保护委员会认定个人信息被移转的国家或国际机构的个人信息保护体系、信息主体权利保障范围、损害救济程序等具备与本法个人信息保护水平实质同等的水平。第 2 款列明取得第 1 款第 1 项同意时须事先告知的五项：被移转的个人信息项目；个人信息被移转的国家、时间及方法；接受移转者的姓名（法人则为名称及联系方式）；接受移转者的个人信息使用目的及保有使用期间；拒绝移转的方法、程序及拒绝的效果。第 3 款要求变更第 2 款任一事项时须告知信息主体并重新取得同意。第 4 款要求依第 1 款但书移转个人信息时须遵守本法关于国外移转的其他规定、第 17 条至第 19 条的规定及第 5 章的规定，并采取总统令规定的保护措施。第 5 款禁止订立以违反本法内容为内容的国外移转合同。
- 触发情景
- 无数量门槛。关键在于韩国法对「移转」的定义极宽：提供（包括被境外查询的情形）、处理委托、保管三者并列 —— 因此把韩国用户数据存放在境外云、由境外团队远程查询运维、或委托境外服务商处理，均属国外移转，须具备第 28 条之 8 第 1 款五项依据之一。配套条款须一并落地：第 28 条之 9 规定保护委员会在国外移转持续进行或预计将追加移转，且存在（一）违反第 28 条之 8 第 1、4 或 5 款，或（二）接受移转者或移转目的地国家/国际机构相较本法未适当保护个人信息、致信息主体发生损害或有发生损害的显著之虞的情形时，可命令个人信息处理者中止国外移转；收到中止命令的个人信息处理者可自收到命令之日起 7 日内向保护委员会提出异议。第 28 条之 10 规定对限制个人信息国外移转的国家的个人信息处理者可作相应限制（对等原则），但为履行条约或其他国际协定所必需的除外。第 28 条之 11 规定，依第 28 条之 8 第 1 款但书接受个人信息移转者向第三国再移转的，准用第 28 条之 8 与第 28 条之 9。
- 准备周期
- 估算：第 3 项路径（处理方针公开 / 告知）2-4 周；第 1 项单独同意路径 3-5 周（含同意界面改造）；第 4 项认证路径取决于接受移转者取得认证的进度，通常数月。
- 约束力
- 第 28 条之 8 为强制性法定义务。执法工具明确且直接：保护委员会可依第 28 条之 9 命令中止国外移转，个人信息处理者仅有 7 日异议期。第 28 条之 10 另设对等原则，允许对来自限制个人信息国外移转国家的个人信息处理者作相应限制 —— 中国企业尤应注意该条的潜在适用。本条目未核实罚则条款的具体金额。
- 有效期
- 无固定有效期，但受第 28 条之 9 中止命令的持续风险约束。版本提示：本条目依据的现行文本标注为「시행 2026. 9. 11.」「법률 제21445호, 2026. 3. 10., 일부개정」，即 2026-03-10 部分修订、2026-09-11 施行 —— 距本次核实仅一日，本轮未逐条比对该次修订对第 28 条之 8 至之 11 的影响（第 28 条之 8 条文本身仍标注 [본조신설 2023. 3. 14.]，未见新的改正标注），使用前建议复核该次修订的修订理由与新旧对照。此外，第 1 款第 3 项、第 4 款所依赖的总统令（施行令）细则本轮未核实。confidence 因此定为 medium。
官方来源 ↗复核 2026-09-12
印度
印度 DPDP 法限制名单机制（第 16 条）
- 适用范围
- 与欧盟「白名单」逻辑相反的负面清单模型。《2023 年数字个人数据保护法》（2023 年第 22 号法案）第 16(1) 条规定：中央政府可以通过公告，限制数据受托人（Data Fiduciary）为处理目的向经公告的境外国家或地区传输个人数据。第 16(2) 条规定：本条不得限制印度现行任何法律的适用，只要该法律就数据受托人向印度境外传输个人数据（针对任何个人数据、数据受托人或其类别）规定了更高程度的保护或更严格的限制。制度含义有二：第一，默认允许出境，只有被公告列入限制名单的目的地才受限；第二，部门性更严格规则优先 —— 例如金融、保险、电信等行业既有的本地化或传输限制不因本法而放松，这在实务中往往才是真正的约束条件。此外，第 17(1) 条规定，在为强制执行任何法律权利或主张而必要的处理等情形下，第二章（第 8 条第 (1) 和 (5) 款除外）、第三章及第 16 条不适用。
- 触发情景
- 无数量门槛，也无普遍性的传输前审批或合同要求 —— 触发条件完全取决于中央政府是否就特定国家或地区发布限制公告。本轮研究的重要限制：未能从印度官方渠道（MeitY、印度政府电子公报）核实 (1) 第 16 条是否已经生效实施、(2) 是否已发布任何限制名单公告、(3) 《数字个人数据保护规则》的公布与生效状态及其中关于境外处理的具体条款。因此本条目仅核实到 2023 年法案第 16 条的条文本身（来源为印度政府公报官方 PDF），生效与配套细则状态均未核实，confidence 定为 medium。实务判断必须回到 MeitY 与印度政府电子公报核对现行公告与规则原文；同时应逐一核对所在行业监管机构（如印度储备银行、印度保险监管与发展局、电信部门）的既有数据本地化与传输限制，这些依第 16(2) 条优先适用。
- 准备周期
- 估算：常态下 1-2 周（目的地清单比对与合同条款调整）；若目的地被列入限制名单，迁移工程通常需 2-6 个月，取决于数据量与系统耦合度。本轮未核实限制公告是否设有过渡期。
- 约束力
- 第 16(1) 条的限制一经公告即为强制性；第 16(2) 条明确本条不减损印度现行法中更高保护或更严限制的规定。本条目未核实违反第 16 条的具体处罚数额与执法主体程序。
- 有效期
- 无有效期概念；合规状态随中央政府公告动态变化。因限制名单可随时发布，依赖该默认许可的架构应保持可迁移性（多区域部署能力、数据可移植性）。本条目的生效与配套规则状态未核实，见 triggers 说明。
官方来源 ↗复核 2026-09-12
巴西
巴西 LGPD 国际数据传输（第 33 至 36 条）
- 适用范围
- 《通用数据保护法》（第 13.709/2018 号法律）第五章。第 33 条列举九项情形，国际数据传输仅在其一成立时被允许：(一) 向为个人数据提供与本法所规定水平相当的充分保护程度的国家或国际组织传输；(二) 控制者以下列形式提供并证明其遵守本法所规定原则、数据主体权利与数据保护制度的保障 —— (a) 针对特定传输的具体合同条款、(b) 标准合同条款、(c) 全球公司规则、(d) 依规定颁发的印章、证书与行为准则；(三) 为情报、调查与追诉公共机关之间依国际法文书开展国际司法合作所必需；(四) 为保护数据主体或第三人的生命或人身完整所必需；(五) 经国家主管机关授权该项传输；(六) 该传输源于国际合作协定中作出的承诺；(七) 为执行公共政策或公共服务的法定职责所必需，并按本法第 23 条第一项予以公示；(八) 数据主体已就该项传输作出具体且突出显示的同意，且事先被告知该操作的国际性质并与其他目的明确区分；(九) 为满足本法第 7 条第二项、第五项、第六项所定情形所必需。其中第八项（具体且突出显示的同意）与第二项 (a)(b) 的合同路径是中国企业最常实际用到的两条。第 33 条单款规定，为第一项之目的，《信息获取法》第 1 条单款所指的公法人在其法定职权范围内且就其活动负责的，可请求国家主管机关评估某国家或国际组织所提供的个人数据保护水平。第 34 条规定该保护水平由国家主管机关评估，评估须考虑：目的地国或国际组织现行立法的一般性与部门性规范；数据的性质；（其余各项）；以及与该传输有关的其他具体情形。第 35 条规定，第 33 条第二项所指标准合同条款内容的确定、以及对特定传输的具体合同条款、全球公司规则或印章证书行为准则的核验，由国家主管机关进行；核验须考虑符合本法权利、保障与原则的最低要求、条件与保障；国家主管机关在审查提交批准的合同条款、文件或全球公司规则时，必要时可要求补充信息或就处理操作开展核验；可指定认证机构执行该职能并对其进行监督；认证机构的行为可由国家主管机关复核，不符合本法的可被要求复审或宣告无效；第 35 条第 5 款还规定，关于遵守一般保护原则与数据主体权利的充分保障，还应根据操作者依第 46 条第 1、2 款采取的技术与组织措施进行分析。第 36 条规定，作为遵守一般保护原则与数据主体权利的充分保障而提交的保障措施如发生变更，应当通知国家主管机关。
- 触发情景
- 无数量门槛。任何将个人数据传出巴西的行为均适用第 33 条，须落入其列举情形之一。2026 年的重大变化：据欧盟委员会充分性页面（2026-09-12 抓取），欧盟与巴西已相互作出充分性认定（欧盟侧文件日期 2026-01-26，双方联合公告 2026-02-10），欧盟委员会称之为「全球最大的自由与安全数据流动区域」。这对中国企业的实际含义是：欧盟↔巴西之间的流动因互认而简化，但中国↔巴西之间并不因此获得便利，中国主体仍须依赖第 33 条第二项的合同/全球公司规则/认证路径。本轮未能从 ANPD 官方站点取得其标准合同条款规范（cláusulas-padrão contratuais）的原文，因此其条款结构、过渡期与是否须向 ANPD 提交等具体要求均未核实；confidence 定为 medium。
- 准备周期
- 估算：合同路径 3-6 周（含 ANPD 规范条款文本对照与技术组织措施说明编制）；全球公司规则路径须经国家主管机关核验，周期本轮未核实，应按项目单独评估。
- 约束力
- 第 33 条为强制性规定，不符合其列举情形的国际传输不被允许。合同、全球公司规则与认证路径的内容由国家主管机关确定与核验，企业不能自拟文本替代。本条目未核实 LGPD 项下针对违法国际传输的具体处罚数额。
- 有效期
- 第 33 条本身不设有效期；但依第 36 条，作为充分保障提交的保障措施发生变更须通知国家主管机关，且依第 35 条第 4 款，认证机构的行为可由国家主管机关复核，不符合本法的可被要求复审或宣告无效 —— 即经认证路径取得的依据存在被事后推翻的风险。ANPD 规范的版本与过渡期本轮未核实。
官方来源 ↗复核 2026-09-12
阿联酋
阿联酋跨境传输：联邦 PDPL（第 22、23 条）与 DIFC 数据保护法（第 26、27 条）
- 适用范围
- 阿联酋存在并行的两套规则，选址决定适用哪一套。境内（onshore）适用《2021 年第 45 号联邦法令法》：第 22 条「在具备适当保护水平情况下的跨境传输与共享」规定，在经数据办公室（Bureau）批准的下列情形下个人数据可传输至境外 —— 1. 个人数据所传输至的国家或省份须有处理个人数据保护的立法，包括与保护数据主体个人数据的隐私与保密、及其行使法定权利的能力有关的最重要的规定、措施、控制、条件与规则；该国家或省份还须有对控制者或处理者施加适当措施的司法或监管机关；2. 该国加入与个人数据保护有关的、与数据所传输至的国家缔结的双边或多边协议。第 23 条「在不具备适当保护水平情况下的跨境传输与共享」规定，尽管有第 22 条，个人数据可在下列情形下传输至境外：a. 在不存在数据保护法的国家运营的公司，可依据合同或协议传输数据，该合同或协议要求这些国家的公司采纳本法令法规定的措施、控制与要求，并载有强制控制者或处理者采纳这些国家司法或监管机关所施加适当措施的条款；b. 数据主体明确同意将其个人数据传输至境外，且该传输不与本国公共利益或安全利益相抵触；c. 传输为在司法实体面前履行义务与确立权利、行使或抗辩该等权利所必需；d. 传输为签署或履行控制者与数据主体之间、或控制者与第三方之间为数据主体利益订立的合同所必需；e. 传输为执行与国际司法合作有关的行为所必需；f. 传输为保护公共利益所必需。第 23 条第 2 款规定，本法令法的实施细则（Executive Regulations）载明第 1 款所述的、在数据传输至境外时应遵守的控制与条件。DIFC 自由区适用《2020 年第 5 号 DIFC 数据保护法》（2025 年 7 月合并版）：第 26 条「向 DIFC 境外传输：充分保护水平」规定，涉及将个人数据从 DIFC 传输至第三国或国际组织的处理，仅在下列情况下可进行 —— (a) 适用法律确保对该个人数据的充分保护水平（按第 26(2)、(3) 条所列），包括就个人数据的转移而言；或 (b) 依第 27 条进行。第 26(2) 条列明专员（Commissioner）作出充分性认定时考虑的要素：法治、对个人权利的一般尊重与个人通过行政或司法救济执行其权利的能力；公共机关对个人数据的访问；有效数据保护法的存在，包括关于向第三国或国际组织转移个人数据的规则；一个或多个独立、有能力的数据保护或类似监管机关的存在与运作及其充分的执法权；对该第三国或国际组织具有约束力的国际承诺与公约及其在任何多边或区域组织的成员资格。第 26(3) 条允许专员基于其他有权数据保护机关在考虑了第 26(2)(a) 至 (e) 相同要素后作出的充分性决定，自行裁量作出认定。第 26(4) 条要求专员通过条例（Regulations）公布其第 26(2)、(3) 条项下的认定细节。第 26(5) 条允许专员废止、修改或暂停任何第三国、地域、部门或国际组织的充分性地位，必要时发布修订后的条例。第 26(6) 条明确，依第 26 条的处理无需专员的任何特别授权或通知（本法其他可适用条款要求者除外）。
- 触发情景
- 两套规则均无数量门槛。DIFC 的无充分性通道见第 27 条：第 27(1) 条允许在下列条件下向第三国或国际组织传输 —— (a) 相关控制者或处理者已提供适当保障（如第 27(2) 条所述），且数据主体的可执行权利与有效法律救济可用；(b) 适用第 27(3) 条的特定减损之一；或 (c) 适用第 27(4) 条的有限情形。第 27(2) 条列明适当保障可由以下方式提供：(a) 公共机关之间具法律约束力的文书；(b) 具约束力的公司规则（受第 27(6) 条约束）；(c) 由专员依规定制定此类条款程序的条例所采纳的标准数据保护条款；(d) 依第 48 条获批准的行为准则，连同第三国或国际组织中控制者或处理者关于适用适当保障（包括就数据主体权利而言）的具约束力与可执行承诺；(e) 依第 50 条获批准的认证机制，连同同样的具约束力与可执行承诺。第 27(3) 条列明减损：(a) 数据主体在被告知因缺乏充分性决定或适当保障而产生的可能风险后明确同意；(b) 为履行数据主体与控制者之间的合同或应数据主体请求实施缔约前措施所必需；(c) 为控制者与第三方之间为数据主体利益订立的合同的订立或履行所必需；(d) 为重大公共利益（Substantial Public Interest）的理由所必需；(e) 为 DIFC 的利益（包括 DIFC 机构适当履行其职能的利益）所必需或法律要求；(f) 为确立、行使或抗辩法律主张所必需；(g) 为保护数据主体或他人的重大利益而在数据主体身体上或法律上无法同意时所必需；(h) 依适用法律与第 9(1)(f) 条数据最小化原则、从旨在向公众提供信息（且向公众或能证明正当利益者开放查阅）的登记簿作出的传输；(i) 在第 28 条约束下，该传输为遵守控制者所受适用法律项下义务所必需，或应监管机构、警方、其他政府机关或主管机关的合理要求作出；(j) 在符合国际金融标准的前提下，该传输为维护控制者在国际金融市场获认可的正当利益所必需，但被数据主体基于其特定处境的正当利益压倒的除外；(k) 该传输为遵守适用于控制者或处理者的反洗钱或反恐融资义务、或为预防或侦查犯罪所必需。第 (i)(j)(k) 项在实务中至关重要 —— 涉及应监管机构/执法机关要求的传输，不要把第 27(3) 条误读为只有 (a) 至 (h) 八项。另依第 27(6) 条，受 DIFC 法约束的公共机关不得援引第 27(3)(a)(b)(c) 项或第 27(4) 条。境内 PDPL 的关键待定事项：第 28 条规定内阁应基于数据办公室总干事的提议发布本法令法的实施细则；第 29 条规定控制者与处理者应自实施细则发布之日起在规定期限内使其状态符合本法令法规定，内阁可再延长同样期限。核实说明：上述两条的具体月数在本轮取得的官方阿拉伯文 PDF 中未能从文本层读出（数字未被嵌入可提取文本），故此处不写死月数。同时，阿联酋立法门户对非浏览器客户端一律返回 403，本轮无法核实其「Related legislations」面板；在阿联酋政府官方平台 u.ae 的数据保护法页面上亦未见实施细则。因此第 23 条末款所授权的具体控制与条件是否已落地无法确认，境内合规的可执行细节存在不确定性 —— confidence 因此定为 medium，使用前须重新核查实施细则状态。
- 准备周期
- 估算：DIFC 合同/BCR 路径 3-8 周；境内 PDPL 合同路径 3-6 周，但实施细则状态未确认，文本可能需在细则明确后调整。第 22 条所述「经数据办公室批准」的具体程序与时限本轮未核实。
- 约束力
- 两套规则均为强制性。DIFC 侧的适当保障须辅以数据主体可执行权利与有效法律救济；境内侧第 23 条 a 项的合同须实质性地把本法令法的措施、控制与要求施加于境外公司，而非仅作一般性保密承诺。本条目未核实两套规则项下的具体处罚数额。
- 有效期
- DIFC 充分性认定可被专员依第 26(5) 条废止、修改或暂停，必要时发布修订后的条例，因此须跟踪条例版本。境内 PDPL 的关键时间线仍取决于实施细则：第 28 条要求内阁基于数据办公室总干事的提议发布细则，第 29 条给予控制者与处理者自细则发布之日起一段规定期限的整改期（可由内阁再延长同样期限）；两条的具体月数本轮未能从官方阿拉伯文文本的可提取文本层读出，故不写死。2026-09-12 核实时，阿联酋立法门户对非浏览器客户端返回 403，u.ae 的数据保护法页面亦未列出实施细则，细则是否已发布无法确认。
官方来源 ↗复核 2026-09-12
沙特阿拉伯
沙特 PDPL 境外传输与披露（第 29 条）
- 适用范围
- 《个人数据保护法》第 29 条第 1 款规定，在符合第 2 款规定的前提下，控制者可为实现下列任一目的将个人数据传输至沙特境外或向境外一方披露：A. 与履行沙特作为一方的协议项下义务有关；B. 为服务于沙特的利益；C. 为履行数据主体作为一方的义务；D. 为实施细则（Regulations）所列的其他目的。第 2 款规定，依第 1 款进行传输或披露时必须满足的条件为：A. 传输或披露不得对国家安全或沙特的重大利益造成任何损害；B. 境外须对个人数据具有充分的保护水平，该保护水平至少应等同于本法与实施细则所保障的保护水平，依主管机关（Competent Authority）与其认为适当的其他相关机关协调后开展的评估结果确定；C. 传输或披露应限于所需的最少量个人数据。第 3 款规定，第 2 款不适用于为保全数据主体生命或重大利益、或为预防、检查或治疗疾病的极端必要情形。第 4 款规定，实施细则应载明与执行本条有关的规定、标准与程序，包括控制者就第 2 款 B 项与 C 项所述条件的适用豁免，以及此类豁免的控制与程序。
- 触发情景
- 无数量门槛。第 29 条的结构与欧盟不同：它先设定目的门槛（第 1 款四项），再叠加三项条件（第 2 款 A、B、C），二者须同时满足。实务上最关键的是第 2 款 B 项 —— 「充分保护水平」由主管机关（SDAIA）与其认为适当的其他相关机关协调后开展的评估确定，即适格性判断的权力在监管机关而非企业；第 2 款 C 项的最小化要求则是逐笔传输都要能证明的。本轮研究的重要限制：第 29 条第 4 款把具体规定、标准、程序以及对第 2 款 B、C 项条件的豁免与其控制程序全部授权给实施细则，而本轮未能从沙特官方站点取得该实施细则（含专门的境外数据传输规范）的原文 —— 因此现行豁免清单、被认定为具备充分保护水平的国家名单、是否需要向 SDAIA 提交风险评估或登记，均未核实。confidence 定为 medium，使用前必须回到 SDAIA 公布的实施细则与数据传输规范原文核对。
- 准备周期
- 估算：2-6 周（目的与条件判定、最小化论证与合同条款）。若需依赖实施细则项下的豁免程序，其申请周期本轮未核实，应按项目单独评估。
- 约束力
- 第 29 条为强制性规定：不满足第 1 款目的门槛或第 2 款条件的境外传输或披露不被允许。第 2 款 A 项的国家安全与重大利益条款赋予监管机关较大裁量空间，涉及政府、能源、国防相关客户数据时尤须谨慎。本条目未核实违反第 29 条的具体处罚数额与执法程序。
- 有效期
- 第 29 条本身不设有效期；但第 2 款 B 项的保护水平依主管机关评估结果确定，评估结果变化即影响传输的合法性。本条目依据的是 SDAIA 发布的修订版英文文本（V2, 23 April 2023）；该英文文本第 43 条规定本法自在官方公报公布之日起 720 日后生效，本轮未核实其公布日期与由此推算的生效日，亦未核实实施细则的版本与修订情况。
官方来源 ↗复核 2026-09-12
机制信息取自本站内容语料，每条附官方来源与复核日期；上方规则提示按你的勾选给出，不替你决定签署哪种机制。具体签署前请配合您信任的律所核对。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。