什么是数据出境安全

数据出境安全

数据出境安全是指通过法律规范、技术防护和管理机制，保障境内收集产生的数据在跨境传输、存储和使用中不被非法获取、篡改或滥用，核心目标是平衡数据跨境流动需求与国家安全、个人信息权益保护的关系。中国已构建起层次清晰的管理体系，仅对重要数据和个人信息实施重点监管，一般数据可自由跨境流动。

一、核心法律法规框架

数据出境安全管理以 “三法三规” 为核心支撑。《网络安全法》《数据安全法》《个人信息保护法》从法律层面划定底线，明确重要数据出境需安全评估，个人信息出境有多重合规路径。配套的《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》则细化实施规则，比如将安全评估结果有效期延长至 3 年，还可申请再延长 3 年。这些法规既保障企业合法数据跨境需求，又对涉及安全的敏感数据实施必要监管。

二、数据分类与出境判定

数据按重要性分为核心数据、重要数据和一般数据。核心数据直接关乎国家安全，如军事数据、核心技术信息；重要数据泄露会危害公共利益，依据《网络数据安全管理条例》，指特定领域、规模或精度的数据，如人口健康、金融账户信息等，识别可参照 GB/T 43697-2024 标准。

数据出境的判定不限于物理传输，还包括境外主体查询、调取境内存储数据，或在境外处理境内自然人信息等情形。值得注意的是，未被明确告知为重要数据的，无需按重要数据申报评估。

三、三大合规路径与豁免情形

1. 安全评估路径

这是最严格的合规方式，适用于关键信息基础设施运营者向境外提供个人信息或重要数据、出境数据含重要数据，以及累计提供 100 万人以上个人信息或 1 万人以上敏感个人信息的情形。申报前需开展风险自评估，重点核查出境目的合法性、接收方保护能力等，再通过省级网信部门报送国家网信部门，评估周期通常 45 个工作日，复杂情况可延长至 60 个工作日。截至 2025 年 3 月，国家网信办完成的 298 个评估项目中，44 个涉及重要数据，15.9% 未通过评估。

2. 标准合同与认证路径

非关键信息基础设施运营者，若累计提供 10 万至 100 万个人信息或不满 1 万敏感个人信息，可选择与境外接收方签订标准合同并备案，或通过个人信息保护认证。标准合同需在生效后 10 个工作日内向省级网信部门备案，认证则由第三方机构实施，侧重从专业视角监督数据保护水平，与安全评估的国家安全视角、标准合同的双方约定视角形成互补。

3. 豁免情形

部分场景可免予上述合规程序，包括为履行个人跨境合同（如购物、签证）提供个人信息，国际贸易中不含敏感数据的信息传输，境外收集数据境内处理后再出境且未引入境内敏感数据，以及自贸试验区负面清单外的数据流动等。目前天津、上海等多地自贸试验区已备案负面清单，覆盖汽车、医药等 17 个领域。

四、风险评估与安全措施

数据处理者需先开展风险自评估，内容包括出境目的是否必要、数据敏感程度与泄露风险、境外接收方法律环境及保护能力，以及再转移风险等。技术防护方面，传输环节应采用 TLS 1.3 等加密协议，存储采用 AES-256 等算法，敏感数据需进行静态或动态脱敏，确保无法关联到特定个人。同时要建立访问控制机制和全量日志系统，日志需留存至少 3 年，并制定数据泄露应急预案。

五、企业合规与法律责任

企业合规需先梳理数据资产并分类分级，再按流程选择合规路径：关键设施运营者或涉及重要数据的走安全评估；个人信息规模达标但未到评估门槛的选合同或认证；符合豁免条件的可直接出境。跨国集团若子公司业务相似，可由集团合并申报以提高效率。

违法违规将面临多层处罚：未履行保护义务最高罚 200 万元，违法提供重要数据最高罚 1000 万元；情节严重的会被暂停业务或吊销执照；造成损失需承担民事赔偿，构成犯罪的追究刑事责任。

六、企业合规实施步骤