首页 / 数据合规与隐私 / 个人信息出境标准合同怎么签？适用条件和备案流程是什么？

个人信息出境标准合同怎么签？适用条件和备案流程是什么？

数据合规与隐私 • 2 周前

一句话回答：只要你的企业不是关键信息基础设施运营者、处理的个人信息不满一百万人，并且自上年1月1日起累计向境外提供个人信息不满十万人、敏感个人信息不满一万人，就可以走“标准合同”这条路把个人信息传出境；合同要严格按照网信办模板签，并在生效之日起十个工作日内向所在地省级网信部门备案。

一、法律依据：个人信息出境标准合同办法

2023年6月1日起施行的《个人信息出境标准合同办法》（国家互联网信息办公室令第13号）规定，同时符合下列情形的个人信息处理者，可以通过订立标准合同的方式向境外提供个人信息：一是非关键信息基础设施运营者；二是处理个人信息不满一百万人；三是自上年1月1日起累计向境外提供个人信息不满十万人；四是自上年1月1日起累计向境外提供敏感个人信息不满一万人。办法同时要求：标准合同应当严格按照官方附件订立；个人信息处理者应当在标准合同生效之日起十个工作日内，向所在地省级网信部门备案。（具体以国家网信办公布的办法原文为准。）

二、三条出境路径怎么选

个人信息出境目前主要有三条路：安全评估、标准合同、个人信息保护认证。安全评估门槛最高，比如关键信息基础设施运营者，或者处理个人信息达到一百万人以上等情形；标准合同适合中小规模、场景相对简单的企业；认证适合追求长期合规体系的跨国企业。三者不能随便换——达到安全评估门槛的，就必须做评估，不能只签标准合同绕过去。

三、实务中要注意什么

实务里企业最容易踩三个坑：一是把“个人信息出境”理解成只有传文件才算，员工信息、客户名单通过系统、邮件、境外总部服务器同步，其实都算出境；二是自己改合同模板，标准合同必须按官方附件来，擅自改动核心条款可能导致备案被退回；三是忘了备案时限，十个工作日是从合同“生效”起算，不是从签字那天起算。再提醒一句，标准合同不是“一签了之”，个人信息处理情况发生变化的，还要做个人信息保护影响评估（PIPIA）并留存记录。

四、案例分析

（示意情景，非真实个案）某跨境电商公司把国内用户的姓名、电话、收货地址同步到境外仓储系统，处理的个人信息约二十万人，上一年度累计向境外提供约四万人。由于它不是关键信息基础设施运营者，人数也都在门槛以内，可以选择与境外接收方签订标准合同，并在合同生效后十个工作日内向省级网信部门备案。反过来，如果该公司没做任何手续就把信息传出去，则可能面临责令改正、警告、罚款等处罚。

五、常见问题

问：标准合同和安全评估哪个门槛低？
答：标准合同门槛低。达到安全评估标准（如处理个人信息一百万人以上等）的，必须做安全评估，不能改走标准合同。

问：标准合同要备案吗？多久内？
答：要。合同生效之日起十个工作日内，向所在地省级网信部门备案。

问：合同可以自己改吗？
答：核心条款不能改，必须严格按照官方附件订立；擅自改动可能导致备案不通过。

问：备案了是不是就一劳永逸？
答：不是。处理情况变化的，要重新评估、更新合同；同时要完成个人信息保护影响评估并留存记录。

问：把员工信息传到境外总部算不算出境？
答：算。员工的个人信息同样是个人信息，跨境传输同样可能触发上述规则。