一句话回答：《个人信息保护法》给了三条通道，选哪一条取决于你的数据出境规模和数据类型，而不是取决于哪条省事——安全评估适用于高风险场景，标准合同和认证适用于中等规模，小规模出境可以免办手续但仍然要履行告知等义务。
一、法律依据：三条路径的原文
《个人信息保护法》第三十八条规定，个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。该条还规定，我国缔结或者参加的国际条约、协定对向境外提供个人信息的条件等有规定的，可以按照其规定执行；处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的保护标准。
第四十条进一步规定，关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内；确需向境外提供的，应当通过国家网信部门组织的安全评估。
二、三种情形的对应关系
结合《数据出境安全评估办法》《个人信息出境标准合同办法》和《促进和规范数据跨境流动规定》，实务上可以这样对号：向境外提供重要数据、关键信息基础设施运营者向境外提供个人信息、以及自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息的，必须申报安全评估；累计向境外提供10万人以上不满100万人普通个人信息，或者不满1万人敏感个人信息的，可以选择订立标准合同并备案，或者通过个人信息保护认证；累计向境外提供不满10万人普通个人信息且不含敏感个人信息的，免予办理上述手续。
另有一类豁免值得中小企业记住：按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理、确需向境外提供员工个人信息的，可以免予申报安全评估、订立标准合同或者进行认证。注意这里的条件是"依法制定的劳动规章制度"加"依法签订的集体合同"，不是公司自己发个通知就算；而且免的只是出境手续，对员工的告知义务、最小必要原则、内部记录义务仍然要履行，涉及敏感个人信息从严。
三、中小企业怎么选：一点实务建议
第一，先算数再选路径。把过去一年（以及本年度至今）向境外提供个人信息的数量按口径统计出来，是几十人、几万人还是上百万人，路径基本就定了。数量统计建议保留原始台账，口径一旦被质疑，台账就是证据。
第二，路径选定后要把文件做实。走标准合同，核心条款不能自行改动，订立后还要在法定时限内向省级网信部门备案；走认证，要与专业机构对接、准备体系文件；走安全评估，要准备自评估报告与法律文件。三条路都不是"签个字就完事"。
第三，把跨境场景当成日常合规事项管理。很多企业的跨境传输不是一次性项目，而是每天都在发生的系统行为（境外总部访问、海外客服系统、跨国HR系统）。建议建立出境场景清单，明确每类数据的路径、责任人和更新频率。
第四，本回答所述档位以国家网信部门现行规定为准，涉及重要数据、敏感个人信息的场景建议在落地前做一次专项评估。
五、常见问题（FAQ）
问：个人信息出境有几条合规路径？
答：有三条通道：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按照国家网信部门制定的标准合同与境外接收方订立合同。
问：什么情况下必须申报安全评估？
答：向境外提供重要数据、关键信息基础设施运营者向境外提供个人信息，以及自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息的，必须申报安全评估。
问：累计向境外提供10万人以上不满100万人普通个人信息，可以走哪条路？
答：可以选择订立标准合同并备案，或者通过个人信息保护认证。
问：跨境人力资源管理传出员工个人信息，要办出境手续吗？
答：按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理、确需向境外提供员工个人信息的，可以免予申报安全评估、订立标准合同或者进行认证。
问：中小企业选路径前第一步要做什么？
答：先算数再选路径，把过去一年（以及本年度至今）向境外提供个人信息的数量按口径统计出来，数量统计建议保留原始台账。
相关阅读
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512