个人信息出境认证是什么？与标准合同、安全评估的区别

一句话回答：从2026年1月1日起，企业向境外提供个人信息，除了“安全评估”“标准合同”，还可以走“个人信息保护认证”这条路——由专业机构对企业的个人信息保护能力做合格评定，通过认证即视为具备法定的出境条件之一。

一、法律依据：个人信息出境的“三条路”

《个人信息保护法》第三十八条规定，个人信息处理者因业务等需要，确需向境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。

第四十条进一步明确：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在境内收集和产生的个人信息存储在境内，确需向境外提供的，应当通过安全评估。

二、认证、标准合同、安全评估有什么区别

直白说，三条路的适用对象和成本不同。安全评估是“门槛最高的一档”，关键信息基础设施运营者、以及处理个人信息达到规定数量的处理者，必须走安全评估，向网信部门申报。标准合同适用于不属于上述情形、又需要向境外提供个人信息的企业，要与境外接收方签订标准合同并向省级网信部门备案。认证则是由专业机构认证，适合境外接收方较多、希望“一次认证、多场景使用”的企业。具体适用标准以国家网信部门最新规定为准。

三、《个人信息出境认证办法》讲了什么

《个人信息出境认证办法》由国家互联网信息办公室、国家市场监督管理总局以第20号令公布（2025年10月14日公布），自2026年1月1日起施行，依据《个人信息保护法》《网络数据安全管理条例》等制定，目的是规范个人信息出境认证活动、保护个人信息权益、促进个人信息高效安全跨境流动。它的落地，标志着个人信息跨境的“安全评估、认证、标准合同”三元治理体系全面建成。

四、实务中要注意什么

第一，认证不是想选就选：属于关键信息基础设施运营者或达到规定数量的处理者，仍必须走安全评估。第二，认证通常会先考察企业是否建立了个人信息保护的管理体系，包括制度、技术措施、影响评估、权限管理等，体系不健全很难通过。第三，认证有有效期，认证机构应是依法设立的专业机构，具体以官方公布名录和认证规则为准。第四，无论走哪条路，向境外提供个人信息前都应向个人告知境外接收方信息并取得单独同意（个保法第39条）。

五、案例分析（示意情景）

（示意情景，非真实案例）某跨境电商企业B，其境外总部、境外仓储物流商、境外支付机构都要接收中国用户个人信息。若逐一签订标准合同，管理成本和备案工作量都很大。B选择建立个人信息保护体系并申请个人信息保护认证，以一份认证覆盖多类境外接收场景，同时保留与境外接收方的数据处理协议。这类选择是否可行，取决于B是否属于必须安全评估的情形。

六、常见问题（FAQ）

问：个人信息出境认证是企业必须做的吗？

答：不是。安全评估、标准合同、认证是三条可选路径，符合个保法第38条任一情形即可，但达到安全评估门槛的必须走安全评估。

问：认证和标准合同哪个更省事？

答：取决于业务。标准合同适合境外接收方较少的场景；认证适合境外接收方多、希望一份认证覆盖多场景的企业，具体以官方规定为准。

问：什么情况下必须做安全评估？

答：关键信息基础设施运营者，以及处理个人信息达到国家网信部门规定数量的处理者，向境外提供个人信息应当通过安全评估。

问：向境外提供个人信息还要告知个人吗？

答：要。按个保法第39条，应告知境外接收方名称、联系方式、处理目的方式、信息种类及行权方式等，并取得个人单独同意。

问：认证由谁来发？

答：由依法设立的专业认证机构依照国家网信部门的认证规则开展，具体机构名录以官方公布为准。

个人信息出境认证是什么？和标准合同、安全评估有什么区别、怎么办理？