一句话回答：数据出境负面清单是各自贸试验区在国家授权下制定的“重点领域数据清单”，纳入清单的数据出境要按规定走安全评估等程序，清单之外的数据出境一般可以免于申报，企业先对照清单判断，再决定是否要办手续。

一、负面清单是什么、谁定的？

2024年3月22日，国家网信办发布《促进和规范数据跨境流动规定》，其中明确授权自由贸易试验区可以自行制定需要纳入管理的重点领域数据出境负面清单。也就是说，负面清单不是全国一张纸，而是各自贸试验区结合本地产业特点制定的清单和配套管理办法。2024年8月，北京率先发布《中国（北京）自由贸易试验区数据出境负面清单管理办法（试行）》及负面清单（2024版），是全国首个场景化、字段级的清单；此后天津、重庆、广东、福建、海南等地陆续出台自己的清单和政策解读。企业第一步，就是先确认自己注册或经营地落在哪个自贸试验区，再找对应的最新清单。

二、清单怎么用？企业怎么判断？

判断路径其实就三步。第一，先判断拟出境的数据是否属于“重要数据”，属于重要数据的，出境要按《数据出境安全评估办法》申报安全评估，这一条不受负面清单影响。第二，对不属于重要数据的一般数据，看它是否落入所在自贸区负面清单所列的场景、行业和字段；落在清单内的，按清单要求履行相应手续或适用管理措施。第三，落在负面清单之外的，通常可以免于申报数据出境安全评估、订立标准合同或者做个人信息出境认证，但仍要履行个人信息保护法规定的告知、单独同意等基础义务。说得直白些：负面清单是用来“划边界”的，不是只要在清单外就什么都随便传。

三、不按清单办会有什么后果？

该申报安全评估而不申报、或者超范围出境的，主管部门可以责令改正、警告甚至罚款，情节严重的处罚更重；企业还可能因合规瑕疵在跨境业务中被交易对方或监管问询卡住。所以涉及跨境传输的企业，至少要把“是否属于重要数据、是否落入负面清单”这两个判断形成书面记录，以备核查。

四、案例分析

以下为示意情景。某智能装备企业设在某自贸片区内，拟将境外客户的设备运行数据传输给海外售后团队。企业先评估认为不属于重要数据，再对照本片区负面清单，发现该类数据未被列入，于是依据规定免于申报安全评估，同时按个人信息保护法对其中涉及的客户信息单独取得同意并做去标识化处理。这个思路就是负面清单的典型用法：先定性质，再看清单，最后补基础合规义务。

五、常见问题（FAQ）

问：负面清单是全国统一的吗？

答：不是。它由各自贸试验区在国家授权下自行制定，各地区清单和管理办法不同。

问：清单外的数据可以直接出境吗？

答：一般可免于申报安全评估等程序，但仍须履行告知、单独同意等个人信息保护法义务。

问：重要数据也看负面清单吗？

答：重要数据出境要申报安全评估，不因负面清单而免除。

问：不做合规判断有什么风险？

答：可能被责令改正、警告、罚款，情节严重的处罚更重，也影响跨境业务。

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512