数据出境合规三条路径决策表：安全评估、标准合同、认证怎么选

数据出境先查主体、数据性质与豁免，再按当年累计人数选路径。触发安全评估不能用合同或认证替代；认证新规已于2026年1月1日施行。

本文作者：王冠｜北京浩略律师事务所联合创始人｜执业证号：11101202111297085｜业务领域：企业顾问与数据合规｜咨询电话：17813108512

不是所有数据出境都要“三选一”

先识别实际数据流：存储、发送、境外访问，以及每个处理者、接收方、用途和字段。再确认是否涉及个人信息、敏感个人信息、重要数据或关键信息基础设施运营者。数据留在境内服务器不等于没有境外提供风险；业务名称叫“内部使用”也不当然豁免。

按网信办令16号第2条，未被相关部门、地区告知或公开发布为重要数据的，不需要作为重要数据申报出境安全评估；不能把此项放宽误说成企业可以不做分类识别。行业、地区及自贸区适用事项要核实际正式清单，不用通用模板取代。

先排查哪些免予三项机制的情形？

16号令第3—6条分别规定不含个人信息或重要数据的特定业务数据、境外收集传入且处理未引入境内个人信息或重要数据、个人合同必要、依法开展跨境人力资源管理、紧急保护，以及非关基运营者低数量和适用自贸区清单等情形。每一项都有事实和适用条件，并非集团、员工或贸易数据自动全豁免；第5条所称个人信息不包括重要数据。

合同必要要确为订立履行个人作为一方当事人的合同所需；跨境人力资源管理要核依法制定劳动规章制度、依法签订集体合同及必要性。仅是企业觉得方便，不足以代替条件证明。免的是规定所列出境机制，不是个人信息保护、安全和行业义务的全面豁免。

排除适用豁免后，如何按人数判断？

表内“一般个人信息”指不含敏感个人信息的个人信息；人数不是数据条数，统计应保留可复核底稿。恰好10万人进入中档，恰好100万人或敏感个人信息1万人进入评估档。法条使用“自当年1月1日起”，旧稿的“自上年1月1日起”不能继续用于这张现行判断表。各项法定豁免及行业特别规则要先行衔接，不能只套数量。

标准合同要准备什么，什么时候备案？

适用标准合同的，应依法开展个人信息保护影响评估，与境外接收方签订规定的标准合同，并按13号令第7条在合同生效之日起十个工作日内向所在地省级网信部门备案。生效后方可依该机制开展相应活动，不把备案当成可无限补办的形式。13号令原数量条件与16号令不一致之处，按16号令第13条衔接，不再原封不动套旧四要件。

资料至少涵盖数据流、主体和接收方、合法基础、目的必要性、影响评估与合同保障。目的、范围、种类、敏感程度、用途方式或其他关键情形变化时，按规定重新评估并补充或重新订约、备案，不能认为签一次覆盖所有新业务。

2026年认证新规与安全评估怎样衔接？

网信办、市场监管总局令20号已于2026-01-01施行，符合条件的处理者向具备资质的专业机构申请个人信息出境认证，不是企业自行出一张合规证明。证书有效期三年，需要继续使用时应在届满前六个月申请；认证范围改变、不再符合要求时可能暂停或撤销。

2026年9月网信办官方问答明确，已经认证但当年累计出境量达到评估门槛的，仍须申报安全评估，认证情况可作为评估参考。也允许存在个人信息出境行为的处理者不论规模申请认证提升合规能力。故旧稿“三条路径绝不能同时用”过于绝对；准确说法是不得以合同或认证规避依法应做的安全评估，不同场景和后续增长应分别管理。

安全评估结果有效期由16号令第9条调整为三年，符合条件可按规定申请延期；这与认证证书的三年及其申请时点是两套规则，不能混为一张续期日历。

免予机制后，还需哪些个人信息义务？

仍应按个人信息保护法第13条等判断处理基础、必要性和告知，依法核对第39条的出境告知、单独同意以及第55—56条影响评估等要求。不能一方面说“豁免就不用保护”，另一方面又脱离第13条不需同意情形，说每一种处理基础都一律只能靠同意。按实际处理基础和场景逐项列依据。

常见问题

法律依据与核对范围

• 个人信息保护法第13、38—40、55—56条
• 网信办令16号第2—13条：豁免、当年阈值与评估有效期
• 网信办令13号第5—8条：影响评估、合同与十个工作日备案
• 网信办/市场监管总局令20号：2026-01-01起施行的认证制度
• 网信办2026年9月政策问答：认证与增长后安全评估的衔接

法源核对日期：2026-11-03。本文为一般法律信息，不构成个案意见；行为时间、事实、适用版本与有权机关要求须分别核对。

2026年规则与可下载核查表

结合AI与数据出境合规决策表（v1.1）核对认证、拟人化互动及小型处理者新规，按主体、数据性质、豁免和当年累计出境人数分别判断。

2026-11-03实质更新；保留网站原作者及首次发布日期，原始稿件和历史更新记录另行留档。