促进和规范数据跨境流动规定
本文用于回答数据跨境最常见的问题：这条数据流是否属于出境、能否豁免、需要安全评估/标准合同/认证中的哪一条路径，以及后续如何持续合规。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《促进和规范数据跨境流动规定》 |
| 发布/施行 | 2024年3月22日公布并施行 |
| 主要适用对象 | 开展数据出境活动的数据处理者 |
| 核心问题 | 重要数据判断、豁免场景、数量门槛、三种出境路径、自由贸易试验区负面清单、评估有效期 |
| 官方来源 | 国家互联网信息办公室 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。本规定与2022年安全评估办法、2023年标准合同办法不一致的，适用本规定。
安全要求与实施
先画清真实跨境数据流
法规要求｜第1—4条。 数据处理者需要基于数据来源、是否含个人信息/重要数据、处理地点和出境方式判断具体跨境活动适用规则。
落实与验收。
- 从跨境网络连接、海外云、境外SaaS、远程访问、集团共享和第三方服务建立真实出境数据流地图。
- 每条数据流记录来源、数据种类、个人信息/敏感个人信息规模、重要数据属性、境外接收方、国家地区、目的和传输方式。
- 区分境内产生数据出境、境外产生数据回传后再次出境等不同情形，避免只按服务器所在地粗略判断。
- 数据流发生变化时自动触发路径重判。
验收证据。
- 从网络出口、云账号和海外SaaS反查出境清单，是否存在“技术上已出境、台账里没有”的数据流？
- 随机抽一条跨境链路，能否说清数据从哪里产生、在哪处理、最终给谁？
- 境外采集后回传境内的数据，在境内处理过程中是否引入了新的境内个人信息或重要数据？
正确判断豁免场景
法规要求｜第3—6条等。 规定对不含个人信息和重要数据的特定跨境活动、部分境外收集数据回传场景，以及合同履行、人力资源管理、紧急保护等个人信息出境场景规定了相应豁免条件。
落实与验收。
- 建立豁免场景清单，逐条记录事实条件和适用依据，不以“业务需要”替代法定条件。
- 合同履行、人力资源和紧急情形只覆盖确有必要的数据，不扩大到与目的无关的持续出境。
- 豁免安全评估/标准合同/认证，不等于豁免告知、单独同意、影响评估和数据安全保护等其他适用义务。
- 重要数据不使用个人信息数量豁免逻辑。
验收证据。
- 抽一条标记为“豁免”的数据流，逐项说明满足哪一条、哪些事实支持？
- 人力资源豁免的数据字段是否都与跨境人力资源管理直接相关？
- “履行合同确需”是否被泛化成所有营销、画像和运营分析数据？
- 豁免路径下是否仍履行了适用的个人信息保护义务？
用统一口径判断安全评估、标准合同或认证
法规要求｜第5—8条等。 关键信息基础设施运营者、重要数据以及达到相应出境规模的个人信息活动适用不同路径；非关基数据处理者在规定数量区间可适用标准合同或认证等路径。
落实与验收。
- 统一按自然年度累计人数等法定口径统计出境规模，不按项目、接收方或系统拆分。
- 先判断关基身份和重要数据，再判断个人信息数量门槛，避免顺序错误。
- 对安全评估、标准合同、认证分别建立材料、审批、有效期和变更管理台账。
- 达到新门槛时及时切换路径，不能因为历史上已备案就继续沿用旧路径。
验收证据。
- 当年累计出境人数从哪里统计，能否和真实传输/业务记录对上？
- 同一自然人多次出境如何计数，多个业务线如何合并？
- 随机抽一条标准合同或认证项目，如果把全公司出境量合并后，路径判断是否仍成立？
- 关基和重要数据判断是否在数量门槛判断之前完成？
管理安全评估有效期和变更
法规要求｜第9条。 数据出境安全评估结果有效期为3年；符合条件时可在有效期届满前申请延长，数据出境情况发生法定变化时仍需重新判断。
落实与验收。
- 建立安全评估结果生效日、到期日、申请延长期限和适用范围台账。
- 在到期前预警，不将监管审批时间压缩到业务即将中断时才处理。
- 数据目的、范围、接收方、系统架构等重大变化进入重新评估判断。
验收证据。
- 当前有哪些评估结果未来6个月内到期，负责人和计划是什么？
- 评估范围与当前真实出境是否一致，有没有业务扩张后超出原范围？
- 最近一次重大变化是否触发了重新申报判断？
持续履行数据安全和事件报告义务
法规要求｜第10—12条。 个人信息出境仍需依法履行告知、单独同意、影响评估等义务；数据处理者应采取必要措施保障出境安全，发生或可能发生数据安全事件时采取补救措施并及时报告。
落实与验收。
- 出境合法路径、个人信息保护义务和数据安全技术措施分别管理、互相校验。
- 对境外接收方持续监督权限、用途、保存、再提供、删除和事件通知。
- 跨境数据安全事件与国内安全、隐私和行业监管事件机制联动。
验收证据。
- 取得标准合同备案或认证后，实际安全控制是否仍持续运行？
- 境外接收方发生泄露时，国内多久能获知并启动补救与报告？
- 用户撤回、删除等请求能否跨境执行？
- 出境路径材料与当前生产数据流是否定期核对？
法规原文
以下保留法规原文用于具体路径和阈值核对。
查看法规原文
- 第一条 为了保障数据安全，保护个人信息权益，促进数据依法有序自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，对于数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的施行，制定本规定。
- 第二条 数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。
- 第三条 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
- 第四条 数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
- 第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：
- （一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；
- （二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；
- （三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；
- （四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。
- 前款所称向境外提供的个人信息，不包括重要数据。
- 第六条 自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。
- 自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
- 第七条 数据处理者向境外提供数据，符合下列条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：
- （一）关键信息基础设施运营者向境外提供个人信息或者重要数据；
- （二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。
- 属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。
- 第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。
- 属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。
- 第九条 通过数据出境安全评估的结果有效期为3年，自评估结果出具之日起计算。有效期届满，需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准，可以延长评估结果有效期3年。
- 第十条 数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。
- 第十一条 数据处理者向境外提供数据的，应当遵守法律、法规的规定，履行数据安全保护义务，采取技术措施和其他必要措施，保障数据出境安全。发生或者可能发生数据安全事件的，应当采取补救措施，及时向省级以上网信部门和其他有关主管部门报告。
- 第十二条 各地网信部门应当加强对数据处理者数据出境活动的指导监督，健全完善数据出境安全评估制度，优化评估流程；强化事前事中事后全链条全领域监管，发现数据出境活动存在较大风险或者发生数据安全事件的，要求数据处理者进行整改，消除隐患；对拒不改正或者造成严重后果的，依法追究法律责任。
- 第十三条 2022年7月7日公布的《数据出境安全评估办法》（国家互联网信息办公室令第11号）、2023年2月22日公布的《个人信息出境标准合同办法》（国家互联网信息办公室令第13号）等相关规定与本规定不一致的，适用本规定。
- 第十四条 本规定自公布之日起施行。