个人信息出境认证办法
本文用于指导选择个人信息出境认证路径的机构，把“取得证书”拆成路径判断、出境前义务、认证实施、持续监督和变更管理。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《个人信息出境认证办法》，国家互联网信息办公室、国家市场监督管理总局令第20号 |
| 生效日期 | 2026年1月1日 |
| 主要适用场景 | 符合办法条件、通过个人信息保护认证向境外提供个人信息的处理者 |
| 核心问题 | 认证路径适用条件、出境前告知/单独同意/影响评估、认证机构与材料、持续合规、变更和监督 |
| 官方来源 | 国家互联网信息办公室 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。认证只是合法出境路径之一，不替代个人信息保护法和其他数据出境义务。
安全要求与实施
判断是否适用认证路径
法规要求｜第5条。 认证路径适用于办法规定的非关键信息基础设施运营者和相应出境规模范围，且不包括重要数据；不得通过数量拆分规避依法应进行的安全评估。
落实与验收。
- 维护处理者身份、出境个人信息规模、敏感个人信息规模和重要数据判断结果。
- 数量按现行规则统一统计，不按项目、系统、接收方拆分规避门槛。
- 关基运营者、重要数据或其他依法触发安全评估的场景不得错误选择认证路径。
- 每次新增出境业务和年度累计规模变化时重新判断路径。
验收证据。
- 当前年度累计出境人数如何统计，能否从真实传输记录复算？
- 为什么该项目走认证而不是安全评估或标准合同？
- 是否存在多个业务分别看都低于门槛、合并后已经越过适用范围的情况？
- 重要数据判断是否经过正式流程？
出境前完成个人告知、单独同意和影响评估
法规要求｜第6条等。 申请认证前，应依法履行个人信息出境告知、取得单独同意和个人信息保护影响评估等义务。
落实与验收。
- 将出境告知、单独同意和影响评估嵌入业务上线流程，不能取得认证后再补。
- 评估基于真实接收方、数据字段、处理目的、保存期限、技术措施和所在国家/地区环境。
- 评估结论与认证申请、合同/内部规则和实际数据流保持一致。
- 不依赖同意处理的场景，也应准确判断其他出境前义务是否适用。
验收证据。
- 随机抽一条认证出境链路，告知、单独同意和评估分别在什么时候完成？
- 评估里的数据范围能否与实际接口逐字段对上？
- 评估发现的风险是否改变过系统或合同设计？
- 认证材料和生产实际不一致时，团队如何发现并处理？
管理认证申请和认证机构
法规要求｜办法及配套认证规则。 个人信息出境认证由依法取得资质的专业认证机构开展，并依据相关标准、技术规范和认证规则进行评价。
落实与验收。
- 核验认证机构资质和适用认证范围，明确双方材料、验证、整改和保密责任。
- 建立认证范围清单，准确界定主体、业务、境外接收方、数据种类和系统边界。
- 认证发现项进入正式整改和复测，不以“最终拿证”掩盖过程中的控制缺口。
- 认证证书和认证范围与真实业务持续关联，避免业务扩张后仍引用旧证书。
验收证据。
- 证书覆盖哪些主体、系统、接收方和数据？新业务是否超出范围？
- 认证机构资质和证书有效性是否能现场核验？
- 最近一次认证发现了哪些问题，整改是否真正完成并复测？
- 内部是否把“有认证证书”等同于所有跨境处理都合规？
持续监督境外接收方和跨境处理
法规要求｜办法关于认证持续有效和双方义务的规定。 取得认证后仍应持续满足个人信息出境保护要求，保证境外接收方按约定履行义务。
落实与验收。
- 持续维护真实出境数据流、接收方、处理目的、保存地点和安全措施。
- 对境外接收方开展定期监督和异常事件联动，重大偏离及时纠正。
- 权利请求、数据泄露、再提供、删除和退出机制能够跨境执行。
- 保存认证、评估、监督、事件和整改记录，便于监管和复核。
验收证据。
- 随机抽一个境外接收方，实际保存地点和用途是否仍与认证范围一致？
- 用户删除或撤回请求能否传递到境外并完成执行？
- 境外发生安全事件时，国内处理者多久能收到通知并启动处置？
- 最近一次对境外接收方的监督发现了什么问题？
变化后重新判断认证有效性
法规要求｜办法相关变更管理规定。 影响认证范围和个人信息权益的重要变化，应按认证规则重新评价或履行相应程序。
落实与验收。
- 将接收方、处理目的、数据种类、规模、系统、存储地点和法规环境变化纳入认证变更触发条件。
- 变更上线前判断是否仍在原认证范围内，超出时及时补充认证或切换合法路径。
- 保留变更判断、认证沟通和重新评价记录。
验收证据。
- 最近一次新增境外接收方是否经过认证范围判断？
- 云区域、数据种类或保存期限变化是否被识别为合规变化？
- 证书上的范围与当前生产配置是否仍一致？
- 业务超出认证范围后是否曾继续出境一段时间才补手续？
法规原文
以下保留办法原文用于核对；认证实施还需结合现行认证规则和技术规范。
查看法规原文
- 第一条 为了保护个人信息权益，规范个人信息出境认证活动，促进个人信息高效安全跨境流动，根据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》、《中华人民共和国认证认可条例》等法律法规，制定本办法。
- 第二条 个人信息处理者通过个人信息保护认证的方式向中华人民共和国境外提供个人信息，适用本办法。
- 第三条 本办法所称个人信息出境认证，是指按照《中华人民共和国个人信息保护法》第三十八条第一款第二项规定，由依法取得个人信息保护认证资质的专业认证机构，证明个人信息处理者向中华人民共和国境外提供个人信息等个人信息处理活动符合相关法律、行政法规、部门规章、标准、技术规范的合格评定活动。
- 第四条 国家网信部门会同国家数据管理部门和其他有关部门制定个人信息出境认证相关标准、技术规范。国家市场监督管理部门会同国家网信部门制定个人信息保护认证规则、统一认证证书及标志。
- 第五条 个人信息处理者通过个人信息出境认证的方式向境外提供个人信息的，应当同时符合下列情形：
- （一）非关键信息基础设施运营者；
- （二）自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息。
- 前款所称向境外提供的个人信息，不包括重要数据。
- 法律、行政法规或者国家网信部门另有规定的，从其规定。
- 个人信息处理者不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过个人信息出境认证的方式向境外提供。
- 第六条 个人信息处理者在申请认证向境外提供个人信息前，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。个人信息保护影响评估重点评估以下内容：
- （一）个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性；
- （二）出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对国家安全、公共利益、个人信息权益带来的风险；
- （三）境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全；
- （四）个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等；
- （五）境外接收方所在国家或者地区的个人信息保护政策和法规对出境个人信息安全和个人信息权益的影响；
- （六）其他可能影响个人信息出境安全的事项。
- 第七条 个人信息处理者通过认证方式向境外提供个人信息的，应当向专业认证机构申请个人信息出境认证。
- 中华人民共和国境外的个人信息处理者申请个人信息出境认证的，应当由其在境内设立的专门机构或者指定代表协助进行申请。
- 第八条 专业认证机构应当按照认证基本规范、个人信息保护认证规则开展个人信息出境认证活动。符合认证要求的，专业认证机构应当及时出具认证证书。
- 认证证书的有效期为3年。证书到期需继续使用的，个人信息处理者应当在有效期届满前6个月提出认证申请。
- 第九条 专业认证机构应当在出具认证证书或者认证证书状态发生变化后5个工作日内，向全国认证认可信息公共服务平台报送个人信息出境认证证书相关信息，包括认证证书编号、获证个人信息处理者名称、认证范围以及证书状态变化信息等。
- 国家市场监督管理部门与国家网信部门建立认证信息共享机制。
- 第十条 专业认证机构发现获证个人信息处理者存在个人信息出境情况与认证范围不一致等情形，不再符合认证要求的，应当暂停其使用直至撤销相关认证证书。
- 国家网信部门和有关部门在个人信息保护监督管理工作中发现获证个人信息处理者存在前款情形的，专业认证机构应当配合暂停其使用直至撤销相关认证证书。
- 前两款规定的情形，应当通过全国认证认可信息公共服务平台予以公布。
- 第十一条 专业认证机构在开展认证活动中，发现个人信息出境活动违反法律、行政法规和国家有关规定的，应当及时向国家网信部门和有关部门报告。
- 第十二条 开展个人信息出境认证的专业认证机构应当自国家市场监督管理部门批准取得个人信息保护认证资质之日起10个工作日内向国家网信部门办理备案手续。办理备案时，应当提交下列材料：
- （一）取得的个人信息保护领域的认证资质情况；
- （二）近3年从事数据安全、个人信息保护领域专业工作情况；
- （三）专业认证机构人员安全背景审查材料；
- （四）个人信息保护认证实施细则及工作计划；
- （五）个人信息安全风险防范机制；
- （六）对获证个人信息处理者进行的个人信息出境活动符合认证标准情况的持续监督机制；
- （七）投诉受理和争议解决机制；
- （八）其他需要提交的材料。
- 专业认证机构应当对所备案材料的真实性负责。
- 国家网信部门收到专业认证机构提交的备案材料后，会同国家数据管理部门对备案材料进行审核。材料齐全的，应当在30个工作日内予以备案并进行公示；材料不齐全的，不予备案，应当在30个工作日内通知专业认证机构并说明理由。
- 第十三条 国家市场监督管理部门和国家网信部门对个人信息出境认证活动进行监督，开展定期或者不定期的检查，对认证过程和认证结果进行抽查，对专业认证机构进行抽查和评价。
- 第十四条 国家机关、专业认证机构等从事认证活动的机构及其工作人员对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等应当依法予以保密，不得泄露或者非法向他人提供、非法使用。
- 第十五条 任何组织和个人发现获证个人信息处理者违反本办法规定向境外提供个人信息的，可以向专业认证机构、网信部门和有关部门投诉、举报。
- 第十六条 省级以上网信部门和有关部门发现获证个人信息处理者个人信息出境活动存在较大风险或者发生个人信息安全事件的，可以依法对获证个人信息处理者进行约谈。获证个人信息处理者应当按照要求整改，消除隐患。
- 第十七条 违反本办法规定的，依据《中华人民共和国个人信息保护法》、《网络数据安全管理条例》、《中华人民共和国认证认可条例》等法律法规处理；构成犯罪的，依法追究刑事责任。
- 第十八条 本办法施行前制定的关于个人信息出境认证的相关规定与本办法不一致的，按照本办法执行。
- 第十九条 本办法自2026年1月1日起施行。
- 个人信息出境认证办法
- 国家互联网信息办公室 国家市场监督管理总局令 第20号
- 《个人信息出境认证办法》已经2025年7月21日国家互联网信息办公室2025年第17次室务会会议审议通过，并经国家市场监督管理总局同意，现予公布，自2026年1月1日起施行。
- 国家互联网信息办公室主任 庄荣文
- 国家市场监督管理总局局长 罗文
- 2025年10月14日