数据跨境明确数据属性，选择合规路径
企业跨境经营过程中，员工信息、客户数据、交易数据和业务数据可能持续向境外传输。数据类型、处理目的、数据规模及接收方安排都会影响具体合规要求。
明庭围绕数据分类、个人信息跨境、重要数据识别、标准合同、认证、安全评估及企业数据治理提供法律服务。
一、具体服务内容
数据出境场景识别
梳理业务流程中的数据流，识别跨境传输、境外访问与远程处理等出境情形，明确数据类型、数据主体范围与境外接收方。
数据分类分级
区分个人信息（含敏感个人信息）与重要数据，判断是否属于相关部门、地区已告知或者公开发布的重要数据，形成数据清单与分类分级台账。
出境路径选择
根据数据类别与累计出境人数，判断适用豁免情形、订立个人信息出境标准合同或者通过个人信息保护认证，还是申报数据出境安全评估。
安全评估申报
准备申报材料与风险评估报告，处理省级网信部门受理、评估意见反馈与结果出具，并跟踪评估结果的有效期与延长申请。
标准合同与认证
起草并办理个人信息出境标准合同备案，开展个人信息保护影响评估，或者按个人信息保护认证的规则准备与申请。
数据处理协议与合同条款
起草境外接收方的数据处理协议，明确处理目的与方式、保存期限、安全措施、再转移限制、审计与协助义务以及违约责任。
个人信息合规体系建设
起草隐私政策与告知同意文本，建立告知同意、最小必要、单独同意与个人信息权利响应的机制，处理员工信息与跨境人力资源管理的合规安排。
数据安全事件应对
建立数据安全事件的监测、报告与处置流程，处理监管问询、执法检查与整改要求。
跨境业务专项合规
为跨国集团统一系统、跨境支付与电商、境外上市与审计、境外研发协作等场景，设计可落地的出境合规方案与内部管理制度。
二、客户痛点和明庭应对
痛点：总部要求全球统一使用境外系统，员工信息一路同步出去，没人评估过。
应对：识别该系统涉及的数据类别与出境人数，判断是否落入豁免情形（例如按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需）；不落入的，按标准合同、认证或者安全评估的路径办理，并把制度依据与合同文本补齐。
痛点：听说要报评估就一直不敢动，业务停着。
应对：先做分类与计数 —— 不属于重要数据、也未触及人数门槛的，多数情形可以通过豁免或者标准合同处理；把「要不要报」算清楚，比一律暂停更有价值。
痛点：走了标准合同，却没做个人信息保护影响评估，材料被退回。
应对：按标准合同路径的完整要求准备 —— 事前开展个人信息保护影响评估、与境外接收方订立标准合同、并在规定期限内向省级网信部门备案，三项缺一不可。
痛点：不清楚自己的数据算不算「重要数据」。
应对：依数据分类分级规则与行业主管部门的要求逐项识别；未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报安全评估 —— 但这句话的前提是做过识别，而不是没做识别就下结论。
痛点：不同自贸区的政策不一样，不知道自己适用哪一条。
应对：核对企业注册地与业务所在地，确认相关自由贸易试验区是否已发布数据出境负面清单及其适用规则；向境外提供负面清单之外的数据，可以免予申报安全评估、订立标准合同与通过认证。
三、业务覆盖行业与客户类型
我们服务的客户以有跨境数据流动需求的企业为主：包括跨国集团及其境内子公司、跨境电商与供应链企业、跨境支付与金融服务机构、航空与物流企业、境外上市及拟上市企业、从事境外研发与学术合作的高校与科研机构，以及使用境外人力资源、客服与云服务系统的各类企业。行业分布上，以互联网与信息技术、消费电子与智能制造、汽车与零部件、生物医药与医疗器械、金融与保险、物流与航运较为集中。服务场景覆盖数据盘点与分类分级、出境路径论证、安全评估申报、标准合同备案与认证、制度与文本体系建设，以及监管问询与整改应对。
同类问题
四、常见问题（Q&A）
- 数据能不能出境
- 先分类，再算量，最后定路径。依《个人信息保护法》《数据安全法》《网络安全法》以及《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》，路径可以这样判断：第一档是豁免 —— 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据，不包含个人信息或者重要数据的，免予申报安全评估、订立标准合同与通过认证；为订立或者履行个人作为一方当事人的合同所必需、按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需、紧急情况下为保护自然人的生命健康和财产安全所必需，以及关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供不满 10 万人非敏感个人信息的，在不包含重要数据的前提下同样免予上述程序。第二档是标准合同或者认证：关键信息基础设施运营者以外的数据处理者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的。第三档是安全评估：关键信息基础设施运营者向境外提供个人信息或者重要数据；关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。另需注意，向境外提供被相关部门、地区告知或者公开发布为重要数据的个人信息，只能申报安全评估。此外，相关自由贸易试验区已发布数据出境负面清单的，向境外提供负面清单之外的数据，可以免予申报安全评估、订立标准合同与通过认证。具体适用与计数口径，以监管现行规定为准。
- 数据出境到底有哪几种合规路径？怎么选？
- 依《个人信息保护法》《数据安全法》《网络安全法》以及《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》（2024 年 3 月 22 日施行），路径可以这样判断。第一档是豁免：国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据，不包含个人信息或者重要数据的，免予申报安全评估、订立标准合同与通过认证；为订立或者履行个人作为一方当事人的合同所必需、按依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需、紧急情况下为保护自然人的生命健康和财产安全所必需，以及关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供不满 10 万人非敏感个人信息的，在不包含重要数据的前提下，同样免予上述程序。第二档是标准合同或认证：关键信息基础设施运营者以外的数据处理者，自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或者不满 1 万人敏感个人信息的。第三档是安全评估：关键信息基础设施运营者向境外提供个人信息或者重要数据；关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。另需注意，向境外提供被相关部门、地区告知或者公开发布为重要数据的个人信息，只能申报安全评估。具体适用与计数口径，以监管现行规定为准。
- 数据出境安全评估要多久、结果能用多久？
- 申报通过所在地省级网信部门向国家网信部门提出。按现行规定，通过数据出境安全评估的结果有效期为三年，自评估结果出具之日起计算 —— 这一有效期较此前《数据出境安全评估办法》规定的两年有所延长。有效期届满仍需继续开展数据出境活动，且未发生需要重新申报情形的，可以在有效期届满前 60 个工作日内，通过所在地省级网信部门向国家网信部门提出延长申请，经批准可以延长三年。至于评估本身的办理周期与材料要求，会因数据规模、行业属性与风险评估情况而不同；且申报前需要完成数据出境风险自评估，这部分工作量往往比填表本身大得多，宜提前规划。
- 什么是「重要数据」？我们怎么知道自己的数据算不算？
- 重要数据的识别遵循数据分类分级保护制度，依相关国家标准与行业主管部门的要求判定。对企业的实际影响在于两条：一是判断结论直接决定路径 —— 涉及重要数据的出境原则上需要申报安全评估，不能只走标准合同或者认证；二是识别义务在企业自身，未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报安全评估，但这一豁免的前提是已经完成了识别工作并形成可核查的判断依据。我们通常的做法是：先按行业与数据类型逐项筛查，再结合监管部门已发布的目录与行业要求核对，形成本企业的数据分类分级清单，把识别过程留痕，而不是在监管问询时临时回答。
- 集团统一使用境外系统，员工信息同步到总部，需要办什么手续？
- 先做两件事：确认哪些数据属于个人信息，以及自当年 1 月 1 日起累计向境外提供的自然人数量。若涉及的是为实施跨境人力资源管理、按依法制定的劳动规章制度和依法签订的集体合同所必需的个人信息，在不包含重要数据的前提下，属于免予申报安全评估、订立标准合同与通过认证的情形 —— 但「所必需」需要论证，制度依据（劳动规章制度、集体合同）、必要性说明与最小范围原则都要落实，不能因为是人力资源场景就默认豁免。若超出必要范围，或者企业在人力资源场景之外还向境外提供其他个人信息并达到人数门槛，则应当按标准合同、认证或者安全评估的路径办理。此外还需要关注：员工信息的处理是否履行了告知义务、境外接收方的安全措施是否足以保障数据安全，以及是否依法开展了个人信息保护影响评估。
最近更新：2026-09-20
受托之事，皆有交代。