数据出境合规，已成金融机构“出海”的硬门槛。错过申报窗口，轻则整改停摆，重则被叫停业务。而很多机构在面对数据出境合规时，常常会有一连串疑问：到底什么才算数据出境？我的业务需不需要申报安全评估？评估到底查什么？材料该怎么准备？

本文将系统梳理数据出境安全评估的全流程逻辑，从核心定义、合规路径判定、审查维度、材料筹备到常见误区避坑，一篇讲透所有核心问题。

一、明界定：什么叫“数据出境”？

很多机构以为“数据出境”只是“把文件发到国外”，其实监管的口子比这宽得多。

根据现行法规，以下三类行为，都构成数据出境：

1.直接传输：将在境内运营中收集和产生的数据，传输至境外服务器或系统。

2.境外可访问：数据存储在境内，但境外的机构、人员可以远程查询、调取、下载或导出——哪怕数据“没有物理离境”，也算出境。

3.境外处理境内人的数据：向境内自然人提供服务的境外主体，在境外处理境内用户的个人信息。

对金融机构意味着什么？

·向境外支付机构、清算机构、反欺诈系统传输交易数据；

·境外合规、审计、风控部门调取境内业务数据；

……以上均可能构成数据出境。

二、判边界：你的场景需要申报安全评估吗？

数据出境合规有三条路径：豁免、标准合同/认证、安全评估申报。申报是门槛最高、流程最重的那条。

哪些出境可以豁免？

以下情形依法可以免予办理任何申报手续，直接开展数据出境活动：

豁免情形	典型金融场景举例
为履行合同必要，出境不含个人信息或重要数据的业务数据	国际贸易结算数据、跨境运营报表
为履行合同必要向境外当事方提供个人信息	跨境汇款、开立账户、支付结算
依法制定的劳动规章或集体合同需要，跨境处理员工信息	集团统一人力资源管理系统
紧急情况下保护个人生命健康安全	应急处置场景
累计向境外提供不满10万人个人信息（不含敏感个人信息），且非关键信息基础设施运营者	小规模跨境数据流动

需要特别提醒的是：豁免不等于没有义务——向境外提供个人信息，仍需告知当事人、取得单独同意、开展个人信息保护影响评估。

哪些出境必须申报安全评估？

符合以下任意一项，必须通过省级网信部门向国家网信办（国家互联网信息办公室）申报数据出境安全评估，未经评估通过，不得开展相应出境活动：

序号	主体类型	触发条件
1	关键信息基础设施运营者（CIIO）	向境外提供任何个人信息或重要数据
2	所有数据处理者	向境外提供任何重要数据
3	非CIIO数据处理者	自当年1月1日起，累计向境外提供≥ 100万人个人信息（不含敏感）
4	非CIIO数据处理者	自当年1月1日起，累计向境外提供≥ 1万人敏感个人信息

什么是“重要数据”？一旦遭到篡改、破坏、泄露或非法利用，可能危害国家安全、经济运行、社会稳定、公共健康安全的数据。

什么是“敏感个人信息”？根据《个人信息保护法》，金融场景下常见的敏感个人信息包括：生物识别信息（指纹、人脸等）、金融账户信息（账号、密码）、征信信息、行踪轨迹，以及不满14周岁未成年人的个人信息。

介于两者之间怎么办？

累计向境外提供10万人以上但不满100万人个人信息，或不满1万人敏感个人信息，且非关键信息基础设施运营者的——不需要申报安全评估，但需要选择以下任一路径合规：

·个人信息出境标准合同（与境外接收方签订约定格式合同）；

·个人信息保护认证（委托专业认证机构开展）。

三、解内核：安全评估的七个核心维度

明确了申报义务，很多机构最关心的就是：安全评估到底查什么？国家网信办在开展安全评估时，会重点审查以下七项：

1.目的、范围、方式的合法性、正当性、必要性：数据出境是否有明确的业务目的？出境范围是否超出必要限度？

2.境外接收方所在地的监管环境：境外接收方所在国家或地区，是否存在数据安全保护的法律真空或高风险环境？其数据保护水平是否达到中国法律法规的要求？

3.出境数据的规模、种类与敏感程度：涉及哪些类型的数据、多大规模、敏感程度如何？出境过程中及出境后有无安全风险？

4.个人信息权益能否得到有效保障：数据出境后，当事人能否依法行使查询、更正、删除等权利？救济渠道是否畅通？

5.合同中的数据安全保护责任约定：与境外接收方签订的合同，是否充分约定了数据安全义务、违约责任、争议解决机制？

6.遵守中国法律法规的情况：数据处理者过往是否存在数据安全方面的违规记录？

7.其他需要评估的事项：包括境外接收方实控权变更、不可抗力情形的应对安排等。

四、讲实操：申报需要准备哪些材料？

1. 统一社会信用代码证件影印件

2. 法定代表人身份证件影印件

3. 经办人身份证件影印件

4. 经办人授权委托书

5. 数据出境安全评估申报表

6. 与境外接收方拟订立的法律文件

7. 数据出境风险自评估报告

8. 其他相关证明材料

这里必须强调一条红线：申报主体对所提交材料的真实性、完整性、准确性负全部责任。故意提交虚假材料的，直接按评估不通过处理，还将依法追究相应法律责任，绝不可心存侥幸。

自评估报告是重中之重

自评估报告是审查的核心文件，须覆盖以下六大模块：

1.出境活动整体情况：数据处理者基本情况（含股权结构、实际控制人）、拟出境数据的种类/规模/流转路径、境内存储平台与出境链路信息。

2.出境目的、范围与必要性：逐场景说明每类数据出境的业务目的、法律依据、是否最小必要。

3.数据安全保障能力：管理制度建设、技术安全措施（加密、脱敏、访问控制、安全审计等）、已开展的安全评估/认证/检测情况；涉及个人信息出境的，还须证明已依法履行告知义务，并取得个人的单独同意。

4.境外接收方情况：境外接收方基本信息、其所在地数据保护法律环境、其处理数据的用途与方式、其数据安全管理和技术措施。

5.法律文件约定情况：合同是否约定了数据保存期限和到期处置方式、转让限制、安全事件应对、违约责任与争议解决、个人权益保障渠道。

6.风险自评估结论：综合上述评估，对本次数据出境活动的安全风险作出客观结论，说明风险可控的理由，并列明已发现的问题和整改情况。

申报指南要求：自评估活动须在正式申报前3个月内完成。如引入第三方机构参与评估，须在报告中说明第三方机构的基本情况及参与情况。

申报流程和时限可参考官方发布信息。

五、避误区：这些认知偏差要警惕

误区一：数据没有物理离境，就不算出境

境外人员远程访问境内系统、下载报表，同样构成数据出境。

误区二：跨境业务量不大，不用管

1万人次敏感个人信息是很低的门槛。一个中等规模的金融机构，如果跨境传输包含生物识别或账户信息的客户数据，很可能已触线。

误区三：签了数据保护合同就合规了

标准合同路径仅适用于特定情形。满足安全评估申报条件的，标准合同不能替代评估申报。

误区四：评估通过了就一劳永逸

出现以下任一情形，须重新申报：出境目的/范围/方式发生变化；境外接收方实控权或所在地监管环境发生变化；双方合同文件发生变更；延长个人信息或重要数据境外保存期限。

六、提前布局，把主动权握在自己手里

数据出境安全评估从材料准备到最终通过，正常周期在3至6个月，周期较长，且监管可随时要求补充材料。部分机构因材料准备不充分，反复整改，拖至一年以上仍未通过。

对于有跨境数据流动的金融机构而言，合规的关键不能是临时应对，而在于提前梳理、系统准备：

·尽早开展跨境数据现状盘点，识别所有出境场景；

·结合触发条件判断，确认适用的合规路径；

·启动自评估工作，重点补齐制度和技术保障的短板；

·按照申报指南要求，系统性准备申报材料包。

国家金融科技测评中心（银行卡检测中心BCTC、国家金融IC卡安全检测中心，工商注册名：北京银联金卡科技有限公司）深度参与金融行业数据安全政策及标准研制，持续开展前沿跟踪研究与测评服务配套工作，在国内外政策进展及技术应用前沿进展跟踪研究、金融业技术实践研究、监管支撑、数据安全合规服务等方面具有深厚积累，如需了解数据出境安全评估申报的专业服务，或希望就您机构的具体场景进行合规评估，欢迎与我们联系。

免责声明：本文基于截至发布时现行有效的法规整理，仅供参考。如法规后续更新，请以官方最新版本为准。