一、先给结论
数据出境合规的核心不是「要不要申报」，而是先算清自己属于哪一档。2024 年 3 月《促进和规范数据跨境流动规定》施行后，门槛大幅放宽，大量企业其实不需要申报。
判断顺序只有两步：
- 是不是数据出境。员工信息传境外总部、客户数据传境外服务商、境外访问境内系统，都算。
- 算量级。按「自当年 1 月 1 日起累计向境外提供」的个人信息人数和是否含敏感个人信息，对号入座。
对完表，绝大多数中小企业的结论是「免予申报」，但仍要履行告知、取得同意、做影响评估这些基础义务。免申报不等于免义务，这是最常被误读的一点。
版本说明：本文依据 2026 年 11 月前现行有效的法律与司法解释撰写，所引条号以该时点文本为准。法律修订后条号可能变动，涉具体案件请核对现行文本；若你的法律事实发生在更早年份，适用的规则可能不同。
二、法律依据：三层规则
《个人信息保护法》第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。
这一条确立三条路径：安全评估、保护认证、标准合同。
《个人信息保护法》第三十九条：个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
注意「单独同意」——不能用一份笼统的隐私政策概括，要单独弹窗或单独勾选。
《个人信息保护法》第四十条：关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。
下面三条是 2024 年新规的核心，直接决定你要不要申报。
《促进和规范数据跨境流动规定》第五条：数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：（一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；（二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；（三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；（四）关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）的。
该规定第七条：数据处理者向境外提供数据，符合下列条件之一的，应当申报数据出境安全评估：（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息。
该规定第八条：关键信息基础设施运营者以外的数据处理者自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或者不满 1 万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。
三、第一步：什么算「数据出境」
三种典型场景，几乎覆盖所有企业：
- 主动传输。把员工花名册、客户名单发给境外母公司、境外服务商（如海外 CRM、邮件营销平台）。
- 境外可访问。境内系统部署在境外服务器，或境外团队可以登录境内系统查询数据，属于「提供」。
- 境外收集后回传再出境。境外子公司收集当地员工信息，传回境内处理后再次传出，处理过程中若引入境内个人信息，仍算出境。
不算出境的情形：数据在境内流转；境外主体访问的是公开信息；纯粹的境外数据在境外处理且不涉及境内个人信息。
一个高频误判：用境外 SaaS 工具（海外邮箱、在线文档、客服系统、招聘平台）。只要数据存储在境外服务器，就算出境。很多企业以为自己只是「用了软件」，实际上已经完成了数据出境。
四、第二步：按量级选路径
这张表是全文最该保存的部分。前提：先确认自己不是关键信息基础设施运营者。
| 情形（自当年 1 月 1 日起累计） | 走哪条路 |
|---|---|
| 不含个人信息、不含重要数据 | 免予申报 |
| 不满 10 万人非敏感个人信息 | 免予申报 |
| 10 万至 100 万人非敏感，或不满 1 万人敏感 | 标准合同 或 保护认证 |
| 100 万人以上非敏感，或 1 万人以上敏感 | 安全评估 |
| 涉及重要数据（无论多少） | 安全评估 |
| 关键信息基础设施运营者 | 安全评估 |
几个容易算错的地方：
- 按「人」不按「条」。同一个人一年内被传输 100 次，算 1 个人。
- 按自然年累计。每年 1 月 1 日清零重算，跨年不累加。
- 敏感个人信息单独计。不满 1 万人敏感信息就要走标准合同或认证，门槛比非敏感低得多。敏感信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息。
- 重要数据看官方告知。未被相关部门、地区告知或公开发布为重要数据的，不需要作为重要数据申报。这一点大幅降低了企业的判断负担。
五、三条路径具体做什么
路径一：安全评估。通过所在地省级网信部门向国家网信部门申报。要提交申报书、数据出境风险自评估报告、与境外接收方的法律文件等。评估结果有效期 3 年，期满可以申请延长。周期通常 2 到 4 个月，是三条路里最重的。
路径二：标准合同。与境外接收方订立国家网信部门制定的标准合同，并在合同生效之日起 10 个工作日内向所在地省级网信部门备案。合同条款不能实质性偏离标准文本，但可以补充不冲突的内容。同时要做个人信息保护影响评估，评估报告至少保存 3 年。
路径三：保护认证。由具备资质的专业机构进行认证。适合有境外分支机构、需要长期稳定通道的集团企业。成本高于标准合同，但一次认证可以覆盖多个接收方。
三条路的共同前提：先做个人信息保护影响评估。评估内容至少包括处理目的和方式的合法性正当性必要性、出境信息的数量和敏感程度、境外接收方的保护能力、可能的风险及应对措施。
六、自贸区负面清单：清单外的数据可以免申报
《促进和规范数据跨境流动规定》第六条给自贸区开了口子：自由贸易试验区可以自行制定区内需要纳入管理的负面清单，经省级网信委批准并报备后，区内企业向境外提供负面清单之外的数据，可以免予申报安全评估、订立标准合同、通过认证。
注册在自贸区的企业，应该先查本地是否已发布负面清单。已发布的（如天津、上海临港、北京等），清单外数据直接走。
七、五个常见误区
- 「免申报就不用管了」——错。仍要履行告知义务、取得单独同意、做影响评估、采取加密等安全措施。被检查时这些材料要拿得出来。
- 「我们数据量很小，肯定不用管」——要看是否含敏感个人信息。几百人的体检报告传给境外总部，就可能触发标准合同义务。
- 「用境外 SaaS 不算出境」——错。数据存在境外服务器就是出境，包括境外云服务、境外客服系统、境外邮件服务。
- 「签了隐私政策就算取得同意」——错。出境需要「单独同意」，必须与一般隐私政策分开，单独告知境外接收方信息并单独获取同意。
- 「按人数算，员工不算客户」——错。员工信息同样计入。跨境电商、跨国集团的跨境人力资源管理虽然可以豁免，但仅限「按劳动规章制度和集体合同实施的人力资源管理」这一目的。
八、常见问题
问：公司只有几十人，用境外邮箱发邮件算数据出境吗？
邮件正文含个人信息（客户姓名、电话、邮箱）且服务器在境外的，属于出境。但属于「为订立、履行个人作为一方当事人的合同所必需」或量级在 10 万人以下非敏感时，可以免予申报。仍建议在隐私政策中告知并取得同意。
问：境外母公司要调取境内员工花名册，怎么处理？
属于「按劳动规章制度和集体合同实施跨境人力资源管理」，可以免予申报三条路径。但要满足三个条件：有依法制定的劳动规章制度或集体合同依据、属于人力资源管理所必需、不包含重要数据。同时要做影响评估并告知员工。
问：安全评估、标准合同、认证，选哪个更划算？
看数据量和接收方数量。量级达到安全评估门槛的没得选；10 万至 100 万人区间，单一接收方选标准合同（成本低、周期短），多个接收方或长期多频次传输选认证（一次覆盖）。数据量小但业务敏感的，也可以主动做认证以增强客户信任。
问：已经出境了才发现没申报，怎么办？
立即停止新增出境，做合规整改：补做影响评估、补签标准合同并备案，或申报安全评估。主动整改是从轻情节。《个人信息保护法》第六十六条规定，违法处理个人信息情节严重的，可处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销许可证或营业执照。主动纠正能显著降低后果。
问：数据出境和个人信息出境的规则一样吗？
不完全一样。数据出境包括个人信息和重要数据，重要数据一律走安全评估。个人信息出境还要遵守《个人信息保护法》的告知、单独同意、影响评估等要求。两条线要同时满足。
要点归纳
三步自查：列出所有流向境外的数据（含境外 SaaS）→ 按人数和敏感程度对号入座 → 该申报的申报，免申报的补好告知、同意、影响评估三份材料。营销场景里的个人信息收集边界，可以对照 收集客户手机号要注意什么 一起看。