数据要出境，先看它落在哪一档

一、境外同事看了一眼，算不算出境

先把问题说成一句人话：数据只要能被境外的人看到、或者存到境外的机器上，就算出境。

不是把文件传过去才算。网页打开、后台导出、远程连上去看，读的人在哪里，这一份数据就在哪里被读过。

所以判断的起点不是「传没传」，而是「谁能读到」。同一个后台，中国员工和海外同事都能登进去，那就已经跨过去了。

把这件事想清楚，后面几档手续才有意义。手续是事后补的，场景是先要数清的。

还有一个常见的漏项：给境外供应商开的测试账号。账号本身不是数据，但登进去能看到的东西是。

二、把人派出去，也可能算一种出境

今年七月一日起施行的《国务院关于对外投资的规定》，公开解读里有一条值得老板留意。

它把以跨境派遣人员、赴境外工作、提供技术指导这类方式，转移受管制的技术、服务与相关数据，也放进了监管范围。

过去有一种说法：人过去讲一遍，又没传文件，不算数据出境。按这份规定，这条路走不通了。

出差、驻场、给海外团队做培训、帮客户调试，都要算进清单。清单不是给法务看的，是给自己排优先级的。

三、第一档：不满十万人，先不用申报

按现行规定，一年里累计出境的普通个人信息不满十万人，可以免于申报安全评估。

这里有两个词要看清：一个是「累计」，一个是「一年」。不是按一套系统算，也不是按一份合同算。

同一个客户在三个系统里各有一条记录，出境时就是三条。年终对不上数，往往就出在这种重复计算上。

统计的规则要事先定死：按人算还是按条算，按自然年还是按合同年，境外转给第三方算不算第二次出境。

定完规则再算，算出来的数才有用。每换一次规则，前面的工作就要重来一遍。

所以第一步不是写方案，是把人头数出来。数不清的人头，后面的路径都是猜的。

四、第二档：十万到一百万，签标准合同或者做认证

十万到一百万这一档，有两条路：与境外接收方签个人信息出境标准合同并备案，或者通过个人信息保护认证。

标准合同不是随便拟一份。条款是国家给的版本，改动之后要重新走一遍，时间成本比谈判成本高。

能谈的是商务部分：服务范围、终止条件、对方违约怎么赔、数据怎么退回。

合同里最容易被忽略的是期限。三年、五年还是跟着服务期走，写清楚，到期就要重新处理。

五、第三档：一百万，或者敏感信息一万，要做安全评估

普通个人信息一年累计超过一百万，或者敏感个人信息超过一万，要通过所在地省级网信部门申报安全评估。

敏感信息不难认：医疗健康、金融账户、行踪轨迹、十四岁以下孩子的信息，这些都算。

这一档要留时间。评估要看数据出去的正当性、必要性，也要看接收方所在地方的法律环境。

临时抱佛脚的企业，通常卡在「说不清为什么要出去」这一句上，而不是卡在材料格式上。

评估材料里最费时间的也不是技术文档，是一份数据清单：哪一类、多少人、给谁、用来做什么。

说不清用途的那一类，通常就是该收回去的那一类。这句话值得在开工前先对自己说一遍。

六、重要数据不看人头，沾上就要评估

有一类数据不看人数，只看是什么：重要数据。按各行业公布的目录认定，沾上就要走评估。

未公开的地质、测绘、自然资源数据，关键设施的运行数据，常常落进这一类。

问题在于，目录是分批公布的，很多行业还没有。等目录出来才准备，通常来不及。

能做的判断只有一句：先问行业主管部门有没有目录，别自己拍脑袋说「应该不算」。

七、负面清单只在特定园区管用

今年十月十四日，北京经开区印发了一版升级的数据出境负面清单实施意见，公开报道里说领域从五个扩到九个。

原有的五个是汽车、医药、民航、零售与现代服务业、人工智能训练数据。新增的包括医疗器械、贸易物流、银行业等。

清单的意思是：这些领域里的某些场景，可以走更简便的路，不必逐项做评估。

它不是全国通行证。注册地、业务地、数据实际处理地，三处都得落在范围内，才谈得上用。

用之前先确认一件事：这份清单是给园区内的企业用的。园区外的公司照着做，等于拿别人的尺子量自己。

清单每扩一次领域，都会有一批企业第一次被覆盖进来。所在行业刚被加进去的，值得去问一句怎么适用。

八、数据落在哪台机器上，先问清

同一套系统，数据可能在境内，也可能在境外，还可能境内境外各留一份副本。

云服务的区域选项、备份存放位置、日志落在哪里，三处都要问供应商，而且要问书面答案。

举个例子：一家做外贸的公司一直以为客户资料存在国内，直到一次故障排查才发现，日志默认存在境外区域。

这不是供应商的问题，是当初选区域时没人问。问一次，比事后补材料省事得多。

九、境外服务的合同，要写清哪几句

有四句必须写在合同里：数据存在哪里、谁可以看、出事几个小时内通知、合同结束后几天内删除。

通知时间要写具体小时数。写「及时通知」等于没写，真出事那天，买家和供应商对「及时」的理解一定不同。

删除也要写清方式：是删库里的记录，还是连备份一起清，以及怎么证明删掉了。

这四句比价格更值得花时间谈。价格一年能谈一次，出事那天只能谈一次。

十、加密和日志能证明什么，不能证明什么

加密（把内容锁成只有拿到钥匙的一方读得懂）能降低泄露之后的损失，但它不改变「已经出境」这件事。

有的企业拿加密当理由，说数据外面看不懂，所以不算出境。这个说法在监管那里站不住。

日志能证明谁在什么时候读了什么，前提是日志本身留得住、没有人改过。

所以日志要单独存、单独授权看，最好定期导出一份到另一个地方，作为当时的凭据。

访问记录比日志更直接：谁批的、批给谁、有效期到哪天，这三行写清楚，事后追责不用猜。

十一、出事那天先报谁、报什么

顺序是先内部、后外部：先通知业务负责人与法务安全，再在规定时间内报监管部门。

报的内容其实就四样：什么时候发现的、涉及哪一类数据、大约多少人、已经做了什么处置。

「大约多少人」是最难回答的一项。平时把人头数清，这一项就有数；平时没数，这一项只能猜。

把这份模板提前写好放在共享盘里。出事那天，需要的是填空，不是从头想。

十二、汽车行业那份指引，给别的行业什么提示

今年二月，八个部门联合印发了汽车数据出境安全指引的 2026 版。

它把「哪些算重要数据」「哪些场景可以简化」写成了清单，同行业的人照着对就行。

别的行业还没有这样的指引。等的过程里，能做的还是前面那几档：数人头、认重要数据、改合同。

指引出来之后，最先受益的是平时有数据地图的企业，而不是最早听说消息的企业。

十三、今天能做的四件事

第一件，数人头：把一年里出境的个人信息，按类别人次统计一遍，宁可多算。

第二件，画地图：每类数据存在哪里、谁能读到，一页纸画完，标上日期。

第三件，改合同：新签的境外服务合同，把前面那四句加进去。

第四件，写模板：事件报告的四样内容，提前填好格式。

四件事里最贵的是第二件，最容易漏的是第一件。做完这四件，再谈要不要申报，顺序就不会乱。

也不用一次做完，但顺序别换。数人头做在画地图前面，改合同才有一致的说法。

哪一天监管来问，能拿出来的不该是一份新写的说明，而是这几张表加上日期。