不是在三种产品中随意选择
首先确认哪些数据出境、由谁提供、谁在境外能够访问，以及是否符合具体豁免。对仍须办理机制的活动，应先检查安全评估触发条件，再判断标准合同或认证；价格更低的合同或已有证书不能替代必须履行的安全评估。
本文是全国出境路径制度的原创梳理，不是对具体项目的放行决定。2024年规定与此前安全评估、标准合同制度不一致时，适用2024年规定。认证已有自2026年1月1日起施行的办法，还应检查行业特别限制及适用的地方负面清单。
先界定活动，再统计人数
先建立活动清单：境内提供方、接收方、地点、目的、字段、访问权限、再转移接收方及保存期限。出境是处理活动，不仅是发送表格；服务器仍在境内，也可能存在从境外远程访问的出境活动。
2025年10月问答区分了从境外访问境内数据，以及境外机构员工在境内访问、并未向境外提供数据的情形。国籍或集团股权本身不是技术边界，应记录真实访问地点和控制措施。
个人信息、敏感个人信息和重要数据应分别识别。不满14周岁未成年人的个人信息属于敏感个人信息，删除姓名也不当然构成匿名化。重要数据识别取决于适用的官方规则及认定，不能因未找到全国公开总目录就否认行业义务。
将豁免条件与真实目的逐项对应
豁免免除的是符合条件活动的特定出境机制，不是处理非必要数据的许可。应将事实与法律依据存入活动记录；符合第3至6条条件的活动依其规定处理，不应机械套用剩余活动的数量门槛。
下表是判断辅助，不是官方清单原文。小型处理者规定另有适用范围：处理不满10万人个人信息，与一年出境不满10万人个人信息不是同一个测试。
| 依据 | 适用活动 | 应记录的边界 |
|---|---|---|
| 不含个人信息或重要数据 | 第3条适用于相关贸易、运输、科研、制造、营销等活动中不含这两类数据的出境。 | 检查字段与可识别性，不能仅凭商业用途名称判断。 |
| 境外来源数据处理 | 境外收集产生的个人信息在境内处理后出境，未引入境内个人信息或重要数据。 | 保留数据来源与关联、合并记录。 |
| 个人作为一方的合同 | 为订立、履行个人作为一方当事人的合同，确需出境。 | 并非每份集团服务合同均符合条件；不包括重要数据。 |
| 跨境人力资源管理 | 依照依法制定的劳动规章制度和依法签订的集体合同，确需提供员工个人信息。 | 逐项说明字段必要性；不包括重要数据。 |
| 紧急情况 | 紧急情况下为保护自然人的生命健康或财产安全，确需出境。 | 记录紧急事实及必要范围；不包括重要数据。 |
| 普通个人信息小规模出境 | 非关键信息基础设施运营者，自当年1月1日起累计出境不满10万人普通个人信息。 | 该数量豁免不包括敏感个人信息或重要数据。 |
| 地方负面清单 | 提供方及活动属于已批准地方制度的适用范围，数据不在负面清单内。 | 核对当前地域、行业、版本与地方程序，不能只看城市名称。 |
| 小型处理者：法定职责或义务 | 2026年简化措施第10条在该规定适用范围内，另包括履行法定职责或法定义务所必需的出境。 | 确认小型处理者资格与真实法定依据，不包括重要数据，不得推广至所有处理者。 |
先检查更高层级的触发条件
下表用于已排除适用豁免及特别规定后的判断。普通个人信息指不含敏感个人信息的个人信息；数字分支针对自当年1月1日起累计出境涉及的自然人数，不是公司全部客户数量，也不是数据库行数。
应同时检查重要数据、关键信息基础设施运营者身份及两类人数。不能因为“敏感个人信息不满1万人”就把零出境也纳入认证；反之，普通信息少于10万人，也不当然豁免不符合其他豁免条件的敏感信息出境。
| 剩余活动 | 对应机制 | 判断说明 |
|---|---|---|
| 关键信息基础设施运营者提供个人信息或重要数据 | 安全评估 | 适用第7条，并先考虑其明示的第3至6条例外。 |
| 非关基运营者：重要数据；或普通个人信息≥100万人；或敏感个人信息≥1万人 | 安全评估 | 任一适用条件触发即可，另一类数量较低不能抵销。 |
| 非关基运营者且不含重要数据：普通个人信息≥10万人且<100万人；或敏感个人信息>0且<1万人 | 标准合同或认证 | 前提是未触发安全评估，且无适用豁免改变结论。 |
| 非关基运营者且不含重要数据：普通个人信息<10万人，且无未豁免的敏感个人信息 | 普通个人信息数量豁免 | 保留人数核算及另行适用豁免活动的依据。 |
让人数核算可以复核
法律门槛采用自然人数台账，字段、记录条数和访问事件另作运行监测。记录起算日、截止日、提供方、纳入活动、普通与敏感分类、身份匹配方法及重复人员处理方式；不能直接以表格行数替代人数。
对豁免活动的排除，应能追溯至具体规则和证据。活动交叉时，与现行申报指南或主管机关核对口径。本文不虚构跨接收方或跨公司的统一去重算法，也不允许通过拆分出境规避评估。
预测用于提前启动复核，不能改写法定门槛。在新系统、接收方或数据种类启用前，指定人员核对实际累计数量与已批准或约定的范围。
比较文件、程序与时钟
不同机制的决定主体、证据与起算点不同。准备、补充材料、机关审核和持续监督不能合并理解为一个备案期限。下表梳理全国规则，完整材料包仍应以现行官方指南为准。
| 机制 | 准备与顺序 | 期限与持续使用 |
|---|---|---|
| 安全评估 | 先开展出境风险自评估，准备申报书、自评估报告、与接收方的法律文件及其他所需材料，经省级网信部门向国家网信部门申报。 | 通常自书面受理之日起45个工作日内完成，复杂情况或补充材料可延长。结果有效期为3年，并非整个项目保证45天可上线。 |
| 标准合同 | 开展个人信息保护影响评估，签署官方标准合同，补充条款不得冲突。合同生效后方可出境，并应履行其他适用义务。 | 合同生效之日起10个工作日内向省级网信部门备案。备案不是国家网信部门的安全评估批准；办法也未规定所有合同统一3年到期。 |
| 个人信息出境认证 | 向具备资格的专业认证机构提交影响评估及相关证据，核实资质和网信备案。一般安全证书不等于出境认证。 | 认证证书有效期为3年；需继续使用的，应在到期前6个月提出申请。办法并未保证所有申请统一时限办结。 |
2026年9月问答澄清了什么
9月11日问答区分了作为适用出境机制的认证与用于证明保护能力的自愿认证。不同出境规模可申请自愿认证，但不能替代必须履行的安全评估；获证后触发评估门槛的，可附认证情况供评估参考，并不免除申报。
选择服务机构时，应核对官方已备案机构及拟认证范围。问答属于对现行制度的解释，不是新的生效日期，也不是拆分数量的许可。
假设案例：一个事实就可能改变结论
以下是假设案例，不是客户经历或法律意见。除另有说明，假设非关基运营者、不含重要数据、无行业特别规定或具体豁免；人数已经按当年口径核实，不代表可以直接据此汇总未经审查的数据集。
| 事实 | 初步结果 | 理由与下一步 |
|---|---|---|
| 99,999人普通信息；0人敏感信息 | 普通个人信息数量豁免 | 未达到10万人，应复核分类及持续义务。 |
| 100,000人普通信息；0人敏感信息 | 标准合同或认证 | 下限包含10万人本数，并非超过10万人才触发。 |
| 50,000人普通信息；1人敏感信息 | 未豁免活动适用标准合同或认证 | 普通信息数量豁免不包括这项敏感信息出境。 |
| 999,999人普通信息；9,999人敏感信息 | 标准合同或认证 | 两类均未达到评估门槛，扩大范围前应分别监测。 |
| 1,000,000人普通信息；或10,000人敏感信息 | 安全评估 | 在本组假设下，任一达到上限即触发评估。 |
| 境内个人预订境内酒店，信息传入境外集团系统 | 不能自动适用个人合同豁免 | 2025年10月问答明确否定该合同豁免理由，还需判断其余适用路径。 |
豁免或获证不是工作的终点
依照《个人信息保护法》确认合法性基础、必要性、接收方保护措施及出境告知。以同意为基础时，依法取得单独同意，不与无关处理捆绑。2026年7月问答确认，第13条第1款第2至7项情形无需取得同意，但仍须出境告知。机制豁免与同意例外是两个问题。
依法事前开展个人信息保护影响评估，报告与处理记录至少保存3年。小型处理者可用的简化形式不等于无需评估。外国司法或执法机构的请求还需单独适用第41条，普通商业出境合同不是该项批准。
在活动台账中设置复核触发项：新接收方或再转移、新目的或敏感字段、规模增加、保存延长、境外法律变化及安全事件。应判断是否需要重新评估、更新合同或认证，不能默认旧文件始终有效。
| 控制事项 | 检查内容 | 常见错误 |
|---|---|---|
| 评估结果延期 | 在到期前60个工作日内提出申请，并须获批；应检查全部延期条件，不仅是数量增幅。 | 把20%视为自动额度。7月问答以原批准的三年数量为增幅基数，并非实际已用数量。 |
| 标准合同变更 | 检查第8条情形，必要时重新评估、补充或重新签约并备案。 | 仅因签字仍有效就认为新接收方或新目的已被涵盖。 |
| 认证范围 | 跟踪期限与实质范围变化，确认持续符合性及续期申请。 | 将超范围或暂停的证书作为任何出境活动的许可。 |
| 接收方运行 | 保留告知版本、权利请求安排、访问控制、事件处理及再转移条件。 | 只备案一次，不再检查接收方实际使用。 |
把分析变成可复核的决策记录
有用的内部结论应写明活动及截止日、已确认事实、适用条款与来源位置、所选路径、未决假设、证据负责人和下次复核事件。重要数据身份或境外访问等事实未明时，应列为判断依赖，而不是选择最容易办理的路径。
以上矩阵为原创研究辅助，不复制官方申报附件，也不证明某一项目已经具备出境条件。办理细节可继续查看关联指南，控制来源始终是官方中文文件。本页核验日期针对所列来源，不表示已复核所有地方或行业文件。
官方来源与修订
- 国家网信办《促进和规范数据跨境流动规定》第2至10条、第13条
- 国家网信办、市场监管总局《个人信息出境认证办法》第5至10条、第12条、第19条
- 国家网信办2026年9月数据出境问答，第1至3问
- 国家网信办《个人信息出境标准合同办法》第5至8条
- 国家网信办《数据出境安全评估办法》第5至7条、第12条、第14条；与2024年规定结合适用
- 《个人信息保护法》第4条、第13条、第28至30条、第38至41条、第55至56条
- 国家网信办2025年10月数据出境问答，第2问、第5问
- 国家网信办2026年7月数据出境问答，第1至3问
- 国家网信办、公安部《小型个人信息处理者个人信息保护简化措施规定》第2条、第10条、第14条、第16条；商务部官方转载
: 以有来源依据的路径顺序、豁免及门槛矩阵、程序期限、假设边界案例和持续控制替换旧概述。纳入9月11日认证澄清，保留原canonical网址。
示例与工作表为本站原创研究辅助材料，并非官方表格或法律意见。
提交更正