文章总结： 本文系统梳理数据出境合规路径，提出三步决策法：先判定是否构成出境，再过豁免清单，最后按数据量级选择安全评估、标准合同或认证三条路径。文章对比三路门槛、流程时限与适用场景，强调合规管理需持续跟踪规则变化，避免选错路径造成重复申报成本。 综合评分： 75 文章分类： 数据安全,政策法规,解决方案

数据出境三条路：安全评估、标准合同、认证怎么选

原创

大白 大白

知白守黑1024

2026年9月10日 07:01 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

数据出境可能是这两年规则变化最快的领域：2024 年 16 号令重定阈值，2025 年网数条例衔接生效，2026 年 1 月认证办法落地，自贸区负面清单一路扩到十余地。很多公司的处境是：知道要做，不确定走哪条路，更不确定能不能免。

这篇把出境合规压缩成三步：先判是不是出境，再过豁免清单，剩下的按数字对号入座——评估、合同、认证三条路，最后一张决策树选对。

一、先判定：这算不算出境

出境不只是”把数据传出去”。三种情形都算：数据传输至境外机构，数据存储在境外（含境外云区域），以及境外机构远程访问境内数据——网信办政策问答明确：查询、调取、下载、导出行为发生在境外，就是出境。

反过来也有边界：境外机构的工作人员人在境内查询、调取数据，且数据没有传到境外，不算出境。实操里容易漏的是这几个：用了境外云的境外区域、跨境电商的订单日志同步、境外集团总部的全球报表系统——这些”看不见的出境”比明面上的传输更容易出事。

图 1｜出境判定：三种情形算，一种不算

二、能免则免：豁免清单先过一遍

16 号令给的豁免比多数人想象的多。场景豁免四种：为订立履行合同（跨境购物、寄递、汇款、支付、开户、机票酒店、签证、考试服务）确需提供的；跨境人力资源管理确需提供员工信息的；紧急情况下保护生命健康财产的；以及量级豁免——非 CIIO 当年累计向境外提供不满 10 万人个人信息（不含敏感）的，三条路都不用走。

另外两条底层豁免：不含个人信息和重要数据的国际贸易、跨境运输等活动数据；境外收集、境内处理、再传境外且未引入境内数据的中转过境。

自贸区的企业多一道免题：负面清单之外的数据，免评估、免合同、免认证——天津、北京、上海、海南、浙江、江苏、福建、广东、广西、重庆等地已陆续发布，上海 2026 年 8 月还把清单管理扩展到了全市。内地与香港之间另有湾区标准合同快线，2024 年 11 月起扩展到所有行业。先查清单再谈路径，能省一半的事。

图 2｜豁免清单：先过这六关，再谈三条路

三、数字对号：三条路的门槛

过了豁免关，剩下的按数字进位。安全评估线：CIIO 任何个人信息出境、任何主体的重要数据出境、非 CIIO 累计 100 万人以上个人信息（不含敏感）或 1 万人以上敏感个人信息——必须申报评估。

标准合同与认证线（二选一）：累计 10 万到 100 万人个人信息（不含敏感），或不满 1 万人的敏感个人信息，签标准合同或做认证，自己选。不满 10 万人、不含敏感、无重要数据的，回到豁免区。

重要数据有单独规则：未被相关部门告知、也未被公开发布为重要数据的，不需要按重要数据申报；一旦被告知或公开发布，出境就要在 2 个月内申报评估。数量上禁止拆分——把该评估的量拆成多份走合同，是明令禁止的。

图 3｜门槛对照：从豁免区到评估线的数字阶梯

四、三条路全景对比

三条路各有各的位子。安全评估：经省级网信部门转报国家网信办，7 个工作日内定受理，受理后 45 个工作日出结果（可延长），结果有效期 3 年，期满前 60 个工作日可申请再延长 3 年，累计最长 6 年。2025 年 6 月申报指南出到了第三版，材料明显简化。

标准合同：严格按官方模板签，生效后 10 个工作日内向省级网信部门备案合同加 PIA 报告——没有审批环节，只有材料查验。认证：2026 年 1 月 1 日《个人信息出境认证办法》正式施行，依据 GB/T 46068-2025 开展，证书有效期 3 年，期满前 6 个月要重新申请。

图 4｜三路对比：受理、时限、有效期、适合谁

五、安全评估：申报要点

评估分量最重，流程也最长。核心动作四个：先做数据出境风险自评估（申报材料的主体）；经省级网信部门线上申报；配合国家网信办问询与补正材料；拿到结果后按载明的范围和条件开展出境。

三个实操要点。自评估别写成宣传稿——评估方要看真实风险：数据规模与敏感程度、境外接收方的保护能力、所在国政策影响，一项不能少。范围写准——结果按申报范围给，超范围出境等于没评估。有效期要管起来——3 年看着长，集团业务一年一变，到期前 60 个工作日的窗口错过就要重报。

图 5｜安全评估：全流程与三个实操要点

六、标准合同：备案要点

标准合同是多数公司的默认选项：门槛友好、无审批、确定性高。流程四步：照模板签（条款不得实质性修改）、做 PIA、生效后 10 个工作日内备案、等省级查验。

PIA 六项重点提前备齐：处理目的与方式的合法必要；出境规模、范围、种类、敏感程度；境外接收方的义务承诺与技术能力；出境后被篡改泄露的风险；接收方所在国的政策影响；其他影响安全的事项。常见退回就三类：擅自修改模板条款、PIA 要素不全、拆分数量规避评估——第三类是红线，查实按未评估处理。

图 6｜标准合同：四步流程与 PIA 六项

七、认证：20 号令后的新选项

认证长期是三条路里最模糊的一条，2026 年起清晰了：《个人信息出境认证办法》2026 年 1 月 1 日施行，认证依据 GB/T 46068-2025，证书 3 年有效，认证机构以国家网信办公示名单为准。

什么情况选认证？接收方多、传输频繁、逐份签合同不现实的场景——典型是跨国集团内多家子公司共用一套 HR、财务、CRM 系统，一份认证覆盖集团内多个主体，比每签一份合同备一次案省事。单一接收方、低频传输的，老老实实走标准合同更简单。

图 7｜认证路径：什么情况选它

八、一图选路

把前七节收成一张决策树：先判出境，再看清单和场景豁免，然后按数字进位，最后在合同与认证之间按场景二选一。出境合规不是一次性工程——评估 3 年、合同随业务变、认证 3 年，倒计时从出结果那天就开始了，把出境台账和有效期提醒挂进上一篇的盘点机制里，才是真正管住出境的办法。

图 8｜数据出境选路决策树（建议收藏）

数据出境管不住的是规则变化，管得住的是方法：先判是否出境，再过豁免清单，剩下的按数字对号入座。三条路没有优劣，只有合不合身。出境合规最贵的不是申报，是选错路重来一遍。

数据安全实战手册 · 03

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：知白守黑1024 大白 大白《数据出境三条路：安全评估、标准合同、认证怎么选》