数据跨境流动合规第02页：法律与制度基座深度解读

01 · 《网络安全法》出境条款精读（2025年修正版）

1.1 条文沿革：从第37条到第39条

2016年11月7日通过的《网络安全法》第三十七条首次确立了“关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储，因业务需要确需向境外提供的应当通过安全评估”的基本框架。2025年10月28日，十四届全国人大常委会通过《关于修改〈中华人民共和国网络安全法〉的决定》，修正后的法律自2026年1月1日施行：原第三十七条调整为第三十九条，内容基本保留并新增“法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定”的衔接表述——这为《促进和规范数据跨境流动规定》的豁免机制提供了上位法依据。

1.2 2025年修正的关键变化

• 法律责任大幅抬升：修正后的第七十一条采用转致立法技术：关键信息基础设施运营者违反第三十九条规定（违规出境）的，“按照有关法律、行政法规的规定处理、处罚”——即实际适用《个人信息保护法》第六十六条（最高5000万元或上年营业额5%）与《数据安全法》第四十六条（最高200万元并可吊销资质）的罚则框架，出境违法的违法成本显著高于2017年原法的固定罚款区间。
• 域外适用条款强化：明确境外的组织、个人从事危害中华人民共和国关键信息基础设施的活动，造成严重后果的，依法追究法律责任（为打击境外攻击与窃取数据行为提供国内法抓手）。
• 处罚梯度体系化：对网络运行安全保护义务等一般条款设定“警告→罚款→停业整顿→吊销证照→对责任人员罚款与从业限制”的阶梯式责任，与《个人信息保护法》《数据安全法》的责任体系对齐。

02 · 《数据安全法》第三十一条精读

《数据安全法》（2021年9月1日施行）第三十一条规定：“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，由国家网信部门会同国务院有关部门制定。”该条的立法意义在于：

• 区分主体授权立法：将“其他数据处理者”重要数据出境的立法权授予国家网信部门会同国务院有关部门——《数据出境安全评估办法》（2022年9月1日施行）正是这一授权的直接产物。
• 重要数据出境的唯一路径是安全评估：无论何种主体，重要数据出境均须申报数据出境安全评估，不存在标准合同或认证的替代路径；《促进和规范数据跨境流动规定》第二条进一步明确“未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估”。
• 与数据分类分级制度联动：重要数据的识别依据《数据安全法》第二十一条与各行业细则（与子课题01衔接）；识别结论直接决定出境义务——这使得分类分级成为出境合规的前置程序。

03 · 《个人信息保护法》第三十八至四十一条精读

3.1 第三十八条：出境路径的总闸门

“因业务需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）通过国家网信部门组织的安全评估；（二）经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同；（四）法律、行政法规或者国家网信部门规定的其他条件。”本条确立了“路径法定主义”——出境合规不是靠同意书堆出来的，而是必须落入法定路径之一或豁免情形。

3.2 第三十九条：告知与单独同意

“个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。”实务要点：①“单独同意”须与一般业务条款中的概括授权相区分，出境场景应在隐私政策或单独弹窗中显著提示；②个人信息处理者取得个人同意并不免除其第三十八条的路径义务——同意是实体合法性基础，路径是程序合法性前提，二者缺一不可。

3.3 第四十条：境内存储义务

“关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。”《促进和规范数据跨境流动规定》将“规定数量”明确为100万人以上：处理100万人以上个人信息的处理者出境，原则上须通过安全评估；其向境外提供不满10万人非敏感个人信息的，可适用豁免情形。

3.4 第四十一条：境外司法与执法调取的批准规则

“非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。”——境外法院传票、执法调取请求不构成合法的出境依据；跨国企业收到此类请求时，应通过法务渠道评估报批义务，避免“协助境外执法”演变为违法出境。

3.5 第五十五条联动：个人信息保护影响评估

向境外提供个人信息属于《个人信息保护法》第五十五条明确列举的应当事前开展个人信息保护影响评估的情形之一。出境自评估（安全评估路径）与影响评估（个保法路径）在内容上高度重叠（出境的合法性、正当性、必要性，对个人权益的影响及安全风险），实务上建议整合为一套底稿、两个落款（第7页详述）。

04 · 两部行政法规：关基条例与《网络数据安全管理条例》

4.1 《关键信息基础设施安全保护条例》（2021年9月1日施行）第十九条

运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查。第十九条同时重申运营者在境内运营中收集和产生的个人信息和重要数据应当在境内存储，因业务需要确需向境外提供的，应当通过安全评估——与《网络安全法》第三十九条（修正后）共同构成CIIO出境义务的“双保险”表述。

4.2 《网络数据安全管理条例》（国务院令第790号，2025年1月1日施行）

《网数条例》是数据安全领域首部综合性行政法规，其出境规则的核心安排包括：

• 主体分流适用：关键信息基础设施运营者在境内运营中收集和产生的个人信息和重要数据出境，适用《网络安全法》《关键信息基础设施安全保护条例》的规定；其他数据处理者出境，依照《网数条例》及配套规章执行。
• 衔接三路径制度：向境外提供重要数据的，应当通过国家网信部门组织的数据出境安全评估；个人信息出境依照安全评估、标准合同、个人信息保护认证制度执行，并可适用《促进和规范数据跨境流动规定》的豁免情形。
• 重要数据识别申报衔接：重要数据的识别与申报义务（《网数条例》重要数据识别与申报相关条款）与出境评估直接联动——其第五章"网络数据跨境安全管理"（第三十六至三十九条）进一步细化：个人信息出境条件援引"法律、行政法规或者国家网信部门规定的其他条件"并为国际条约协定预留通道（第三十六条），重要数据出境评估及"未被相关地区、部门告知或者公开发布为重要数据的不需申报"规则（第三十七条），通过评估后不得超出评估时明确的目的、方式、范围和种类、规模（第三十八条）——未被识别申报的重要数据一旦出境，将同时触发未履行识别义务与违规出境的双重责任。
• 平台义务加码：网络平台服务提供者、用户数量巨大相关的数据处理者（如处理1000万人以上个人信息的处理者）面临更严格的个人信息保护与合规审计要求，出境合规被纳入常态化义务。

05 · 出境义务条款速查表

06 · 罚则体系与执法逻辑

6.1 三法罚则的量级对比

6.2 执法逻辑的四个观察

• 执法依据呈“三法并用”格局：滴滴案（2022年7月，80.26亿元）由网信办依据《网络安全法》《数据安全法》《个人信息保护法》并罚作出，说明大规模个人信息出境违法同时触碰多部法律时，监管将择重并行适用。
• “整改前置、罚款兜底”：监管实践普遍先责令整改/下架/暂停新增用户（如滴滴App下架整改期长达一年多），整改不力或拒不履行监管决定再触发顶格罚款——出境合规的“时间成本”常常大于罚款本身。
• 双罚制常态化：个保法第66条对直接责任人员设定个人罚款与从业限制；2025年修正的网安法同样强化了对责任人员的追责——出境合规失范不仅影响企业，也影响高管个人职业安全。
• 域外管辖扩张：2025年修正的网安法扩大了域外适用与对境外危害行为的追责条款；配合《阻断办法》（2021年1月施行）与反外国制裁法的衔接，跨国企业在全球数据调取冲突中的合规空间被进一步规制。

07 · 立法演进与政策导向：从“管得住”到“管得住+放得开”

中国数据出境制度的演进呈现清晰的双轨脉络：一方面，《数据安全法》《个人信息保护法》与2025年修正的《网络安全法》持续强化安全基线与违法成本，出境管控的法律“底盘”不断加固；另一方面，《促进和规范数据跨境流动规定》（2024年3月）以豁免情形、负面清单、延长有效期大幅降低合规负担，《数据出境安全评估申报指南（第三版）》（2025年6月）进一步简化材料、明确有效期延长机制，并与《区域全面经济伙伴关系协定》（RCEP，2022年生效）及各地自贸试验区制度创新形成呼应——政策导向明确为“该放得放、该管严管、放得有序、管得精准”。对企业而言，这意味着：合规策略应从“能不出就不出”转向“会分类、会选路、会豁免、会留痕”——精准适用规则本身就是竞争力（第5—6页展开）。

08 · 条文竞合适用的四个疑难问题

"三法两条例"存在大量条款呼应与交叉，实务中以下四个问题最容易产生理解分歧，逐一辨析如下：

本节参考来源（第2页）

条文序号与罚则金额均来自官方公布文本，引用时请核对最新版本。