数据跨境流动合规第03页：数据出境安全评估制度深度解读

01 · 制度定位与法规沿革

数据出境安全评估是国家网信部门对出境活动的事前审查机制，是整个出境合规体系中效力最高、覆盖数据类型最广的路径：重要数据出境只能走评估，大规模个人信息出境原则上也必须走评估。其规范沿革为：

02 · 申报条件：哪些出境活动必须申报评估

依据《促进和规范数据跨境流动规定》第七条，数据处理者向境外提供数据有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

• 情形一：关键信息基础设施运营者向境外提供个人信息或者重要数据（CIIO出境无规模门槛，一律评估）；
• 情形二：关键信息基础设施运营者以外的数据处理者向境外提供重要数据（重要数据出境无主体豁免、无规模门槛）；
• 情形三：关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）；
• 情形四：关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供1万人以上敏感个人信息。

属于豁免情形（第16号令第三至六条，第5页详解）的，从其规定——即落入豁免的出境活动无需申报评估。

2.1 “自当年1月1日起累计”的统计口径

• 按自然年滚动清零：“当年”指申报当年的1月1日起算；年度内多批次出境的规模应当合并累计计算。
• 按“人数”而非“条数”：同一自然人的多条个人信息计为一人；组织应建立出境人数台账，避免重复计数或漏计。
• 敏感与非敏感分别统计：两类阈值独立计算，敏感个人信息（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、不满十四周岁未成年人个人信息等）适用更严的1万人阈值。
• 多条链路合并：同一数据处理者通过不同业务系统、不同境外接收方的出境，原则上应合并评估总量；集团内不同法人主体分别计算各自规模。

03 · 申报材料清单（第三版指南口径）

申报通过所在地省级网信部门进行：省级网信部门收到申报材料后5个工作日内完成完备性查验并报送国家网信部门；材料不齐备的，一次性告知需要补充的材料。

04 · 评估要点：国家网信部门审什么

依据《数据出境安全评估办法》第八条，重点评估事项包括：

• 出境的必要性：出境目的是否合法、正当、必要，数据范围是否最小化——能否通过境内处理、匿名化、去标识化或隐私计算等方式避免出境，是评估中反复被追问的问题（与子课题04联动）；
• 出境数据的固有风险：数据种类、规模、敏感程度、遭篡改破坏泄露非法利用后对国家安全、公共利益、个人与组织合法权益的危害程度；
• 境外接收方保护能力：其数据安全责任义务、管理技术措施、过往安全记录、数据安全管理体系（如认证、审计情况）能否保障出境数据安全；
• 境外法律环境：接收方所在国家或地区的数据保护政策法规、政府调取数据的法律实践、网络安全环境对出境数据安全的影响；
• 法律文件约束力：合同等法律文件对双方权利义务、再转移限制、监督配合、救济机制、境外接收方将接受国家网信部门监督的约定是否完备；
• 其他与出境数据安全相关的事项。

05 · 评估流程与时限

5.1 对评估结果的救济

数据处理者对评估结果有异议的，可以在收到评估结果通知书之日起15个工作日内向国家网信部门申请复评，复评结果为最终结论。实务中，首次申报未通过的，更常见的路径是依据反馈补充完善材料与法律文件后重新申报。

06 · 评估结果的有效期、延长与重新申报

6.1 有效期：3年

《数据出境安全评估办法》原规定评估结果有效期为2年；《促进和规范数据跨境流动规定》将其延长至3年，自评估结果出具之日起计算。《数据出境安全评估申报指南（第三版）》进一步明确：有效期届满，需要继续开展相应数据出境活动的，数据处理者应当在有效期届满前60个工作日内通过所在地省级网信部门提出延长评估结果有效期申请；经国家网信部门批准可以延长有效期（具体以审核结论为准）。

6.2 延长评估结果有效期的适用条件（第三版指南口径）

评估结果准予开展的出境活动，同时符合下列条件的，可在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门申请延长有效期：

• 数据出境的目的、范围等未发生变化；
• 数据处理者和境外接收方未发生变化；
• 出境个人信息的，未来三年涉及自然人数量增幅不超过原评估结果准予过去三年出境数量的20%（重要数据按出境规模同口径计算）；
• 与境外接收方订立的法律文件持续有效并符合《数据出境安全评估办法》第九条要求；
• 过去三年内合规开展数据出境活动，未发生重大数据安全事件。

国家网信部门在收到延长申请材料后20个工作日内作出是否准予延长的决定；情况复杂的，可以适当延长并告知预计延长的时间。经准予延长的，评估结果有效期再延长3年。提交虚假材料的，按照评估不通过处理并依法追究相应法律责任。

6.3 重新申报的触发情形

07 · 申报实务：自评估报告框架与常见退补问题

7.1 自评估报告建议框架（按申报指南要点组织）

1. 自评估工作概况：评估依据、评估范围、评估方法（访谈、系统核查、文档审阅、技术检测）、评估团队与分工；
2. 出境活动基本情况：数据处理者情况（主体性质、CIIO认定情况、个人信息处理规模）、境外接收方情况（主体、业务、保护能力、所在地区）、出境数据情况（清单、规模、敏感程度、保存期限）、出境方式与链路（传输通道、加密措施、日志留存）；
3. 出境活动合法性、正当性、必要性分析：业务场景证明、最小化论证、替代方案分析（境内处理、匿名化等）；
4. 出境数据安全风险分析：数据全生命周期各环节风险、境外接收方能力与法律环境风险、再转移风险；
5. 出境后风险应对措施：已采取及拟采取的管理与技术措施、监督机制、应急预案；
6. 自评估结论：风险等级判定与出境活动可行性结论。

7.2 常见退补/未通过原因（实务观察归纳）

• 出境必要性论证不足：未能说明为何必须在境外处理、为何不能以境内处理或匿名化数据替代；
• 出境数据清单不完整：漏报字段、漏报系统链路（如客服工单、日志同步、BI报表）；
• 境外接收方尽调单薄：对接收方安全能力、所在地区政府调取实践缺乏实质分析；
• 法律文件约束力弱：缺少再转移限制、监督配合、应急处置、违约救济等核心条款；
• 三份材料互相矛盾：申报书、自评估报告、法律文件中的数据规模、保存期限、接收方信息不一致；
• 同意与告知证据缺失：无法提供出境场景单独同意与告知的留痕证明。

08 · 数据出境行为的界定与重要数据告知时限（2025年口径）

8.1 哪些行为构成"数据出境"（申报指南第三版界定）

根据《数据出境安全评估申报指南（第三版）》，下列情形均属于数据出境行为，纳入出境合规管理视野：

1. 数据处理者将在境内运营中收集和产生的数据传输至境外；
2. 数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出——即便数据物理位置在境内，境外可远程获取即构成出境；
3. 符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他数据处理活动（即以向境内自然人提供产品或服务、分析评估境内自然人行为等为目的的境外处理）。

8.2 被告知掌握重要数据后的申报时限

据国家网信办《数据出境安全管理政策问答》（2025年10月）：数据处理者被告知掌握重要数据或者掌握的数据被公开发布为重要数据后，如需继续开展相关数据出境活动的，应当在被告知或者公开发布后2个月内，通过所在地省级网信部门向国家网信部门申报数据出境安全评估。出境场景复杂、准备材料时间较长的，建议在重要数据识别认定期间同步梳理业务场景、预先准备申报材料。

8.3 申报材料的真实性责任

第三版指南明确：数据处理者对所提交材料的真实性负责，提交虚假材料的，按照评估不通过处理，并依法追究相应法律责任。自评估报告所述自评估活动应为申报前3个月内完成，且至申报日无重大变化；第三方机构参与自评估的，须在报告中说明其基本情况及参与情况。

本节参考来源（第3页）

申报材料模板与时限以国家网信部门发布的最新版申报指南为准。