01 · 立法背景与制度定位
《促进和规范数据跨境流动规定》（国家网信办令第16号，2024年3月22日公布并施行）是中国数据出境制度的转折点文件。在“三路径”运行近一年后，企业集中反映申报门槛偏低、豁免情形不足、合规成本较高；国家网信办以答记者问形式说明立法考量：“促进数据依法有序自由流动”与“切实维护国家数据安全和保护个人信息权益”并重，通过放宽规模阈值、新增豁免情形、延长评估有效期，实现“放得开、管得住”。该规定第十三条明确：此前发布的《数据出境安全评估办法》《个人信息出境标准合同办法》等相关规定与本规定不一致的，适用本规定——即16号令在三路径规则体系中处于优先适用地位。
02 · 重点条文逐条解读（第三至九条）
2.1 第三条：不含个人信息或重要数据的豁免
国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
- 要件拆解：①场景限定于列举的跨境经营活动；②出境数据必须完成“是否含个人信息/重要数据”的甄别——含匿名化处理后无法识别特定个人且不能复原的数据，不属于个人信息；
- 操作要点：企业应留存数据甄别记录（字段级清单+甄别依据），证明出境数据集中不含个人信息与重要数据；大型数据集的“含少量个人信息”即整体不适用本豁免。
2.2 第四条：境外收集、境内处理后转出境的豁免
数据处理者在境外收集和产生的个人信息向境内提供（输入）处理后，再向境外提供的，处理过程中没有引入境内个人信息或者重要数据的，免予申报评估、订立标准合同、通过认证。
- 典型场景：跨国客服中心将境外客户的咨询数据传入境内分析平台加工后，结果返回境外总部；
- 核心证明义务：“没有引入境内个人信息或者重要数据”须以处理流程文档、数据流图与隔离机制设计加以证明——境内系统的混库、混表处理会直接击穿本豁免。
2.3 第五条：个人信息出境豁免的四项情形
| 情形 | 法定要件 | 操作要点与证据链 |
|---|---|---|
| （一）订立履行合同必需 | 为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息（列举：跨境购物、跨境寄递、跨境汇款、支付、开户、机票酒店预订、签证办理、考试服务等） | 证明出境是履约不可或缺的一环（如收货地址必须传给境外物流商）；出境字段限于履约必需；留存产品流程说明与字段清单 |
| （二）跨境人力资源管理必需 | 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息 | 前提“两依法”缺一不可——无集体合同的企业应先补建；出境范围限于HR管理必需（薪酬、考勤、绩效），不包括无关画像数据；建议向员工公示出境安排 |
| （三）紧急情况 | 紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息 | 属偶发型豁免，应留存紧急事由与时间线记录；事后宜补充告知 |
| （四）低规模豁免 | 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息） | 须建立出境人数台账并按年清零重计；本项不含敏感个人信息——含敏感个人信息即使不足1万人也应订立标准合同或认证 |
2.4 第六条：自贸试验区负面清单机制
自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自贸区内数据处理者向境外提供负面清单外的数据，免予申报评估、订立标准合同、通过认证。
- 机制意义：负面清单将出境管理从“全国一张清单”转为“分区施策”，赋予自贸区制度创新空间；上海临港新片区、北京、天津等地已围绕汽车、生物医药、金融等领域发布数据跨境流动负面清单与一般数据清单实践（以各地官方发布为准）；
- 企业适用前提：数据处理者应在自贸区内注册或符合区内适用条件，且出境数据确属清单外；跨区经营的企业需按业务发生地判断适用规则。
2.5 第七条、第八条：评估与SCC/认证的适用情形
第七条（评估）与第八条（SCC或认证）的完整口径见第3、4页的三张速查表；两处关键提示：①CIIO出境一律评估、重要数据出境一律评估，均不因16号令而放松；②规模处于区间中段的非CIIO出境（10万—100万非敏感，或不满1万敏感），可以在标准合同与认证之间二选一。
2.6 第九条与第十三条：有效期延长与效力优先
第九条将数据出境安全评估结果有效期由2年延长至3年；第十三条确立本规定对先前规章的优先效力，并明确：16号令施行前已经通过评估的，继续有效；申报评估未通过的，可以依法通过订立标准合同、通过认证等其他途径向境外提供个人信息；已经申报评估的，可以按照原程序进行，也可以撤回申报。
03 · 新旧规则阈值对照（2022办法 vs 2024年16号令）
| 出境数据类型 | 2022年办法口径（原申报评估线） | 2024年16号令口径 |
|---|---|---|
| CIIO出境（个人信息/重要数据） | 一律申报评估 | 不变：一律申报评估 |
| 重要数据（非CIIO） | 一律申报评估 | 不变：一律申报评估；未被告知/公开发布为重要数据的不需申报 |
| 非敏感个人信息（非CIIO） | 处理个人信息达100万人的处理者出境即须评估（个保法第40条） | 当年累计100万人以上须评估；10万—100万可SCC或认证；不满10万豁免（豁免情形内） |
| 敏感个人信息（非CIIO） | 出境即须评估（办法第四条：向境外提供敏感个人信息需申报） | 当年累计1万人以上须评估；不满1万人可SCC或认证 |
| 评估结果有效期 | 2年 | 3年，届满前60个工作日可申请延长 |
04 · 豁免的边界：程序豁免 ≠ 实体义务免除
必须反复强调的红线：豁免的是“申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证”这三项程序性义务；以下《个人信息保护法》实体义务一项不免：①第三十九条要求的告知与单独同意；②第十三条的合法性基础；③第五十五条的个人信息保护影响评估（出境本身即是触发情形）；④第五十一条的安全保障措施；⑤第五十七条的泄露事件处置与告知。以“豁免”为名免除单独同意的，属于实体违法，与未选路径同责。
4.1 豁免适用论证的建议框架（Evidence Chain）
- 场景定性：出境业务场景属于16号令哪一条哪一项（引用条文原文）；
- 要件核对：逐项核对法定要件（如HR豁免的“依法制定的劳动规章制度+依法签订的集体合同”是否齐备）；
- 最小必要证明：出境字段清单与业务必要性说明，证明未超范围传输；
- 实体义务履行记录：告知与单独同意的留痕、影响评估报告、安全保障措施说明；
- 年度复核：每年复核出境规模是否跨越阈值、场景是否变化，动态调整路径。
05 · 影响评估与企业应对建议
5.1 制度影响
- 合规成本显著下降：大量中小企业与出海业务的出境场景落入豁免区间，从“申报评估数月”转为“留痕即可”，出境合规进入轻量化时代；
- 监管重心转向真实性：豁免适用由企业自我论证，监管核查将聚焦论证材料的真实性与完整性——“假豁免、真违规”成为新的执法靶点；
- 集团治理要求上升：多链路、多主体、跨年累计的统计要求，倒逼企业建立集团级出境活动台账与阈值预警机制（第7页）。
5.2 企业应对五步建议
- 按16号令逐链路重新定路径：存量出境活动逐一比对豁免情形，该减负的减负、该留痕的留痕；
- 建立“当年累计”人数台账：按主体、按接收方、按数据类型分项统计，设置季度预警线（如达到8万人即启动路径升级评估）；
- 对豁免链路出具《豁免适用论证备忘录》并归档，纳入合规审计范围；
- 跟踪自贸区负面清单扩围：业务落在自贸区内的企业应优先评估适用负面清单的空间；
- 同步修订隐私政策与告知文本：豁免情形的单独同意获取入口要与豁免论证一一对应，避免告知文本与实际出境链路脱节。
06 · 豁免情形适用速查矩阵
将16号令第三至六条整理为"场景—要件—证据—误区"四列速查矩阵，供业务与合规人员逐条对照：
| 豁免依据 | 适用场景 | 关键法定要件 | 必备证据/留痕 | 高频误区 |
|---|---|---|---|---|
| 第三条 | 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销 | 出境数据中不包含个人信息或者重要数据（匿名化后无法识别且不能复原的数据不属于个人信息） | 字段级数据甄别记录＋甄别依据说明 | 大数据集中混入少量个人信息，整体不适用 |
| 第四条 | 境外收集的数据传入境内处理后，再向境外提供 | 处理过程中没有引入境内个人信息或者重要数据 | 数据流图＋境内外系统隔离机制设计文档 | 境内混库、混表处理导致豁免被"击穿" |
| 第五条第一项 | 跨境购物、跨境寄递、跨境汇款、支付、开户、机票酒店预订、签证办理、考试服务等 | 为订立、履行个人作为一方当事人的合同所必需 | 履约流程说明＋出境字段清单＋必要性说明 | 将营销画像、行为数据包装为"履约必需" |
| 第五条第二项 | 跨境人力资源管理 | 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需提供员工个人信息 | 劳动规章制度文本＋集体合同文本＋公示/告知记录 | 缺少集体合同前提；出境字段超出HR管理必需 |
| 第五条第三项 | 紧急情况下保护自然人生命健康和财产安全 | 紧急性＋确需性（偶发型豁免） | 紧急事由说明＋事件时间线记录＋事后补充告知 | 将常态化业务传输包装为"紧急情况" |
| 第五条第四项 | 非CIIO低规模出境 | 自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息） | 出境人数台账（按人计数、按年清零、分项统计） | 数据中包含敏感个人信息（本项不适用，应走SCC或认证） |
| 第六条 | 自由贸易试验区内数据出境 | 出境数据属区内负面清单之外的数据 | 负面清单比对记录＋区内主体资格说明 | 跨区经营企业误判规则适用地 |
统一红线（再次强调）：上表所有豁免均仅免除"评估/SCC/认证"三项程序义务；告知、单独同意、最小必要、个人信息保护影响评估、安全保障、事件处置等《个人信息保护法》实体义务一项不免——矩阵中"必备证据"列即是对"程序豁免也要留痕"的操作化表达。
本节参考来源（第5页）
条文解读均对照官方公布文本，豁免要件请结合监管答记者问理解。
《促进和规范数据跨境流动规定》（国家网信办令第16号，2024年3月22日公布施行）第三至九条、第十三条：中国网信网。
国家网信办有关负责人就《促进和规范数据跨境流动规定》答记者问：中国网信网。
《数据出境安全评估办法》（国家网信办令第11号）与《个人信息出境标准合同办法》（令第13号）（被16号令调整部分以16号令为准）：中国网信网。
《中华人民共和国个人信息保护法》第三十九、五十五、五十七条（豁免情形下的实体义务依据）：中国政府网。
自贸试验区数据跨境流动负面清单相关地方实践（以上海临港新片区、北京、天津等地官方发布为准）：各地自贸区管委会与国家网信办备案公示信息。
《数据出境安全管理政策问答》（国家网信办，2025年10月，豁免适用与重要数据申报口径）：中国网信网。