01 · 个人信息跨境提供的规则体系
个保法第三章（第38—43条）确立出境合规的「三条件+一存储+一审批」框架：向境外提供个人信息须具备三项条件之一——通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、与境外接收方订立标准合同（第38条）；处理者还应履行告知与单独同意（第39条）；关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者，应将境内收集产生的个人信息存储在境内，确需出境的通过安全评估（第40条）；非经批准不得向外国司法或者执法机构提供境内个人信息（第41条）。
| 路径 | 主要法规 | 适用门槛（2024年规定调整后） |
|---|---|---|
| 安全评估 | 《数据出境安全评估办法》（2022年9月1日施行） | 向境外提供重要数据；关键信息基础设施运营者出境；自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感）或1万人以上敏感个人信息（依《促进和规范数据跨境流动规定》调整后的门槛） |
| 个人信息保护认证 | 《个人信息保护认证实施规则》（2022年11月发布） | 处理者开展跨境处理活动的认证（含集团内跨境人力资源管理场景），认证依据为GB/T相关认证技术规范 |
| 标准合同 | 《个人信息出境标准合同办法》（2023年6月1日施行） | 非关键信息基础设施运营者，自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感），应与境外接收方订立国家网信部门制定的标准合同，并于合同生效之日起10个工作日内向所在地省级网信部门备案 |
| 豁免情形 | 《促进和规范数据跨境流动规定》（2024年3月22日施行） | ①为订立、履行个人作为一方当事人的合同确需出境（跨境购物、跨境汇款、机票酒店预订、签证办理、考试服务等）；②按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理确需出境；③紧急情况下为保护自然人的生命健康和财产安全确需出境；④关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感）；⑤非境内自然人过境，且不计入境内个人信息规模。此外，自贸区可制定负面清单，清单外豁免 |
三个易错点：①「境外」指地理与法域概念——境外母公司、境外云服务节点、境外SaaS的境内团队远程访问境内个人信息，均属出境；②豁免出境不免除第39条告知与单独同意义务；③安全评估结果有效期为3年（2024年规定将原2年延长），届满需重新申报或申请延长。
02 · 未成年人个人信息保护
2.1 三层规范体系
| 规范 | 施行日期 | 核心义务 |
|---|---|---|
| 《儿童个人信息网络保护规定》（网信办令第4号） | 2019年10月1日 | 儿童（不满十四周岁）个人信息保护专门规则：网络运营者收集、存储、使用、转移、披露儿童个人信息，应征得监护人的同意；设置专门的儿童个人信息保护规则和用户协议，指定专人负责；内部工作人员经最小授权；存储儿童个人信息不得超过实现其收集、使用目的所必要的期限；委托第三方处理须经安全评估；发生或可能发生泄露时应立即告知监护人并向网信部门报告 |
| 《个人信息保护法》第31条 | 2021年11月1日 | 不满十四周岁未成年人的个人信息属敏感个人信息：处理应取得父母或其他监护人的同意，并制定专门的个人信息处理规则 |
| 《未成年人网络保护条例》 | 2024年1月1日 | 网络素养促进、网络信息内容规范、个人信息网络保护（专章细化未成年人个人信息处理规则：不得强制要求未成年人或其监护人同意非必要的个人信息处理）、网络沉迷防治、网络欺凌防治 |
2.2 典型场景合规要点
- 教育类App：最小必要+功能与教育目的直接相关；成绩、行为数据不得用于商业画像；向第三方提供须监护人单独同意。
- 儿童智能手表：定位与语音属高敏感处理：默认最小化采集、监护人端可控、禁止与广告业务打通；英国ICO对TikTok处1270万英镑罚款（2023年4月4日）即因儿童数据保护失守，可作风险镜鉴。
- 校园场景：校园安防、食堂人脸支付须评估必要性与人脸识别办法的合规要求（提供替代验证方式）；学生信息对外共享（保险、校外机构）须监护人授权。
- 年龄识别：「知情同意」的前提是知道用户是儿童——平台应建立年龄识别机制，对疑似未成年用户触发监护人同意流程，但年龄识别本身也应最小化（避免为识别年龄而过度收集证件信息）。
03 · 死者个人信息的处理规则
第49条回应了数字遗产问题：「自然人死亡的，其近亲属为了自身的合法、正当利益，有权对死者个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。」
- 权利主体与目的限定：行权主体为近亲属，且须以「自身合法、正当利益」为目的（如处理遗产、追究侵权、防止身份冒用），不得泛化为对死者信息的任意支配。
- 死者生前安排优先：生前另有安排的（如遗嘱指定、账号继承人设置），从其安排——这为「数字遗产」产品（账号传承、纪念账号）提供了法律空间。
- 实践要点：平台应建立近亲属身份核验与行权申请流程；对删除请求应区分「删除账户」与「删除个人信息」的联动处理；涉共同创作内容（家庭相册）时应平衡其他权利人利益。
研究视角：死者信息规则与「被遗忘权」、数字遗产继承（民法典第1122条遗产范围未明确虚拟财产细节）存在接口张力，是本子课题后续跟踪的开放问题之一。
04 · 重要平台「守门人」特别义务
第58条针对「提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者」设定四项特别义务：
| 义务 | 合规解读 |
|---|---|
| 成立独立监督机构 | 主要由外部成员组成，对个人信息保护情况进行监督——借鉴GDPR「数据保护官+独立审计」思路，重在制衡平台内部利益冲突 |
| 制定平台规则 | 明确平台内产品或服务提供者（商家、开发者）处理个人信息的规范与保护义务——把合规要求传导至生态内第三方 |
| 停止服务违规者 | 对严重违反法律法规处理个人信息的平台内经营者，停止提供服务——「平台执法权」的法源，配套措施应成文并在协议中预留依据 |
| 发布社会责任报告 | 定期发布个人信息保护社会责任报告，接受社会监督——信息披露成为常态义务 |
注：第58条适用以监管认定为准，条文未给出用户数量的量化标准；平台企业应按「可能被认定」的标准预先建设能力（监督机构、规则体系、处置机制、报告机制）。
05 · 其他特殊场景：职场、公共场所与国家机关
| 场景 | 规则要点 |
|---|---|
| 职场员工信息管理 | 以「人力资源管理所必需」作为合法性基础（第13条第1款第2项）——限于劳动合同履行与管理必需范围（考勤、发薪、社保）；员工监控（屏幕、定位、聊天审计）须限定工作时间与公务目的并保持比例性，超出管理必需的个人生活信息收集无合法性基础。2024年跨境流动规定将「按劳动规章制度实施跨境人力资源管理确需出境」列为豁免情形，便于跨国集团统一管理 |
| 公共场所图像采集 | 第26条：在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识；所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的（取得个人单独同意的除外）。与人脸识别办法衔接：上述场所中的宾馆客房、公共浴室、公共更衣室、公共卫生间、哺乳室等不得安装人脸识别设备 |
| 国家机关处理个人信息 | 第34—37条特别规定：国家机关处理个人信息应在法定职责范围内、依照法定权限程序进行，不得超出履职必要范围；履行告知义务时因法定原因可不告知；存储境内、出境经安全评估。政务数据共享的「最小够用」与告知例外是实务焦点 |
| 医疗健康场景 | 病历、检验数据属敏感信息：处理须单独同意+严格保护；科研使用应去标识化并经伦理审查；互联网诊疗另受《互联网诊疗监管细则（试行）》等行业规范约束 |
| 征信与金融 | 《征信业管理条例》（2013年施行）确立征信业务许可与信息主体同意规则；金融账户信息属敏感信息，金融机构对外提供（如联合贷款、助贷）须履行第23条单独同意与告知程序 |
06 · 法定报送、备案事项一览
| 事项 | 时限要求 | 依据 |
|---|---|---|
| 个人信息保护负责人信息报送 | 处理100万人以上个人信息的处理者指定后公开联系方式并报送履职部门 | 个保法第52条；2025年审计办法第12条已明确「达量」门槛为100万人 |
| 标准合同备案 | 合同生效之日起10个工作日内，报所在地省级网信部门 | 《个人信息出境标准合同办法》第7条 |
| 出境安全评估申报 | 通过出境活动前申报，评估结果有效期3年 | 《数据出境安全评估办法》及2024年规定 |
| 人脸信息存储备案 | 存储人脸信息达10万人的，30个工作日内报省级以上网信部门 | 《人脸识别技术应用安全管理办法》（2025年6月1日施行） |
| 合规审计（达量者） | 处理超1000万人个人信息：每两年至少一次 | 《个人信息保护合规审计管理办法》（2025年5月1日施行） |
| 算法备案 | 具有舆论属性或社会动员能力的算法推荐服务：提供服务之日起10个工作日内 | 《互联网信息服务算法推荐管理规定》 |
| 泄露事件通知 | 立即采取补救措施；通知履职部门与个人（有效避免危害的可不通知个人） | 个保法第57条 |
管理建议：将上表整合进「合规义务日历」（第8页给年度排期模板），每项报送指定责任人、前置准备材料与内部截止日期（早于法定时限留缓冲），并由个保负责人统一督办。
出境路径选择决策流程
依据《促进和规范数据跨境流动规定》（2024年3月22日施行）门槛整理，个案以主管部门口径为准
说明：决策树为课题方法论示意；出境合规的完整制度设计（申报书、备案流程、认证规范）见子课题03《数据跨境流动合规》。