2. 全球数据跨境规则图谱

跨境数据流动的合规难点，首先不在于“怎么传”，而在于“按谁的规则传”。同一批个人信息，从中国境内传到欧盟、美国或东南亚，可能同时触发多个法域的管辖。理解全球规则图谱，核心是抓住三条主线：管辖触发条件、数据出境机制、个人权利与执法后果。本节以欧盟GDPR、美国CCPA/CPRA、中国《个人信息保护法》（PIPL）为三大代表，辅以其他法域的定位，帮助你在真实业务中快速判断“适用哪部法、走哪条路径、留什么证据”。

一、三大法域的定位差异

三部法律的立法逻辑并不相同。GDPR是“权利保护型”综合立法，强调数据主体的控制权和数据处理者的问责；CCPA/CPRA是“消费者隐私型”州法，聚焦加州居民对个人信息的选择权，尤其是“出售/共享”的退出权；PIPL则是“安全与发展并重型”立法，把个人信息出境纳入国家安全与公共利益框架，设置了独立的出境合规机制。

管辖触发上，GDPR采用“属地+属人”双重标准：只要在欧盟设立机构并处理数据，或虽无机构但向欧盟境内提供商品服务、监控行为，即受管辖。CCPA/CPRA以“在加州开展业务并满足营收或数据量门槛”为条件，2023年CPRA修订后新增了敏感个人信息限制使用权和数据保留义务。PIPL则以“在境内处理自然人个人信息”为基本管辖，同时规定境外处理境内自然人信息、以向境内提供产品服务为目的的，同样适用。

二、出境机制的实操差异

三部法律对“数据出境”的干预强度差异明显。GDPR并不禁止数据出境，而是要求接收方所在国达到“充分性保护水平”；若没有充分性认定，则通过SCC、BCR等工具补足。2020年Schrems II判决后，使用SCC还必须做传输影响评估（TIA），判断接收国法律是否赋予公共机构过度访问权。这意味着，一家中国企业把欧盟员工数据传回中国总部，不能只签SCC，还要评估中国法律环境并补充技术措施（如端到端加密、密钥本地化）。

CCPA/CPRA没有设置类似“出境审批”的机制，它更关注“出售/共享”的披露与退出。企业把加州消费者数据传给第三方，若构成“出售”或“共享”（含跨上下文行为广告），必须提供“Do Not Sell or Share My Personal Information”链接，并尊重选择退出信号。跨境传输本身不额外触发审批，但服务提供商合同必须限制对方用途。

PIPL的出境机制最为严格，形成“三路径+一例外”结构：安全评估、标准合同、保护认证，以及法律行政法规规定的其他情形。触发安全评估的门槛包括：关键信息基础设施运营者出境个人信息、出境重要数据、处理100万人以上个人信息出境、自上年1月1日起累计出境10万人以上个人信息或1万人以上敏感个人信息。未达门槛的，可走标准合同备案或认证。无论走哪条路径，都必须完成“告知+单独同意”，并向个人告知境外接收方名称、联系方式、处理目的、方式、种类及行权方式。

三、适用场景判断：一张决策表

实际业务中，最常遇到的是“多法域叠加”。例如，一家深圳跨境电商同时向欧盟和加州消费者销售，用户数据存在深圳服务器，同时使用美国SaaS做客服。此时：欧盟用户数据受GDPR管辖，传回深圳需SCC+TIA；加州用户数据受CCPA/CPRA管辖，需披露出售/共享并尊重退出；中国境内收集的全部个人信息出境，需按PIPL判断是否触发安全评估。三者并行，不能互相替代。

四、其他法域的定位

除三大法域外，巴西LGPD、日本APPI、韩国PIPA、印度DPDP Act、新加坡PDPA也值得关注。巴西LGPD与GDPR高度相似，但出境机制以“充分性认定+合同条款+认证”为主；日本APPI对出境要求“同等保护水平”并强化个人同意；印度DPDP Act 2023引入“通知黑名单”模式，政府可指定禁止出境的国家。这些规则共同构成“以欧盟为模板、以美国为碎片、以中国为严格”的全球图谱。

五、合规落地的关键动作

第一，建立数据地图，标注每类个人信息的来源国、存储地、接收方和传输路径。第二，按法域拆分告知同意文本，欧盟强调合法性基础，加州强调出售/共享披露，中国强调单独同意和境外接收方信息。第三，对出境路径做门槛判断：PIPL看人数和数据类型，GDPR看接收国保护水平，CCPA/CPRA看是否构成出售/共享。第四，保留证据链：SCC签署记录、TIA报告、安全评估申报回执、标准合同备案编号、退出信号处理日志。第五，设置动态复核机制，因为充分性认定、黑名单、门槛数字都可能变化。

全球规则图谱不是静态清单，而是一套“管辖—机制—权利—后果”的联动判断系统。掌握三大法域的差异，才能在跨境业务设计阶段就把合规路径嵌入数据流，而不是等到传输发生后再补救。