3. 中国数据出境监管框架

《数据出境安全评估办法》《个人信息出境标准合同办法》与《个人信息保护认证实施规则》共同构成了中国数据出境的“三驾马车”。理解这三条路径，关键不是记住条文，而是先判断“我属于哪一类主体、传输什么数据、去往哪里”，再据此选择合规通道。三条路径并非可自由挑选的平行选项，而是存在明确的适用优先级：触发安全评估的，必须走评估；未触发评估但达到标准合同或认证门槛的，二者可选其一；未达到任何门槛的，仍须履行告知、同意等基础义务。

一、三条路径的适用条件

安全评估由网信部门组织，适用于四类情形：一是关键信息基础设施运营者（CIIO）向境外提供个人信息；二是向境外提供重要数据；三是处理100万人以上个人信息的处理者向境外提供个人信息；四是自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息。只要命中其中一条，就必须申报评估，不能以标准合同或认证替代。

标准合同适用于未触发安全评估、但向境外提供个人信息的情形。其核心是数据处理者与境外接收方签订国家网信部门制定的标准合同文本，并在合同生效之日起10个工作日内向所在地省级网信部门备案。标准合同不得修改核心条款，只能在不冲突的前提下补充约定。

认证依据《个人信息保护认证实施规则》，由具备资质的认证机构对个人信息处理者跨境处理活动进行技术验证与合规审核。它更适合跨国公司集团内部、关联实体之间持续、批量、规则化的数据流动场景，认证有效期一般为3年，需接受年度监督。

二、申报流程与关键节点

安全评估的申报主体是数据处理者，受理机构为所在地省级网信部门，最终评估由国家网信部门组织完成。流程上，企业需先开展自评估，重点评估出境数据的数量、范围、敏感程度、境外接收方所在国法律环境、合同约束力等，形成自评估报告；随后通过“数据出境安全评估申报系统”提交申报书、自评估报告、与境外接收方拟签订的法律文件等材料。省级网信部门在收到材料后5个工作日内完成完备性查验，材料不齐全的会一次性告知补正。受理后，国家网信部门在45个工作日内完成评估，情况复杂的可延长15个工作日。评估结果分为“通过”“不通过”“附条件通过”，有效期2年，到期需重新申报。

标准合同的流程相对轻量：企业先开展个人信息保护影响评估（PIA），再与境外接收方签订标准合同，合同生效后10个工作日内向省级网信部门备案。备案不是审批，但网信部门发现合同与标准文本存在实质性偏离的，可要求整改。认证则由企业自愿委托具备资质的认证机构，经过技术验证和合规审核后发证，证书有效期3年，期间需接受监督审核。

三、实务选择：先判断，再匹配

实务中，企业最容易犯的错误是“先选路径、再补材料”。正确顺序是：第一步，盘点数据资产，识别是否涉及重要数据、是否属于CIIO、个人信息主体数量与敏感个人信息规模；第二步，判断是否命中安全评估四类情形；第三步，若未命中，再根据传输规模、频次、境外接收方数量、集团内还是第三方等，在标准合同与认证之间选择。

一个常见的教学示例：某跨境电商企业年处理个人信息约30万人，向境外物流服务商传输收件人姓名、电话、地址，不涉及敏感个人信息，也不属于CIIO。该企业未触发安全评估（未达100万人，也未达10万人或1万人敏感），但达到标准合同门槛，因此应选择标准合同路径：先做PIA，再签标准合同，10日内备案。若该企业是跨国集团，需向境外多个关联公司持续传输员工与客户数据，则认证路径更经济，因为一次认证可覆盖集团内多个接收方，避免逐份合同备案。

最后需要强调，三条路径的底层逻辑是一致的：通过自评估、合同约束、认证审核等机制，确保出境后的个人信息保护水平不降低。企业无论选择哪条路径，都应保留完整的评估报告、合同文本、备案回执或认证证书，形成可追溯的合规证据链。只有把“判断—选择—执行—留痕”四个环节都做实，数据出境合规才真正落地。