1. 跨境数据业务全景与法律风险地图

跨境数据业务并不是一个抽象概念，它由三类最基本的数据流动场景构成：数据出境、数据入境和数据过境。理解这三类场景，是建立法律风险地图的起点。数据出境，指境内运营者将在中国境内收集或产生的个人信息、重要数据等传输至境外接收方，或允许境外机构访问、调用境内数据；数据入境，指境外数据进入中国境内处理，典型如跨国企业将海外用户数据同步至中国区服务器做本地化分析；数据过境，则指数据仅经中国境内网络节点或中转服务器转发，起点和终点均在境外，中国并非数据的目的地。三者的法律义务差异极大：出境触发中国法下的评估、认证或标准合同义务；入境主要受数据来源地法律与中国接收方合规要求双重约束；过境则更多涉及网络安全、通道合规与不得非法留存等要求。

从业务形态看，跨境数据业务通常落在五类典型场景中：跨境电商订单与物流数据回传、跨国企业人力资源与财务数据全球共享、云服务与CDN的跨境节点调度、境外上市或审计所需的数据提供、以及AI模型训练数据的跨境汇聚。每一类场景对应的数据种类、传输方向、接收方性质和监管敏感度都不同，因此不能用同一套合规动作覆盖全部业务。

主要法域方面，当前影响跨境数据业务最直接的是中国、欧盟、美国以及部分亚太和中东国家。中国以《网络安全法》《数据安全法》《个人信息保护法》为顶层框架，配套《数据出境安全评估办法》《个人信息出境标准合同办法》以及个人信息保护认证制度，监管机构主要包括国家网信部门、行业主管部门（如人民银行、工信部、卫健委等）以及地方网信办。欧盟以GDPR为核心，强调充分性认定、标准合同条款（SCC）和约束性公司规则（BCR），监管机构为各成员国数据保护监管机构与EDPB。美国没有统一的联邦隐私法，但通过出口管制、CFIUS审查、CLOUD Act以及州级隐私法（如CCPA/CPRA）形成多层约束，监管机构分散在商务部、财政部、司法部和FTC等。此外，新加坡PDPA、日本APPI、印度DPDP Act、阿联酋PDPL等也常出现在跨境业务链路中。

风险类型可以归纳为六类：合规准入风险（未完成评估、认证或标准合同即出境）、数据主权与调取冲突风险（境外监管机构要求提供境内数据，与本地法冲突）、合同与责任风险（接收方违约、再传输失控）、安全事件风险（跨境链路被截获、泄露或勒索）、行业特别监管风险（金融、医疗、汽车、地图等敏感行业额外限制）、以及声誉与业务连续性风险（被通报、下架、暂停业务）。这些风险并非并列，而是存在传导关系：合规准入缺失往往放大安全事件后果，数据主权冲突又会反过来影响合同可执行性。

建立课程任务框架时，建议按“场景识别—法域定位—风险归类—工具匹配—证据留存”五步推进。场景识别要落到具体数据流：例如某跨境电商将中国用户订单信息传给新加坡物流服务商，属于数据出境；若该新加坡服务商再将数据传给美国分析平台，则构成再传输，需要单独评估。法域定位要同时看数据来源地、处理地和接收地，不能只看合同签约地。风险归类要区分“已发生”和“潜在”，前者触发报告与整改，后者进入持续监测。工具匹配对应安全评估、标准合同、认证、加密与访问控制、合同条款和审计权。证据留存则要求保留数据映射表、评估报告、合同文本、传输日志和审批记录，形成可追溯的合规档案。

为便于后续章节反复调用，这里给出一份可直接填写的跨境数据场景登记表示例。字段不求多，但必须能支撑方向判断和风险初筛：