2. 核心概念与分类体系
跨境数据合规的第一道门槛不是“怎么报”，而是“我手里到底是什么数据、它要去哪里、以什么方式出去”。同一份数据，被识别为一般个人信息还是敏感个人信息，被认定为重要数据还是核心数据，对应的出境路径、评估义务和法律责任完全不同。因此，本节先建立一套可操作的概念坐标：以“数据对象—出境行为—风险等级”三个维度，把抽象法条转化为业务人员能落地的判断依据。
一、数据对象的四层分类
我国现行规则下，与出境最相关的数据对象可分为四类，它们并非互斥，而是存在交叉与包含关系。
- 个人信息：以电子或其他方式记录的、能够单独或与其他信息结合识别特定自然人的各种信息。判断核心是“可识别性”，包括直接标识（姓名、身份证号、手机号）和间接标识（设备号、IP、位置轨迹、消费记录）。
- 敏感个人信息：一旦泄露或非法使用，容易导致人格尊严受侵害或人身、财产安全受危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息。敏感个人信息是个人信息的子集，出境时通常触发更严格的单独同意与保护影响评估。
- 重要数据：一旦遭到篡改、破坏、泄露或非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据。它不必然包含个人信息，例如未公开的某区域地理测绘数据、行业运行阈值数据。重要数据的具体目录由各地区、各部门制定。
- 核心数据：关系国家安全、国民经济命脉、重要民生、重大公共利益的数据，级别最高，原则上境内存储，出境受到最严格限制。
二、出境行为与本地化：两个方向的概念
数据出境指数据处理者向境外提供数据的行为，典型情形包括：向境外传输、在境外存储、让境外机构或个人访问境内数据，以及通过境外服务器中转。需要特别注意，境外主体远程访问境内数据库，即使数据物理上未移动，也构成出境。
数据本地化则是出境的反向要求，指特定数据必须在境内存储、境内处理，未经批准不得出境。关键信息基础设施运营者收集和产生的个人信息与重要数据、核心数据，均适用本地化要求。本地化不等于绝对禁止出境，而是“原则境内存储，出境须经安全评估等法定路径”。
三、业务分类与风险分级方法
把概念落到业务上，建议采用“三步定级法”：
- 定对象：梳理数据字段，标记是否含个人信息、是否含敏感个人信息、是否落入重要数据目录、是否属于核心数据。
- 定行为：判断是否发生出境，属于传输、存储、访问还是中转；接收方所在国家或地区、接收方性质（关联公司、供应商、客户）。
- 定路径：按“核心数据禁止出境—重要数据安全评估—敏感个人信息保护影响评估+单独同意—一般个人信息标准合同或认证”的顺序匹配合规路径。
下面用一张关系图把上述对象、行为与路径的对应关系固定下来，便于在具体业务中快速定位。
四、风险分级：从“合规义务”到“业务动作”
风险分级不是给数据贴一个静态标签，而是决定业务动作的开关。可以用“影响面×可逆性”两个参数来理解：影响面指数据泄露或滥用会波及个人、组织还是国家安全；可逆性指一旦出境后能否有效追回或控制。影响面越大、可逆性越低，级别越高。
| 级别 | 典型对象 | 出境前必须完成 | 业务动作示例 |
|---|---|---|---|
| 极高 | 核心数据 | 不得出境，已出境的立即停止并报告 | 终止境外访问权限，数据回迁境内 |
| 高 | 重要数据、敏感个人信息（大规模） | 安全评估或保护影响评估、单独同意 | 暂停向境外供应商传输，先完成评估 |
| 中 | 一般个人信息（含少量敏感） | 标准合同备案或认证、告知同意 | 签署标准合同并留存记录 |
| 低 | 去标识化、匿名化数据 | 确认不可复原，履行基本告知 | 可正常开展跨境分析 |
五、一个可复用的判断示例
假设某跨境电商企业要将“用户订单数据”传输至境外关联公司用于售后分析。字段包括：用户姓名、手机号、收货地址、订单金额、商品名称。按三步定级法：
- 定对象：姓名、手机号、收货地址属于个人信息；收货地址结合行踪可构成敏感个人信息；订单金额与商品名称单独看为一般信息，但结合后可刻画消费能力，仍属个人信息。
- 定行为：向境外关联公司传输，构成数据出境。
- 定路径：若不含敏感个人信息且未落入重要数据目录，可走标准合同路径；若收货地址被认定为行踪轨迹类敏感信息，则须先做个人信息保护影响评估并取得单独同意。
这个示例说明，分类体系的价值在于把“数据是什么”直接翻译成“下一步做什么”。业务人员不需要背诵全部法条，但必须能在字段级别完成对象识别，并在出境动作发生前完成路径匹配。建议企业将上述三步固化为数据出境台账的必填字段：数据字段、对象类别、是否敏感、是否重要数据、出境方式、接收方、合规路径、评估状态。台账一旦建立，后续的评估、备案和审计就有了统一入口。