3. 中国数据出境监管制度
中国数据出境监管并非一部法律单打独斗，而是由《网络安全法》《数据安全法》《个人信息保护法》三部上位法搭起框架，再由《数据出境安全评估办法》《个人信息出境标准合同办法》《个人信息保护认证实施规则》等配套规则填充操作细节。理解这套制度，关键不是背法条，而是回答一个实务问题：我这次数据出境，究竟该走安全评估、标准合同，还是认证？
一、三部上位法各自管什么
《网络安全法》确立了网络运营者的基本义务，其第三十七条针对关键信息基础设施运营者（CIIO）规定了境内存储与出境安全评估要求，是安全评估路径最早的源头。《数据安全法》把视角从"个人信息"扩展到"重要数据"，建立了数据分类分级制度和重要数据出境安全评估机制，并授权国家网信部门制定具体办法。《个人信息保护法》第三十八条则集中规定了个人信息出境的合法路径，包括安全评估、专业机构认证、标准合同以及法律行政法规规定的其他条件，同时第三十九条要求向个人告知并取得单独同意。
三法关系可以概括为：网安法定主体（CIIO），数安法定客体（重要数据），个保法定路径（个人信息出境三选一）。实务中一次数据出境往往同时触发多部法律，需要叠加判断。
二、三条路径的适用条件
路径一：安全评估。依据《数据出境安全评估办法》，触发情形包括四类：一是关键信息基础设施运营者向境外提供个人信息或重要数据；二是处理100万人以上个人信息的处理者向境外提供个人信息；三是自上年1月1日起累计向境外提供10万人个人信息或1万人敏感个人信息；四是向境外提供重要数据。安全评估由数据处理者通过省级网信部门向国家网信部门申报，评估重点包括出境目的、范围、方式的合法性正当性必要性，境外接收方所在国家地区的法律环境，以及数据安全保护能力等。评估结果有效期一般为2年，期满或情形发生变更需重新申报。
路径二：标准合同。适用于未达到安全评估门槛的个人信息出境情形。处理者与境外接收方签订国家网信部门制定的标准合同，并在合同生效之日起10个工作日内向所在地省级网信部门备案。标准合同不是"随便签一份"，其条款为法定必备内容，包括个人信息处理目的、方式、种类、保存期限、境外接收方义务、个人权利保障途径、违约责任等。签订前必须完成个人信息保护影响评估（PIA），评估报告与合同一并留存备查。
路径三：个人信息保护认证。依据《个人信息保护认证实施规则》，由具备资质的认证机构对个人信息处理者跨境处理活动进行认证。该路径更适合跨国公司集团内部、关联实体之间高频、持续的个人信息出境场景，认证有效期一般为3年。认证并非"免评估"，仍需满足个人信息保护影响评估等基础要求。
三、路径选择判断逻辑
三条路径不是并列任选，而是有明确的优先级和排他关系。判断顺序应为：先看是否涉及重要数据或是否属于CIIO，若是则必须走安全评估；再看个人信息数量是否达到法定门槛，达到则走安全评估；未达到门槛的个人信息出境，可在标准合同与认证之间选择。需要特别注意的是，安全评估具有强制性和优先性，不能用标准合同或认证替代。
四、实务中的关键参数与操作要点
数量门槛的计算口径需要特别注意。以标准合同路径为例，若某电商平台自上年1月1日起累计向境外提供9.5万条普通个人信息，尚未达到10万门槛，可走标准合同；但若其中包含1.2万条敏感个人信息（如生物识别、金融账户），则已触发1万人敏感个人信息门槛，必须申报安全评估。这里的"累计"是自上年1月1日起算，不是自然年，也不是单次出境量。
安全评估申报材料通常包括：申报书、数据出境风险自评估报告、与境外接收方拟订立的法律文件、数据安全保护能力证明材料等。自评估报告需重点说明出境数据的种类、数量、敏感程度、出境目的、境外接收方安全保障能力、数据再转移风险等。评估结果有效期2年，若出境目的、方式、数据种类或境外接收方法律环境发生重大变化，应重新申报。
标准合同路径的操作闭环为：开展个人信息保护影响评估 → 与境外接收方签订标准合同 → 合同生效之日起10个工作日内向省级网信部门备案 → 留存评估报告与合同备查。备案不是审批，但未备案可能面临责令改正、警告、罚款等法律后果。
五、常见误区与排障
误区一："签了标准合同就不用管安全评估。"错。标准合同仅适用于未达安全评估门槛的个人信息出境，一旦数量或数据类型触发门槛，必须转为安全评估。误区二："认证可以替代安全评估。"错。认证同样不能覆盖重要数据和CIIO场景。误区三："数量门槛按单次计算。"错，应按自上年1月1日起累计计算。误区四："备案就是审批通过。"备案是事后告知性程序，不代表网信部门对出境活动合法性作出背书，企业仍需自行承担合规责任。
排障时建议按以下顺序核查：第一步，确认出境数据中是否含重要数据或是否属于CIIO；第二步，统计个人信息累计数量及敏感个人信息数量；第三步，对照门槛判断是否必须安全评估；第四步，若未达门槛，根据出境场景选择标准合同或认证；第五步，无论哪条路径，均需完成个人信息保护影响评估并留存记录。这套判断顺序与上方图示一致，可作为日常合规自查的固定动作。