1. 跨境传输概述：定义、常见场景与核心法律风险

跨境数据传输（Cross-Border Data Transfer）是指个人信息或重要数据通过物理载体、网络链路或API接口等方式，跨越国家或司法管辖区的边界，从数据控制者传输至接收者的过程。根据《个人信息保护法》（PIPL）第38条，其核心特征包括：

图1：跨境数据传输定义示意——数据跨越国境线从境内控制者流向境外接收者

跨境传输并非单一模式，根据数据流动的参与主体不同，主要分为以下两类核心场景：

场景类型	典型示例	合规关注点
企业间 (B2B)	境内电商向境外物流商传输用户地址 SaaS服务商将客户数据存储于海外云服务器境内药企向境外CRO提供临床试验数据	需签署《数据出境合同》进行个人信息保护影响评估（PIA）明确数据接收方的处理目的与范围
企业内部 (Intra-group)	跨国集团将中国员工HR数据传至全球总部境内子公司使用境外总部的ERP/CRM系统海外母公司远程访问境内子公司的客户数据库	制定集团内部《跨境数据处理规则》（BCR）明确数据共享的合法基础（如员工同意）注意“视同出境”的远程访问场景

图2：企业间与企业内部跨境传输场景对比架构图

跨境传输涉及多部法律的交叉监管，主要风险集中在以下四个维度：

未经合规评估擅自出境（PIPL第38条）
风险：未通过国家网信办组织的安全评估、未完成个人信息保护认证或未签订标准合同即传输数据。
后果：最高可处5000万元人民币或上一年度营业额5%的罚款，情节严重可责令暂停业务、吊销营业执照。
未履行告知同意义务（PIPL第39条）
风险：未向个人告知境外接收方名称、联系方式、处理目的、方式及数据种类，或未取得单独同意。
后果：个人可提起民事诉讼，监管部门可责令改正并处以罚款。
重要数据违规出境（《数据安全法》第31条）
风险：涉及“重要数据”目录内的数据（如地理信息、经济运行数据）未进行安全评估即出境。
后果：可能构成刑事犯罪（《刑法》第111条“为境外非法提供国家秘密、情报罪”）。
境外接收方违规处理（PIPL第40条）
风险：未对境外接收方的数据处理活动进行监督，导致数据被二次传输或用于约定外目的。
后果：境内控制者承担连带责任，面临行政处罚与民事赔偿。

图3：跨境传输四大核心法律风险及合规启示

专注课程资料整理