《跨境传输合规路径与实操要点》
第3章 中国数据出境法律框架
3、中国数据出境法律框架：《网络安全法》、《数据安全法》、《个人信息保护法》核心要求
中国数据出境的法律框架以“三驾马车”为核心，即《网络安全法》、《数据安全法》与《个人信息保护法》。这三部法律共同构建了数据从“产生”到“出境”的全链条监管逻辑，任何跨境传输活动均需同时满足其核心要求。
图1：中国数据出境“三法协同”监管架构
3.1 《网络安全法》核心要求
《网络安全法》于2017年6月1日施行，是数据出境合规的“基石”。其核心要求聚焦于网络运营者的安全义务与关键信息基础设施（CII）的数据本地化。
图2：《网络安全法》CII数据出境决策流程
3.2 《数据安全法》核心要求
《数据安全法》于2021年9月1日施行，建立了数据分类分级保护制度，并首次在法律层面明确了“重要数据”的出境安全评估要求。
- 📊 数据分类分级（第21条）：国家建立数据分类分级保护制度，各地区、各部门确定重要数据目录。
- 🛡️ 重要数据出境安全评估（第31条）：关键信息基础设施的运营者在中国境内运营中收集和产生的重要数据的出境安全管理，适用《网络安全法》的规定；其他数据处理者在中国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。
- 📋 数据安全审查（第24条）：对影响或者可能影响国家安全的数据处理活动进行国家安全审查。
- 📝 数据安全评估义务（第30条）：重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。
图3：数据分类分级与出境管控要求
3.3 《个人信息保护法》核心要求
《个人信息保护法》于2021年11月1日施行，对个人信息跨境传输提出了“告知-同意-评估-认证-合同”的五步合规路径，是实务中操作最密集的法律依据。
图4：个人信息出境五步合规路径
3.4 三法协同下的出境合规要点总结
在实际跨境传输业务中，三部法律并非孤立适用，而是形成“叠加效应”。以下为实务中必须关注的合规要点：
- 主体识别先行：判断是否属于CII运营者（《网络安全法》），是否处理重要数据（《数据安全法》），是否处理个人信息（《个人信息保护法》）。
- 分类分级定策：根据数据分类分级结果，确定出境管控等级（一般数据自由流动、个人信息合规出境、重要数据安全评估、核心数据禁止出境）。
- 评估路径匹配：个人信息出境需在“安全评估、标准合同、保护认证”中选择合法路径；重要数据出境需进行安全评估。
- 持续合规运营：建立数据出境台账，定期进行安全评估复评，保存至少3年合规记录。
- 监管对接机制：关注国家网信办发布的《数据出境安全评估办法》《个人信息出境标准合同办法》等配套规章，及时调整合规策略。
图5：三法协同下的数据出境合规要点总览
实务提示： 企业在开展跨境传输业务前，应首先完成“数据分类分级”与“主体性质识别”两项基础工作，再根据数据类型选择对应的出境路径。建议建立“三法合规对照表”，逐条梳理适用条款，避免遗漏。