《跨境传输合规路径与实操要点》
第4章 重要数据与个人信息出境
4、重要数据与个人信息出境：重要数据目录、个人信息定义、敏感个人信息特殊规定
4.1 重要数据目录的识别与合规路径
重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。各行业主管部门已陆续发布本行业的重要数据目录，企业需对照目录进行数据梳理与定级。
📌 合规要点： 企业应建立数据资产台账，逐项比对行业重要数据目录。若涉及出境，需先完成数据出境安全评估（自评估+申报）。
| 行业领域 | 重要数据示例 | 出境合规要求 |
|---|---|---|
| 金融 | 客户风险等级、交易流水、反洗钱信息 | 安全评估 + 合同约束 |
| 医疗健康 | 人类遗传资源、群体健康数据、基因数据 | 安全评估 + 伦理审查 |
| 交通运输 | 交通流量、关键基础设施运行数据 | 安全评估 + 行业审批 |
4.2 个人信息的法律定义与识别边界
根据《个人信息保护法》第4条，个人信息是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。识别路径包括直接识别（如身份证号）和间接识别（如行为轨迹、偏好画像）。
⚠️ 实务边界： 匿名化（不可逆）后的信息不属于个人信息，可自由出境；假名化（可逆）仍属于个人信息，需遵守出境规则。设备信息、浏览记录等间接识别信息同样受保护。
4.3 敏感个人信息：特殊保护与出境限制
敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息。处理敏感个人信息需取得单独同意，并告知必要性及对个人的影响。
🚨 出境红线： 敏感个人信息出境必须进行个人信息保护影响评估（PIA），并取得个人的单独同意。涉及未成年人信息的，还需取得其监护人的单独同意。安全评估是强制性前置程序。
敏感个人信息出境合规清单
- ✅ 单独同意 — 不得与一般个人信息同意捆绑，需单独弹窗/勾选
- ✅ 告知义务 — 明确告知处理目的、方式、范围及对个人的影响
- ✅ 影响评估 — 完成个人信息保护影响评估报告（PIA）
- ✅ 安全评估 — 向国家网信部门申报数据出境安全评估
- ✅ 合同约束 — 与境外接收方签订标准合同或通过认证
- ✅ 未成年人保护 — 取得监护人单独同意，建立专门保护规则
💡 实操提示： 企业应建立敏感个人信息识别标签系统，在数据分类分级基础上，对敏感字段进行自动标记。出境前需完成三重校验：①是否属于敏感个人信息 ②是否取得单独同意 ③是否完成安全评估。
专注课程资料整理