2、核心法律框架：中国《网络安全法》、《数据安全法》、《个人信息保护法》要点解读

做跨境数据合规，你绕不开这三部法律。

圈里人常说的「三驾马车」，指的就是《网络安全法》、《数据安全法》和《个人信息保护法》。

我个人的习惯是，把它们看作一个层层递进的体系。网安法打底，数安法扩面，个保法收口。今天咱们就掰开揉碎了聊聊，每部法到底卡在哪儿。

这部法2017年就生效了，算是老大哥。它主要管的是「网络运行安全」。

说白了，你的系统得扛得住攻击，数据不能随便丢。

核心要点：

我的经验： 很多企业以为网安法只针对「网络安全」，其实它早就延伸到数据出境了。你想想看，CII的认定标准里，数据量级和业务类型都是关键。我建议你尽早跟网信办沟通，确认自己是不是CII。

2021年生效的数安法，把数据安全提到了国家安全的高度。

它最让我头疼，也最让我兴奋的一点，就是「数据分类分级」制度。

为什么会这样？因为分类分级是所有合规动作的前提。你连自己手里有什么数据、敏感度多高都不知道，怎么谈保护？

核心要点：

数据分类分级： 法律要求建立数据分类分级保护制度。我建议你从业务场景入手，把数据分成「一般数据」「重要数据」「核心数据」三级。注意，重要数据的目录是由国家数据安全工作协调机制制定的，你得盯着更新。
重要数据出境： 重要数据原则上不允许出境。如果确实需要，必须通过国家网信部门组织的安全评估。我曾经帮一家车企做过评估，光是梳理「重要数据」清单就花了两个月。
数据安全审查： 影响国家安全的数据活动，会被启动安全审查。这个审查没有明确的时间表，所以提前做好自评估很重要。

避坑指南： 我曾经见过一家公司，把用户行为数据直接标为「一般数据」就准备出境。结果被监管约谈，因为那些数据其实属于「重要数据」的范畴。记住，分类分级不是拍脑袋，得对照行业标准来。

个保法2021年11月生效，被很多人称为「中国版GDPR」。但说实话，它比GDPR在某些方面更严格。

它管的是「个人信息」的跨境传输。你想想看，现在哪家出海企业不涉及用户数据？

核心要点：

单独同意： 个人信息出境，必须取得个人的「单独同意」。不能混在用户协议里一揽子勾选。我建议你在App里单独弹窗，让用户明确知道数据要传到境外。
出境路径： 个保法提供了三条路：
1. 安全评估： 处理100万人以上个人信息的企业，或者累计向境外提供10万人以上个人信息的企业，必须走这条路。
2. 标准合同： 达不到安全评估门槛的，可以签国家网信办制定的标准合同。
3. 认证： 通过专业机构的个人信息保护认证。
告知义务： 你得告诉用户：境外接收方的名称、联系方式、处理目的、保存期限，以及用户如何行使权利。嗯，这里要注意，告知内容必须具体，不能写「可能传输至境外」这种模糊表述。

我的经验： 很多企业纠结「安全评估」和「标准合同」怎么选。我个人习惯是：先算数据量。如果数据量不大，签标准合同更灵活。但如果你处理的是敏感个人信息（比如生物识别、金融账户），哪怕数据量小，我也建议走安全评估，因为监管对敏感信息的关注度极高。

这三部法不是孤立的。我经常用下面这张表给团队做培训，一目了然。

维度	《网络安全法》	《数据安全法》	《个人信息保护法》
核心对象	网络系统、CII	所有数据（含重要数据）	个人信息
出境条件	CII数据需安全评估	重要数据需安全评估	安全评估/标准合同/认证
处罚力度	最高100万元	最高1000万元	最高5000万元或上年营收5%
合规重点	等保、CII认定	分类分级、重要数据目录	单独同意、告知义务

特别提醒： 处罚力度是递增的。个保法的罚款上限是5000万或上年营收5%，这个数字对很多企业来说，就是「倾家荡产」的级别。我曾经处理过一个案子，企业因为违规传输用户数据，被罚了全年利润的30%。所以，别心存侥幸。

光懂法条没用，你得能落地。我总结了三步走：

一个小技巧： 如果你不确定自己的数据属于哪一类，可以找网信办发布的《数据出境安全评估申报指南》看看。里面有个「重要数据识别指南」，虽然不完美，但至少能帮你排除大部分风险。

好了，三法要点就聊到这儿。记住，合规不是一次性工作，而是持续的过程。你想想看，业务在变，数据在变，监管也在变。保持敏感，持续迭代，才是王道。