二、核心法律框架：中国《网络安全法》《数据安全法》《个人信息保护法》核心条款解读

好，咱们直接进入正题。做跨境数据合规，这三部法律是绕不开的「三座大山」。很多人一上来就啃法条，结果越看越晕。我个人的习惯是，先抓核心逻辑，再抠细节。说白了，这三部法各有各的脾气，你得摸清楚。

核心逻辑一句话概括：

这部法2017年就生效了，算是数据合规的「老大哥」。我刚开始做合规那会儿，很多企业连等保测评是什么都不知道。现在不一样了，这是硬门槛。

核心条款我挑几个重点讲：

第21条（网络安全等级保护制度）：所有网络运营者都得落实。说白了，你得给系统上锁、装监控、定期体检。我见过一家做跨境电商的公司，因为没做等保，被监管部门约谈，业务直接停摆三天。
第31条（关键信息基础设施）：如果你的业务涉及金融、能源、交通、通信这些领域，或者数据量特别大，很可能被认定为CII。一旦被认定，数据出境就得走安全评估，这个后面会细讲。
第37条（数据本地化）：CII运营者在中国境内收集的个人信息和重要数据，原则上应当存储在境内。确需出境的，必须通过安全评估。嗯，这里要注意，这条是跨境数据流动最早的「紧箍咒」。

我个人经验：很多企业以为《网络安全法》只跟IT部门有关。其实不然，法务、业务、技术三方必须坐在一起。我曾经帮一家企业做合规整改，发现他们的数据存储服务器居然在海外，连等保都没做。那真是从头补课，成本翻了好几倍。

2021年生效的《数据安全法》，把「数据」这个概念彻底拉到了战略高度。我个人觉得，这部法最核心的贡献就是建立了数据分类分级制度。

核心条款解读：

第21条（数据分类分级）：国家建立数据分类分级保护制度。企业得自己先搞清楚，你手里哪些是核心数据、重要数据、一般数据。我建议你从业务场景入手，别一上来就搞全量盘点，那会累死。
第31条（重要数据出境）：关键信息基础设施的运营者，以及其他处理重要数据的主体，数据出境要经过安全评估。这里「其他主体」范围很广，做跨境业务的企业基本都跑不掉。
第45条（法律责任）：违反数据安全保护义务的，最高可罚1000万，情节严重的还可能停业整顿。这不是开玩笑的。

避坑指南：我曾经遇到一个客户，他们以为只有「个人信息」才受监管，把「重要数据」完全忽略了。结果被查到后，才发现自己手里有大量行业统计数据、业务运营数据，这些都属于重要数据。嗯，分类分级这件事，越早做越主动。

这部法2021年生效，被称为「中国版GDPR」。说实话，它的很多条款比GDPR还要严格。做跨境业务的企业，必须把这部法吃透。

核心条款重点讲：

第13条（合法性基础）：处理个人信息必须取得个人同意，或者符合其他法定情形。我建议你，能取得单独同意的，就别用「一揽子同意」，否则合规风险很高。
第38条（跨境提供规则）：个人信息出境，有三种路径：通过安全评估、经专业机构认证、签订标准合同。你想想看，这三种路径各有适用场景，不是随便选的。
第39条（告知义务）：向境外提供个人信息，必须告知接收方的名称、联系方式、处理目的、方式、种类，以及向境外接收方行使权利的方式。这个告知书，我建议你写得越具体越好，别用模糊语言。
第66条（法律责任）：情节严重的，罚款5000万或上一年度营业额5%。这个数字，足够让任何一家企业睡不着觉。

实操要点对比表：

法律	核心义务	跨境数据要求	最高罚款
《网络安全法》	等级保护、CII认定	CII数据本地化+安全评估	100万
《数据安全法》	分类分级、重要数据保护	重要数据出境安全评估	1000万
《个人信息保护法》	告知同意、最小必要	安全评估/认证/标准合同	5000万或5%年营业额

你可能会问，这三部法到底怎么配合？我举个例子你就明白了。

假设你是一家跨境电商平台，用户在中国下单，订单数据要传到海外仓库处理。这时候：

你看，三部法层层叠加，一个都不能少。我见过不少企业，只盯着《个人信息保护法》做合规，结果在《数据安全法》的分类分级上栽了跟头。

我的建议：做跨境数据合规，别想着一步到位。先做数据盘点，搞清楚你手里有什么数据；再做分类分级，确定哪些数据能出境、哪些不能；最后选路径，走安全评估还是签标准合同。这个顺序，我建议你别打乱。

好了，这一章的核心框架就讲到这里。下一章我们会深入讲数据分类分级的具体方法，那是实操中最容易踩坑的地方。