3、自评估的适用场景：哪些数据出境活动需要触发自评估

根据《数据出境安全评估办法》及《个人信息保护法》相关规定，并非所有数据出境行为都需要启动自评估程序。数据出境合规自评估的触发条件具有明确的法定场景。以下从数据类型、主体身份及业务场景三个维度进行系统梳理。

3.1 重要数据出境场景

重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、经济运行、社会稳定、公共健康和安全等的数据。根据《数据安全法》及《数据出境安全评估办法》，任何向境外提供重要数据的行为，无论数据量大小，均必须触发自评估程序，并依法申报数据出境安全评估。

重要数据类别	典型示例	触发自评估要求
经济与金融	宏观统计数据、金融交易流水、外汇储备数据	必须触发
科技与工业	高端制造参数、核心算法、关键基础设施运行数据	必须触发
人口与健康	大规模人口健康档案、基因数据、流行病监测数据	必须触发

3.2 个人信息出境场景

个人信息处理者向境外提供个人信息，满足以下任一条件即需触发自评估：

• 处理100万人以上个人信息的数据处理者向境外提供个人信息；
• 自上年1月1日起累计向境外提供10万人以上个人信息或者1万人以上敏感个人信息；
• 国家网信部门规定的其他需要申报数据出境安全评估的情形。

敏感个人信息包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等，以及不满十四周岁未成年人的个人信息。涉及上述敏感信息出境时，自评估要求更为严格。

3.3 关键信息基础设施运营者（CIIO）场景

关键信息基础设施运营者（CIIO）是指运营关键信息基础设施的组织。根据《关键信息基础设施安全保护条例》，CIIO在以下情形下必须触发自评估：

1. CIIO向境外提供重要数据——无论数据量大小，必须自评估并申报安全评估；
2. CIIO向境外提供个人信息——达到前述个人信息触发条件时，必须自评估；
3. CIIO向境外提供可能影响国家安全的数据——即使不属于传统重要数据或个人信息，也应主动评估。

3.4 其他法定触发场景

除上述三类主要场景外，以下情形也可能触发自评估义务：

• 向境外提供数据涉及国家核心数据（如国防、外交、尖端科技等）；
• 数据处理者合并、分立、解散时涉及数据出境转移；
• 境外执法或司法机构要求提供数据（未经主管机关批准不得擅自提供）；
• 国际司法协助、跨境诉讼等场景下的数据出境；
• 其他经国家网信部门认定需要开展自评估的情形。

3.5 自评估触发场景总结

触发主体	数据类型	触发条件	自评估要求
一般数据处理者	重要数据	任何出境行为	必须自评估
一般数据处理者	个人信息	达到数量阈值	必须自评估
CIIO	重要数据/个人信息	任何出境行为	从严自评估
所有主体	国家核心数据	任何出境行为	必须自评估

📌 实操建议： 企业在开展数据出境活动前，应首先进行数据分类分级，明确出境数据是否属于重要数据、个人信息或敏感个人信息，并判断自身是否属于CIIO。建议建立数据出境场景清单，逐一评估是否触发自评估义务，避免因遗漏触发场景而导致合规风险。