《跨境数据评估申报全流程拆解》
第3章 申报主体与场景

3、申报主体与场景：哪些企业需要申报？哪些业务场景触发申报义务？

根据《数据出境安全评估办法》及《个人信息保护法》，并非所有企业都需要进行数据出境安全评估。只有满足特定主体条件或触发特定业务场景时，才负有申报义务。本节将系统梳理申报主体与触发场景，帮助企业快速定位自身合规责任。

3.1 申报主体：四类必须申报的企业

申报主体四象限 关键信息基础设施 运营者（CIIO） 处理100万人以上个人信息 数据处理者 自上年1月1日起 累计向境外提供10万人以上 个人信息 数据处理者 自上年1月1日起 累计向境外提供1万人以上 敏感个人信息 其他情形 国家网信部门 规定的其他需要 申报数据出境安全评估的情形 ⚠️ 注意：以下情形可豁免申报 • 非个人信息或重要数据（如纯商业数据、匿名化数据） • 预计1年内向境外提供个人信息少于1万人（不含敏感个人信息） • 数据出境属于履行合同所必需（如跨境支付、机票酒店预订）且不涉及敏感个人信息
主体类型 判定标准 申报义务 典型企业举例
CIIO 关键信息基础设施运营者 向境外提供个人信息或重要数据，必须申报 大型互联网平台、金融、能源、交通等行业
大型数据处理者 处理100万人以上个人信息 向境外提供个人信息，必须申报 电商平台、社交平台、在线教育平台
累计出境超量 自上年1月1日起累计向境外提供10万人以上个人信息 或 1万人以上敏感个人信息 必须申报 跨国企业HR系统、海外客服中心
其他情形 国家网信部门规定的其他需要申报的情形 按具体规定执行 涉及国家重要数据、特殊行业监管要求

3.2 触发场景：六大典型业务场景

六大触发场景全景图 🌐 场景一：跨国HR管理 • 中国员工信息传输至海外总部 • 薪酬、绩效、考勤等HR数据出境 • 涉及员工敏感个人信息（如健康、银行账户） 📞 场景二：海外客户服务 • 中国用户数据由海外客服团队处理 • 订单、售后、投诉信息跨境传输 • 涉及用户姓名、电话、地址等个人信息 ☁️ 场景三：跨境云服务 • 使用海外云服务商（AWS、Azure等） • 数据存储或处理节点在境外 • 日志、监控、备份数据跨境流动 📊 场景四：跨境数据分析 • 用户行为数据发送至海外分析平台 • 市场调研、用户画像数据出境 • 涉及设备ID、浏览记录等个人信息 🔗 场景五：集团内部共享 • 跨国集团内部数据共享与传输 • 财务、供应链、研发数据跨境 • 涉及商业秘密及员工个人信息 📱 场景六：APP/网站运营 • 中国用户数据被海外服务器处理 • 第三方SDK（如Google Analytics） • 广告投放、推送服务数据出境 💡 场景触发判断三步法 ① 数据是否涉及个人信息或重要数据？ ② 数据接收方是否在境外（含港澳台）？ ③ 是否属于豁免情形（如合同必需、少量数据）？ → 三步均为“是”，则触发申报义务

3.3 场景深度解析：以三大典型场景为例

🔍 场景一：跨国HR管理

触发原因：跨国企业将中国员工的人事信息（姓名、身份证号、薪酬、银行账户、健康信息等）传输至海外总部或第三方HR系统（如Workday、SAP SuccessFactors）。

合规要点：

  • 员工个人信息（尤其是敏感个人信息）出境需取得员工单独同意
  • 需进行个人信息保护影响评估（PIA）
  • 若累计出境人数达到10万人（或敏感信息1万人），必须申报安全评估
📋 申报判断示例：
某外企在华员工8000人，计划将全员HR数据（含薪酬、银行账户）传输至美国总部。
→ 涉及敏感个人信息（银行账户）8000人 > 1万人？ 否（8000 < 10000）
→ 涉及个人信息8000人 > 10万人？ 否
→ 结论：暂未触发申报义务，但需取得员工单独同意并签订标准合同

🔍 场景二：海外客户服务

触发原因：中国用户在使用产品或服务时，其个人信息被传输至海外客服团队处理（如电话客服、在线聊天、工单系统）。

合规要点：

  • 需在隐私政策中明确告知数据出境情况
  • 客服系统需具备数据最小化能力（仅传输必要字段）
  • 若涉及大量用户数据（如电商平台年处理100万用户订单），必须申报
📋 申报判断示例：
某跨境电商平台，年处理200万中国用户订单，客服系统部署在马来西亚。
→ 涉及个人信息200万人 > 10万人？ 是
→ 结论：必须申报数据出境安全评估

🔍 场景三：跨境云服务

触发原因：企业使用海外云服务商（如AWS、Azure、Google Cloud）或海外数据中心，导致数据存储或处理在境外完成。

合规要点：

  • 需确认云服务商是否具备数据本地化能力（如AWS中国区域）
  • 日志、监控数据（含IP地址、设备信息）也属于个人信息
  • 若云服务商在境外处理数据，视为数据出境
📋 申报判断示例：
某SaaS企业使用AWS新加坡节点存储中国用户数据（含姓名、邮箱、使用日志）。
→ 涉及个人信息（含IP地址、设备ID）累计50万人 > 10万人？ 是
→ 结论：必须申报数据出境安全评估

3.4 申报义务速查表

业务场景 数据类型 数据量级 是否触发申报 合规路径
跨国HR管理 员工个人信息（含敏感） <1万人（敏感）且<10万人（普通） 否 标准合同 + 单独同意
跨国HR管理 员工个人信息（含敏感） ≥1万人（敏感）或≥10万人（普通） 是 安全评估申报
海外客户服务 用户个人信息 <10万人 否 标准合同 + 告知同意
海外客户服务 用户个人信息 ≥10万人 是 安全评估申报
跨境云服务 用户数据 + 日志 ≥10万人 是 安全评估申报
跨境云服务 仅企业数据（无个人信息） 不限 否 无需申报
集团内部共享 员工 + 业务数据 视具体量级 视情况 需逐项评估

3.5 常见误区与合规建议

❌
误区一：只有大企业才需要申报

事实：中小企业若处理大量个人信息（如10万人以上）同样触发申报义务。

❌
误区二：数据存储在境外才叫出境

事实：境外主体访问境内数据（如海外客服查看工单）也属于数据出境。

❌
误区三：匿名化数据不需要申报

事实：需确保真正匿名化（不可逆、无法识别个人），否则仍视为个人信息。

✅
建议一：建立数据出境台账

记录所有跨境数据传输的场景、数据类型、量级、接收方，便于快速判断申报义务。

✅
建议二：提前进行PIA评估

在业务上线前完成个人信息保护影响评估，识别风险并制定整改措施。

✅
建议三：关注豁免条款

如属于“履行合同所必需”且不涉及敏感个人信息，可豁免申报，但仍需签订标准合同。

← 上一章 📖 返回目录 下一章 →