《数据安全法》与数据出境规则的演进

一、起点：2016 年《网络安全法》的境内存储与安全评估

数据出境的制度起点在关键信息基础设施。2016 年通过的《网络安全法》对关键信息基础设施运营者提出了一项明确的属地要求：在境内运营中收集和产生的个人信息和重要数据应当在境内存储；因业务需要确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。

需要特别注意条文序号的变化：该法于 2025 年 10 月 28 日经《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》修正，自 2026 年 1 月 1 日起施行；因修正新增了条文，原第三十七条的内容在修正后文本中顺延为第三十九条。引用时应当注明所依据的版本，否则容易出现条号与内容对不上的错述。

二、2021 年：《数据安全法》与《个人信息保护法》确立两条主线

2021 年 9 月 1 日施行的《数据安全法》搭建的是「分类分级 + 出境管理」的框架：

域外效力：在境外开展数据处理活动，损害我国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任（第二条）。
分类分级：国家建立数据分类分级保护制度，统筹协调有关部门制定重要数据目录；关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据（第二十一条）。
出境分流：关键信息基础设施运营者出境重要数据适用《网络安全法》；其他数据处理者出境重要数据的管理办法由国家网信部门会同国务院有关部门制定（第三十一条）。
向境外司法、执法机构提供数据的限制：非经我国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于境内的数据（第三十六条）。

同年 11 月 1 日施行的《个人信息保护法》补齐了个人信息一侧的规则：第三十八条给出三条通道，第三十九条要求向境外提供个人信息时应当告知境外接收方情况并取得单独同意，第四十条则规定关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的处理者应当将在境内收集和产生的个人信息存储在境内，确需向境外提供的应当通过安全评估。

三、2022 至 2023 年：安全评估办法与标准合同办法的落地门槛

法律给出通道，部门规章给出门槛。2022 年 7 月公布的《数据出境安全评估办法》（国家互联网信息办公室令第 11 号）自 2022 年 9 月 1 日起施行，其第四条列举了应当申报数据出境安全评估的四种情形：向境外提供重要数据；关键信息基础设施运营者和处理一百万人以上个人信息的数据处理者向境外提供个人信息；自上年 1 月 1 日起累计向境外提供十万人个人信息或者一万人敏感个人信息的数据处理者向境外提供个人信息；以及国家网信部门规定的其他情形。第十四条规定评估结果有效期为二年，并列出应当重新申报的情形，需要继续开展出境活动的应当在有效期届满六十个工作日前重新申报。

2023 年 6 月 1 日施行的《个人信息出境标准合同办法》（国家互联网信息办公室令第 13 号）则给出标准合同通道的适用条件，包括不属于关键信息基础设施运营者、处理个人信息不满一百万人、自上年 1 月 1 日起累计向境外提供个人信息不满十万人等情形，并采用自主缔约与备案管理相结合的方式。

四、2024 年：豁免情形与自由贸易试验区负面清单

2024 年 3 月 22 日公布并自公布之日起施行的《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号），是制度重心从「设置门槛」转向「明确豁免」的一次调整：

第三条规定的情形：国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予三项手续。
第四条规定的情形：在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，同样免予三项手续。
第五条规定的情形：为订立、履行个人作为一方当事人的合同（如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等）、按劳动规章制度和集体合同实施跨境人力资源管理、紧急情况下保护生命健康和财产安全，以及非关键信息基础设施运营者自当年 1 月 1 日起累计向境外提供不满十万人个人信息（不含敏感个人信息）的，免予三项手续。
第六条的负面清单：自由贸易试验区可以自行制定区内需要纳入三项管理范围的数据清单，经省级网络安全和信息化委员会批准后报国家网信部门、国家数据管理部门备案。

此外，该规定第七条同步更新了应当申报安全评估的情形，把门槛表述为自当年 1 月 1 日起累计计算，取代了此前「自上年 1 月 1 日起」的口径。

五、2025 至 2026 年：条例入位、认证办法施行与网络安全法修正

最近一轮变化发生在三个层面：

行政法规层面：《网络数据安全管理条例》（国务院令第 790 号）自 2025 年 1 月 1 日起施行，其中第三十五条列举了八项可以向境外提供个人信息的情形，第三十六条明确国际条约另有规定的可以按其规定执行，第三十七条规定重要数据出境应当通过安全评估，第三十八条规定通过评估后不得超出评估时明确的目的、方式、范围和种类、规模。
配套细则层面：国家网信办于 2025 年 6 月发布《数据出境安全评估申报指南（第三版）》，对申报材料作了简化，并明确了申请延长评估结果有效期的条件、流程与材料。
认证通道成型：《个人信息出境认证办法》（国家互联网信息办公室、国家市场监督管理总局令第 20 号，2025 年 10 月 14 日公布）自 2026 年 1 月 1 日起施行，第三条通道自此有了专门的程序规则。

把这些时间点串起来可以看出制度演进的逻辑：法律确立原则，部门规章细化门槛，再通过豁免清单和程序简化降低合规成本；而《网络安全法》的修正，则把人工智能等新变量带入同一个体系。

六、企业一侧的合规操作顺序

先分类：梳理业务中涉及的数据类型，判断是否包含重要数据、个人信息、敏感个人信息，以及是否涉及关键信息基础设施；
再判断通道：按《个人信息保护法》第三十八条与《促进和规范数据跨境流动规定》判断属于安全评估、认证、标准合同，还是落入豁免情形；
核数量口径：按现行规定以当年 1 月 1 日起累计口径统计出境人数与敏感个人信息规模，避免沿用旧口径；
固定评估边界：通过安全评估后，出境的目的、方式、范围、种类、规模不得超出评估时的表述（《网络数据安全管理条例》第三十八条）；
跟踪有效期：评估结果有效期为二年，出现规定情形应当重新申报；
留存合规文件：个人信息保护影响评估、标准合同备案材料、认证证书、同意记录与告知文本，逐项归档；
复核最新文本：引用《网络安全法》条文时注明版本，涉及条号顺延的按修正后文本引用。

七、常见误区

「不涉及个人信息，就不用管数据出境。」——重要数据出境另有要求，且《数据安全法》对境外损害我国利益的行为规定了域外效力。
「只要不被认定是重要数据，就可以自由出境。」——这是现行规则的判断方式之一，但仍需同时核对是否属于个人信息出境、是否涉及关键信息基础设施。
「评估通过一次可以用到底。」——评估结果有效期为二年，出境目的、方式、范围等发生变化，或者境外接收方控制权变化等情形出现时，应当重新申报。
「用旧条号引用网络安全法是习惯做法。」——该法已修正并于 2026 年 1 月 1 日起施行，原第三十七条的内容在修正后文本中为第三十九条，引用需注明版本。
「豁免情形里没写到的，都不能豁免。」——规定列举情形中的「等」字通常理解为不限于所列情形，但豁免须同时满足条文设定的条件。