出海的数据合规：客户数据出境与当地法规
资本成长学堂 · 道纳出品
设想一家企业的海外网店开了一年，欧洲的订单不少。某天收到一位海外客户的邮件，要求企业说明保存了他哪些个人数据、存在哪个国家、给过谁，并且要求删除。企业这才发现，客户数据一部分在海外的电商平台上，一部分同步到了国内的客服系统，还有一份在市场部同事的表格里。
出海这几年，我们讲了主体、收款、税、渠道、合规筛查。数据是最近几年才被企业当回事的一项，可它其实早就跟着业务出去了：海外客户的订单和联系方式、海外员工的人事资料、设备运行数据、经销商的销售数据，每天都在境内和境外之间来回流动。
这一篇讲一件具体的事：客户和员工的数据，跨境流动时要守哪些规矩。 先讲中国这一侧，再讲目的国那一侧，最后给一张数据流向梳理表。
这是五一假期前的最后一篇。假期里如果有空，不妨把公司的数据流向画一遍。
很多企业一说数据出境，只想到「国内的数据往国外传」。出海企业其实面对两个方向：
| 方向 | 典型情形 | 主要看哪边的规则 |
|---|---|---|
| 境内 → 境外 | 国内用户、员工、业务数据给海外子公司、海外服务商、海外云 | 中国的数据出境规则 |
| 境外 → 境内 | 海外客户、海外员工的数据传回国内总部的系统 | 数据来源地的法律（如欧盟） |
| 境外 → 境内 → 境外 | 海外数据传回国内处理后，又发回海外 | 两边都要看 |
方向不同，管它的法律就不同。第一步，先把方向分清楚。
中国关于数据的基础法律，主要是《网络安全法》《数据安全法》《个人信息保护法》。具体到数据出境，又有一组配套规定，包括《数据出境安全评估办法》《个人信息出境标准合同办法》，以及 2024 年出台的《促进和规范数据跨境流动规定》。
三条合规路径
向境外提供个人信息，一般要走下面三条路径之一：
安全评估： 向网信部门申报，由监管部门评估。适用于数据量大、涉及重要数据、或者提供方是关键信息基础设施运营者等情形。
标准合同： 和境外接收方签订官方发布的标准合同，并按规定备案。
个人信息保护认证： 由专业机构对个人信息处理活动进行认证。
具体走哪条路，取决于数据的类型（一般个人信息、敏感个人信息、重要数据）、累计数量、提供方的身份等。2024 年的规定对门槛做了调整，并列出了若干免予申报的情形，比如为订立、履行个人作为一方当事人的合同所必需，以及按规定实施跨境人力资源管理所必需等。具体的数量门槛和免除情形以现行规定为准，判断前要对照原文。
门槛之外，还有几件基本功
即使落在免予申报的范围里，《个人信息保护法》的一般要求仍然在：
告知和同意： 向境外提供个人信息，要告知个人境外接收方的情况，并取得个人的单独同意（法律另有规定的除外）；
影响评估： 事先做个人信息保护影响评估，并留存记录；
接收方的约束： 通过合同约束境外接收方的处理目的、方式和安全措施。
我们的看法是：中小企业最常见的问题，不是走错了路径，而是根本不知道自己有数据出境。 国内的会员数据同步给海外子公司做客服，国内员工的资料发给海外的签证代理，这些都算。
欧盟：GDPR
欧盟的《通用数据保护条例》（GDPR）是出海企业最常碰到的一部数据法律，它有几个特点需要记住：
1. 管得宽。 不只管在欧盟设立的企业。一家在欧盟没有任何机构的中国企业，只要向欧盟境内的个人提供商品或服务，或者监测他们的行为，也可能被纳入适用范围。海外网店卖货给欧洲消费者，就要考虑这一点。
2. 罚得重。 严重违规的罚款上限，是 2000 万欧元或上一年全球营业额的 4%，两者取高。
3. 数据出欧盟有条件。 个人数据从欧盟传到欧盟以外，需要有合法的传输机制。常见的有：欧盟认定接收国保护水平「充分」，或者使用欧盟的标准合同条款，或者经批准的集团内部规则。中国目前不在欧盟的「充分性」认定名单上，所以把欧洲客户数据传回国内系统，一般要靠标准合同条款等机制，并做相应的传输风险评估。
4. 个人的权利多。 访问、更正、删除、限制处理、数据可携带、反对等。开头那封要求说明并删除数据的邮件，就是在行使这些权利，企业要在规定的时间内回应。
5. 数据泄露要报告。 发生个人数据泄露，一般要在知悉后 72 小时内向监管机构报告（满足豁免条件的除外）。
中东和其他地区
中东国家近几年也陆续出台了个人数据保护的法律。以阿联酋为例，联邦层面有个人数据保护的立法，迪拜国际金融中心、阿布扎比国际金融市场等金融自由区又有各自独立的数据保护规则；沙特也出台了个人数据保护法。这些法律在适用范围、跨境传输条件、本地存储要求、生效和过渡安排上各不相同，有的配套细则还在陆续出台。
涉及具体国家时，以当地现行规定为准，并请当地律师判断。 东南亚、中亚的情况也类似，各国差异很大，不能拿一个国家的做法套另一个。
假设一家做消费电子的企业，国内总部负责研发和客服，在欧洲通过自营网店销售，在中东通过经销商销售，并有一家海外子公司。它可以先列一张表：
| 数据 | 从哪来 | 存在哪 | 流向 | 大致数量 | 涉及的规则 | 要做的事 |
|---|---|---|---|---|---|---|
| 欧洲网店客户订单与联系方式 | 欧盟消费者 | 海外电商平台 + 国内客服系统 | 欧盟 → 中国 | 约 5 万人 | GDPR 跨境传输 | 标准合同条款、传输评估、隐私政策写明 |
| 国内会员数据 | 境内用户 | 国内 | 中国 → 海外子公司（共享客服） | 约 30 万人 | 中国数据出境规则 | 按数量对照门槛，判断走标准合同、认证还是免除；单独同意 |
| 外派员工人事资料 | 境内员工 | 国内 HR 系统 | 中国 → 海外子公司、签证代理 | 约 200 人 | 中国数据出境规则（可能适用人力资源管理的免除情形） | 确认是否适用免除，仍需告知和同意 |
| 中东经销商销售数据 | 经销商 | 经销商系统 + 国内 | 中东 → 中国 | 约 40 家经销商 | 当地数据保护法（待核实） | 经销商合同加数据条款，请当地律师判断 |
| 设备运行数据（已脱敏） | 售出设备 | 海外云 | 全球 → 中国 | 每日数百万条 | 是否含个人信息、是否属于重要数据，需逐项判断 | 先确认是否真正脱敏 |
列完以后，再按风险排个序：
最先处理的： 欧洲客户数据回传国内。数量不小，GDPR 罚得重，客户也最有可能来问。
第二个处理的： 国内 30 万会员数据给海外子公司。要对照现行门槛，确定路径；如果只是为了客服，能不能让海外子公司只看到必要的字段，或者干脆在国内完成客服，把出境的量降下来。
顺手做掉的： 外派员工资料。范围小，补齐告知和同意即可。
请律师判断的： 中东经销商数据和设备数据。
这张表做下来，通常一两个人、一两周就够了。难的不是做表，而是第一次去问每个部门「你手上有哪些数据、存在哪里、给过谁」。
（以上数字为示意，不对应任何企业或项目。）
坑一：以为用了海外云就是「数据在海外」，和国内无关。 国内的数据上传到海外云服务器，本身就可能构成数据出境。
坑二：以为「脱敏」了就不是个人信息。 把姓名去掉，但保留了手机号、设备号、精确位置，仍然可能识别到具体个人。真正的匿名化标准要高得多。
坑三：只管客户，不管员工。 员工的人事资料、考勤、薪资，也是个人信息，而且往往包含敏感个人信息。
坑四：隐私政策抄一份了事。 隐私政策写的内容要和实际做法一致。写了「数据存储在欧盟境内」，实际却同步回了国内，比没写更麻烦。
坑五：合同里没有数据条款。 和海外经销商、服务商、云服务商的合同，要写清楚谁负责什么数据、能用来做什么、出了泄露谁通知谁。我们在第 125 期讲海外经销商时说过，经销协议的退出条款里要写清客户数据的移交；数据的使用范围和泄露通知，可以一并写进去。
坑六：把数据合规当成一次性项目。 业务变了、新开了一个国家、换了一套系统，数据流向就变了。表要定期更新。
| 检查项 | 怎么做 |
|---|---|
| 指定负责人 | 哪怕兼职，也要有一个人对数据合规负责，和第 119 期讲的合规负责人可以是同一人 |
| 画数据流向 | 按上面的表格，逐个部门问一遍 |
| 分清方向 | 境内出、境外进、来回走，各对应哪边的规则 |
| 对照中国门槛 | 按数据类型和累计数量，确定是安全评估、标准合同、认证还是免除 |
| 看目的国法律 | 欧盟先看 GDPR；其他国家请当地律师确认 |
| 减量 | 能在本地处理的不出境，能少传字段的少传 |
| 改隐私政策 | 和实际做法一致，写明境外接收方 |
| 补合同条款 | 经销商、服务商、云服务商合同加数据条款 |
| 准备应对 | 个人来行使权利、发生泄露时，谁来回应、多长时间内回应 |
| 定期复查 | 新国家、新系统、新业务上线时，重新过一遍 |
数据合规不会带来订单。但海外客户的一封邮件、监管部门的一次检查、一次数据泄露，都可能让企业在一个市场上很被动。
先把数据流向画清楚，大部分问题就能看出个大概。剩下拿不准的，交给熟悉当地法律的专业人士。
留言区想听听
你的企业出海时，
梳理过客户数据存在哪里、流向哪里吗？
五一后 · 招商新解 27 · 5 月 9 日周二
能评与环评：项目落地前最耗时的两道关
本文为一般性讨论，不构成法律意见。文中数字均为示意，不对应任何企业或项目。中国数据出境的具体门槛、路径与免除情形，以及欧盟和其他国家的数据保护规则，均以现行规定为准。
觉得有用，也欢迎把「资本成长学堂」推荐给身边做企业、做投资、做招商的朋友。
扫码添加道纳客服
融资、出海、招商相关的具体问题，可以直接来聊
工作日 9:00–18:00 回复