数据出境：小型外资企业需要做什么
在华实务笔记 · 道纳出品 · 约 13 分钟
自 2024 年 3 月起，在华的多数小型外资企业向总部传输一般业务数据，已不再需要向政府申报。「无需申报」不等于「没有规则」。要清楚自己依据的是哪一项豁免，书面记录下来，并持续计数。
你的外商独资企业在本地发放工资，但总部在法兰克福运行全球人力资源系统；销售线索录入托管在美国的客户关系管理系统；新加坡财务团队每月登录中国的企业资源计划系统。以上每一项都属于数据出境。
2024 年 3 月，国家互联网信息办公室发布《促进和规范数据跨境流动规定》，将许多常见的数据流动移出申报体系。此后，《网络数据安全管理条例》自 2025 年 1 月 1 日起施行，合规审计办法自 2025 年 5 月 1 日起施行，认证办法自 2026 年 1 月 1 日起施行。
位于顶层的是《个人信息保护法》、《数据安全法》和《网络安全法》。根据《个人信息保护法》第三十八条，除适用豁免外，个人信息出境须通过以下三种途径之一：
| 途径 | 内容 |
|---|---|
| 数据出境安全评估 | 经省级网信部门报国家网信部门；适用于大规模数据、重要数据、关键信息基础设施 |
| 个人信息出境标准合同 | 与境外接收方签订网信办范本合同，向省级网信部门备案 |
| 个人信息保护认证 | 由具备资质的机构认证；具体办法自 2026 年 1 月 1 日起施行 |
哪些情形属于出境：不仅是发送文件。监管部门将境外远程访问境内存储的数据视为出境，将境内收集的数据直接存入境外托管的系统也是如此。
| 豁免情形 | 注意事项 |
|---|---|
| 不含个人信息或重要数据的贸易、运输、学术、制造数据 | 客户联系方式属于个人信息 |
| 境外收集、境内处理后传回境外的数据 | 未加入境内个人信息 |
| 订立、履行个人作为一方当事人的合同所必需（购物、寄递、支付、预订、签证） | 从严解释；营销分析不在其内 |
| 依法制定的劳动规章制度下的跨境人力资源管理 | 限于员工，且限于必需范围 |
| 紧急情况下保护生命、健康或财产安全 | — |
| 自 1 月 1 日起累计向境外提供不满 10 万人的非敏感个人信息 | 只要含有敏感个人信息即不适用 |
人数自每年 1 月 1 日起累计，适用人力资源和合同豁免的人员不计入。敏感个人信息（《个人信息保护法》第二十八条）包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人的个人信息。
| 自 1 月 1 日起累计（非关键信息基础设施运营者） | 途径 |
|---|---|
| 非敏感个人信息 < 10 万人，且无敏感个人信息 | 豁免 |
| 非敏感个人信息 10 万人以上、不满 100 万人，或敏感个人信息 < 1 万人 | 标准合同或认证 |
| 非敏感个人信息 > 100 万人，或敏感个人信息 > 1 万人 | 安全评估 |
| 任何重要数据 | 安全评估 |
关键信息基础设施运营者无论数量多少都须进行安全评估。重要数据依行业目录和告知确定；未被相关部门告知或公开发布为重要数据的，无需作为重要数据申报。
· 梳理数据流——什么数据、涉及谁、多少人、哪个接收方、目的、保存期限。
· 依据《个人信息保护法》第五十五条开展个人信息保护影响评估；报告至少保存三年。
· 签订网信办范本合同，不得修改；补充条款不得与之冲突。
· 自合同生效之日起 10 个工作日内向省级网信部门备案。各省程序有所不同。
· 发生变化时重新备案——目的、数据类别、接收方或保存期限变化。
安全评估属于实质审查；评估结果有效期为三年，可以申请延长。自 2026 年 1 月 1 日起，认证覆盖与标准合同相同的数量区间；实务指引仍在完善中。
豁免免除的是申报，而不是《个人信息保护法》
· 告知个人接收方、目的、数据种类及行使权利的方式（第三十九条）
· 以同意为处理依据的，取得单独同意
· 出境一般均须开展影响评估
· 记录所依据的豁免、理由及年度累计人数
自 2025 年 5 月 1 日起施行的《个人信息保护合规审计管理办法》要求，处理超过 1,000 万人个人信息的处理者至少每两年开展一次审计；发生事件或存在较大风险时，监管部门可以要求审计。2025 年施行的《条例》重申了各项豁免，并对处理 1,000 万人以上个人信息的处理者增加了义务。
自由贸易试验区可以制定负面清单；对于区内注册的企业，清单之外的数据出境无需履行上述途径。天津于 2024 年率先发布，随后是北京，以及 2025 年 2 月的上海（自贸试验区及临港新片区）。清单按行业制定——请先核对注册地和行业覆盖范围。
根据《数据安全法》第三十六条和《个人信息保护法》第四十一条，未经中国主管机关批准，不得向外国司法、监管或执法机构提供境内存储的数据。诉讼保全、内部调查和监管调取请求，应在任何数据出境之前交由律师处理。
上海一家消费品外商独资企业，员工 60 人；不是关键信息基础设施运营者；没有被告知的重要数据。一个自然年度：
| 数据流 | 人数 | 处理方式 |
|---|---|---|
| 员工档案传至全球人力资源系统 | 60 | 人力资源豁免（以必需为限） |
| 由境外合作方寄递的订单 | 40,000 | 合同豁免 |
| 客户关系管理系统：经销商联系人 | 3,000 | 计入 |
| 营销分析 | 120,000 | 计入 |
| 计入合计 | 123,000 | 3,000 + 120,000 |
示意数据，不对应任何真实公司。
123,000 超过 100,000，因此计入的数据流须采用标准合同或认证。如果营销分析在境内对去标识化数据进行、只将结果传至境外，计入人数将降至 3,000，可适用数量豁免。工资银行账户信息属于敏感个人信息：除非总部确实需要，否则应留在境内。
先梳理，再申报。规模最大的数据流，往往不是你原本担心的那一个。
审慎使用豁免，并书面记录——写明理由和数字。
最小化。去标识化、汇总处理，或在境内完成处理。
盯住累计人数。一场营销活动或一个新应用就可能让你在年中越过门槛。
关键环节使用持牌机构。影响评估和备案材料通常与律师事务所及数据合规服务机构共同准备。道纳不是律师事务所，也不是认证机构；我们负责统筹和引荐，服务机构的费用由客户直接据实结算。
「数据规则已不适用于小企业。」申报负担减轻了，《个人信息保护法》并没有。
「人力资源数据一律豁免。」仅限跨境人力资源管理所必需的部分。
「远程访问不算出境。」监管部门视其为出境。
「一个银行卡号无关紧要。」只要含有敏感个人信息，数量豁免即不适用。
「设立时统计一次就够了。」每年 1 月 1 日重新起算并累计。
「总部可以把数据交给外国法院。」未经中国主管机关批准不可以。
你的检查清单
☐ 数据地图：什么数据、涉及谁、多少人、给谁、为什么
☐ 把境外远程访问纳入统计
☐ 记录每一数据流所依据的豁免及理由
☐ 自 1 月 1 日起累计计数；标记敏感数据
☐ 更新告知文本；必要时取得单独同意
☐ 完成影响评估
☐ 超过门槛：签订标准合同，10 个工作日内备案
☐ 在自贸试验区注册的，核对负面清单
☐ 外国机构的调取请求先交由律师处理
☐ 回复「SETUP」获取《主体设立清单》
政策截至 2026 年 10 月。本专栏提供一般信息，不构成法律意见。数据梳理、影响评估、标准合同备案和安全评估应与你的法务团队、律师事务所或具备资质的数据合规服务机构共同办理；数量门槛和地方备案程序应向省级网信部门确认。政府规费和持牌机构的费用由客户据实结算。
China Field Notes 在华实务笔记 · 道纳出品