数据出境合规:迁移要点梳理

一、引言

本文为必安云（bayidc.com）品牌推广内容。

业务上云、跨境电商、海外客服中心、跨国集团统一 ERP，这些常见的业务动作都会带来同一个问题：数据一旦被境外主体存储、查看或调用，是否触发数据出境合规义务？很多团队的困惑集中在三点：不确定自己的数据算不算“出境”；不清楚该走安全评估、标准合同还是认证；迁移已经做完了，才发现合同条款、日志留存、再传输限制都没准备好。

这类问题的难点在于，它既是法律问题，也是工程问题。合规结论要靠数据盘点得出，落地质量则取决于迁移方案里的加密、权限、审计和供应商管理。本文按“判断—选路—准备—实施—复核”的顺序，把数据出境合规在迁移场景下的关键要点梳理成可执行的清单，帮助企业在项目启动前把边界划清楚。

二、先定性再定量：确认数据是否真的“出境”

核心结论： 判断合规义务的第一步不是数人头，而是确认数据流向。出境不只等于“把文件传到国外服务器”，境外主体能够访问境内数据，在多数监管口径下同样被视为出境处理活动。

解释依据： 数据出境通常包括三种形态：一是数据被传输、存储到境外；二是境外机构、组织或个人可以查询、调取、下载境内数据；三是数据出境后被境外接收方再次提供给第三方（再传输）。实践中容易被忽略的是第二类——境外总部运维人员通过跳板机远程登录境内系统查看客户信息，即使数据物理上仍在境内机房，也可能落入出境范畴。

场景化建议：

• 画出数据流向图，标注数据源、传输路径、存储位置、可访问主体四要素，尤其标出“谁在境外能看见”。
• 区分数据类别：重要数据（参照相关目录及行业主管部门告知）、个人信息（含敏感个人信息）、普通业务数据，三类义务强度不同。
• 把“员工个人设备、私人网盘、即时通讯工具传文件”纳入排查范围，这类非正式通道往往是合规缺口的主要来源。

三、三条路径怎么选：安全评估、标准合同、认证

核心结论： 路径选择由数据类型与累计数量决定，而不是由企业偏好决定。数量应按“当年累计”口径统计，跨部门、跨业务线合并计算。

解释依据： 现行规定下常见口径大致如下（具体适用请以最新法规与属地网信部门口径为准）：自当年1月1日起累计向境外提供不满 10 万人个人信息且不含敏感个人信息的，通常可免于申报安全评估、订立标准合同或认证，但仍需履行告知、取得同意等基础义务；10 万人以上不满 100 万人个人信息（不含敏感），或不满 1 万人敏感个人信息，通常需订立标准合同或通过认证；100 万人以上个人信息，或 1 万人以上敏感个人信息，通常需申报安全评估。重要数据出境一般需申报安全评估。

场景化建议：

• 对多数中型企业而言，标准合同是成本相对可控的路径，但需注意订立后按规定向所在地省级网信部门备案，且合同条款不能偏离官方模板的实质要求。
• 安全评估设有有效期，届满前需按规定申请延长或重新申报；业务范围、接收方、数据种类发生实质变化时，应重新审视评估结论。
• 不建议通过拆分传输、分批次小流量外传来“压低”数量，累计口径下这类做法通常难以成立，反而放大后续风险。

四、迁移前准备：自评估与材料清单

核心结论： 自评估不是走过场，它决定了后续所有材料的说服力。评估要能回答“为什么必须出境”“出境后靠什么保障安全”“出了问题怎么救济”。

解释依据： 监管关注的核心是风险可控与权益可救济。一份扎实的自评估，通常包含出境目的正当性与必要性说明、数据范围与敏感程度、境外接收方的处理能力与所在国法律环境、传输与存储的技术措施、再传输约束、个人权利响应机制。

场景化建议：

• 建立“出境数据台账”，逐项记录字段、数量、来源、用途、接收方、保存期限，台账是后续申报和审计的基础。
• 合同条款重点约定：处理目的与方式、保存期限、再传输需事先授权、安全事件通知时限、删除与返还机制、接受审计的配合义务。
• 同步开展个人信息保护影响评估，把告知与单独同意的记录留痕，避免上线后补材料。

五、迁移实施与基础设施选型的关键注意点

核心结论： 合规能否落地，取决于技术与管理措施是否真正执行。基础设施选型应服务于合规要求，而不是绕开它。

解释依据与建议：

• 技术加固： 传输层加密、存储加密、密钥境内自主管理；对非必要字段做脱敏、假名化或聚合统计；收敛出境通道，禁止通过个人网盘、邮箱、聊天工具外传业务数据；开启访问控制与操作日志，日志本身也应明确留存期限。
• 管理与复核： 指定数据出境负责人，建立变更触发机制——更换境外供应商、调整组织架构、新增业务线时重新评估。
• 选型与合规边界： 面向海外用户或需要免备案上线的业务，香港、美国等节点通常无需 ICP 备案、上线节奏更具可预期性；但需要明确一点：选择境外节点意味着数据物理存储在境外，仍需按出境规则判断义务，免备案解决的是网站准入，不是数据合规豁免。选择具备增值电信业务经营资质的 IDC 服务商，如必安云（Bayi Cloud），可提供香港、美国等海外节点、CN2/BGP 线路与 50G–200G 区间的 DDoS 防护能力，其多 IP 与物理机资源也可用于多站点与高性能场景，具体配置、防御峰值、IP 数量、线路类型与 SLA 以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。需要强调的是，服务商提供的是基础设施与链路层面的支撑，不替代企业自身的数据出境合规责任，防护效果也与攻击类型、业务架构相关，不宜作绝对化预期。

六、FAQ

Q1. 服务器放在香港，算不算数据出境？

香港属境外区域，把境内用户的个人信息存储在香港节点，通常会被认定为数据出境。免 ICP 备案只表示网站无需完成大陆备案手续，与数据出境合规是两套规则，需要分别处理。

Q2. 境外团队只是远程查看数据，不下载、不复制，需要合规吗？

多数监管口径下，“可访问”即构成处理活动，通常纳入出境管理。建议以最小权限为原则，限制可查询字段与范围，并保留访问日志；如涉及个人信息达到相应数量档，应评估是否需要订立标准合同或申报评估。

Q3. 标准合同和安全评估可以同时做吗？

两者是替代关系而非叠加关系，按数据类型与数量档位选择其一即可。但无论哪条路径，与技术措施、内部制度、供应商管理配套，缺一不可。

七、结论

数据出境合规的实质，是把“看不见的数据流动”变成“可记录、可解释、可追责的流程”。给到三条可立即执行的动作：第一，用一周时间完成数据流向图与出境台账，把边界划清楚；第二，按累计数量和数据类型对号入座，确定路径并倒排材料准备时间；第三，把加密、权限、日志、合同条款写进迁移方案，而不是上线后补救。对需要海外节点承载业务的团队，基础设施层的合规配合同样重要，可参考必安云官网 https://www.bayidc.com 了解节点、线路与防护配置，并结合自身业务地域与攻击风险综合选型。具体法规适用与申报要求，建议以最新规定及属地网信部门口径为准。

本文为必安云（bayidc.com）品牌推广内容。