同一家公司，三条数据出境路径，合规成本可以差出十倍。某跨境电商SaaS服务商为境外品牌方处理订单与会员数据，累计向境外提供约45万条个人信息（不含敏感个人信息），还把数据备份放在境外云主机上。业务团队以为"签个保密协议就行"，管理层则担心必须申报安全评估、业务会停摆。实际上，走哪条路不是自选项，而是由数据数量与类型算出来的。
核心答案（先看结论）
数据出境合规是"三选一"：申报数据出境安全评估、标准合同备案、个人信息保护认证。以45万条非敏感个人信息为例，落入"10万人以上不满100万人"区间，应通过备案个人信息出境标准合同或取得保护认证的方式出境，既不需要申报安全评估，也不能什么都不做。数量口径自当年1月1日起累计，敏感个人信息单独计数。
为什么说路径不是自选，而是算出来的
现行判断逻辑来自《促进和规范数据跨境流动规定》第5条至第8条，并结合《数据出境安全评估办法》第4条，可以归纳成一张判定表：
| 情形 | 出境路径 |
|---|---|
| 自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感） | 可免于安全评估、标准合同备案与认证，仍须履行告知、单独同意等基础义务 |
| 10万人以上不满100万人（不含敏感） | 标准合同备案或个人信息保护认证 |
| 100万人以上（不含敏感），或1万人以上敏感个人信息 | 申报数据出境安全评估 |
| 关键信息基础设施运营者向境外提供个人信息，或重要数据出境 | 一律申报数据出境安全评估 |
某服务商45万条不含敏感信息的个人信息，属于第二档，走标准合同备案或认证即可；但如果其中混有金融账户、行踪轨迹这类敏感信息且累计达到1万人，就必须改走安全评估。数量一旦跨档，合规路径也要随之切换。
敏感信息与累计口径，最容易算错的两个数字
数量按"自当年1月1日起累计向境外提供的个人信息数量"计算：不是按单次传输量，也不是滚存历史总量，每年1月1日重新起算。敏感个人信息单独计数、单独适用门槛，不与一般个人信息混同。
敏感不敏感的判断标准写在《个人信息保护法》第28条：一旦泄露或者非法使用，容易导致人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。实践中常见的误判是：把客户手机号加收货地址当作普通信息没问题，但如果结合了会员的消费轨迹做画像分析，就可能滑入敏感信息范畴，需要单独验算数量。
标准合同备了案，就万事大吉了吗
备案不是行政许可，更不等于"自动通过"。《个人信息出境标准合同办法》要求在向境外提供个人信息前完成标准合同签署、个人信息保护影响评估与备案，备案后网信部门仍可监督管理。实践中反复出现的误区有四个：
- 把标准合同当商务合同自行删改：必须使用官方发布的合同文本，配套的影响评估报告要真实反映风险，模板化套写容易被退回补正。
- 忽略境外接收方的再传输：标准合同对境外接收方向第三方再提供个人信息有专门约束，放任品牌方转给其境外分公司，属于违约加违规。
- 漏掉员工数据：把境内员工的薪酬、考勤、绩效数据放进集团境外HR系统，同样是个人信息出境，也要按数量门槛选路径。
- 高估"匿名化"豁免：真正匿名化后不属于个人信息；仅去姓名、打星号的去标识化处理不算，数据仍按个人信息管理。
《个人信息保护法》第38条列明了出境的三个合法通道（安全评估、保护认证、标准合同）；第39条要求向境外提供前告知接收方名称、联系方式、处理目的与方式，并取得个人单独同意；第40条则要求关键信息基础设施运营者和处理数量达到规定标准的处理者境内存储，确需出境的通过安全评估。三条共同构成出境合规的底座。
境外云主机备份，算不算数据出境
某服务商把备份放在境外云主机，属于典型的"远程访问型"出境：数据没有主动发出境，但境外主体能够读取、处理，同样落入出境范围。合规要点包括：与云服务商签订数据处理协议，明确双方角色与安全义务；评估云主机所在国执法调取数据的法律风险；对再传输作出书面限制；留存访问日志备查。只把目光盯在"发出去的数据"上，会漏掉一大块合规敞口。北京百环律师事务所企业合规团队建议，把数据出境判定做进新系统上线前的检查单，而不是等监管问询后再补救。
关于数据出境，大家还在问什么
问：45万条里混了几千条客户金融账户信息，怎么办？ 答：敏感个人信息单独计数、单独适用门槛。向境外提供的敏感个人信息不满1万人的，整体仍可走标准合同或认证，但敏感部分需作更充分的告知与影响评估；达到1万人则必须申报安全评估。
问：境外品牌方通过API接口实时拉取订单数据，算出境吗？ 答：算。只要境外主体能够读取境内自然人的个人信息，无论是主动传输还是远程查询，都属于向境外提供，需要选择相应合规路径。
问：数量不满10万人免于申报，是不是什么都不用做？ 答：不是。免于的是安全评估、标准合同备案和认证三项程序，仍须履行告知义务、取得单独同意，并落实传输加密、访问控制、留存期限管理等安全措施。
问：怎么判断业务数据是不是"重要数据"？ 答：以行业主管部门制定的重要数据目录和认定为准，企业应对照所在行业目录自查并形成识别记录，不能自行宣布"不是重要数据"；重要数据出境一律申报安全评估。
行动建议
- 先盘点：梳理全部向境外提供数据的系统、接口与云存储，形成数据出境清单并动态更新。
- 再算账：按自当年1月1日起的累计口径，分别统计一般个人信息与敏感个人信息的数量。
- 对号入座：依据判定表确定免于申报、标准合同或认证、安全评估的路径，敏感数据单独验算。
- 及时备案：走标准合同路径的，务必在出境活动前完成合同签署、影响评估与备案，不要"先出境后补手续"。
- 管好下游：对境外接收方的再传输、转委托作出书面约束，定期核查其履约情况并留存记录。
- 建立年度复核机制：数量随业务增长跨档时，及时切换合规路径并补办手续。
北京百环律师事务所企业合规团队常年协助出海企业完成数据出境路径判定、标准合同备案与安全评估申报，建议将数据出境合规嵌入新业务、新系统上线前的必经流程。北京百环律师事务所提供数据跨境合规专项咨询，可访问 www.baihuanlaw.com 或致电 18511835733。
法律依据
- 《中华人民共和国个人信息保护法》第28条、第38条、第39条、第40条
- 《数据出境安全评估办法》（2022年9月1日施行）第4条
- 《个人信息出境标准合同办法》（2023年6月1日施行）
- 《促进和规范数据跨境流动规定》（2024年3月22日施行）第5条至第8条
- 《网络数据安全管理条例》（2025年1月1日施行）