中国这一关过了，到了东南亚和韩国，数据还会在哪里出事
出海企业的数据合规，常常是国内那一关做得认认真真，却在当地栽了跟头。
2024年7月，韩国个人信息保护委员会对速卖通开出了一张19.78亿韩元的罚单。原因说起来并不复杂：平台把韩国用户的姓名、电话、收货地址，提供给了大约18万家境外卖家，其中多数在中国，但没有告诉用户，这些信息去了哪个国家、给了谁、怎么联系对方。
据韩国媒体报道，这是韩国首次因违反个人信息跨境传输程序开出罚款。不到一年，2025年5月，Temu也被同一个机构罚了13.69亿韩元，问题同样出在跨境：隐私政策里没有告诉用户，数据会交给中国、新加坡、日本等地的公司存储和处理，而且没有按要求在韩国指定境内代理人。
这两家都不是不懂合规的小公司。问题出在一个很普遍的思路上：以为数据合规就是"出境那一关"的事。
先说国内这一关
国内的规则，我在前几天那篇讲认证问答的文章里已经梳理过：按自当年1月1日起累计出境的人数，分别走安全评估、标准合同或认证，不满10万人且不含敏感个人信息的，可以免于申报。
这里只补一句，也是最常被误读的一句：免于申报，不等于免于合规。个人信息保护法第三十九条要求，向境外提供个人信息，要告知境外接收方的名称、联系方式、处理目的和方式，并取得个人的单独同意；第五十五条要求事先做个人信息保护影响评估，第五十六条要求评估报告和处理情况记录至少保存三年。这些义务和人数多少没有关系。
国内管的，是数据"出去"这一端。而东盟和亚太很多国家和地区，管的是数据"进来"和"留下"那一端，而且越来越强调本地化。
到了当地，规则长这样
| 国家或地区 | 当地主要管什么 | 最容易被忽视的一条 |
|---|---|---|
| 新加坡 | 传输方要保证接收方提供与当地同等水平的保护，可以用合同、集团约束性规则、认证或取得同意 | 确认属于须通报的泄露后，3个日历日内要报告监管机构 |
| 日本 | 以取得同意的方式向境外提供的，事先要告知接收国的个人信息保护制度和接收方采取的保护措施 | 接收国是欧盟、英国，或者接收方已建立符合日本标准的保护体系的，可以不走同意这条路 |
| 韩国 | 向境外传输要逐项告知接收国、接收方、用途和联系方式 | 上一年销售额超过1万亿韩元、或处理韩国用户数据超过100万人等的境外企业，要指定韩国境内代理人 |
| 越南 | 依据2026年1月1日起施行的个人数据保护法及其实施法令，跨境传输方要在60日内向公安部提交跨境传输影响评估档案 | 网络安全法还对部分企业和数据设有本地存储要求 |
| 马来西亚 | 2024年修订后，达到规定处理规模的企业须任命数据保护官 | 2025年6月起，须通报的泄露要在72小时内报告监管机构 |
| 中国香港、澳门 | 内地数据传过去同样属于跨境 | 粤港澳大湾区有专门的个人信息跨境标准合同，可以简化流程 |
这张表不是全部，每个地方的细则还在变。但有一个共同点很明显：当地监管不关心你在中国做了什么备案，只看你在当地有没有按当地的规矩来。
我见得最多的五个坑
- 01一揽子同意：把跨境授权捆进注册协议，用户勾一下就算同意了。韩国、越南这类要求逐项告知、单独同意的地方，这种做法本身就是违规。
- 02默认回流总部：业务数据先传回国内再说。在有本地化或前置评估要求的地方，传之前就要先备案、先评估。
- 03没有专人负责：没有数据保护官，也没有指定当地代理人，出了泄露不知道向谁、在多长时间内报告。
- 04隐私政策当翻译题：中文版直接译成英文、越南文上线。双语的难处不在语言，而在每个地方对告知事项、未成年人、个性化推荐的要求都不一样。
- 05认证当免检通行证：APEC跨境隐私规则体系的认证能降低传输成本，但替代不了当地法律的强制义务。
这五条里，我最想提醒的是第二条。很多企业的系统架构，从一开始就是"全球数据汇总到国内总部"。架构一旦定型，后面再改，成本远比一开始就按区域分开存储要高得多。所以，数据合规最好在搭系统的时候就请律师进场，而不是等上线前一周。
2025年5月，爱尔兰数据保护委员会认定，TikTok向中国传输欧洲用户数据时，未能证明这些数据能得到与欧盟同等水平的保护，同时对用户告知不够透明，处以5.3亿欧元罚款。出境前的评估不是走形式，监管会追问评估是不是真实、能不能验证。
真出了泄露，按最严的那个时限来
中国的个人信息保护法第五十七条没有写具体的小时数，要求的是立即采取补救措施，并通知监管部门和个人，说清楚泄露了哪些信息、原因、可能的危害、已经采取的措施、个人能做什么，以及联系方式。
但如果受影响的用户分布在几个国家，就要按其中最严格的时限来：欧盟原则上是72小时，马来西亚是72小时，新加坡是确认属于须通报的泄露之后3个日历日。我一般会建议企业事先把各地的时限做成一张表，放进应急预案里。真到出事那天，没有人有时间现场去查法条。
- 01画一张数据地图：哪些数据、从哪里收集、存在哪里、流向哪里、谁能访问。境外人员能远程查看境内系统，也算出境。
- 02按目的地分开看：每个市场列出当地的告知、同意、本地化、代理人、泄露通报要求，和国内要求逐项对照。
- 03改造同意流程：跨境授权单独列出、单独勾选，接收国、接收方、用途写清楚。
- 04合同管住接收方：和境外的关联公司、云服务商、物流商签数据处理协议，约定保护标准和泄露配合义务。
- 05留下痕迹：评估报告、会议纪要、风险提示，都要存档。个人信息保护法规定，处理者不能证明自己没有过错的，要承担赔偿责任。
监管不看你在别处做了什么，只看你在这里有没有守规矩。
想先把自己的情况理清楚？
如果你的企业正准备进入东南亚、日韩市场，或者已经在用境外的系统处理用户数据，欢迎预约。我们先把数据流向画清楚，再一个市场一个市场地对照当地规则，把该补的补上。
预约首次免费咨询 · 先帮你梳理诊断，看清下一步
遇到具体问题，欢迎加微信 law5488 或在官网预约。
