数据要出境，企业出海绕不开的合规坎

一家做跨境电商的公司找到我时，扩张势头正猛，海外仓、境外站点、跨境SaaS系统全上了。可他们没意识到一件事，每天，大量中国用户的姓名、地址、订单、支付信息，正随着业务，源源不断地流向境外服务器。

创始人问我，这也算事，我们就是正常做生意啊。我说，这不仅算事，而且是出海企业最容易忽略、又最可能被秋后算账的一道坎，数据出境。

先讲清楚，什么叫数据出境

很多人以为，数据出境是指把数据打包卖到国外。不是。它的范围比想的宽得多。

这些都可能构成数据出境。也就是说，你未必主动卖过数据，但只要业务是跨境的，数据大概率已经在出境了，你只是没意识到。

三条合法路径，出境不是不能，是要走门

我国对个人信息出境，确立了三条合法路径，《个人信息保护法》第三十八条。企业向境外提供个人信息，原则上要满足其一。

选哪条，取决于你的数据量级、是否涉及敏感信息、是不是关键信息基础设施。不是所有企业都要做最重的安全评估，对号入座，别过度合规，也别裸奔。

不走这条门会怎样，2026年6月的一起处罚给出了答案。

一千万元的罚单落在一家知名企业头上，说明数据出境监管正在从立法引导转向常态化严格执法，规模再大的企业也不例外。

一个重要的好消息，2024年新规做了松绑

这块规则一直在动。2024年出台的关于促进和规范数据跨境流动的规定，对部分情形作了豁免或放宽，比如为订立、履行个人作为一方当事人的合同，像跨境购物、跨境寄递、跨境汇款、酒店机票预订、签证办理等所必需的出境，以及一定数量以下的个人信息出境等情形，可能豁免上述三条路径的部分要求。

这对做正常跨境业务的中小企业是实实在在的减负。但要提醒，豁免是有条件、有边界的，涉及敏感信息、达到数量门槛、或属重要数据的，该走的程序仍要走。别把松绑误读成放开。

还有一层容易漏，不只是个人信息，还有重要数据

数据出境管的不只是个人信息。《数据安全法》体系下还有一类重要数据，一旦泄露或被滥用，可能危害国家安全、公共利益。重要数据出境，要求更严，通常需通过安全评估。企业要先搞清楚，自己手里的数据，有没有可能被认定为重要数据。

企业出海，这份数据合规清单请收好

全球化是数字经济的必然方向，数据必然会跨境流动，重要的不是不动，而是走对门、留好痕。

那家跨境电商，我帮他们做了一次完整的数据流向盘点，才发现数据出境的环节比自己以为的多得多。我们对照新规，该走标准合同的走了备案，能适用豁免的用足了豁免，把一个悬着的雷，变成了一套清清楚楚的流程。创始人后来松了口气，原来不是不能出，是要走对门。