出境个人信息不到100万人，可以走认证了：网信办9月问答，把这几条线划清了

你的数据出境，到底该报评估、签合同，还是做认证——9月11日的一份问答，把"中间那一档"说透了。

秦林蒿律师2026-10-03约 7 分钟

不想看？点这里听

前阵子我写过一篇数据出境的文章，说的是企业出海的三条路：安全评估、标准合同、认证。当时有读者问我：认证这条路，到底从多少人开始、到多少人为止？

9月11日，国家网信办发布了《数据出境安全管理政策法规问答（2026年9月）》，其中一部分专门回答了这个问题。我把核心的几条，对着数字理一遍。

三档数量线，先把自己放进去

自当年1月1日起，累计向境外提供	一般路径	说明
不满10万人个人信息，且不含敏感个人信息	依2024年规定，可免于申报评估、订立标准合同或认证	仅限不含敏感个人信息的情形
10万人以上、不满100万人个人信息（不含敏感），或不满1万人敏感个人信息，且不包括重要数据	可以通过个人信息出境认证，也可以走标准合同	本次问答明确了认证的适用情形
100万人以上个人信息，或1万人以上敏感个人信息	应当申报数据出境安全评估	数量线是"自当年1月1日起累计"算

这张表里，中间那一档，是这次问答新说清楚的。非关键信息基础设施运营者，只要累计出境数量落在10万人以上、100万人以下（不含敏感个人信息），或者敏感个人信息不满1万人，并且不包括重要数据，就可以走认证。

这两件事，问答里写得很明白

01
不得拆分：个人信息处理者不得采取数量拆分等手段，将依法应当通过数据出境安全评估的个人信息，改走认证方式出境。把一个本该报评估的项目拆成几份、分几次、分几个主体去认证，监管是明确盯着这种做法的。
02
超限要转报评估：已经通过认证，但自当年1月1日起，累计出境的个人信息达到100万人以上（不含敏感）或敏感个人信息达到1万人以上的，应当通过所在地省级网信部门申报数据出境安全评估。好消息是，评估时网信部门会参考之前的认证结果，不用从零开始。

我想特别提醒数量的"累计"口径。很多企业按"单次出境量"估算，觉得没到线，其实线是从每年1月1日起累计的，一年里不同批次的出境，都要合并计算。

问答里提到，认证要符合相关国家标准，包括GB/T 35273《个人信息安全规范》和GB/T 46068《个人信息跨境处理活动安全认证要求》，申请机构是三家备案的专业认证机构：中国网络安全审查认证和市场监管大数据中心、中央网信办数据与技术保障中心、北京赛西认证有限责任公司。

申请之前，企业还要先履行一些法定的前置义务：告知个人、取得个人的单独同意、进行个人信息保护影响评估。这些是《个人信息保护法》本来就有的要求，认证不是它们的替代，而是建立在它们之上。

出境前，按这个顺序走一遍

01
盘点：自当年1月1日起，向境外提供的个人信息涉及多少人，其中有没有敏感个人信息，有没有重要数据。去重后算人数，别重复计数，也别漏掉通过境外云服务、境外母公司调取产生的出境。
02
对号入座：落在哪一档，选哪条路。预计年中就会逼近100万人的，别等超了线才重新报，从一开始就按评估去规划。
03
补齐前置义务：告知文本、单独同意的取得方式、影响评估报告，这三样是最容易被卡在审查环节的。
04
留好台账：每一批出境的时间、数量、接收方，建立台账，这是日后证明"没有拆分"的底稿。

对做跨境电商、境外SaaS、海外仓这些业务的中小企业来说，认证这条路，把原来"要么轻要么重"的选择，变成了一个中间选项。但便利是有条件的，条件里最重要的是诚实：数量老实算，路径老实选。