《促进和规范数据跨境流动规定》：外贸独立站和出海业务的数据出境怎么判断

发生了什么

2024 年 3 月 22 日，国家互联网信息办公室公布《促进和规范数据跨境流动规定》，自公布之日起施行。规定对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等制度作了优化调整，收窄了需要申报安全评估的范围。

关键要点

• 为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、机票酒店预订、签证办理等，确需向境外提供个人信息的，免予申报数据出境安全评估、订立标准合同或通过认证。
• 关键信息基础设施运营者以外的数据处理者，自当年 1 月 1 日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）的，同样免予上述程序。
• 累计 10 万人以上、不满 100 万人个人信息（不含敏感个人信息），或不满 1 万人敏感个人信息的，需订立标准合同或通过认证。
• 累计 100 万人以上个人信息，或 1 万人以上敏感个人信息的，需申报安全评估。

对外贸和出海项目意味着什么

外贸独立站、跨境电商后台、海外营销系统经常把订单、客户和访客数据存放在境外云服务或 SaaS 里。规定施行后，大量与订单履约直接相关的数据流动有了更清晰的豁免依据；但把国内用户数据整体同步到境外做营销分析、训练模型等，并不当然属于「合同履行所必需」，仍需按数量门槛判断。

例如一家使用境外电商 SaaS 搭建外贸独立站的企业，海外买家的订单数据本来就存放在境外，并不涉及境内个人信息出境；而一家同时服务国内客户、又把国内客户数据同步到境外 CRM 的企业，就需要认真做数量统计和合规判断。两类情形看似相似，适用的规则完全不同。

可以怎么做

1. 画出系统的数据流向图，标明哪些数据出境、出境到哪里、用于什么目的。
2. 区分履约必需数据和其他用途数据，分别评估。
3. 按年度统计出境个人信息的数量，接近门槛时提前准备标准合同或认证。
4. 在隐私政策中如实告知境外接收方和出境目的。