2026创业公司数据出境合规怎么写：数据出海三路径流程

[摘要] 创业公司数据出境合规怎么写：本文给出识别出境场景、清点出境数据、比对数量门槛、选择合规路径、留存办理材料五步流程，配合三档路径对照表与BP数据章节的写法模板。

关键词：创业公司数据出境合规2026数据出境标准合同安全评估

一、创业公司数据出境合规：先把“出境”这件事界定清楚

数据出境不是“服务器放哪”这么简单的判断。《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号，2024 年 3 月 22 日公布施行）第二条明确了适用范围：该规定适用于数据处理者向境外提供数据。同时第三条第二款给出了一条重要的排除：数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。

这两条合起来说明，判断的第一件事不是“数据有没有出境”，而是“出境的数据里有没有个人信息或者重要数据”。纯业务数据、公开信息、不含个人信息的技术资料出境，义务轻得多；一旦带上个人信息或重要数据，就要走门槛判断。

《中华人民共和国个人信息保护法》第三十八条给出了四条出境路径：依照该法第四十条的规定通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；以及法律、行政法规或者国家网信部门规定的其他条件。第三十九条要求向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、处理的个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。

二、第一步：识别真实的出境场景

创业公司最容易漏掉的出境场景，都不是“我们主动把数据传到国外”这种明显的动作。

场景	常被忽略的原因	BP 中应有的表述
使用境外云服务或 SaaS 工具	以为用了境外工具不算出境	境外服务商 X 提供 Y 服务，涉及个人信息字段：甲、乙
向海外母公司或关联公司同步	早期团队按“总部在境外”安排	同步范围、字段清单、频率
使用境外客服或分析工具	工具由第三方嵌入，团队不知情	工具名称、涉及字段、是否含敏感个人信息
为海外投资人提供后台访问权限	权限范围往往按“看看数据”开	可访问字段、访问角色、日志留存情况
海外销售或市场活动的表单收集	表单工具部署在境外平台	收集字段、是否含敏感个人信息

三、第二步：清点出境数据并分类

清点有两个维度：数量和性质。数量维度要精确到个位，因为门槛是按人数算的；性质维度要分清普通个人信息、敏感个人信息和重要数据。

数量的口径来自规定原文。第七条第（二）项提到“自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息”；第八条提到“自当年 1 月 1 日起累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或者不满 1 万人敏感个人信息”；第五条第（四）项提到“自当年 1 月 1 日日起累计向境外提供不满 10 万人个人信息（不含敏感个人信息）”的情形免予申报。

敏感个人信息的界定引用《中华人民共和国个人信息保护法》第二十八条：一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

重要数据的判断要看两个方向。《中华人民共和国数据安全法》第二十一条规定，国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的网络数据进行重点保护。而《促进和规范数据跨境流动规定》第二条规定，未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。

四、第三步：按门槛选路径

三条路径的对应关系如下表。表中的门槛表述直接取自《促进和规范数据跨境流动规定》。

情形	路径	依据
不包含个人信息或者重要数据（国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动）	免予申报安全评估、订立标准合同、通过认证	第三条第一款
境外收集产生、传输至境内处理后再向境外提供，处理中未引入境内个人信息或者重要数据	免予申报安全评估、订立标准合同、通过认证	第三条第二款
为订立履行个人作为一方当事人的合同确需提供；按劳动规章制度与集体合同实施跨境人力资源管理确需提供员工个人信息；紧急情况下为保护生命健康财产安全确需提供；非关基运营者当年累计向境外提供不满 10 万人个人信息（不含敏感个人信息）	免予申报安全评估、订立标准合同、通过认证	第五条
非关基运营者当年累计向境外提供 10 万人以上、不满 100 万人个人信息（不含敏感个人信息）或者不满 1 万人敏感个人信息	与境外接收方订立个人信息出境标准合同，或者通过个人信息保护认证	第八条
关基运营者向境外提供个人信息或者重要数据；非关基运营者向境外提供重要数据，或者当年累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或者 1 万人以上敏感个人信息	通过所在地省级网信部门向国家网信部门申报数据出境安全评估	第七条

还有一条容易漏的持续义务。第十条规定，数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务；第十一条要求遵守法律、法规的规定履行数据安全保护义务，采取技术措施和其他必要措施保障数据出境安全，发生或者可能发生数据安全事件时应当按规定及时告知个人并向有关主管部门报告。也就是说，选了路径不等于完事，后续的告知、单独同意、影响评估与事件报告义务是持续适用的。

五、第四步：办理与留存材料

路径	需办理事项	留存材料
免予申报（第三条、第五条情形）	内部确认判断依据与数量口径	出境场景清单、数据字段清单、数量统计表、判断依据说明
标准合同	按国家网信部门制定的标准合同与境外接收方订立合同，约定双方权利义务	标准合同文本、境外接收方信息、签署记录
个人信息保护认证	经专业机构进行个人信息保护认证	认证证书、认证范围说明
安全评估	通过所在地省级网信部门向国家网信部门申报	申报材料、受理与结果文件、有效期记录

对多数处在早期阶段的创业公司来说，实际情况是先落在第三条或第五条这两档免申报情形。所以第一步要做的不是启动流程，而是把免申报的判断依据做扎实：出境场景清单、字段清单、当年数量统计表、以及逐项对照条文得出的结论。这份材料同时是 BP 的合规段落，也是后续数量增长时的基线。

五、第五步：写进BP与持续管理

BP 里的写法模板可以直接用：「公司当前涉及数据出境的场景共 X 个，分别为境外云服务 Y、海外母公司数据同步 Z；涉及个人信息字段甲、乙、丙，不含敏感个人信息；截至 2026 年 X 月，当年累计向境外提供个人信息 N 人，未超过 10 万人，依据《促进和规范数据跨境流动规定》第 X 条适用免予申报安全评估、订立标准合同、通过认证的情形。公司已建立数据出境台账，按月更新数量统计。」

如果涉及敏感个人信息或者重要数据，写法就要换成对应路径的表述，比如「公司已完成数据出境安全评估，评估结果有效期至 X 年 X 月 X 日」或者「公司已与境外接收方订立个人信息出境标准合同」。这里必须写准确，写不准比不写更糟。

参考来源

1. 《促进和规范数据跨境流动规定》，国家互联网信息办公室令第 16 号，第二条、第三条、第五条、第七条、第八条、第九条、第十条、第十一条，2024 年 3 月 22 日公布施行，中央网络安全和信息化委员会办公室，http://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm。

2. 《中华人民共和国个人信息保护法》，第二十八条、第三十八条、第三十九条，2021 年 11 月 1 日施行，中国人大网，http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html。

3. 《中华人民共和国数据安全法》，第二十一条，2021 年 9 月 1 日施行，中央网络安全和信息化委员会办公室，https://www.cac.gov.cn/2021-06/11/c_1624994566919140.htm。

4. 《网络数据安全管理条例》，国务院令第 790 号，第九条、第二十一条，2025 年 1 月 1 日施行，中国政府网，https://www.gov.cn/zhengce/content/202409/content_6977766.htm。

本文由五网（www.5ol.com）用户/编辑整理，来源标注见参考来源章节。数据出境的具体判定与申报要求以国家网信部门及省级网信部门口径为准，BP 中的表述需与实际出境台账、统计表及办理材料一致。