数据跨域如何合规传输

本文目录导读：

1. 核心原则：先定级，再传输
2. 方案一：中国法框架下的合规路径（核心难点）
3. 方案二：国际主流合规路径（如GDPR、CCPA等）
4. 实操步骤：如何落实合规传输
5. 常见合规风险与应对建议
6. 总结与实用建议

这是一个非常专业且重要的问题，数据跨域传输的合规性，核心在于平衡数据自由流动与数据安全保护（特别是个人信息和国家重要数据）之间的关系。

由于全球各地（如中国、欧盟、美国、东南亚等）的法律框架差异巨大，以下内容将主要以中国的《个人信息保护法》《数据安全法》《网络安全法》以及近期出台的《促进和规范数据跨境流动规定》为主要依据,并穿插国际通用规则。

核心原则：先定级，再传输

在进行任何跨域传输前,必须先完成以下三个关键判断：

1. 数据类型是什么？ (个人信息？重要数据？商业数据？)
2. 数据量级有多大？ (是否触及敏感信息或大规模传输的阈值？)
3. 接收方在哪个国家/地区？ (是被列入“限制名单”的特殊区域？)

中国法框架下的合规路径（核心难点）

根据中国最新的《促进和规范数据跨境流动规定》（2024年3月生效），跨境传输不再“一刀切”,而是分为三类场景：

免予申报/合规的“绿色通道”（常见场景）

如果属于以下情况，不需要通过安全评估或订立标准合同,可以直接传输：

• 必须场景： 跨境购物、跨境汇款、机票酒店预订、签证办理等,确需传输个人信息的。
• 人力资源管理： 按照依法制定的劳动规章制度和集体合同,实施跨境人力资源管理所必需。
• 紧急情况： 保护自然人的生命健康和财产安全所必需。
• 非个人信息： 仅传输不包含个人信息或重要数据的普通商业数据。

需要“标准合同”备案或“认证”的场景

如果不满足上述豁免条件，且接收方位于非限制性国家,通常需要：

• 订立标准合同： 与境外接收方签订国家网信办发布的《个人信息出境标准合同》，并在生效后10个工作日内向省级网信办备案。
• 通过个人信息保护认证： 通过专业机构（如中国网络安全审查技术与认证中心）的认证。
• 适用条件（必须同时满足）：
  • 非关键信息基础设施运营者。
  • 处理个人信息不满100万人。
  • 自上年1月1日起,累计向境外提供个人信息不满10万人。
  • 自上年1月1日起,累计向境外提供敏感个人信息不满1万人。

必须通过“数据出境安全评估”的场景（高风险）

如果触碰以下红线，必须通过国家网信办组织的安全评估：

• 关键信息基础设施运营者向境外提供个人信息或重要数据。
• 处理100万人以上个人信息的数据处理者向境外提供个人信息。
• 自上年1月1日起,累计向境外提供个人信息超过10万人。
• 自上年1月1日起,累计向境外提供敏感个人信息超过1万人。
• 任何向境外提供重要数据的行为。

国际主流合规路径（如GDPR、CCPA等）

如果你的业务涉及欧盟或美国加州等地,通常采用以下工具：

充分性认定（Adequacy Decision）

• 欧盟委员会认定某个国家/地区的个人信息保护水平达到欧盟标准（如日本、韩国、英国等）,数据传输到这些国家无需额外措施。

标准合同条款（SCCs）

• 欧盟版：最新的2021年版本，必须进行“转移影响评估”。
• 最常用的工具,适用于大多数没有充分性认定的国家。

有约束力的公司规则（BCRs）

• 适用于跨国集团内部，需要向欧盟数据保护机构提交申请并获批,执行成本高但一劳永逸。

特定情形例外

• 如获得个人明确同意、履行合同所必需、保护重大公共利益等。

实操步骤：如何落实合规传输

假设你是一家中国企业，需要将员工或客户数据传输到海外总部,可以按以下步骤操作：

第一步：数据盘点与分类分级

• 建立数据清单： 明确哪些数据要传输（姓名、身份证号、行踪轨迹、财务记录等）。
• 判断类型： 区分个人信息、敏感个人信息、重要数据。
• 计算数量： 统计过去12个月的处理量和传输量。

第二步：选择合规路径（参照上方方案一/二）

• 判断场景： 是否属于“绿色通道”（如跨境购物）？
• 判断身份： 是否属于CIIO？处理人数是否超100万？
• 做出选择： 若需安全评估 → 准备材料提交网信办；若需标准合同 → 签约并备案。

第三步：开展个人信息保护影响评估（PIA）

• 必须做： 无论走哪条路,都需要书面记录PIA。
• 数据出境目的、必要性、境外处理者的保护能力、对个人权益的风险等。

第四步：与境外接收方签订协议

• 标准合同： 使用中国或欧盟官方模板,不可删改核心条款。
• 企业合同： 包括数据安全、违约责任、审计权、管辖法律等。

第五步：实施技术与组织保障措施（TOMs）

• 技术层：
  • 数据脱敏/匿名化： 如果无需识别个人身份,强烈建议做静态脱敏。
  • 加密传输： 使用TLS 1.3以上协议,端到端加密。
  • 访问控制： 最小化权限,基于角色的访问控制。
  • 数据本地化： 如果无法合规传输，考虑将核心数据留在境内,只传输脱敏后的摘要。
• 管理层：
  • 制定数据安全管理制度。
  • 指定数据保护官（DPO）。
  • 定期进行合规审计。

第六步：持续监控与响应

• 事件报告： 如果发生数据泄露，需按规定时间（中国为72小时）向监管机构及受影响个人报告。
• 年度重评估： 当业务、法律环境发生变化时,重新评估合规路径。

常见合规风险与应对建议

总结与实用建议

1. 杜绝“先传后补”： 不要抱着侥幸心理，监管机构（如网信办、工信部）对跨境数据流动的执法逐年趋严，罚款金额巨大（最高可达5000万元或上一年度营业额5%）。
2. 本地化优先： 对于核心业务数据，能留境内就留境内,可以考虑在目标国家建立本地数据中心或使用当地云服务。
3. 咨询专业法律意见： 因为法律具有强烈的地域性和时效性，上面的通用建议不能替代专业法律意见，尤其是在涉及多国法律（如欧盟GDPR+中国PIPL+美国加州CCPA）交叉时,务必请合规律师介入。
4. 借助技术工具： 使用专业的数据安全治理平台（如DLP、数据分类分级工具、CASB等）来自动化地发现、分类、监控和加密跨域流动的数据。

一句话建议： 先彻底盘点手头有什么数据（类型+数量），再判断能否走“豁免通道”，最后选择评估或合同备案，合规的核心不是“不能传”，而是“要按规矩传”。