很多团队做数据出境自查时只盯着合同和备案，结果真正的风险藏在日常动作里：客服把客户名单贴进海外对话框、研发把脱敏前的日志发给外部模型、离职同事用私人账号调接口。这篇不讲政策条文，只给一组能照着走的场景清单和排查顺序，让你在下一轮内部审计前先把明显漏洞找出来。
很多团队做数据出境自查时，第一反应是翻合同、找备案，结果真正的问题藏在日常动作里：客服把客户名单贴进海外对话框、研发把脱敏前的日志发给外部模型、离职同事还在用私人账号调接口。这些事情往往没有走过任何审批，也不会出现在合规台账上。
这篇不讲条文，只给一组能照着走的场景清单和排查顺序。目标是让你在下一轮内部审计或客户尽调之前，先把明显漏洞找出来。判断口径拿不准的地方，可以到 /safety 核对站内给出的检测维度，再回到自己的业务里逐条对照。
先定边界：出境的主体、数据和行为
自查最容易出错的地方，是一开始就把范围划小了。很多人默认「出境」等于跟境外公司签了合同，其实只要数据实际落到境外服务器或被境外主体看到，就该纳入统计。先把主体、数据、行为三个维度各自列清楚，后面的场景清单才有意义。
- 境外接收方
- 海外主体、境外云区域、用海外账号开通的第三方服务都算；境内注册但数据落到境外机房同样要算
- 数据敏感度
- 个人身份信息、客户名单、未公开财务数据、源代码与内部架构文档属于高风险；公开资料和宣传物料基本不涉及
- 传输行为
- 调用接口、上传文件、粘贴对话、同步备份、外包协助排障都算，不要只统计正式签约的那几条管道
容易漏掉的六类场景
下面六类场景的共同点是：单个动作看起来都不严重，所以在审批流里经常被当成「日常操作」放过去。排查时建议按这条顺序过一遍，从人到工具、从临时动作到长期裸露面。
- 个人账号替代企业账号：员工用自己注册的海外账号干活，数据落在个人名下，企业既没有合同也没有控制权，人一走链路就失控
- 粘贴式输入：把报错日志、配置文件、客户工单原文粘进对话框，肉眼看着「只是文本」，实际已含可识别信息
- 研发链路外溢：调试时把仓库片段、数据库结构描述发出去，等于把系统蓝图交出去，比丢一份客户名单更难补救
- 第三方中转与插件：经中转站或浏览器插件转发，接收方和留存策略都变模糊，判断口径可以到 /safety 看站内的检测思路
- 客服与外包：为让对方复现问题，把真实数据当样例发过去，事后没有回收或删除机制
- 备份与同步：把本地目录同步到境外网盘或笔记工具，属于最容易被忽略的长期裸露面，往往一年都没人复看
这六类里，前三类靠账号和权限就能卡住，后三类更依赖流程约定。哪一类该先处理，取决于你能多快找到数据和收回权限，而不是取决于哪一类听起来更吓人。
自查对照表：怎么打分、怎么排优先级
与其写一页分析，不如给每条链路打三个勾。三个条件同时成立就记为高风险，先处理；缺一个的先记录观察，别一次铺开改十个流程，改不完。
| 判定条件 | 成立含义 | 不成立时怎么办 |
|---|---|---|
| 这条链路有没有真实数据 | 涉及可识别的真实业务数据 | 只有脱敏样例或公开信息，风险等级下调 |
| 接收方在不在境外 | 数据实际落到境外服务器或被境外主体看到 | 境内多方转存不属于本主题范围 |
| 有没有书面约束 | 有合同、条款或明确的删除约定 | 记为高风险，优先补约束或直接停用 |
优先级排序时先看「可识别加不可撤回」的组合：已经进了对方训练或长期日志的，处理动作要重；能立刻撤回的临时传输排在后面。每个高风险项写一句处置动作就够，比如换成脱敏样例、改走境内通道、补签条款或者直接停用。
- 按人过一遍列出所有能接触到真实数据的岗位，逐个确认他们用什么账号、经什么工具干活，重点查有没有私人账号参与
- 按项目过一遍挑三个正在进行的外包或跨区域协作项目，走一遍数据流，看有没有绕开审批的临时传输
- 按季度复查人员变动和工具上新是最容易引入新链路的时点，把复查固定成例行动作，别等出事再查
哪些情况不用过度紧张
自查做到后面很容易草木皆兵，把所有跨区域访问都当成风险，结果真正该改的口子反而没人管。下面这几种情况通常不需要按高风险处理，但判断不确定时别凭产品名猜，先把实际字段和接收方位置记下来，再找法务确认。
- 完全公开的信息、已脱敏且不可逆的数据，以及不含任何个体标识的统计口径，通常不构成实质风险
- 境内多方之间转存、数据从未落到境外服务器的情况，不属于本主题范围
- 接收方在境外但传的确实是公开宣传物料，可以降级记录，不必占用处置资源
发现风险后的处置顺序
发现口子之后，最常见的错误是先写分析报告、后停传输。顺序反了，报告写完数据早就进对方日志了。建议按下面四步走，每一步都能验证是否做到位。
- 先停传输入口关掉相关账号的接口权限、卸载插件或收回共享目录，止血永远排第一，先确认数据确实不再往外走
- 再确认落点查清数据流到了哪个服务、留存多久、是否已进训练或日志，路径不明确时参考 /safety 分区的排查思路
- 然后补证据与通知把发现时间、涉及范围、已采取措施记下来，涉及个人的按内部流程评估是否要告知，别口头说说就过去
- 最后改流程把这次的口子变成一条检查项写进上线清单和离职交接清单，否则同样的事下个季度还会再发生一次
数据出境风险很少藏在合同里，多数藏在没人审批的日常动作里。下一步想先确认自己用的中转或代理服务靠不靠谱，可以到站内的可信度检测页面看判断维度和当前结论，再决定哪些链路需要立刻停用。→
常见问题
员工自己用海外AI工具处理工作数据，企业要不要管？
要管。用工协议范围通常覆盖工作数据，员工个人注册的账号不受企业控制，等于把数据交给了没有合同约束的第三方。做法是先明确禁止清单，再给一个合规的内部替代工具，只堵不给出路执行不下去。
数据脱敏之后是不是就可以直接发到境外？
不一定。脱敏效果取决于方法和数据本身，某些组合字段仍能反推出个体，且脱敏不改变接收方在境外这一事实。稳妥做法是脱敏加境内通道，确实需要出境时单独评估，不要把它当成万能通行证。
怎么快速知道自己团队有没有漏掉出境链路？
从账单和账号入手最快：看有没有以境外主体或境外区域计费的服务，再对照谁在用。然后做一次抽样：随机找几个人问最近一周往外部工具里贴过什么。两条线交叉，通常一两天就能圈出大部分盲区。
