数据出境安全评估办法 国务院部门文件

你多半是在这两种情况下翻到这份文件的：领导问「我们这业务要不要做安全评估」，或者法务让你把办法的条款逐条对照。问题是文件本身是部门规范性文件，条款写得概括，直接读容易抓不住重点。这篇按「先定位适用条款、再看评估流程、最后落到材料和留证」的顺序，给一份可以照着走的自查大纲。

你多半是在这两种情况下翻到这份文件的：领导问「我们这业务要不要做安全评估」，或者法务让你把办法的条款逐条对照。问题是文件本身是部门规范性文件，条款写得概括，直接从头读到尾容易抓不住重点，读完还是不知道自家业务算哪一类。

这篇按「先定位适用条款、再看评估流程、最后落到材料和留证」的顺序，给你一份可以照着走的自查大纲。所有涉及数量、门槛、格式口径的地方，都建议到站内对应页面核对当时的口径，因为申报指南会调整，文件原文不会同步更新。

这份文件的效力层级：为什么它叫「部门文件」

先分清规范性文件、部门规章、法律这三者的差别。效力层级不同，决定了它能不能被直接当作处罚依据，也决定了你在内部制度里引用它时该用什么措辞——是写「依据某某办法」，还是写「参照某某办法的要求执行」。这一点在合规评审会上经常被追问。

规范性文件

由主管部门发布、用于指导具体申报和执行口径，条款偏原则性，落地细节另行发布

部门规章

有相对明确的设定权利义务的效力，处罚与责任条款通常写得更实

法律

层级最高，规范性文件不能与之冲突，冲突时以上位法为准

办法管的是「谁要评估、评估什么」，具体表格长什么样、填报字段怎么填，另看申报指南，两者要合起来读。指南里的字段和口径会更新，具体到 核对当时的版本，不要拿旧截图当依据。

先对照触发条款：什么情况触发安全评估

触发条件不要死记条文，拆成几个能直接问业务方的问题，问完基本就能定性：数据里有没有个人信息、有没有重要数据、接收方在哪个法域、是业务常态传输还是一次性对外提供。这四个问题组合出来的答案，比逐字读条款快得多。

• 容易被忽略的一点：向境外机构提供后，对方再转给第三方，主体责任仍在提供方身上，合同里要有约束条款和告知义务
• 业务侧常说的「只是给海外同事看报表」，如果数据落地在海外服务器或对方账号里，就不能按「内部访问」处理
• 判断有争议时，先按最严路径准备材料，再在评审会上往下降，比反过来被追问要好
• 查当时的具体门槛数字和判定口径，到 核对，不要用转述版本

不适用情形也要写清楚：只做境内闭环、日志与备份不出境、员工只是远程访问但数据不落地海外的场景，判断路径和跨境提供是两码事。把这些场景写成一句话结论放进内部制度，能省掉大量重复咨询。

评估流程里的角色与顺序

1. 内部识别由业务方列出数据种类、字段、量级、接收方，合规方复核；输出一页识别结论，谁列的谁签字
2. 风险自评估说清数据类型、数量、敏感程度、接收方保障能力、可能造成的危害；这是评审重点，不是走形式
3. 材料报送按指南要求组卷，报送前做一次内部交叉检查，避免因为格式问题被打回补正
4. 受理与评估跟进受理状态与补正通知，补正窗口通常有期限，指定一个固定对接人，避免多头回复
5. 结果与有效期拿到结果后登记有效期与适用业务范围，到期前提前启动复查，不要等到失效才发现

国内多家主体的分工差异怎么处理，集团型企业常见做法是先按主体各自判断，再看能不能合并申报。具体路径选择到 对照，不要凭印象选。

材料与留证：报送前后该攒什么

材料清单按五类归纳，提前攒齐能省一轮补正：主体信息、数据情况、接收方情况、法律文件、自评估报告。每一类都要能回答「这条信息谁提供、依据是什么、有没有留痕」，而不是只把文件堆在一起。

• 主体信息：营业执照、组织架构、涉及业务线说明，变更后要及时更新版本
• 数据情况：字段清单、量级、敏感程度分级说明，最好能对应到具体系统
• 接收方情况：对方的主体资质、所在法域、数据保护能力说明
• 法律文件：合同、数据处理条款、再转出约束条款，保留签署版本和签署时间
• 自评估报告：风险点、缓解措施、剩余风险结论，过程记录比结论本身更值得留

留证节奏也很关键：自评估过程的风险点记录、法律文件签署版本、每次数据传输的台账，都要能追溯到具体批次。出了争议再回头补台账，通常补不齐，也说不清。材料模板与格式要求按当时的填报口径来，数量和格式要求到 核对。

交接与复查容易被忘：经办人离职、业务线变更后，评估结论要不要重新走，看数据种类和接收方有没有变。建议把「数据种类是否变化」「接收方是否变化」写成两个固定的年度自查问句，答案变了就启动复查。