报送数据出境安全评估的材料有哪些

公司要报数据出境安全评估，最难的不是填表，而是不知道到底该交哪些材料、谁去开、开完长什么样才算数。这份指南按申报前、材料准备、内部核对、提交后补正四个阶段把材料逐项列出来，每项都写清用途、常见退回原因和不适用的情况，你可以直接当成准备清单用。

公司要报数据出境安全评估，最费时间的往往不是填表，而是不清楚整套材料到底有哪些、该谁去开、开成什么样子才作数。这份指南按申报前确认、主体材料、自评估、法律文件、清单流转、安全能力、内部核对、提交后处理这几个环节，把材料逐项拆开，每项都写用途、常见退回原因和不适用的情况，你可以直接当成准备清单来用。

一个提醒：材料数量不是固定的，它跟着你的数据处理者身份和具体出境场景走。同一家公司里，A 业务线要交的东西和 B 业务线可能完全不同。所以建议一开始就按「业务线 + 出境场景」分别建目录，后面所有材料都往对应目录里放，避免混成一锅。

先确认你是不是必须报，再谈交什么材料

第一步不是去下载模板，而是先判断自己到底落在哪条合规路径上。如果走的是安全评估以外的路径，这份清单里的大部分材料你根本用不上，硬凑反而浪费人力。

• 判断口径看触发条件，不看行业。先对照站内 /guides 里的判断标准，把「是否属于申报范围」确认下来，再进入材料准备。
• 只有走安全评估这条路时才需要下面这一整套材料。如果符合其他合规路径，材料清单完全不一样，先到 /guides 确认路径再决定。
• 同一家公司不同业务线的出境场景可能分别触发申报，材料要按场景分别建目录，别把几条线混在一起报。
• 不确定时，宁可先按「需要报」来准备，因为材料本身也是内部梳理数据的过程，不算白做。

申报表与主体材料：这几份缺一份就退回

这几份属于形式审查就会看的东西，缺一份或签章不对，材料根本进不到实质审核环节。写法上最容易出问题的是申报书里的范围：写太大，后面所有材料都要跟着膨胀；写太小，和数据清单对不上，一样退回。

1. 核主体信息把营业执照、法定代表人证件、经办人身份证摊在一起，逐字核对姓名、证件号、公司名称是否完全一致，有一个字对不上就先改。
2. 核授权链确认经办人授权文件的授权期限覆盖整个申报周期，授权事项写到「办理数据出境安全评估申报及相关事宜」这个颗粒度，不要只写「办理相关事务」。
3. 核内部决策查看同意申报的决议或书面决定有没有签署和日期。小团队没有董事会，用负责人签字的书面决定也可以，但要有纸面留痕。

自评估报告：材料里最花时间的一份

自评估是整套材料里最耗人力的部分，因为它要同时回答四件事：出境数据是什么、有多敏感；接收方所在国家或地区的法律环境怎么样；自己和接收方的数据安全保护能力够不够；万一出风险，各方兜不兜得住。报告不是越厚越好，关键是结论和数据清单能对得上。

• 评估结论与数据清单必须互相对应。出现「结论说是一类、清单里列的是另一类」是最常见的退回原因。
• 自评估的深度要和数据量级、敏感程度匹配。数据量级小、又不属于敏感类或重要数据的场景，深度可以收窄，但结论页不能省。
• 报告里每个判断最好都指回一份支撑材料，比如「已做传输加密」要能指到配置截图或制度文件。
• 写之前先过一遍办法和指南的区别，搞清哪些是硬要求、哪些是推荐做法，别把推荐做法当成硬性缺项来补。

什么情况下不适用这套写法？如果出境的是重要数据，或者涉及大量敏感个人信息，自评估的深度和广度都要明显加厚，不能按收窄版处理。这个判断做错，是整个申报里代价最大的错误。

法律文件：与境外接收方的合同和承诺

法律文件这一块的核心是「约束链条够不够长」。很多公司只和直接接收方签了合同，但接收方还会转委托给下游处理者，如果合同管不到那一层，实际风险就没被覆盖住。

• 与境外接收方的法律文件要写清数据出境的目的、方式、范围、保存期限、双方责任，以及数据主体权利请求如何响应。
• 接收方出具的承诺或说明，重点看它能不能约束到实际处理数据的下游转委托方，只承诺自己不够。
• 同一集团内部传输别默认可以简化，内部协议同样要落到纸面，写清适用哪条业务线、哪类数据。
• 合同里的保存期限、删除机制要写得可执行，比如到期怎么删、谁来确认删了，光写「到期删除」在审核眼里等于没写。

这份材料的技术面风险可以对照站内 /guides 里关于常见风险场景的梳理做一次自检，重点看转委托、再出境、跨境调取这几类情形有没有被合同覆盖。

数据清单与流转说明：要能被抽查核对

清单是审核人员用来验证所有说法的底座。它要细到能被抽查，最好一张表加一张图就能说清数据从哪来、经过谁、落到哪。

1. 列系统与字段从接口和日志反推实际出境的字段，而不是问业务口述。字段名要能对上数据库里真实的列名。
2. 画流转图从采集系统画到出境接口再到接收方落库，中间有几个中间系统都要画出来。一张图比十页文字说明更容易过审。
3. 标注数量级数量级用区间或口径说明，比如「月度约某量级」，别写一个精确到个位的数字，因为审核会追问口径来源。

安全能力证明材料：拿得出凭证，别只写「已加密」

这一部分的判断标准很朴素：任何一条「我们做了 X」都要能被追问「拿什么证明」，答不上来的条目，要么去补材料，要么从申报书里删掉。写了做不到，比不写更糟。

技术措施

传输加密、存储加密、访问控制、审计日志、脱敏策略，每项对应配置截图或制度文件

管理措施

数据安全岗位设置、权限审批流程、应急响应预案、人员保密协议

外部凭证

已有认证、审计报告、渗透测试结论可以附上

补足方式

没有认证不等于不能报，但要靠制度和运行记录补足说明

如果你拿不准某份安全能力材料该附到什么颗粒度，可以到站内 /tools/speed-test 这类工具页看看同类材料的呈现方式，或者参照 /guides 里数据处理者保护数据安全与个人信息的做法，把制度条款和实际运行记录对应起来。

提交前内部核对：按这份顺序过一遍

材料齐了不等于能过，内部核对这一步省掉，前面白干。建议按下面的顺序过，而且找不写材料的人来核对，写的人容易漏掉自己默认成立的前提。

1. 第一遍核范围看出境场景、数据类别、接收方这三者在申报书、自评估、法律文件、清单里是否前后一致，能不能互相印证。
2. 第二遍核签章逐页看授权文件有效期、签字人权限、盖章位置。形式问题退回最冤，这一遍要细到页码。
3. 第三遍核版本材料成稿日期与制度文件的现行版本要对得上，别拿旧版制度去支撑新版申报。
4. 交叉核对让不参与写材料的人独立过一遍，重点问「这个结论的依据在哪一页」，答不上来的就是漏洞。

提交后：补正、变更与留档怎么做

提交不是终点。补正通知来了先别急着改文件，要判断它是形式补正还是实质问题：前者改文件重新提交就行，后者往往要回头重新核对清单和自评估结论，改动会波及好几份材料。

• 收到补正通知时，先分类是形式补正还是实质问题，再决定改动范围，别一上来就整包重写。
• 评估结果有有效期，到期或出境场景发生实质变化需要重新申报，具体时长和判断标准到站内 /guides 核对当时的说法。
• 所有提交版本、补正记录、沟通往来都要留档，格式和方法沿用站内 /guides 里讲到的那套存证习惯。
• 只是接收方联系人变更这类非实质变化，通常不需要重新走全流程，但仍建议书面留痕，方便下次核对。

不确定自己属于哪种变更时，可以先到站内 /price-watch 和 /guides 看当时的追踪记录和说明，把变更前后的事实对齐，再决定是补充说明还是重新申报。