国家互联网信息办公室数据出境安全评估办法

合规岗最常卡在三个地方：不确定自家业务算不算要申报、不知道材料从哪攒、评估过了之后不知道还要不要管。这篇不讲法条原文，只给判断路径、材料清单口径和后续动作顺序；具体门槛和数字以站内法规页面与当时发布的版本为准。

出海企业合规岗最容易卡住的不是看不懂法条，而是三件事：自家这条业务线到底要不要申报、材料从哪几个部门分头攒、评估结论下来之后还要不要继续管。这篇不抄法条原文，只给判断路径、材料口径和后续动作顺序，方便你直接拿去和业务、技术开会。

先把一个前提说清楚：具体门槛、金额、期限这类数字，法规版本更新很快，写死在文章里只会误导。凡是涉及量级的地方，都到站内法规与安全主题页去看当时生效的版本，再落成一句话写进内部备忘。下面按判断、备料、批后、分工四段展开。

先判断这单业务到底踩没踩到申报线

判断要不要走安全评估，别一上来就找数字，先看三个变量：数据里有没有个人信息或重要数据、出境是持续性还是单次、接收方落在哪个法域。这三个维度只要有一个明显偏高风险，就应该往下走评估流程，而不是先想自证清白。

• 数据属性：字段里是否含可识别到个人的信息，是否有行业内被认定为重要的数据类别。
• 出境形态：是接口长期同步、定期批量导出，还是一次性给合作方拷一份。
• 接收方法域：对方所在地的监管环境和数据保护要求，会直接影响风险档位。
• 业务角色：你是数据控制方还是受托处理方，决定了申报主体和举证责任落在谁头上。

最常见的误判是只看数据量。一家 5 人小团队给海外客户做 SaaS，用户总量不大，但字段里带身份信息和设备标识，照样要走完整判断流程。反过来，纯公开信息出境、完全匿名的统计口径，通常不落在这条线上，但仍建议留一份书面判断记录，方便日后复核。

材料不是一次性凑齐，按三个来源分头攒

申报材料真正难的不是写，而是凑。建议从一开始就按三个来源拆开，各找各的人，最后你再合并成一份对外版本。这样做的另一个好处是：哪一项没到位，一眼能看出来。

1. 建跨部门清单每项材料标出提供人、版本号、最后更新时间三个字段，避免申报窗口期临时打电话找人。
2. 核对口径对照站内数据出境材料主题页梳理通用口径，再落到自己公司的模板上，不要照抄别家。
3. 冻结设计再补文档如果业务链路上线晚于申报节点，顺序要倒过来：先冻结设计和字段范围，再往回补材料。

材料版本管理别偷懒。同一份字段清单改了三版，最后交上去的是哪一版，必须能从文件命名或台账里一眼看出。不适用情形：如果你所在的业务完全不涉及出境，这套清单不用套，别把合规成本摊到无关团队头上。

评估不是终点：批完之后的持续动作

很多人以为拿到结论就结束了，其实那只是把当前业务状态固定下来。真正的持续工作是：把结论里的限制条件变成监控项，任何一项发生实质变化就重新判断。

• 数据范围变化：新增字段类别或扩大共享范围，属于实质变化。
• 接收方变化：更换合作方或对方股权结构变动，需要重新核对。
• 处理目的变化：原本只用于服务交付，后来拿去做别的用途。
• 链路变化：新增接口、新增备份节点或迁移到别的区域。

建议设一个固定复核周期，按季度或跟着业务迭代节奏走一遍，别等出事再翻文件。判断过程、申报材料和结论一起归档，出事时这份档案比事后解释有用得多。归档思路可参考站内关于证据留存做法的同类页面，别只存最终结论不存中间输入。不适用情形：纯内部数据治理项目不涉及出境，不用套这套流程。

合规岗怎么分工：谁盯什么、交接什么

合规岗、业务、技术三方各管一段，别把判断、字段事实和配置举证全压到一个人身上。小团队一人多岗时，至少要把判断人和执行人分开，哪怕只是名义上的复核签字。

合规岗

负责适用判断、申报口径和结论归档，对最终结论负责。

业务方

负责说清字段有哪些、链路怎么走、接收方是谁，只讲事实不讲结论。

技术方

负责举证加密、访问控制、日志这些配置是不是真的在生效。

交接时最常见的坑是只交结论不交依据。要求交接文档里带上判断时的原始输入：当时的字段清单、链路图、接收方信息。后来人拿到这些才能复核，否则只能重做一遍判断。内部沟通话术也建议避开「肯定没问题」，改成「依据当前链路和字段，判断是 X，若 Y 变化需重评」。