数据出境负面清单

做跨境业务、用海外模型或把数据交给境外供应商时，常被问一句「这算不算出境、要不要走评估」。负面清单正好是判断起点，但它不是一张万能表，也不是所有行业、所有数据都有对应清单。这篇帮你把清单的定位、适用范围、对照自查顺序梳理清楚，并说明哪些情况下这份清单并不适用。

做跨境业务、用海外模型或把数据交给境外供应商时，最常被问的一句就是「这算不算出境、要不要走评估」。负面清单正好是判断的起点：它决定了你落在哪条路径上，是走评估、签标准合同，还是走认证。但它不是一张万能表，也不是所有行业、所有数据都有对应清单。

这篇面向合规从业者，把清单的定位、适用范围和对照自查顺序讲清楚，最后说明哪些情况下这份清单并不适用。读完之后，你至少能拿着一张数据流向图，按步骤给出「清单内还是清单外」的初步结论，并知道该留哪些书面记录。

负面清单到底在管什么

负面清单的思路是「列出来就要特殊管」：清单内的数据或场景，出境前要走更严的路径；清单外通常按一般规则处理。它不是法律本身，多由地方或行业主管部门发布，效力范围和更新节奏都得看发布主体是谁。

负面清单

列明哪些数据或场景出境时要走更严路径的目录，由地方或行业主管部门发布。

重要数据

按行业目录或主管部门认定，出境口径比一般个人信息更严的一类数据。

出境路径

安全评估、标准合同、认证这几条，负面清单的作用是帮你判断该走哪条。

把负面清单理解成「一刀切的禁区」是常见误解。它其实是分级分类管理的落地工具，服务于安全评估、标准合同、认证这几条路径的适用范围判断。同一批数据，落在清单内还是清单外，走的流程和材料量差别很大。

谁要对照它，哪些场景用得上

首先确认你落在哪一版清单里。自由贸易试验区、部分行业主管部门会发布各自版本，适用主体和地域范围各有边界：有的看企业注册地，有的看业务开展地，还有的看数据实际存放地。拿错版本，结论就全偏了。

• 跨境团队共用一套境外协作系统，员工个人信息跟着走
• 把业务数据交给境外云服务或海外模型接口处理
• 境外母公司或关联方调取境内系统里的数据
• 向境外客户提供名单、订单、售后记录等含个人信息的数据

判断前先分清数据类别：个人信息、重要数据、行业敏感数据走的路径不同，清单往往只覆盖其中一部分。如果所在地区或行业没有发布对应清单，就不能拿别处的清单硬套，要回到通用规则去判断，必要时走正式咨询。

对照自查的四步顺序

1. 定主体与地域确认企业注册地、业务开展地、数据实际存放地，判断哪份清单对你有约束力；把判定依据写成一两句话备查。
2. 定数据按来源和内容把待出境数据分堆，标出个人信息与可能被认定为重要数据的部分；用途、保留期限一并记录。
3. 定场景区分持续传输还是一次性提供、委托处理还是自行访问、是否涉及再转移；场景不同，口径不同。
4. 定路径清单内走评估或约定的严格路径，清单外再判断是否适用标准合同等更轻的路径；每一步结论都留书面记录。

四步做完，你会得到一份「数据—场景—路径」的对应关系。它不必很复杂，但要能在被问到时说清当时的判断依据。涉及具体申报材料的清单，到站内的合规入口核对当时的版本和口径。

什么情况下这套清单不适用

还有几种常见误判：把纯内部访问当成出境、把一次性传输当成持续传输、把境外主体自行抓取当成已合规委托。认定存在争议时，走正式申报或咨询主管部门，比自行解读更稳。

判断完要留下什么

合规工作的价值很大一部分在「事后能说清」。判断结论本身可能变化，但只要记录完整，你就能解释当时为什么这么判，也能在规则更新后快速复核。

• 数据流向说明：哪些数据、从哪到哪、经过哪些中间方，能画成图最好
• 依据记录：对照的是哪份清单、哪一条，结论是清单内还是清单外
• 版本信息：所引用清单的发布时间与获取渠道，方便日后复核
• 合同条款：数据用途、保存期限、再转移限制写清楚，责任边界才明确

如果企业同时用多家境外服务，建议把这些记录做成一张台账，按季度复核一次。涉及价格或服务商变化的对比，可以去站内的价格追踪页面看当时的数字。