数据出境和标准合同怎么选

法务和合规同学最常卡的一步，不是填表，而是先定路径：同样是往境外传数据，有的场景只能去申报安全评估，有的签完标准合同备案就行，选错了要么被打回要么白等一轮。这篇不讲法条原文，只给一套能照着走的判断顺序、场景对照表和材料清单，帮你在动手前把路径定下来。

法务和合规同学最常卡的一步，不是填表，而是先定路径。同样是往境外传数据，有的场景只能去申报安全评估，有的签完标准合同备案就行。选错了要么被打回重来，要么白等一轮，业务侧还以为是流程慢。

这篇不讲法条原文，只给一套能照着走的判断顺序、场景对照表和材料清单，帮你在动手之前把路径定下来。具体门槛数字、当下口径，一律到站内法规与合规相关页面核对当时的口径，别拿旧笔记当准。

先把三条路摆清楚，再谈选哪条

安全评估

事前向主管部门申报，逐项审查你的出境场景、数据项和接收方，属于带审批性质的路径

标准合同

用固定的合同模板与境外接收方签署，再去做备案，本质是「模板合同 + 备案」

认证

走专业机构认证的路径，适用面相对窄，多数企业的第一道选择题在评估和合同之间

两条路的量级不一样。安全评估要准备风险自评估报告、链路说明、接收方背景材料，审查周期长，中途被追问补材料是常态；标准合同轻在不用等审批，重在备案和附件细节，退回大多是因为附件写得不实。选之前先想清楚：你的场景是「必须报批」还是「备案即可」。

• 路径不是按公司规模选的，是按数据类型、数量、接收方和出境目的选的，规模只是间接因素
• 以为签了合同就不用管评估，是最常见的误判：触发评估条件的场景，合同签了也拦不住程序问题
• 先对号入座再准备材料，别一边写报告一边猜自己要不要报批

什么情况只能申报安全评估

触发评估的典型情形有几类：出境数据里涉及重要数据；出境主体属于关键信息基础设施运营者；出境个人信息达到规定数量级；以及主管部门明确要求申报的其他情形。每类的具体门槛到站内法规与合规页面核对当时的口径，阈值类信息变动频繁，不要用记忆里的旧值做判断。

这里最容易出问题的是「重要数据」四个字。它不是自己说了算，也不是业务觉得重要就算，前提是先做过数据分类分级，按行业和主管部门的口径去认定。拿业务重要性替代分类分级结论，是评估被退回的高频原因。触发之后不走评估直接传，性质是程序性违规，不会因为数据本身不敏感就免责。

也有不适用的情形：纯内部处理、不落到境外主体、只是境外员工临时访问、数据根本没在境外存储的，要先确认是否构成「出境」这个前提。前提都不成立，讨论走哪条路就没意义。

什么情况签标准合同更合适

标准合同的适配画像大致是：个人信息规模没有触发评估阈值、接收方明确且单一、出境目的稳定、不需要主管部门单独审批。这种人签合同更划算，因为它省掉了报批等待，代价是附件必须写实、后续变更要跟得上。

要清楚一点：标准合同不是随便改的合同，条款是固定模板，企业能做的是把附件里的数据项、处理目的、保存期限、接收方信息写具体。备案环节最常见的退回原因就两个：附件写的和实际传的不一致；个人信息保护影响评估的结论和合同内容对不上。

• 附件别写「等业务需要的数据」这类兜底表述，写过的基本会被打回
• 合同只对备案载明的事项有效，业务范围变了要重新判断是否需要变更或改走评估
• 接收方在多个国家或多家主体之间切换的场景，标准合同的维护成本会明显上升，要提前算进去

一份可照着走的判断顺序

1. 第一步：数据盘点把出境的数据项、数量量级、敏感度、接收方所在地列成清单。没有清单就没法判断，先有清单再谈路径。验证方式：能让业务方指着清单说清每一项为什么出境。
2. 第二步：分类分级在清单基础上做分类分级，确认有没有碰到重要数据或核心数据。碰到就直接走评估方向，不用再纠结标准合同。验证方式：分级结论有出处、有评审记录，不是一个人拍脑袋。
3. 第三步：算个人信息规模按要求统计个人信息主体的数量是否达到报批阈值，具体口径到站内页面核对当时的标准。达到走评估，没达到再看是否符合标准合同条件。验证方式：统计口径和统计时点写清楚，避免临时改口径。
4. 第四步：看接收方与目的稳定性接收方单一、目的稳定，标准合同好维护；频繁变动、多方共享、目的随业务漂移的，维护成本会吃掉省下来的时间。验证方式：把未来一年可预期的变更列出来，看附件要改几次。

常见场景对照：谁该走哪条

这张表只是初筛。同一个场景因为数据量不同，可能落不同路径，最终以数据分级结果和当时的口径为准。AI 工具类场景特别容易漏：往境外 API 发提示词也是出境，别以为「只是调个接口」就不算。

定完路径后要准备什么材料

路径定下来，材料就按方向分头准备。安全评估方向的材料量更大，标准合同方向重在附件精度，两类都要有可复用的底稿，不然每来一个新场景都得从头写一遍。

建议做成可复用底稿：主体结论和分类分级结论不动，业务新增出境场景时只改附件和链路说明。这样既省时间，也能保证多份材料之间口径一致，不至于被追问时前后对不上。

最容易踩的几个坑

• 把标准合同当成免评估通道，反向操作会留下程序瑕疵，后面补起来更麻烦
• 附件里写兜底表述，备案基本打回，而且退回一次就多等一轮
• 只做一次就长期不动，业务变了、接收方变了却不更新，属于典型的形式合规
• 把同一份影响评估结论套用到评估和合同两条路上，两份报告的评估对象和结论必须能对上
• 让业务先上线、合规后补票，补的时候数据已经在境外落地，处置空间小很多

这些坑的共同点是：都能在动手前通过一次路径判断避开。判断顺序本身不复杂，难的是有人肯在业务催上线之前先停下来过一遍。

落地之后怎么维护和留证

落地不是终点。把出境数据清单和传输日志纳入定期复核，频率跟着业务变化走，而不是跟着日历走。业务平稳时半年看一次也够，新增境外供应商、换接收方、加数据项的当月就得过一遍。

留证思路可以参照站内讲举证与记录的文章：合同、报告、审批、日志要能串成一条线，出问题时能说清「当时为什么这么判断」。设一个内部触发条件，比如新增境外供应商就必须走一遍路径判断，比事后补救省事得多。具体阈值和口径变化，到站内法规与合规页面核对当时的数字。