数据出境安全管理适用网络安全法的是

做涉外业务的人常卡在一个问题上：手上有数据要发到境外，到底该按哪部法去准备材料，网络安全法管不管我这一段。网安法本身不叫数据出境法，但它的网络运营者义务、日志留存、风险评估和事件报告，会在很多出境场景里被一并引用。这篇不讲法条全文，只给判定顺序、要留的证据和申报前要自查的项，数字类信息到站内对应页面核对。

做涉外业务的人常卡在一个问题上：手上有数据要发到境外，到底该按哪部法去准备材料，网络安全法管不管我这一段。网安法本身不叫数据出境法，但它的网络运营者义务、日志留存、风险评估和事件报告，会在很多出境场景里被一并引用。

这篇不讲法条全文，只给判定顺序、要留的证据和申报前要自查的项。涉及数量、期限、申报门槛这类数字，一律到站内对应页面核对当时的版本，别人文章里的旧数字别照抄。判断的前提是：先看自己是不是那条线上的主体，再看数据往哪走。

先判断你是不是网络安全法说的那类主体

网安法的义务主体是网络运营者，只要你在境内建设、运营网络或者通过网提供服务，基本都落在这个口径里，跟公司规模、是否出海、有没有独立机房都无关。很多小团队觉得自己只是接了个境外接口，离法律很远，实际上主体这一关就已经过了。

网络运营者

在境内建设、运营网络或通过网络提供服务的主体，自建、租用云主机、用第三方 PaaS 都算。

数据处理者

在出境这条线上更强调对数据本身的控制关系，两者的判定口径不完全重合。

重要数据

不是按敏感字段数量简单判定的，具体识别口径要到站内的数据分类分级整理页核对。

• 先定业务是否属于网络运营：有没有系统、有没有对外提供服务，基本一眼能看出来；
• 再定数据里有没有个人信息和重要数据：有个人信息就要多走一道合规判断；
• 最后才看出境路径：安全评估、标准合同还是其他机制，路径不同材料不同；
• 拿不准时不适用的情况：只做境内网络服务、数据一步都没出境的团队，这篇清单用不上，去看站内个人信息保护那条线。

哪些出境动作会触发网安法这一层的义务

触发点比多数人想的多。判断标准只有一条：数据有没有被境外的系统、人员或机构看到、存到、处理到。只要有一头在境外，通常就算出境，跟你是主动推送还是被动被拉取没关系。

不适用的情况也要说清楚：数据只是过境内中转、落点和处理都在境内，只是服务商是外资背景，这条线上一般不算出境。但这条判断只解决出境口径，不解决个人信息处理是否合法的问题，两条线要分开看。

落在这条线上，具体要做哪几件事

确定落在网安法这一层之后，动作其实不复杂，难在平时有没有持续做。核心是四类：日志留得下、材料拿得出、事件报得上、风险评估跟得上。

• 网络日志留存和可追溯：出事后能说清谁在什么时间把哪批数据发给了谁；日志里不该出现明文敏感字段，脱敏和留存口径到站内日志整理页核对；
• 配合监管监督检查和提供资料：调用记录、审批单据、对外协议要归到一个可检索的位置，别散在几个人的聊天记录里；
• 发生安全事件时的报告与处置：事件当天的时间线单独存，别等到被问才补；
• 风险评估和合规材料：具体形式和期限会随政策更新，到站内的数据出境与安全评估页面核对当时的版本。

留证和自查的顺序：出事前先做一遍

自查最怕上来就填表。正确顺序是先画数据流，再对主体和路径，然后补材料，最后定期复核。顺序错了，材料会反复改，因为前面主体或者路径一变，后面全废。

1. 列数据流从用户输入到落库到外发，把每一段的接收方、地区、留存期写出来，形成一张表；验证办法是拿这张表去问业务同事，看有没有他也不知道的外发环节。
2. 对主体和路径确认自己是不是网络运营者、走的是安全评估、标准合同还是其他路径，站内路径选择页有对照，别凭印象选。
3. 补齐材料对外协议里的数据处理条款、内部审批记录、脱敏规则说明、日志留存配置截图，四样对齐同一批数据。
4. 定期复核人员、供应商、系统换了一轮就重跑前两步，别拿一年前的判断当结论；验证办法是设一个季度提醒，问一句有没有新接口上线。

这套顺序对多数小团队够用。不适用的情况也有：如果你的数据流本身还没理清、连境内哪几个系统在传都说不明白，先别做出境判断，回头把资产和数据流盘一遍更划算。