数据安全法解读 数据出境传输的规定

产品要接海外模型接口、团队要给境外同事开数据权限、业务想把用户表同步到海外服务器，这些场景一落到纸面就会卡在同一个问题上：数据安全法里关于出境传输到底怎么规定的，哪些动作要提前报、哪些要先做评估。这篇不搬法条原文，而是把相关条款按「谁管、管什么、怎么触发」拆成能对照的表，再给一份从上手到留证的排查顺序，方便你和法务、技术一起过一遍。

产品要接海外模型接口、团队要给境外同事开数据权限、业务想把用户表同步到海外服务器，这些场景一落到纸面就会卡在同一个问题上：数据安全法里关于出境传输到底怎么规定的，哪些动作要提前报、哪些要先做评估。很多团队一边在写方案，一边才发现自己连「这算不算出境」都没对齐，沟通成本全耗在名词解释上。

这篇不搬法条原文，而是把相关条款按「谁管、管什么、怎么触发」拆成能对照的表，再给一份从上手到留证的排查顺序。你不需要背条文，但需要知道在什么节点停下来问一句：这件事到底要不要走出境相关的动作，走哪一条。

先弄清：哪些数据算「出境传输」，什么时候触发条款

判断出境的落点不是看服务器物理位置，而是看数据的实际可达范围，以及谁能在境外访问到它。同一个动作，因为访问主体不同，结论可能完全相反。所以先把形态列清楚，再谈条款。

• 把数据发到境外服务器：包括接口调用、批量同步、备份归档，通常最容易识别
• 让境外人员远程访问境内数据：账号在境内、人在境外登录，属于高频盲区
• 用境外模型接口处理原始数据：哪怕只回传下游结果，原始数据本身已经出境
• 日志与埋点外传：接口请求日志、错误堆栈里常带原始字段，容易顺手带出去

有三类情况一般不需要按出境传输来处理：纯境内闭环、已经做过去标识化且技术上无法复原、只传输不含个人信息的公开信息。但「一般」不等于自动成立，涉及重要数据或特定行业口径时，仍要请法务确认。

逐条解读：数据安全法里与出境传输相关的义务落点

主线是重要数据出境要有专门管理，具体门槛、目录和申报口径会调整，去 /safety 及相关申报页面核对当时的数字和要求，不要凭记忆套用。

分类分级

先给数据打标，才知道哪些字段一旦出境就要升级处理

风险评估

针对具体出境场景做一次，输出结论和缓解措施，不是走形式

出境记录留存

记录流向、字段、接收方、时间和依据，用于事后回溯

这三件事是独立动作，不能互相替代。做了分级不代表评估就够，签了合同也不代表记录可以省。出境不是一次性动作，路径变了、数据范围扩大了、接收方换了，都要重新判断一次。反过来，仅本地推理、数据不出内网、模型权重不落境外，一般不落入出境传输的管理范围。

路径对照：评估、标准合同、认证分别适合谁

选路径的顺序是：先定数据类别，再看是否含个人信息或重要数据，最后匹配可选路径和前置动作。选反了会出现「该评估的走了合同」这种返工，返工成本往往比一开始多做一步更高。

路径之间不建议来回横跳，切换要有明确理由和记录，否则事后很难解释。判断不清时，先按最保守路径准备材料，再请法务确认能不能降档，比反过来补材料轻松得多。

自查顺序：从数据地图到留证，五步走完

1. 画数据地图列出哪些表、哪些字段、流向哪个境外主体，标出接口和人工导出两条路径，两者都要覆盖
2. 标注敏感级别按分类分级结果给字段打标，重点标出个人信息和可能落入重要数据目录的部分
3. 匹配路径对照上一节的表判断走哪条路，拿不准的记录疑点，别自行降档
4. 补齐合同与授权检查接收方协议、权限范围、访问方式，境外访问要单独确认授权链条
5. 留痕归档保存判断依据、参与人、时间点和变更记录，重点留结论，也留推理过程

留痕容易被做薄，只记一句「已评估」等于没留。复查节奏建议按业务变更触发，比如新增境外接口、扩大同步字段、更换接收方，而不是只按固定周期跑一遍。

常见踩坑与边界提醒

• 把数据脱敏当成免检凭证：脱敏降低风险不等于自动合规，仍要看能否复原
• 境外人员用境内账号登录读数据，常被当成境内访问而漏记，属典型盲区
• 接口调用日志里残留原始数据，等于把出境动作又复制了一份
• 把「模型在境外、数据在境内」当成安全结构，实际要看传输链路
• 以为签了合同就万事大吉，忽略了评估和记录留存这两个独立动作

拿不准的时候，先去 /about 看检测口径，再去 /safety 对照当期要求，两边都看完再下结论。技术同学可以顺手把接口和日志这两条链路单独列一张表，很多问题在画图阶段就会自己冒出来。

出境这件事，难的不是法条本身，而是你能不能在自己的系统里把数据流向画清楚。