# 数据出境三路径操作清单（v0.1）

> 配套模块：M04 数据合规。用于安全评估、标准合同、认证三条路径的逐项办理与留痕；不替代官方指南、系统提示和主管部门要求。
>
> 版本：v0.1 ｜ 更新：2026-10-29 ｜ 法源核对日期：2026-10-29
>
> 状态标记：`未开始` / `进行中` / `已完成` / `不适用` / `待补证`。每一行都要有“完成证据”，不能只写“已沟通”“已提交”。

## 0. 使用说明

1. **先选路径，再填清单。** 先用《数据出境初筛表》确认是否出境、是否重要数据/关基、是否适用豁免、N/S 人数落在哪一档；路径不是企业凭偏好自选。
2. **时限不是获批承诺。** 法规规定的是查验、受理、评估、备案的期限；材料质量、补正、场景复杂度、主管部门工作量都会影响实际进度。不得向业务承诺“某日一定获批”。
3. **三路径不并行兜底。** 达到安全评估门槛的，不能靠标准合同或认证继续；认证可以作为安全评估的参考，但不能替代。
4. **变更即重评。** 目的、范围、种类、敏感程度、方式、保存地点/期限、境外接收方、境外法律环境、子处理者等变化，可能触发重评、重签、重新备案或重新申报。
5. **分类保存。** PIA报告和处理记录至少保存3年；合同、申报/备案/认证材料按适用要求归档。日志适用的最低期限与其他材料不同，按适用规则保存；不因本表把所有含个人信息日志延长为3年。

**人数与豁免衔接**：N/S为已出境累计，预测另列N_plan/S_plan，接近门槛时提前办理。按[2024年答记者问第11问](https://www.cac.gov.cn/2024-03/22/c_1712776611649184.htm)排除《规定》第三、四条、第五条第一款第（一）至（三）项、第六条活动后再去重，同一人仍参与非豁免活动的继续计入。法定义务出境是条例第三十五条第（六）项的独立条件，须具体证明；小型处理者的2026年简化措施规定第十条也明确该豁免，不覆盖重要数据。混合活动中新增条件的扣减口径未核清时输出待补证，不能把场景豁免扩大到公司整体。

以下表中内部责任分工、启动后5个工作日和月度/季度/年度复核频率是管理建议，不是法定统一办理期限；法律、行业规则和结果通知书有更严要求的从其要求。

## 1. 路径选择与分工

| 路径 | 触发/适用范围 | 办理机关/机构 | 核心产出 | 关键时限 | 有效期 |
| --- | --- | --- | --- | --- | --- |
| 安全评估 | 关基提供 PI 或重要数据；非关基提供重要数据；N≥1,000,000 或 S≥10,000；以上触发项均以无适用例外为前提 | 所在地省级网信部门转报国家网信部门 | 评估结果通知书 | 完备性查验 5 个工作日；受理 7 个工作日；评估 45 个工作日（可延长） | 3 年；符合条件可延长 3 年 |
| 标准合同 | 非关基、无重要数据；N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1） | 所在地省级网信部门备案 | 备案编号 | 合同生效后 10 个工作日内备案；材料查验 15 个工作日；补正 10 个工作日 | 按合同约定；备案不是批准 |
| 认证 | 非关基、无重要数据；N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1）；任何出境规模可自愿申请，但不得替代强制评估 | 专业认证机构（机构向国家网信部门备案） | 认证证书 | 证书 3 年；届满前 6 个月申请；机构发证/状态变化后 5 个工作日内报送 | 3 年 |

### 路径边界速查

前提：**非关基、无重要数据、无适用豁免或特别规则**。`N` 为普通个人信息人数，`S` 为敏感个人信息人数。

| 普通 PI：N＼敏感 PI：S | 0 | 1 | 9,999 | 10,000 |
| --- | --- | --- | --- | --- |
| 99,999 | 免三机制 | 标准合同／认证 | 标准合同／认证 | 安全评估 |
| 100,000 | 标准合同／认证 | 标准合同／认证 | 标准合同／认证 | 安全评估 |
| 999,999 | 标准合同／认证 | 标准合同／认证 | 标准合同／认证 | 安全评估 |
| 1,000,000 | 安全评估 | 安全评估 | 安全评估 | 安全评估 |

先看安全评估门槛（N≥1,000,000、S≥10,000、重要数据/关基分支），再看标准合同/认证（N≥100,000 或 1≤S＜10,000），最后看低量豁免（N＜100,000 且 S=0）。达到评估门槛后不得靠标准合同或认证继续。

**分工建议**：

| 角色 | 主要职责 |
| --- | --- |
| 业务负责人 | 场景、目的、必要性、数据流、人数来源、整改落地 |
| 法务/隐私 | 路径判断、PIA、告知同意、法律文件、境外法律环境、备案/申报 |
| 安全/IT | 权限、加密、脱敏、日志、接口、删除、事件响应 |
| 采购/供应商管理 | 境外接收方尽调、子处理者、合同签署与审计 |
| 财务/管理层 | 预算、资源、剩余风险接受、对外承诺 |

## 2. 安全评估清单

| 序号 | 动作 | 责任方 | 输入材料 | 完成证据 | 时点 | 状态 |
| --- | --- | --- | --- | --- | --- | --- |
| A1 | 复核触发条件：关基 PI/重要数据、非关基重要数据、N≥1,000,000、S≥10,000 | 法务/隐私 | 初筛表、人数底稿、关基/重要数据证据 | 触发条件核对表，逐项签字 | 项目启动时 |  |
| A2 | 复核《规定》第三至六条及条例第三十五条等是否有适用例外/独立条件 | 法务/隐私 | 场景说明、字段清单、豁免证据 | 豁免成立/不成立结论及理由 | 项目启动时 |  |
| A3 | 立项：明确申报主体、场景、境外接收方、系统、数据项、人数、链路 | 业务+法务 | 数据流图、系统清单、合同草案 | 项目范围和责任人清单 | 启动后 5 个工作日内 |  |
| A4 | 数据映射：字段、敏感属性、重要数据、人数 N/S、去重底稿 | 业务+数据治理 | 字段清单、数据源导出、去重脚本/说明 | 字段表、人数表、导出时间戳 | 申报前 |  |
| A5 | 数据出境风险自评估：对照《评估办法》第5条 | 法务+安全 | 场景、数据、接收方、法律文件、境外环境 | 自评估报告定稿，申报前3个月内完成且至申报日未重大变化 | 申报前 |  |
| A6 | 整改：字段超范围、权限过大、保存期限、再提供、法律文件缺口 | 业务+安全+法务 | 风险清单、整改方案 | 整改完成证据、复核记录 | 申报前 |  |
| A7 | 准备第三版指南材料：信用代码、法定代表人/经办人证件、授权委托书、申报表、法律文件、自评估报告、其他证明 | 法务+行政 | 第三版指南附件1—4 | 材料清单逐项勾选、盖章/译本 | 申报前 |  |
| A8 | 法律文件写足《评估办法》第9条：目的/方式/范围、保存地点/期限、再提供、变化/不可抗力、违约/补救/争议、事件/维权 | 法务 | 合同草案、接收方信息 | 法律文件及高亮/线框标识；中文译本（如仅外文） | 申报前 |  |
| A9 | 线上系统申报（<https://sjcj.cac.gov.cn>）或按指南线下提交 | 经办人 | 全部申报材料 | 系统回执/受理编号/线下收件凭证 | 材料齐备后 |  |
| A10 | 配合省级网信部门完备性查验（5 个工作日） | 经办人+法务 | 补正通知 | 补正材料提交记录 | 收到通知后 |  |
| A11 | 配合国家网信部门受理（7 个工作日） | 经办人 | 受理通知 | 受理通知书 | 查验通过后 |  |
| A12 | 配合评估（45 个工作日，可延长）及补充/更正 | 法务+业务+安全 | 补正通知、补充材料 | 补正提交记录、沟通记录 | 受理后 |  |
| A13 | 取得评估结果，按批准的目的/方式/范围/种类/规模开展 | 业务+法务 | 评估结果通知书 | 结果归档、范围对照表 | 收到结果后 |  |
| A14 | 如对结果有异议，收到结果 15 个工作日内申请复评 | 法务 | 复评申请 | 复评受理/结果 | 收到结果后 15 个工作日内 |  |
| A15 | 变化监控：目的/范围/接收方/法律环境/控制权/法律文件变化时重新申报 | 法务+业务 | 变更清单、评估结果 | 重报决定及材料 | 变化发生时 |  |
| A16 | 延期：有效期届满前 60 个工作日内申请；核对 20% 增幅（与原评估准予过去三年相比）、法律文件、合规记录等条件 | 法务 | 延期申请表、原评估结果、人数/规模数据 | 延期申请回执/批准通知 | 届满前 60 个工作日内 |  |
| A17 | 归档并持续监督：结果、材料、日志、年度复核 | 法务+安全 | 全套材料 | 归档目录、年度复核记录 | 持续 |  |

**安全评估特别注意**：

- 评估结果有效期 **3 年**，自结果出具之日起算；不是旧办法的 2 年。
- 延期不是自动续期，要申请并符合条件；第三版指南要求目的/范围、处理者和接收方未变化，未来三年自然人数量增幅不超过原评估准予过去三年数量的 20%，重要数据规模增幅不超过原评估准予过去三年规模的 20%，法律文件符合第9条，过去三年合规且未发生重大数据安全事件。
- 45 个工作日是评估期限，不是获批承诺；补正、复杂场景可能延长。
- 关基或其他不适合线上申报的，按第三版指南线下办理。

## 3. 标准合同清单

| 序号 | 动作 | 责任方 | 输入材料 | 完成证据 | 时点 | 状态 |
| --- | --- | --- | --- | --- | --- | --- |
| B1 | 复核适用条件：非关基、无重要数据、N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1）、未达到评估门槛 | 法务/隐私 | 初筛表、人数底稿、关基/重要数据证据 | 条件核对表 | 项目启动时 |  |
| B2 | 事前 PIA：对照《标准合同办法》第5条，备案前 3 个月内完成 | 法务+业务+安全 | 数据流、字段、接收方、境外环境 | PIA报告（至备案日未重大变化）、风险整改记录 | 签署前 |  |
| B3 | 使用官方标准合同文本及附录一/附录二 | 法务 | 官方文本、出境说明 | 合同文本与官方文本对照表 | 签署前 |  |
| B4 | 补充条款不得与官方文本冲突；写清再提供、删除、审计、事件通知 | 法务+采购 | 合同草案、供应商尽调 | 条款清单、冲突检查记录 | 签署前 |  |
| B5 | 合同生效后方可开展出境；不得先传数据后补合同 | 业务+法务 | 签署版合同 | 生效日期、用印记录 | 出境前 |  |
| B6 | 生效之日起 10 个工作日内备案 | 经办人 | 备案材料 | 系统提交回执 | 生效后 10 个工作日内 |  |
| B7 | 备案材料：信用代码、法定代表人/经办人证件、授权委托书、承诺书、标准合同、PIA 报告 | 法务+行政 | 指南附件1—5 | 材料清单、盖章/签字 | 备案时 |  |
| B8 | 配合材料查验（15 个工作日）；需补正的 10 个工作日内提交 | 经办人+法务 | 补正通知 | 补正提交记录 | 收到通知后 |  |
| B9 | 取得备案编号，归档合同、PIA、备案材料 | 法务 | 备案结果 | 备案编号、归档目录 | 备案完成后 |  |
| B10 | 变更/重新备案：目的/范围/种类/敏感程度/方式/保存地点/境外用途/保存期限/境外法律环境变化 | 法务+业务 | 变更说明、新 PIA、补充/新合同 | 补充材料或重新备案回执 | 变化发生时 |  |
| B11 | 达到评估门槛（N≥1,000,000 或 S≥10,000）时转安全评估，停止仅凭标准合同出境 | 法务+业务 | 人数底稿、评估结果 | 转路径决定、评估申报材料 | 达到门槛时 |  |
| B12 | 持续监督：年度复核、供应商审计、删除验证、事件响应 | 法务+安全+采购 | 审计报告、日志、删除记录 | 年度复核记录 | 持续/至少每年 |  |

**标准合同特别注意**：

- 备案是**备案管理**，不是对合同合法性或出境活动的行政批准；企业对材料真实性负责。
- 标准合同生效后 10 个工作日内备案；不是“备案后才能生效”。
- 官方合同文本和附录是强制基础，补充条款不得冲突；不要自制“替代版标准合同”。
- 达到评估门槛后，不能靠拆分数量、拆合同、拆供应商继续走标准合同。

## 4. 认证清单

| 序号 | 动作 | 责任方 | 输入材料 | 完成证据 | 时点 | 状态 |
| --- | --- | --- | --- | --- | --- | --- |
| C1 | 确定认证范围：法定路径（非关基、无重要数据、N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1））或自愿认证；确认不替代强制评估 | 法务/隐私 | 初筛表、人数底稿、关基/重要数据证据 | 范围说明、路径结论 | 项目启动时 |  |
| C2 | 核查认证机构资质及国家网信部门备案情况；机构应自取得资质之日起 10 个工作日内备案 | 法务+采购 | 机构资质、备案信息、证书查询 | 机构资质/备案截图、比选记录 | 申请前 |  |
| C3 | 事前 PIA：对照《认证办法》第6条 | 法务+业务+安全 | 数据流、字段、接收方、境外环境 | PIA 报告、整改记录 | 申请前 |  |
| C4 | 准备申请材料，确定认证方案（类型/数量、处理活动范围、技术验证机构） | 法务+安全+业务 | 主体材料、委托书、数据清单、PIA、法律文件 | 申请材料清单、认证方案 | 申请时 |  |
| C5 | 配合技术验证，取得技术验证报告 | 安全+IT | 系统配置、日志、测试环境 | 技术验证报告 | 按机构安排 |  |
| C6 | 配合现场审核，取得现场审核报告 | 法务+业务+安全 | 制度、流程、记录、访谈 | 现场审核报告 | 按机构安排 |  |
| C7 | 对不符合项整改；认证机构综合评价并作出认证决定 | 业务+安全+法务 | 不符合项清单、整改证据 | 整改关闭记录、认证决定 | 按机构要求 |  |
| C8 | 获证；核对证书范围、有效期；认证机构在发证/状态变化后 5 个工作日内报送平台 | 法务 | 证书、报送信息 | 证书编号、平台查询记录 | 发证后 |  |
| C9 | 获证后监督：配合年度/不定期监督，保持范围一致 | 法务+安全 | 监督计划、记录 | 监督报告、整改记录 | 持续 |  |
| C10 | 范围变化（名称、地址、认证要求、范围）向机构申请变更；可能补充技术验证/现场审核 | 法务 | 变更说明、支持材料 | 变更决定/新证书 | 变化发生时 |  |
| C11 | 到期申请：有效期届满前 6 个月提出 | 法务 | 续期材料 | 续期申请回执/新证书 | 届满前 6 个月 |  |
| C12 | 达到强制评估门槛（N≥1,000,000 或 S≥10,000）时转安全评估；认证材料可附后参考 | 法务+业务 | 人数底稿、认证证书 | 评估申报材料、转路径决定 | 达到门槛时 |  |
| C13 | 区分责任：企业负责申请、材料真实性和持续合规；认证机构负责认证决定、证书报送和获证后监督 | 法务+采购 | 合同、机构规则 | 责任分工表 | 全程 |  |

**认证特别注意**：

- 认证证书有效期 **3 年**；到期需继续使用的，**届满前 6 个月**提出认证申请。
- 认证模式为“技术验证 + 现场审核 + 获证后监督”；不是交材料即发证。
- **企业申请认证**与**认证机构向国家网信部门办理备案**是两件事：机构备案是机构义务，企业不需要“自行备案证书”，但应核验机构是否已备案。
- 任何规模都可以自愿申请认证，证明符合 GB/T 35273、GB/T 46068；但达到强制安全评估门槛的，仍须评估，自愿认证不能替代。
- 认证依据已从旧实践指南变更为 GB/T 35273 + GB/T 46068；申请前核对机构使用的现行标准。
- 认证机构各环节时限由机构规则规定，法规未统一承诺固定天数；不要向业务承诺“几周拿证”。

## 5. 持续管理清单

| 序号 | 动作 | 责任方 | 输入材料 | 完成证据 | 时点 | 状态 |
| --- | --- | --- | --- | --- | --- | --- |
| D1 | 维护数据地图和出境场景清单 | 数据治理+法务 | 系统清单、接口清单、合同 | 场景台账、季度更新记录 | 至少每季度 |  |
| D2 | 维护 N/S 人数台账，保留去重和导出证据 | 数据治理+业务 | 数据源、去重脚本 | 月度/季度人数表 | 至少每季度 |  |
| D3 | 维护豁免证据，逐场景复核是否仍成立 | 法务 | 合同、规章制度、清单、必要性说明 | 豁免复核记录 | 至少每年/变化时 |  |
| D4 | PIA 复核/触发重评（无统一法定有效期） | 法务+业务+安全 | 变更清单、风险记录 | 新 PIA、批准记录 | 触发时 |  |
| D5 | 合同/法律文件年度复核：再提供、删除、审计、事件、政府访问 | 法务+采购 | 合同、供应商报告 | 复核记录、补充协议 | 至少每年 |  |
| D6 | 境外接收方/子处理者尽调与审计 | 采购+安全+法务 | 问卷、审计报告、证书 | 尽调报告、整改记录 | 至少每年/变化时 |  |
| D7 | 权限、日志、加密、脱敏抽查 | 安全 | 权限矩阵、日志、配置 | 抽查报告 | 至少每季度 |  |
| D8 | 数据安全事件演练与报告机制 | 安全+法务 | 应急预案、联系人 | 演练记录、事件台账 | 至少每年 |  |
| D9 | 培训与考核：业务、客服、运维、境外接收方 | 法务+HR | 培训材料、名单 | 签到、测试、培训记录 | 至少每年 |  |
| D10 | 年度合规复核：路径、门槛、备案/评估/认证有效性 | 法务 | 全部台账 | 年度复核报告 | 每年 |  |
| D11 | 记录分类保存：PIA和处理记录至少3年；日志等按适用规则及必要期限 | 法务+安全 | 分类归档和删除规则 | 可检索归档、到期删除记录 | 按分类期限 |  |
| D12 | 监管变化跟踪：法律、指南、系统、标准、机构名单 | 法务 | 官方链接、订阅 | 更新记录 | 持续 |  |

## 6. 关键时限与有效期对照

| 事项 | 期限/有效期 | 说明 |
| --- | --- | --- |
| 安全评估完备性查验 | 5 个工作日 | 省级网信部门 |
| 安全评估受理 | 7 个工作日 | 国家网信部门收到材料后 |
| 安全评估评估 | 45 个工作日 | 可延长；不是获批承诺 |
| 安全评估复评申请 | 收到结果 15 个工作日内 | 复评结果为最终结论 |
| 安全评估有效期 | 3 年 | 自结果出具之日起算 |
| 安全评估延期申请 | 届满前 60 个工作日内 | 符合条件可延长 3 年；含 20% 增幅等条件 |
| 标准合同备案 | 生效后 10 个工作日内 | 省级网信部门 |
| 标准合同材料查验 | 15 个工作日 | 补正 10 个工作日内提交 |
| 认证证书有效期 | 3 年 | 届满前 6 个月申请 |
| 认证机构向国家网信部门备案 | 取得资质之日起 10 个工作日内 | 机构义务 |
| 认证机构报送证书信息 | 发证/状态变化后 5 个工作日内 | 机构义务 |
| 认证机构备案审核 | 30 个工作日 | 材料齐全予以备案；不齐全通知并说明理由 |
| PIA/处理记录保存 | 至少 3 年 | 《个人信息保护法》第56条 |

## 7. 法源与核对日期

核对日期均为 **2026-10-29**。发布页与附件全文分别核对；发布页只证明发布信息。

| 文件 | 本清单使用的条款/内容 | 官方链接 | 核对日期 |
| --- | --- | --- | --- |
| 《促进和规范数据跨境流动规定》 | 第5—9条、第13条：豁免、门槛、3年有效期、延期、新旧衔接 | [官方全文](https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm) | 2026-10-29 |
| 《促进和规范数据跨境流动规定》答记者问（2024） | 第9、11问：评估优先；累计去重及豁免活动排除 | [官方问答](https://www.cac.gov.cn/2024-03/22/c_1712776611649184.htm) | 2026-10-29 |
| 《小型个人信息处理者个人信息保护简化措施规定》 | 第2、8、10、14条：小型口径、评估覆盖、出境豁免、PIA简表 | [官方全文](https://www.cac.gov.cn/2026-07/24/c_1786638889704872.htm) | 2026-10-29 |
| 《个人信息保护法》 | 第38—40条、第55—56条：出境路径、告知同意、PIA | [官方全文](https://www.miit.gov.cn/jgsj/zfs/fl/art/2022/art_515a4b20c12f430eab54bb4f56d89f56.html) | 2026-10-29 |
| 《网络数据安全管理条例》 | 第12、35—38条：提供/委托处理记录至少3年、出境条件、重要数据、批准范围 | [官方全文](https://app.www.gov.cn/govdata/gov/202409/30/520076/article.html) | 2026-10-29 |
| 《数据出境安全评估办法》 | 第5—14条：自评估、材料、流程、重新申报；旧2年有效期已被校正 | [官方全文](https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm) | 2026-10-29 |
| 《数据出境安全评估申报指南（第三版）》 | 材料清单、流程、延期条件、附件模板 | [发布页](https://www.cac.gov.cn/2025-06/27/c_1752652339765002.htm)（核对到所附全文） | 2026-10-29 |
| 《个人信息出境标准合同办法》 | 第5—8条：PIA、官方文本、生效、备案、变更 | [官方全文](https://www.cac.gov.cn/2023-02/24/c_1678884830036813.htm) | 2026-10-29 |
| 《个人信息出境标准合同备案指南（第二版）》 | 备案材料、流程、承诺书、合同范本、PIA模板 | [发布页](https://www.cac.gov.cn/2024-03/22/c_1712783131692707.htm)（核对到所附全文） | 2026-10-29 |
| 《个人信息出境认证办法》 | 第5—12条、第18—19条：范围、PIA、申请、证书、机构备案、衔接 | [官方全文](https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm) | 2026-10-29 |
| 《个人信息保护认证实施规则》 | 认证依据、模式、程序、证书3年；到期续期申请依新《认证办法》第八条（与旧规则衔接见其第十八条）的届满前6个月要求 | [官方全文](https://www.cac.gov.cn/2022-11/18/c_1670399936983876.htm) | 2026-10-29 |
| 《关于变更个人信息出境认证依据标准的公告》 | 跨境认证依据变更为 GB/T 35273、GB/T 46068 | [官方公告](https://www.cac.gov.cn/2025-12/25/c_1768389897326323.htm) | 2026-10-29 |
| 《数据出境安全管理政策法规问答（2026年7月）》 | 第2问：延期条件（含20%增幅） | [官方问答](https://www.cac.gov.cn/2026-07/24/c_1786638883119336.htm) | 2026-10-29 |
| 《数据出境安全管理政策法规问答（2026年9月）》 | 第1—3问：认证边界、转路径、申请入口 | [官方问答](https://www.cac.gov.cn/2026-09/11/c_1790876549989064.htm) | 2026-10-29 |