M04 数据合规

◐ 骨架 合规 v0.3 · 更新于 2026-10-29

给谁用

有境外客户、境外员工、境外 SaaS、集团内数据流动或 3D 实景采集的科技公司

解决什么问题

出境场景多、人数口径乱，容易把一项豁免当成整家公司通行证，或在门槛前按供应商、合同拆分数量

组件清单

• 判断树
• 表单模板
• 条款库（不适用）
• 落地 SOP
• 适用边界

可下载内容

详细说明

适用范围与输入准备

本模块面向一般企业的数据出境初筛：先判断是否存在出境行为、是否落入特殊规则或豁免、是否触发安全评估、标准合同或认证，再决定如何办理。它是内部工作底稿的起点，不是监管机关的行政认定，也不替代正式法律意见。

先统一“出境”的口径。以下三类都属于数据出境，不能只盯着“数据是否物理跨过国境”：

1. 在境内运营中收集和产生的数据，传输至境外；
2. 数据存储在境内，但境外的机构、组织或者个人可以查询、调取、下载、导出；
3. 符合《个人信息保护法》第三条第二款情形，在境外处理境内自然人个人信息等其他数据处理活动。

因此，境外员工远程登录境内系统、境外客服访问工单、境外 SaaS 处理境内数据、集团总部调取境内系统、境外供应商运维账号，都要进入场景调查，不能因为服务器在境内就认为没有出境。

填表前至少准备以下输入。缺项可以标“待补证”，但不能用假设代替证据：

建议先做“场景清单”，再逐场景填《数据出境初筛表》。一个场景至少对应“一类业务目的 + 一组数据项 + 一个境外接收方 + 一种传输/访问方式”；不要用“公司整体”作为一个场景。

判断树：先特殊规则，再属性、豁免与数量

① 特殊规则？
├─ 国家秘密 / 核心数据 / 行业特别规定 / 自贸试验区负面清单
│  └─ 进入相应专项核验；证据不足 → 待补证，不直接判豁免
② 数据属性
├─ 是否个人信息？是否敏感个人信息？是否重要数据？
└─ 无个人信息且无重要数据 → 无需个人信息三机制，仍核对数据安全及特别规则
③ 豁免核验（逐场景、逐数据范围；个人信息豁免不得覆盖重要数据）
├─ 境外采集回流，且未引入境内个人信息或重要数据
├─ 为订立、履行个人作为一方当事人的合同所必需
├─ 按劳动规章制度和集体合同实施跨境人力资源管理所必需
├─ 紧急情况下保护自然人生命健康和财产安全所必需
├─ 非关基、无重要数据、N＜100,000 且 S＝0 的低量
├─ 自贸试验区负面清单外
└─ 条例第35条第（六）项：法定职责/义务确需出境，核验独立出境条件
④ 关基及重要数据
├─ 关基向境外提供个人信息或重要数据 → 无适用例外则安全评估
├─ 非关基向境外提供重要数据 → 安全评估
⑤ 数量（非关基、无重要数据、无其他适用例外）
├─ N≥1,000,000 或 S≥10,000 → 安全评估
├─ N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1） → 标准合同/认证
└─ N＜100,000 且 S＝0 → 低量豁免

两个旧概括要改正：

• “没有个人信息，绝大多数规则不适用”不成立。 没有个人信息，仍要判断重要数据、核心数据、国家秘密和行业特别规则；重要数据出境不因人数为零而跳过安全评估。
• “关基一律评估”也不准确。 关基向境外提供个人信息或重要数据，在没有适用例外时才进入安全评估；低量豁免（《促进和规范数据跨境流动规定》第五条第（四）项）明确只适用于非关基。是否存在《规定》第三条、第四条、第五条其他项、第六条的情形，仍要逐项核验并留证。

此外，关基和达到国家网信部门规定数量的处理者，还应遵守《个人信息保护法》第四十条的境内存储要求；本模块只判断出境路径，不替代本地化/境内存储合规评估。

豁免要逐场景、逐数据范围成立

《促进和规范数据跨境流动规定》的豁免不是“公司级资格”，而是“场景级 + 数据范围级”的判断。至少逐项核验：

《规定》第五条最后一款明确：该条所称向境外提供的个人信息，不包括重要数据。因此，只要涉及重要数据，不能靠第五条的合同、人力资源、紧急情况或低量豁免绕开安全评估；应回到重要数据分支。

《网络数据安全管理条例》第三十五条把法定职责/法定义务确需出境列为与安全评估、标准合同、认证并列的独立条件，不能把它仅视作处理合法基础。本版据该条作出的适用判断：对确有具体法定义务、出境确属必要且不含重要数据的个人信息场景，可按该独立条件开展；一般商业合同、集团要求和外国机关索取不能直接等同于这一条件。涉及外国司法或执法机关要求提供境内存储个人信息的，还须专项核对《个人信息保护法》第四十一条的主管机关批准要求，不得据此直接提供。

自2026年9月1日起施行的《小型个人信息处理者个人信息保护简化措施规定》第十条也明确列出法定职责/义务出境豁免，并排除重要数据。其“小型”按当前处理的个人信息自然人数是否不满10万人判断（累计统计、不含已删除的，敏感个人信息属于个人信息），与本模块的当年出境 N/S 门槛不同。不能因为人数少而豁免敏感个人信息出境机制；仍须逐项满足第十条条件。

《网络数据安全管理条例》第三十五—三十七条的出境条件见官方全文。

人力资源豁免尤其容易被扩大。它要求“按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理”，且限于“确需”的员工个人信息。“员工数据均豁免”是错误简化。境内求职者简历提供给境外总部或关联机构，要另行判断必要性：境外机构不参与境内应聘人员录用决策的，出境不具备必要性；直接参与决策的，也要限于决策所需的最小人数和最小数据项，并按一般规则逐项核验路径及适用例外。依据见2026年7月官方问答第3问。

即使豁免成立，告知、合法基础、安全措施、PIA 等义务仍要分别检查。豁免免的是安全评估、标准合同、认证这三项机制，不是免掉《个人信息保护法》的全部义务。对敏感个人信息，还要核验单独同意（基于同意处理时）、告知必要性和影响；对重要数据，还要履行重要数据安全保护责任。

同意例外也要分清：属于《个人信息保护法》第十三条第一款第二项至第七项情形的，不需取得个人同意（包括本法其他条款要求的同意）；基于同意处理时，应按第二十九、三十一、三十九条核验敏感信息、监护人及出境单独同意要求。必要性、严格保护措施及未成年人专门规则仍须落实。出境告知也要依法履行；存在第十八条等法定告知例外的按其条件处理，紧急情形无法及时告知的在紧急情况消除后及时告知。参见2026年7月官方问答第1问。

重要数据与 3D 实景、点云

重要数据判断不能只看字段名称。按《网络数据安全管理条例》第二十九条和《规定》第二条，处理者要按规定识别、申报重要数据；未被相关地区、部门告知或者公开发布为重要数据的，不需要将其作为重要数据申报数据出境安全评估（条例第三十七条第二款），但仍要保留识别、申报和监测记录。该条例第六十二条将重要数据定义为：特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。

实务上按以下顺序留证：

1. 查本行业、本地区是否已发布重要数据目录、分类分级标准或识别申报规则；
2. 查是否收到主管部门的告知、通知或会议/文件要求；
3. 查数据是否已被公开发布为重要数据；
4. 结合字段、精度、区域、规模、行业用途做内部识别记录；
5. 如被告知或公开发布为重要数据，按要求履行重要数据义务；需要继续出境的，在被告知或公开发布后 2 个月内申报安全评估（2025年5月官方问答第2问）。

对 3D 实景、点云数据，正确做法是核对具体字段、精度、区域、行业目录及告知情况，而不是仅凭“点云”“实景”名称直接判断必然属于或不属于重要数据。若未被告知或公开发布为重要数据，不要仅凭名称要求按重要数据申报；若已被告知或公开发布，则不能以“只是点云”为由跳过。涉及测绘、地理信息、自然资源等行业的，还要查行业特别规定。

人数口径：N 与 S 怎么数

定义

• N（普通个人信息人数）：自当年1月1日至统计截止日，已向境外提供非敏感个人信息所涉及的自然人去重数量；先按下述规则排除已核实的豁免活动。
• S（敏感个人信息人数）：同一期间、同一纳入范围内，已向境外提供敏感个人信息所涉及的自然人去重数量。
• 拟新增人数与预测：另记 N_new、S_new，与已出境名单求并集形成 N_plan、S_plan，用于上线前预警和办理规划；不能写成截至当日已实际出境的法定累计数。安全评估申报还须按第三版指南附件3—4另列未来三年预计人数及其与当年已出境人数的关系。

敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息（《个人信息保护法》第二十八条）。判断敏感与否，看具体字段和组合效果，不看字段名称是否“听起来敏感”。

统计规则

1. 按人，不按条、不按设备、不按传输次数。 同一自然人一年内多次传输、多个系统重复记录，只计一次；不同系统之间要先合并再去重。
2. 按当年 1 月 1 日起累计。 截止日固定（例如每月末、每季末），保留截止日快照。不能按合同年度、供应商合同或单个项目重新起算。
3. 实绩与预测分栏。 N=N_ytd、S=S_ytd 是已出境累计；N_plan、S_plan 是已发生与拟新增的去重并集，用于事前预警。预计触达更高门槛时，应提前办理，在触发相应义务前完成所需机制，不等实际超量后才准备材料。
4. 不能拆分规避。 不能按供应商、合同、系统、业务线、关联公司或传输批次拆开分别判断门槛。集团内多个主体分别处理时，要说明各自身份和汇总口径；同一处理者控制的出境活动应合并统计。
5. 数据源可复核。 常见来源包括 HR 花名册、CRM、订单/支付记录、客服工单、账号体系、日志、供应商报表。每个来源要写明导出时间、字段、去重键和汇总人。
6. 排除要有依据。 排除匿名化数据、纯企业信息、重复记录、未实际出境的数据，要有字段和流程证据；不能以“应该没有”排除。

口径衔接：《个人信息出境标准合同办法》第四条仍保留“自上年1月1日起”“处理个人信息不满100万人”等旧表述，与2024年《促进和规范数据跨境流动规定》不一致的，按2024年规定执行（该规定第十三条）；《个人信息出境标准合同备案指南（第二版）》也已按“自当年1月1日起”的口径更新。实际办理以现行指南和系统要求为准，不直接引用旧条文的人数门槛。

交叉人群与豁免活动

• 同一自然人同时有普通和敏感个人信息：本表按数据类别分别去重，分别在 N、S 登记；只有敏感字段出境的只计入 S。N、S 不能直接相加作为总人数；保留交叉表，具体申报字段有不同统计要求时按现行指南填写。这是本表的统计方法说明，不声称官方对所有交叉场景给出统一公式。
• 同一自然人涉及多个场景：按处理者整体合并去重，不能每个场景各算一套再分别主张低量。
• 豁免活动：按网信办2024年答记者问第11问，《规定》第三条、第四条、第五条第一款第（一）至（三）项、第六条情形不计入累计数量。先排除符合条件的活动记录，再对剩余普通/敏感信息分别去重；同一人在非豁免活动中仍出境的，仍须计入，不能用总人数减豁免人数。低量豁免不能先扣减再证明自己满足门槛。条例新增的法定职责/义务条件不能直接套用该2024年问答的扣减清单；混合场景单列该部分，在拟扣减影响其他活动路径时先取得适用口径复核，未核清输出“待补证”。
• 境外采集回流：回流后如果引入境内个人信息或重要数据，该回流处理链路不能直接适用第四条豁免，应回到一般规则。
• 求职者、员工、外包人员：分别登记身份和场景。员工人力资源豁免不自动覆盖求职者；求职者简历按招聘必要性单独判断。

建议在初筛表中保留以下一行一行的底稿：

门槛判断顺序

以下为完整顺序；先完成特殊规则和逐场景豁免核验，再对剩余活动检查人数门槛。N/S 为已出境累计数，另用预测人数提前规划。

if 特殊规则或关键条件待核实:
    专项核验 / 待补证
elif 已证明适用的场景豁免或法定独立出境条件:
    对覆盖范围免三机制，剩余活动继续筛查
elif 重要数据:
    安全评估（不得以第五条个人信息豁免绕过）
elif 无个人信息:
    无需个人信息三机制，仍履行数据安全等义务
elif 关基:
    安全评估（不适用低量豁免）
elif N >= 1,000,000 or S >= 10,000:
    安全评估
elif N >= 100,000 or S >= 1:
    标准合同 或 认证
else:
    低量豁免（N < 100,000 且 S == 0）

注意 S >= 1 这一支：只要有一名自然人的敏感个人信息出境，就不能落入“N＜10 万且 S＝0”的低量豁免；在 S＜10,000 且未达到其他评估门槛时，进入标准合同/认证区间。S=0 要单独写明，避免把“没有敏感信息”误写成“敏感信息 0 人所以免三机制”。

表单：简版 PIA 使用说明

向境外提供个人信息，属于《个人信息保护法》第五十五条规定的应当事前进行个人信息保护影响评估（PIA）的情形。PIA 要覆盖第五十六条的三类内容：处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；保护措施是否合法、有效并与风险程度相适应。PIA 报告和处理情况记录至少保存三年。

谁填、谁批。 业务负责人提供场景、数据流和必要性；法务/隐私负责人负责合法性、告知同意、合同和境外环境分析；安全负责人负责权限、加密、日志、事件响应。建议评估人与唯一批准人分离，由有权批准人对剩余风险签字；这是内部控制建议，不是法定岗位设置要求。

怎么填。 使用简版 PIA 模板，至少附上：数据流文字说明、字段清单、N/S 人数底稿、境外接收方尽调、法律文件、境外法律环境调查、安全措施证据。风险登记不能只写“已采取加密措施”，要写措施的有效性证据（测试报告、配置截图、审计记录、日志抽样）。

批准条件。 高风险项完成整改并有证据；没有把“待补充”留在关键结论里；告知/单独同意（如适用）已完成；法律文件已覆盖再提供、删除、审计、事件通知；路径已经确定（评估/标准合同/认证/豁免）；剩余风险由有权人书面接受。关键证据缺失或法定前提未满足时，应为“待补充/不批准”并暂停相应出境；“附条件批准”只用于整改立项，不能授权先出境后补条件。

两个“评估”不要混。 符合小型处理者简化规则的，可按其第八条核验平台已评估是否完整覆盖、按第十四条使用官方简表；本附件仍是通用内部底稿。PIA 是《个人信息保护法》第五十五—五十六条下的法定评估；安全评估路径下的“数据出境风险自评估”是《数据出境安全评估办法》第五条和第三版申报指南要求的申报材料，二者事实和证据可以复用，但不是同一份文件，不能互相替代。标准合同路径下，PIA 报告同时是备案材料；认证路径下，PIA 是申请认证的前置义务。正式申报或备案时，按官方模板扩展，不要直接拿简版模板充数。

三路径 SOP

安全评估

1. 确认触发条件。 关基提供个人信息或重要数据；非关基提供重要数据；N≥1,000,000 或 S≥10,000。先逐项核验第三条、第四条、第五条、第六条是否有适用例外；没有才申报。
2. 立项目标和范围。 明确境内处理者、境外接收方、场景、数据项、人数、传输方式、境外保存地点和再提供安排。集团多主体要写清申报主体和汇总关系。
3. 做数据出境风险自评估。 对照《数据出境安全评估办法》第五条，覆盖合法性、正当性、必要性，出境规模、范围、种类、敏感程度，接收方能力，篡改/泄露/非法利用风险，法律文件约定等。自评估应在申报前 3 个月内完成，至申报之日未发生重大变化。
4. 先整改再申报。 发现字段超范围、权限过大、保存期限不明、再提供无约束、法律文件缺条款的，先整改并留证；不要把问题留给评估阶段补正。
5. 准备第三版指南材料。 包括统一社会信用代码证件、法定代表人身份证件、经办人身份证件、经办人授权委托书、数据出境安全评估申报表、与境外接收方拟订立的法律文件、数据出境风险自评估报告、其他相关证明材料。法律文件要对数据出境条款作显著标识；仅有外文版本的，附准确中文译本。
6. 法律文件写足《评估办法》第九条。 至少覆盖目的/方式/范围、境外保存地点和期限及到期处理、再提供约束、实际控制权或经营范围变化/法律环境变化/不可抗力时的安全措施、违约与补救/争议解决、事件应急处置和个人维权途径。
7. 申报。 一般通过“数据出境申报系统”（https://sjcj.cac.gov.cn）线上提交；关基或其他不适合线上申报的，按第三版指南通过所在地省级网信部门线下提交。
8. 配合查验和评估。 省级网信部门 5 个工作日内完成完备性查验；国家网信部门收到材料后 7 个工作日内决定是否受理；受理后 45 个工作日内完成评估，情况复杂或需补充/更正材料的可以延长并告知预计时间。补正通知要及时响应，无正当理由不补正可能被终止评估。
9. 按结果开展。 取得通过结果后，严格在评估明确的目的、方式、范围、种类、规模内开展，不擅自扩大。评估结果有异议的，可在收到结果 15 个工作日内申请复评。
10. 持续管理。 目的、方式、范围、种类、境外接收方用途/方式、境外保存期限、境外法律环境、实际控制权、法律文件等发生影响安全的变化，要重新申报。有效期 3 年；需要继续开展且未发生应重新申报情形的，可在届满前 60 个工作日内申请延长 3 年。延期还要满足第三版指南的条件，包括未来三年自然人数量增幅不超过原评估准予过去三年数量的 20%、重要数据规模增幅不超过原评估准予过去三年规模的 20%、法律文件符合第九条、过去三年合规且未发生重大数据安全事件等。

第三版指南的发布页见国家网信办2025年6月27日发布页，申报系统为 https://sjcj.cac.gov.cn。45 个工作日是法定评估期限，不是对企业获批时间的承诺；材料质量、补正、场景复杂度都会影响实际进度。

标准合同

1. 确认适用条件。 非关基；不涉及重要数据；N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1）；没有达到安全评估门槛。达到 N≥1,000,000 或 S≥10,000 的，不能靠标准合同继续。
2. 事前 PIA。 对照《个人信息出境标准合同办法》第五条做 PIA，重点评估目的/范围/方式的合法性、正当性、必要性，出境规模/范围/种类/敏感程度，接收方能力，出境后风险，境外法律环境对合同履行的影响等。PIA 应在备案前 3 个月内完成，至备案之日未发生重大变化。
3. 使用官方文本。 标准合同应严格按照《个人信息出境标准合同办法》附件订立；可以与境外接收方约定其他条款，但不得与标准合同冲突。附录一“个人信息出境说明”要写清目的、方式、规模、种类、敏感种类、再提供、传输方式、境外保存期限和地点；附录二写补充条款。
4. 先生效再出境。 标准合同生效后方可开展个人信息出境活动。不要把“已签署”当成“已备案”，也不要在合同生效前先传数据。
5. 10 个工作日内备案。 自标准合同生效之日起 10 个工作日内，通过数据出境申报系统向所在地省级网信部门备案。材料包括统一社会信用代码证件、法定代表人身份证件、经办人身份证件、经办人授权委托书、承诺书、标准合同、个人信息保护影响评估报告。
6. 配合材料查验。 省级网信部门自收到备案材料之日起 15 个工作日内完成材料查验；需要补充完善的，在 10 个工作日内提交，逾期可能终止本次备案。取得备案编号后归档。
7. 变更/重新备案。 出境目的、范围、种类、敏感程度、方式、保存地点、境外接收方用途/方式、境外保存期限、境外法律环境等发生变化，或出现其他可能影响个人信息权益的情形，要重新做 PIA、补充或重新订立标准合同并履行备案手续。补充订立的提交补充材料；重新订立的重新备案。
8. 达到评估门槛就转路径。 一旦 N≥1,000,000 或 S≥10,000，应进入安全评估，不能继续仅凭标准合同出境，也不能用拆分数量维持标准合同。

标准合同官方文本和备案要求见《个人信息出境标准合同办法》及备案指南（第二版）发布页。备案是备案管理，不是对合同合法性或出境活动的行政批准；企业仍对材料真实性负责。

认证

1. 先定认证范围。 法定路径：非关基、无重要数据，N＜1,000,000 且 S＜10,000，且（N≥100,000 或 S≥1）。任何出境规模也可以自愿申请认证，证明个人信息处理活动符合标准，但达到强制安全评估门槛的，仍须申报安全评估，认证不能替代。
2. 选对机构。 选择依法取得个人信息保护认证资质、并已按《个人信息出境认证办法》第十二条向国家网信部门备案的专业认证机构。可以在全国认证认可信息公共服务平台核验证书和机构信息。申请入口是向已备案的专业认证机构提交申请，不是向网信部门申请认证；2026年9月官方问答第3问列出的咨询渠道包括中国网络安全审查认证和市场监管大数据中心、中央网信办（国家网信办）数据与技术保障中心、北京赛西认证有限责任公司；名单和联系方式可能变化，申请前以官方最新公布为准。
3. 事前 PIA。 按《个人信息出境认证办法》第六条做 PIA，覆盖目的/范围/方式的合法性、正当性、必要性，出境规模/范围/种类/敏感程度，接收方义务与能力，出境后风险，境外法律环境对个人信息权益的影响等。
4. 准备申请材料。 按认证机构要求提交主体材料、认证委托书、数据流和字段清单、PIA、法律文件、安全措施说明等。认证机构确定认证方案，包括个人信息类型和数量、处理活动范围、技术验证机构等。
5. 技术验证 + 现场审核。 认证模式为“技术验证 + 现场审核 + 获证后监督”。技术验证机构出具技术验证报告；认证机构实施现场审核并出具现场审核报告；认证机构综合评价后作出认证决定。暂不符合的，按要求限期整改；整改后仍不符合的，终止认证。
6. 证书与报送。 认证证书有效期 3 年。专业认证机构在出具证书或证书状态变化后 5 个工作日内，向全国认证认可信息公共服务平台报送证书编号、获证处理者名称、认证范围、状态变化等信息。报送是认证机构的义务，不是企业自行向网信部门“备案证书”。
7. 获证后监督。 认证机构在有效期内持续监督；发现出境情况与认证范围不一致、不再符合认证要求的，可暂停直至撤销证书。企业发生名称、注册地址、认证要求、认证范围变化，要向认证机构申请变更；可能需要补充技术验证或现场审核。
8. 到期申请。 证书到期需继续使用的，应在有效期届满前 6 个月提出认证申请。
9. 达到评估门槛就转路径。 认证后 N≥1,000,000 或 S≥10,000 的，应通过所在地省级网信部门申报安全评估；申报时可以把认证情况附后，说明保护水平和权益保障情况，供网信部门参考，但不能以认证替代评估。

认证依据已更新为 GB/T 35273《信息安全技术 个人信息安全规范》 和 GB/T 46068《数据安全技术 个人信息跨境处理活动安全认证要求》，不再仅列旧的跨境认证实践指南。依据见《个人信息保护认证实施规则》及2025年12月25日标准变更公告。

边界验收矩阵与用例

以下矩阵的前提统一为：非关基、无重要数据、无适用豁免或特别规则。N 为普通个人信息人数，S 为敏感个人信息人数，均按已核实口径计入门槛。

判定顺序：先检查任一安全评估门槛（N≥1,000,000 或 S≥10,000，或重要数据/关基分支），再检查标准合同/认证区间（N≥100,000 或 1≤S＜10,000），最后才看低量豁免（N＜100,000 且 S=0）。敏感分支必须写成 1≤S＜10,000，不能把 S=0 误纳入。门槛依据：《促进和规范数据跨境流动规定》第5、7—8条，核对日期 2026-10-29。

行业特别规则（测绘、地理信息、金融、医疗、汽车、电信等）进入专项复核出口，不能把本矩阵的一般结论扩展成“行业没有额外要求”。涉及国家秘密、核心数据的，直接进入相应专项，不适用本模块的一般路径判断。

适用边界与版本

初筛、PIA、评估、备案、认证不是一回事

什么时候不要用本模块

• 涉及国家秘密、工作秘密：按保守国家秘密法等规定处理，不进入本模块的一般路径判断。
• 涉及核心数据：按数据安全法等规定执行，不能仅凭本模块矩阵判断。
• 行业有特别规定：测绘、地理信息、自然资源、金融、医疗健康、汽车、电信等行业，先查行业目录、识别规则和主管部门要求；本模块只作一般初筛。
• 自贸试验区：以区内现行负面清单、批准和备案文件为准；核验处理者和数据都在适用范围。涉及已确认的重要数据，还须核验条例第三十七条及行业要求，不能仅凭“清单没列到”输出豁免；未核清进入专项。
• 3D 实景/点云：按字段、精度、区域、行业目录和告知情况核验，不以名称下结论。
• 正式申报/备案/认证：使用官方最新模板和系统，不以简版 PIA 或本模块初筛表替代。
• 条款库不适用：本模块提供出境初筛、PIA 与路径清单，不提供合同条款库；合同与条款文本见 M01、M03。

本模块不承诺固定获批时间，也不保证任何路径必然通过。法律、指南、系统、机构名单和行业目录会变化，办理前要重新核对官方最新版本。

成熟度说明

本版仍标为 skeleton。本轮补齐了数据出境初筛树、简版 PIA 和三路径操作清单，但整个数据合规模块还包括境内处理规则、告知同意体系、敏感个人信息、数据分类分级、个人信息权利响应、数据安全事件、委托/共享、自动化决策、跨境以外的行业合规等能力，尚未完整覆盖。不能因为附件齐全、篇幅增加就升级为 deep；待上述能力补齐并通过专业审阅后，再评估成熟度。

法源核对表

核对日期均为 2026-10-29。核对方式为官方页面及可取得的官方附件全文；发布页只证明发布信息，不代替附件全文核对。

本版修订说明

• v0.3（2026-10-29）：重写判断树，改为“特殊规则→数据属性→豁免→关基/重要数据→数量”的优先顺序；纠正“无个人信息绝大多数规则不适用”和“关基一律评估”；补充2024年规定的10万/100万/1万门槛、S=0边界、豁免逐场景证据、N/S人数口径、简版 PIA 使用说明、三路径 SOP、边界矩阵和法源表；新增三份 Markdown 附件。验收时依2024年官方答记者问修正豁免人数排除规则，区分实绩与预测；补入条例法定义务独立出境条件及2026年小型处理者规则，消除跨类别门槛冲突并同步附件。仍保持 skeleton，理由见上。
• v0.2（2026-10-27）：五问判断树；标注 PIA 与三路径待补。
• v0.1：初版骨架。