数据出境安全评估，说白了就是给数据出国设的一道“海关安检”：你的数据想从中国境内传到境外，如果量大、敏感或者涉及国家关键行业，就不能“说走就走”，得先向国家网信部门申报，由官方判定“放行还是拦下”。

为什么现在值得了解？因为你手机里的海淘订单、公司的跨国邮件、游戏的海外服务器，背后都绕不开这套规则。2024年新规大幅放宽门槛，2025年配套条例施行，自贸区“负面清单”接连落地，再加上AI出海大潮，这个词正在从法务部的文件柜，变成整个ICT行业的“出海第一课”。

目录

1. 数据出境安全评估是什么？——数据出国，先过海关
2. 为什么最近这么火？
3. 一张图看懂：数据出境的“四条通道”
4. 和我有什么关系？
5. 一分钟总结
6. 延伸阅读

第一节：数据出境安全评估是什么？

一句话定义

数据出境安全评估，是国家网信部门（全称“国家互联网信息办公室”，就是管网络的政府部门，网友常叫它“网信办”）对“数据要传到境外”这件事做的官方安全审查。 审查通过，数据才能合法出境；不通过，这批数据就必须留在境内。

一个生活化类比：行李出国要过安检

想象一下坐国际航班的三种人：

• 背包客：随身小包，过个安检门就走——对应“豁免情形”，数据量小、风险低，免办手续；
• 旅行团：几十人带大件行李，除了安检还要签个承诺书、报备一下——对应“标准合同”和“认证”，走简化程序；
• 万吨货轮：整船货物出国，必须向海关正式申报，一件件查验——对应“安全评估”，量太大、影响太大，必须正式审查。

数据就像行李。你传一张自拍到境外服务器，可能连“随身行李”都算不上；但一家跨国公司要把几百万中国用户的个人信息传到海外总部，那就是“万吨货轮”，必须过海关。

它到底在防什么？

这道“数据海关”主要拦三类东西：

1. “重要数据”——国宝级行李。 比如大规模测绘地图、人口健康数据、关系到国计民生的行业运行数据。这类数据就像文物出国，一件都要单独申报。2024年新规明确了一条重要原则：只有被官方告知或公开发布为“重要数据”的，才需要按重要数据申报——不再让企业“猜哪些是重要数据”，这叫“目录外不申报”。

2. 大规模个人信息——春运级客流。 上百万人、上千万人的姓名、电话、地址打包出境，一旦泄露就是“春运式踩踏事故”，必须严查。

3. 关键行业数据——命脉小区的门禁。 那些运营着水电、银行、通信、交通这类“国家命脉小区”的机构，官方称它们为“关键信息基础设施运营者”（英文缩写CIIO，指运营水、电、金融、通信等一旦瘫痪社会就要停摆的系统的单位）。它们的数据哪怕只有一条要出境，也必须走评估，好比“运钞车出城，一箱都要报备”。

法律地基：三根柱子加一块顶梁板

这套制度不是凭空出现的，它的“法律地基”很清晰：

• 《网络安全法》（2017年施行）：最早提出关键信息基础设施数据出境要评估；
• 《数据安全法》（2021年施行）：管住“重要数据”出境；
• 《个人信息保护法》（2021年施行）：规定达到国家规定数量级的个人信息出境，必须通过网信部门的安全评估；
• 顶梁板就是2022年出台的《数据出境安全评估办法》：把上面的原则变成可操作的具体流程。2024年3月，网信办又发布《促进和规范数据跨境流动规定》，给这套制度“松了绑”；2025年1月1日起施行的《网络数据安全管理条例》（国务院行政法规）又把它升格固化为国家层面的行政法规。

评估流程：像办签证一样分四步

1. 自评估：企业先给自己做“行前体检”——出什么数据、传给谁、干什么用、对方国家保护得怎么样，写一份风险评估报告；
2. 申报：通过所在地省级网信部门，把材料递交给国家网信部门，就像签证材料先经中介（省级）递交大使馆（国家网信办）；
3. 审查：官方重点看几个问题——出境会不会危害国家安全？会不会损害公众利益？境外接收方靠不靠谱？个人权益能不能得到保障？
4. 放行/拦截：通过则出具评估结果，有效期3年（相当于三年多次签证），到期还能申请再延3年；不通过就不得出境，整改后可以重新申报。

第二节：为什么最近这么火？

火点一：AI出海，数据跟着全球化

大模型时代，数据的跨国流动比以往任何时候都频繁：中国游戏公司出海，海外玩家的数据要传回国内运营；中国车企的智能网联汽车卖到欧洲，车跑出来的路测数据要回传训练算法；跨国公司用全球统一的AI平台处理各国员工和客户数据。数据不动，AI就转不起来——数据跨境从“法务部的小众话题”变成了“业务部门的第一道门槛”。2026年国家网络安全宣传周（9月14日至20日）正在举行，数据治理与个人信息保护都是官方重点议题，网信办连续多年开展“个人信息保护系列专项行动”，数据出境合规始终是检查重点。

火点二：制度密集“上新”，松绑与规范并行

最近两三年，这套制度进入密集调整期，新闻不断：

• 2024年3月：《促进和规范数据跨境流动规定》出台，堪称“史上最大幅度放宽”——申报门槛从“10万人”提高到“100万人”（普通个人信息），敏感个人信息的门槛明确为“1万人”，还新增了一大批豁免情形；
• 2025年1月1日：《网络数据安全管理条例》施行，把数据跨境规则写进了国家行政法规，效力层级更高、规则更稳；
• 自贸区“负面清单”接连落地：所谓负面清单，就是自贸试验区（国家批准的改革开放先行区）自己列一张“禁止或限制出境的数据名单”——名单之外的数据，免予申报评估、免签合同、免做认证，等于区内企业拿到了“免税店通道”。天津、北京、上海、福建等多个自贸区已陆续发布各自的清单，跨境电商、智能网联汽车、生物医药等行业率先受益。

一句话总结这个趋势：“该管的管住，该放的放开”——重大数据严守国门，一般商业数据绿灯放行。

火点三：全球都在修“数据海关”

不只中国在干这件事。欧盟用GDPR（号称“史上最严个人数据保护法”）管住数据出欧；美国也在收紧敏感数据出境规则；东盟、中东各国纷纷出台数据本地化要求。国际经贸谈判桌上，“数据跨境流动”已经和关税、知识产权并列为核心议题——加入DEPA（数字经济伙伴关系协定）、CPTPP等国际协定，数据规则都是绕不开的考题。每个国家都在修自己的“数据海关”，中国企业出海，等于要同时熟悉多国海关的规则，这个话题自然越来越热。

第三节：一张图看懂：数据出境的“四条通道”

flowchart TD
    A[数据想出国] --> B{重要数据?<br/>或属关键信息基础设施?}
    B -->|是| C[必须申报安全评估]
    B -->|否| D{当年累计出海<br/>普通个人信息满100万人?}
    D -->|是| C
    D -->|否| E{累计出海敏感信息<br/>满1万人?}
    E -->|是| C
    E -->|否| F{累计出海普通信息<br/>满10万人?}
    F -->|是| G[标准合同备案<br/>或保护认证]
    F -->|否| H[豁免通道<br/>免于前置手续]
    C --> I[国家网信部门审查]
    I --> J{评估通过?}
    J -->|是| K[放行出境<br/>有效期3年可延]
    J -->|否| L[不得出境<br/>整改后重新申报]
    G --> M[向省级网信部门备案]

看懂这张图，只需记住“四条通道”：

1. 安全评估（大海关）：重要数据、关键信息基础设施、百万人以上个人信息、万人以上敏感信息，必须走；
2. 标准合同（承诺书通道）：10万到100万人的普通个人信息、不满1万人的敏感信息，与境外接收方签一份官方模板合同，向省级网信部门备案即可；
3. 保护认证（信用通行证）：和标准合同二选一，由专业认证机构给企业的个人信息保护水平发“信用证”；
4. 豁免通道（免检通道）：不满10万人的普通个人信息、跨境购物寄递支付等合同必需的数据、跨境人力资源管理数据、紧急救助数据、自贸区负面清单外的数据——统统免办前置手续。

另外还有两个“冷知识”：数据在境外收集、只是路过境内处理一下再传出去（没夹带境内个人信息），不需要申报；纯粹的国际贸易、跨境运输数据里不含个人信息和重要数据的，也免予申报。

第四节：和我有什么关系？

如果你是普通人

你其实每天都在受益于这套制度。为什么你海淘下单、买国际机票、办签证、用跨境支付这么顺畅？ 正是因为2024年新规明确：为履行这些合同“确需”出境的数据，走豁免通道，不用层层报批——商家不用等你点“同意”前先跑完三个月流程。

反过来，你的身份证号、人脸、病历这类敏感信息（一旦泄露会造成人身财产伤害的信息），被出境的门槛更严——一家App要把上万名用户的敏感数据传到境外服务器，必须先过官方评估。这套制度就是你数据的“出境边检”：管住该管的，放过日常的。

如果你是从业者

数据合规已经是ICT行业的“硬技能”。几个明显的职业信号：

• 跨国企业和出海企业普遍设立“数据合规官”岗位，法律顾问、安全工程师都在向这个方向转型；
• 申报安全评估前的“风险自评估”、标准合同备案、保护认证，催生了咨询、测评、审计的完整服务链条；
• 给出海企业做合规，被业内称为“出海第一课”——先算清楚数据走哪条通道，再谈业务上线。

建议从业者至少搞懂三件事：自家业务有没有数据出境？走的是哪条通道？豁免情形能不能用足？

如果你是投资者

看两条主线：一是合规服务市场，数据出境咨询、评估、认证、跨境隐私技术（如隐私计算——让数据“可用不可见”的技术）构成一个持续增长的服务市场；二是出海企业的合规成本与竞争力，负面清单落地和豁免扩围，直接降低了跨境电商、游戏、智能汽车等出海企业的合规成本，这是实打实的利好；而合规记录好的企业，在国际市场也更容易拿到合作信任票。

第五节：一分钟总结

1. 数据出境安全评估就是数据的“出国海关”：量大、敏感或涉及关键行业的数据出境，必须先经国家网信部门审查放行。
2. 触发评估的四把尺子：重要数据、关键信息基础设施、当年累计百万人以上普通个人信息、一万人以上敏感个人信息。
3. 门槛之外有三条更轻的通道：标准合同、保护认证、豁免情形，自贸区负面清单外的数据还能“免检”。
4. 评估结果有效期3年、可再延3年，制度总基调是“该管的管住、该放的放开”。
5. AI出海让数据跨境成为行业刚需，懂数据合规正在成为通信与ICT人才的加分项。

延伸阅读

• 《个人信息出境标准合同》：数据出境“三通道”中最常用的一条，官方法律模板怎么签、怎么备案，值得单独讲一篇；
• 《重要数据》：这道海关最严格的“管制物品清单”到底怎么认定？“目录外不申报”新规如何给企业减负；
• 《自贸区数据出境负面清单》：“免税店通道”如何设计，对跨境电商和智能网联汽车行业意味着什么。

参考来源

1. 《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号） — 官方全文，本篇所有申报门槛与豁免情形的依据
2. 《数据出境安全评估办法》（国家互联网信息办公室令第11号） — 这套制度的开山文件，规定申报流程与审查要点
3. 《网络数据安全管理条例》（国务院令第790号） — 2025年1月1日起施行的行政法规，数据跨境规则的上位依据
4. 中国网信网数据出境安全评估政务服务入口 — 官方申报系统入口与最新工作动态

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。