# 中国个人信息出境：安全评估、标准合同与认证怎么选 > 出海企业的数据合规不只是“对外”。把中国境内收集的个人信息提供给海外母公司、海外客户或境外云服务，同样要满足中国的出境规则。 来源页面: https://assurelane.ai/frameworks/china-cross-border-data/ 更新: 2026-10-10 · 来源核验: 2026-10-10 ## 要点速览 - 全称: 《个人信息保护法》第三章及《促进和规范数据跨境流动规定》等配套规定 - 发布/监管方: 国家互联网信息办公室（网信办）及省级网信部门 - 成果: 安全评估结果、标准合同备案或个人信息保护认证证书（视路径而定） - 适用对象: 向境外提供在中国境内收集和产生的个人信息的个人信息处理者 - 地区: 中国内地 - 典型周期: 标准合同备案常见 1–2 个月；安全评估周期更长 - 有效期: 安全评估结果有效期 3 年；认证证书有效期 3 年 ## 关键时间线 - 2021-11-01: 《个人信息保护法》施行 - 2023-06-01: 《个人信息出境标准合同办法》施行 - 2024-03-22: 《促进和规范数据跨境流动规定》施行，放宽部分情形 - 2026-01-01: 《个人信息出境认证办法》施行 ## 三条法定路径加豁免 | 情形（自当年 1 月 1 日起累计） | 路径 | | --- | --- | | 关键信息基础设施运营者；或向境外提供 100 万人以上个人信息（不含敏感），或 1 万人以上敏感个人信息；或涉及重要数据 | **数据出境安全评估**（向网信办申报） | | 10 万人以上、不满 100 万人个人信息（不含敏感），或不满 1 万人敏感个人信息 | **标准合同**备案，或**个人信息保护认证** | | 不满 10 万人个人信息（不含敏感个人信息），且不含重要数据 | 免于上述三条路径 | | 为订立、履行个人作为一方当事人的合同所必需（如跨境购物、寄递、支付、酒店预订、签证办理）；跨境人力资源管理；紧急情况下保护生命健康财产安全 | 豁免情形 | 自由贸易试验区还可以制定数据出境负面清单，清单外数据出境可以免于上述路径。 ## 无论走哪条路径都要做的 - **告知与单独同意**：告知境外接收方名称、联系方式、处理目的和方式、个人信息种类及行使权利的方式，并取得单独同意（基于同意处理时） - **个人信息保护影响评估**并记录 - **合同约束**境外接收方的保护义务 ## 出海企业的典型场景 - 国内 App 的用户数据同步到海外服务器或由海外团队分析 - 海外母公司或总部访问中国子公司的客户和员工数据 - 使用境外 SaaS（CRM、客服、协同办公）处理中国用户数据 - 为海外客户提供服务时，在中国境内收集的数据需要回传给客户 ## 与海外规则同时考虑 数据往往是双向流动的。同一个业务可能同时涉及中国个人信息出境规则、[美国司法部数据安全计划](https://assurelane.ai/frameworks/us-data-security-program/)对中国访问美国数据的限制，以及 [GDPR](https://assurelane.ai/frameworks/gdpr/) 对欧盟数据传输到中国的要求。建议用一张数据流图统一梳理，避免顾此失彼。 具体申报材料与法律判断应由中国执业律师确认。 ## 常见问题 ### 海外母公司需要访问国内员工的人事信息，要走哪条路径？ 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的，属于《促进和规范数据跨境流动规定》中的豁免情形，无需申报安全评估、订立标准合同或通过认证，但仍需履行告知、单独同意（如适用）和个人信息保护影响评估等义务。 ### 什么情况必须申报安全评估？ 关键信息基础设施运营者向境外提供个人信息或重要数据；或其他个人信息处理者自当年 1 月 1 日起累计向境外提供 100 万人以上个人信息（不含敏感个人信息）或 1 万人以上敏感个人信息；以及提供重要数据。 ### 标准合同和认证有什么区别？ 两者适用的数量区间相同（10 万以上不满 100 万人一般个人信息，或不满 1 万人敏感个人信息）。标准合同是与境外接收方签订网信办规定的合同并备案；认证由专业认证机构评价后发证，适合集团内多主体、多场景的出境安排。 ## 参考来源 - [国家网信办 — 《个人信息出境认证办法》（2025-10-17 公布）](https://www.cac.gov.cn/2025-10/17/c_1762449728518762.htm) - [国家网信办 — 《促进和规范数据跨境流动规定》](https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm) - [全国人大 — 《中华人民共和国个人信息保护法》](http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml) --- 本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。