三条法定路径加豁免
| 情形（自当年 1 月 1 日起累计） | 路径 |
|---|---|
| 关键信息基础设施运营者；或向境外提供 100 万人以上个人信息（不含敏感），或 1 万人以上敏感个人信息；或涉及重要数据 | 数据出境安全评估（向网信办申报） |
| 10 万人以上、不满 100 万人个人信息（不含敏感），或不满 1 万人敏感个人信息 | 标准合同备案，或个人信息保护认证 |
| 不满 10 万人个人信息（不含敏感个人信息），且不含重要数据 | 免于上述三条路径 |
| 为订立、履行个人作为一方当事人的合同所必需（如跨境购物、寄递、支付、酒店预订、签证办理）；跨境人力资源管理；紧急情况下保护生命健康财产安全 | 豁免情形 |
自由贸易试验区还可以制定数据出境负面清单，清单外数据出境可以免于上述路径。
无论走哪条路径都要做的
- 告知与单独同意：告知境外接收方名称、联系方式、处理目的和方式、个人信息种类及行使权利的方式，并取得单独同意（基于同意处理时）
- 个人信息保护影响评估并记录
- 合同约束境外接收方的保护义务
出海企业的典型场景
- 国内 App 的用户数据同步到海外服务器或由海外团队分析
- 海外母公司或总部访问中国子公司的客户和员工数据
- 使用境外 SaaS（CRM、客服、协同办公）处理中国用户数据
- 为海外客户提供服务时，在中国境内收集的数据需要回传给客户
与海外规则同时考虑
数据往往是双向流动的。同一个业务可能同时涉及中国个人信息出境规则、美国司法部数据安全计划对中国访问美国数据的限制，以及 GDPR 对欧盟数据传输到中国的要求。建议用一张数据流图统一梳理，避免顾此失彼。
具体申报材料与法律判断应由中国执业律师确认。