数据出境先判断是否属免予情形，再看是否触发强制安全评估；触发的走评估，未触发但达量的走标准合同或认证，三条路径不重复适用。
本文作者：王冠｜北京浩略律师事务所联合创始人｜执业证号：11101202111297085｜执业年限：逾 22 年｜业务领域：中国企业出海东南亚法律事务｜咨询电话：17813108512
一、先记住一句话：三条路径不重复适用
《个人信息保护法》第 38 条建立了个人信息出境的三条法定路径：安全评估、标准合同、个人信息保护认证。第 39 条则要求向境外提供个人信息应取得个人的单独同意。
三条路径是"择一适用"的关系：触发安全评估的，就申报评估；未触发评估但达到数量门槛的，走标准合同或认证；既未触发、又属免予情形的，履行标准告知与单独同意即可，不必申报三项制度。
难点不在概念，而在"分流"：一个企业到底落在哪一档，取决于四条线——是否关键信息基础设施运营者（CIIO）、数量阈值、是否含敏感个人信息、是否含重要数据。
二、决策表：照着四条线分流
下表按 16 号令第 7、8 条与第 3、4、5 条的顺序整理。建议自上而下判断，命中即停。
| 序 | 数据类型与主体 | 数量／性质条件 | 应走路径 | 依据 |
|---|---|---|---|---|
| 1 | 不含个人信息或重要数据 | 国际贸易、跨境运输、学术合作、跨国生产制造与营销等场景 | 免三项制度 | 16 号令第 3 条 |
| 2 | 境外收集产生、境内加工后回传 | 未引入境内个人信息或重要数据 | 免三项制度 | 16 号令第 4 条 |
| 3 | 非 CIIO 的特定场景 | 履行个人为一方当事人的合同、跨境人力资源管理、紧急保护生命健康财产；或累计出境不满 10 万人个人信息且不含敏感 | 免三项制度 | 16 号令第 5 条 |
| 4 | CIIO | 出境个人信息或重要数据（不论数量） | 安全评估 | 16 号令第 7 条 |
| 5 | 非 CIIO | 出境重要数据（不论是否含个人信息） | 安全评估 | 16 号令第 7 条 |
| 6 | 非 CIIO | 累计出境 100 万人以上个人信息，或 1 万人以上敏感个人信息 | 安全评估 | 16 号令第 7 条 |
| 7 | 非 CIIO | 累计出境 10 万人以上不满 100 万人（不含敏感），或不满 1 万人敏感个人信息 | 标准合同或认证 | 16 号令第 8 条 |
表格读法：先看第 1 至 3 行是否免予；未免予的，看第 4 至 6 行是否触发安全评估；都未触发的，落在第 7 行，走标准合同或认证。
三、先分清两个关键概念：CIIO 与重要数据
分流之前，必须先认准两个概念，否则极易误判。
CIIO，即关键信息基础设施运营者，由有关主管部门依据关键信息基础设施保护的相关规定认定并通知。企业被告知属于 CIIO 的，其出境个人信息或重要数据即触发安全评估，与数量多少无关。
重要数据，是指一旦被泄露、篡改、损毁可能危害国家安全、公共利益的数据，其识别依据相关目录与行业规定，不等同于"重要信息"或"商业机密"。实践中企业常把"核心客户名单"误当作重要数据，其实更应关注业务数据是否落入本行业的重要数据目录或清单。
四、哪些情形免予三条路径
免予是 16 号令区别于旧规的重大变化，实务中最容易被忽略，也最省钱省时。
| 免予类型 | 具体情形 | 条文 |
|---|---|---|
| 场景免予 | 国际贸易、跨境运输、学术合作、跨国生产制造与营销等，且不含个人信息或重要数据 | 16 号令第 3 条 |
| 回传免予 | 境外收集产生、境内加工后回传，且未引入境内个人信息或重要数据 | 16 号令第 4 条 |
| 四类免予 | 履行个人为一方当事人的合同；跨境人力资源管理；紧急保护生命健康财产；非 CIIO 累计不满 10 万人个人信息且不含敏感 | 16 号令第 5 条 |
注意：免予只免"三项制度"（评估、标准合同、认证），并不意味着可以免除告知与单独同意义务。PIPL 第 39 条的单独同意在免予情形下仍需判断是否适用。
五、数据出境安全评估怎么办？谁要申报、多久、有效期为何是 3 年
触发安全评估后，按 11 号令第 5 条，申报前应先开展数据出境风险自评估。
时间上，按 11 号令第 7、12 条，省级网信部门 5 个工作日完成查验，国家网信部门 7 个工作日决定是否受理，受理后 45 个工作日完成评估。
最关键的一处更新：安全评估结果有效期已从 2 年调整为 3 年。11 号令第 14 条原定有效期 2 年，16 号令第 9 条将其改为 3 年，并按第 13 条确立"不一致时适用 16 号令"的规则。旧稿里"有效期 2 年"的说法已经过时。
六、数据出境标准合同怎么签？备案要多久
按 13 号令，适用标准合同须同时满足第 4 条的四要件：非 CIIO、处理个人信息不满 100 万人、自上年 1 月 1 日起累计出境不满 10 万人个人信息、累计出境不满 1 万人敏感个人信息。
第 5 条要求在出境前开展个人信息保护影响评估；第 6 条要求按附件订立标准合同并生效后方可出境。
备案时限：按 13 号令第 7 条，标准合同生效之日起 10 个工作日内向所在地省级网信部门备案。
认证与标准合同的适用区间相同（16 号令第 8 条，两者二选一）。选择时可考虑：出境量较大、场景多样、希望一次覆盖多国多接收方的，倾向认证；出境场景单一、接收方固定的，倾向标准合同。两者都要以有效的个人信息保护影响评估为前提。
七、实务中有分歧吗？
有三处常见分歧，申报前值得先想清楚。
分歧一：数量阈值如何"累计"。主流观点按条文表述，自上年 1 月 1 日起累计计算出境个人信息的人数；少数观点主张按去重后的自然人分别统计敏感与一般个人信息。实务中宜按从严口径准备，并保留统计底稿以备查验。
分歧二：远程访问算不算"出境"。主流观点认为境外主体远程访问境内数据即构成"向境外提供"，应纳入出境判断；也有观点认为只有发生"传输"才算出境。该分歧直接影响是否要申报，建议按从严口径评估。
分歧三：免予情形与单独同意的关系。16 号令第 5 条免予的是三项制度，并未免去 PIPL 第 39 条的单独同意；个别解读误认为"免予即全免"。稳妥做法是仍履行告知与单独同意。
八、常见问题（FAQ）
问：数据出境安全评估怎么办？哪些企业必须做？
答：CIIO 出境个人信息或重要数据、非 CIIO 出境重要数据，或达 100 万人／1 万人阈值的，须申报评估。
问：数据出境标准合同怎么签？备案流程和时间？
答：按 13 号令附件订立并生效后方可出境，生效之日起 10 个工作日内向省级网信部门备案。
问：安全评估结果有效期多久？
答：3 年。16 号令第 9 条已把原 11 号令第 14 条的 2 年改为 3 年。
问：三条路径可以同时用吗？
答：不可以。三者择一适用，触发安全评估的不能改用标准合同或认证。
问：合同履行需要传个人信息出境，算免予吗？
答：履行个人为一方当事人的合同属 16 号令第 5 条免予情形，但仍需判断告知与单独同意。
备注：法律依据
| 规范层级 | 名称全称 | 条款 | 现行有效版本 | 生效日期 |
|---|---|---|---|---|
| 法律 | 中华人民共和国个人信息保护法 | 第 38、39 条 | 现行有效（信息出境三路径与单独同意） | 2021-11-01 施行 |
| 部门规章 | 数据出境安全评估办法（国家互联网信息办公室令第 11 号） | 第 4、5、7、12、14 条 | 现行有效 | 2022-09-01 施行 |
| 部门规章 | 个人信息出境标准合同办法（国家互联网信息办公室令第 13 号） | 第 4、5、6、7 条 | 现行有效 | 2023-06-01 施行 |
| 部门规章 | 促进和规范数据跨境流动规定（国家互联网信息办公室令第 16 号） | 第 3、4、5、7、8、9、13 条 | 现行有效；第 13 条：与 11、13 号令不一致的适用本规定 | 2024-03-22 公布并施行 |
权威来源与延伸阅读
法律法规、主管机关口径和办事流程可能调整，具体事项请以现行官方文本及有权机关最新要求为准。
本文仅为一般性法律信息分享，不构成针对任何具体事项的法律意见。具体问题请咨询执业律师。
王冠｜浩略律所｜执业证号：11101202111297085｜执业年限：逾 22 年｜业务领域：中国企业出海东南亚法律事务｜咨询电话：17813108512｜地址：北京市东城区崇文门外大街 8 号哈德门广场东塔 F2 层
首次发布：2026-10-14 ｜ 最近更新：2026-10-14 ｜ 本次更新内容：首次发布，含个人信息保护法第 38、39 条、网信办令第 11／13／16 号的现行版本核对，并注明安全评估结果有效期由 2 年改为 3 年。