数据出境合规评估与安全评估申报
对以香港为跳板出海的内地企业而言，数据跨境从来不只是”传个文件”那么简单。无论是客户资料、交易记录、用户行为日志，还是训练 AI 模型所用的数据集，一旦涉及从内地向境外（含香港）传输，都落入《个人信息保护法》《数据安全法》《网络数据安全管理条例》的规制范围。违规传输面临的，是高达年度营业额 5% 的罚款，乃至业务全面停摆。
内地目前已形成”三套机制”并行的数据出境合规框架：安全评估申报、标准合同备案、个人信息保护认证。企业并非必须三选一，而是要依据自身数据规模、敏感程度、主体类型，先判断适用路径，再准备对应材料。本文聚焦适用范围最广、合规要求最高的「合规评估」（PIPL 第 55 条）与「安全评估申报」（《网络数据安全管理条例》第 35 条）两条主线。
一、先搞清楚：你是否真的”出境”？
很多企业误以为只要服务器部署在香港就算出境，实际上内地法规采”地理传输”判定标准——只要数据从内地境内的服务器、个人终端、机构内部网络传输至境外接收方，无论接收方是香港、东南亚还是欧美，都属于数据出境。
常见触发场景包括：
- 内地总部系统向香港子公司同步客户数据
- 内地研发团队向境外云厂商上传训练数据集
- 跨境电商平台将订单、支付、物流数据回传海外运营中心
- 集团内部将员工人事档案迁移至香港 HR 系统
- 通过 Slack、Teams、Zoom、Notion 等 SaaS 工具，将内地客户资料存入境外服务器
⚠️ 关键提示：仅使用境外 SaaS 工具（邮件、云盘、视频会议）传输一般业务沟通信息，与传输个人信息、敏感数据、重要数据，在监管口径上风险差异显著。后者必须履行合规义务。
二、合规评估 vs. 安全评估：怎么选？
内地数据出境制度设计了一个”门槛分层”的逻辑：数据量越大、敏感度越高、主体越关键，监管越严格。企业应当按下表先行自我盘点。
适用情形速查表
| 触发条件 | 合规评估（PIPL 第 55 条） | 安全评估申报（条例第 35 条） |
|---|---|---|
| 数据量门槛 | 同一数据处理者向境外提供 10 万人以上个人信息（累计） | 100 万人以上个人信息，或累计向境外提供 10 万人个人信息或敏感信息 |
| 敏感数据 | 含敏感个人信息需签标准合同或做认证（评估侧重风险） | 含 100 万人以上敏感个人信息，或重要数据出境 |
| 主体类型 | 一般企业、机构、事业单位 | 关键信息基础设施运营者（CIIO）出境任何个人信息或重要数据 |
| 出境频次 | 单次、持续性、批量均可 | 持续性、批量、规模化传输 |
| 审查方式 | 与境外接收方签标准合同并备案，或经认证 | 省级网信办初审 → 国家网信办组织评审 |
| 审查周期 | 备案约 10–20 个工作日出具备案号（以官方最新公布为准） | 全流程通常 45 个工作日以上，复杂情形可能 60+ 工作日（以官方最新公布为准） |
一句话判断逻辑
CIIO 必走安全评估；100 万人以上个人信息出境必走安全评估；其余情形优先合规评估（标准合同或认证）。
很多企业忽略了一个细节：“10 万人”是累计门槛，不是单次门槛——历史累计向境外传输达到 10 万人个人信息即触发义务。所以即便单次量小，长期运营累积的跨境数据流也要纳入年度盘点。
三、安全评估申报全流程拆解
安全评估申报是当前内地数据出境合规中流程最复杂、准备材料最多的路径。一份完整的申报材料通常包含以下几大类：
1. 申报书与主体证明
- 申报主体基本信息、组织架构、股权穿透
- 数据处理者与境外接收方的法律关系（关联公司、第三方、客户、供应商）
- 营业执照、法定代表人身份证明
2. 数据出境场景说明
- 出境数据的类型、字段、规模、频率
- 数据涉及的业务场景及必要性说明
- 替代方案的不可行性论证（例如：是否真的必须出境，能否通过本地化、匿名化、联邦学习等方式替代）
3. 数据安全能力评估
- 内部数据分类分级制度是否建立
- 数据加密、访问控制、审计日志等技术措施
- 数据泄露应急预案与历史事件记录
- 安全负责人及团队资质（CISP、CISSP 等）
- 近三年是否发生过重大数据安全事件
4. 法律文件
- 与境外接收方的数据出境协议（须覆盖 PIPL 全部法定条款）
- 境外接收方所在国家/地区的数据保护法律环境评估（重点评估是否会被外国政府强制调取）
- 个人信息主体告知同意的获取机制（用户协议、隐私政策、单独同意页面截图）
5. 监管要求的其他材料
- 行业主管部门意见（金融、医疗、汽车、人脸识别等强监管行业通常需要）
- 安全评估测试报告（部分情形由指定第三方机构出具）
申报流程节点
企业自查 → 准备材料 → 省级网信办受理 → 初审（15 个工作日左右）
→ 国家网信办组织专家评审 → 反馈修改 → 复审 → 出具评估结论
⚠️ 常见退回原因：法律文件条款不全、数据流图不清晰、未能充分证明必要性、用户告知同意机制存在合规瑕疵。建议在材料提交前进行至少一轮内部预审或聘请第三方专业机构协助。
四、合规评估（标准合同路径）实操要点
对于未达安全评估门槛的企业，标准合同备案是更主流、成本更可控的路径。2023 年 6 月起，国家网信办正式启用《个人信息出境标准合同》示范文本，企业与境外接收方签署后向所在地省级网信办备案即可。
备案核心材料清单
- 统一社会信用代码 + 法定代表人身份证扫描件
- 标准合同正本（签署双方盖章版）
- 个人信息保护影响评估报告（PIA）——这是备案审查的重点
- 双方主体资质文件
- 双方拟出境个人信息清单
PIA 报告必须包含的内容
- 出境个人信息的类型、数量、敏感程度
- 数据处理目的与方式
- 境外接收方的数据处理能力、承诺与约束
- 数据主体权益保障措施
- 法律环境评估（重点评估美国、欧盟、英国等是否可能强制调取）
- 数据出境对个人权益可能产生的影响及应对措施
- 发生数据泄露、安全事件的处置预案
备案后如果出现新情形（如出境数据规模显著增加、双方主体变更、接收方所在国法律环境发生重大变化），需重新签订合同并重新备案。
五、香港作为接收方的特殊优势
相比欧美，香港在 PIPL 合规语境下有几个结构性优势：
1. 法律环境评估压力较小
PIPL 要求评估境外接收方所在国家/地区的数据保护法律环境，重点是”外国政府能否强制调取”。香港有《个人资料（私隐）条例》运行多年，且非”多边数据调取协议”的成员，跨境取证需经香港法院程序，整体法律风险显著低于美国（《云端法案》等机制可强制调取）。
2. 《粤港澳大湾区（内地、香港）个人信息跨境流动便利安排》
粤港澳大湾区框架下，内地与香港之间存在个人信息跨境流动的便利化通道。已纳入”粤港澳大湾区个人信息跨境流动便利化”管理框架的内地企业，可以走更简化的路径——向所在地省级网信办提交相关材料后，进入便利清单管理，相关传输无需再走标准合同备案或安全评估。
⚠️ 实务提示：该便利安排有严格的行业与场景限制，适用条件以官方最新公布的《粤港澳大湾区（内地、香港）个人信息跨境流动便利化管理办法》及相关公告为准。
3. 数据基础设施成熟
香港作为亚太金融与科技枢纽，主流公有云、专业法律服务、第三方合规评估资源齐全，企业在落地数据本地化备份、独立审计、事件响应时具备较好生态。
六、企业落地建议清单
为内地企业（以香港为跳板出海）整理的行动清单：
数据资产盘点（1–3 个月）
- 绘制全链路数据流图：从采集、存储、使用到跨境传输
- 区分个人信息、敏感个人信息、重要数据
- 按”PIPL 敏感个人信息”标准重新识别（生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等）
- 区分”业务必要数据”与”可本地化替代数据”
触发义务判定（1–2 周）
- 累计跨境传输规模是否触及 10 万人/100 万人阈值
- 是否属于 CIIO（关键信息基础设施运营者）
- 是否涉及重要数据（依据行业主管部门或地方标准识别）
路径选择与申报（2–6 个月）
- 触发安全评估：准备材料、聘请第三方评估机构、走省级/国家网信办流程
- 触发合规评估：与香港接收方签署标准合同、撰写 PIA 报告、向省级网信办备案
- 粤港澳大湾区便利框架：核实企业是否在适用名单内，按便利路径执行
持续合规运营
- 建立数据出境年度复审机制
- 监测境外接收方所在国家/地区法律环境变化
- 用户隐私政策同步更新跨境传输条款
- 设立数据安全事件 72 小时内部响应流程（PIPL 规定数据泄露应当立即采取补救措施并通知监管与个人）
七、常见误区提醒
- 误区一：以为”通过香港子公司传输”就规避了出境义务。PIPL 适用主体是境内的数据处理者，境内主体向境外接收方传输即触发义务，不论接收方是你的子公司还是无关第三方。
- 误区二：以为加密后再传输就不算个人信息出境。加密不改变数据性质，仍需履行相应义务。
- 误区三：以为只是 B2B 业务就不涉及用户个人信息。绝大多数 B2B 业务仍会涉及客户企业代表的姓名、邮箱、电话、职务、行为数据等，依然落入个人信息范畴。
- 误区四：以为标准合同备案是”走形式”。备案机关会实质审查 PIA 报告，模板化、笼统、缺乏法律环境评估的报告可能被退回。
- 误区五：忽视员工个人信息跨境传输。HR 系统迁移、跨国薪酬管理、跨境人才派遣等场景同样需要评估。
结语
数据出境合规的本质，是让监管能看到你的风险控制能力。无论选择标准合同备案还是安全评估申报，企业要向网信部门展示的，不是一份漂亮的法律文书，而是一套真实落地运行的数据治理体系：知道自己的数据在哪里、怎么流、谁能用、出了问题怎么办。
对内地企业而言，香港既是出海的桥头堡，也是数据合规的”缓冲区”。但前提是——先把内地的合规功课做扎实。合规从来不是出海的成本，而是出海的护城河。
更多香港相关的内地企业出海指南、公司注册、跨境税务、人才签证安排，请持续关注 hkguide.org。
常见问答
数据量没到 10 万人，就一定不用做合规评估或安全评估吗？
不一定。10 万人是合规评估与安全评估的触发门槛之一，并非唯一标准。即便数据量未达门槛，只要涉及敏感个人信息、重要数据，或属于关键信息基础设施运营者（CIIO），仍可能触发相应义务。企业应按 PIPL 敏感个人信息标准重新识别数据类型，再结合主体身份综合判定。
香港子公司接收内地数据，是不是也算”境外接收方”？
是的。内地法规采”地理传输”判定标准，只要数据从内地境内传输至香港接收方，无论接收方是内地企业的子公司、关联公司还是无关第三方，都属于数据出境。境内主体向境外接收方传输即触发义务，这一点常被企业忽略。
标准合同备案后，是不是就一劳永逸了？
不是。备案后如果出现新情形，例如出境数据规模显著增加、双方主体变更、接收方所在国法律环境发生重大变化等，需要重新签订合同并重新备案。同时，企业还应建立数据出境年度复审机制，持续监测境外法律环境变化。
粤港澳大湾区的便利通道，所有内地企业都能用吗？
不能。该便利安排有严格的行业与场景限制，适用条件以官方最新公布的《粤港澳大湾区（内地、香港）个人信息跨境流动便利化管理办法》及相关公告为准。企业需先核实自身是否已纳入”粤港澳大湾区个人信息跨境流动便利化”管理框架，再按便利路径办理。
加密后再传输数据，是不是就不算个人信息出境了？
不算。加密不改变数据性质，经过加密的个人信息仍属于个人信息范畴，传输行为本身仍落入 PIPL 规制范围，企业仍需履行相应的合规义务。
安全评估申报一般要多久？流程复杂吗？
全流程通常需要 45 个工作日以上，复杂情形可能 60+ 工作日（以官方最新公布为准）。流程涵盖企业自查、材料准备、省级网信办受理与初审、国家网信办组织专家评审、反馈修改、复审、出具评估结论等多个节点，准备材料通常涉及申报书、数据出境场景说明、数据安全能力评估、法律文件、监管要求的其他材料等大类。
用 Slack、Teams、Zoom、Notion 这些境外 SaaS 工具传输数据，需要做合规评估吗？
视传输内容而定。仅传输一般业务沟通信息与传输个人信息、敏感数据、重要数据，在监管口径上风险差异显著。如果通过上述工具将内地客户资料、员工信息、交易记录等存入境外服务器，则属于数据出境场景，需履行相应合规义务。