香港香港大全HK GUIDE

香港架构下的数据出境合规路径与方案选择

越来越多的内地企业把香港作为出海的”第一站”——开公司、搭团队、跑业务。但在数据这件事上，香港并不是一块”飞地”。内地企业只要在境内收集、产生数据，就会受到内地《数据安全法》《个人信息保护法》的约束；而数据一旦进入香港，又要面对《个人资料（私隐）条例》与跨境传输的相关规则。如何在两地监管之间找到稳妥路径，是每一家用香港做跳板的公司必须回答的问题。

本文不抽象讲法条，而是按”架构选择 → 路径对比 → 实操要点”的逻辑展开，帮助决策者看清不同方案的边界与代价。

一、先把两个”语境”区分清楚

在讨论”数据出境”之前，必须先区分两件事：

  1. 内地语境下的”数据出境”：指数据从中国境内传输、存储或处理至境外（含香港、澳门、境外服务器）。这受《数据安全法》《个人信息保护法》《促进和规范数据跨境流动规定》（2024年发布版）以及《数据出境安全评估申报指南》等规范约束。
  2. 香港语境下的”跨境资料传输”：指在香港收集的个人资料被转移到香港以外的地区。这受《个人资料（私隐）条例》（PDPO）及香港个人资料私隐专员公署（PCPD）的《跨境资料转移指引》规管，核心是”原意、目的、足够保障”。

对内地企业而言，这两套规则同时适用——内地规则管”出内地”，香港规则管”出香港”。架构设计得当，可以两边都顺；架构设计错误，就会出现”在内地合法、出香港违规”或反过来的尴尬。

二、三条主要合规路径

路径一：通过国家网信办”数据出境安全评估”

适用范围最广、流程最重。属于强制性门槛的情形包括：

申报流程包括材料准备、省级网信办初审、国家网信办复审与现场评估，整体周期较长（以官方最新公布为准）。

路径二：标准合同备案（出境 SCC）

由境内处理者与境外接收方签订标准合同，并向所在地省级网信办备案。

适用对象：

这是大部分内地中小企业在跨境业务早期最常走的路径，门槛相对低、流程标准化，但仍需做个人信息保护影响评估（PIPIA）并保留评估记录至少 3 年。

路径三：经认证的保护认证（认证通道）

由经认证的机构按相关规定进行个人信息保护认证。适用情形与标准合同类似，但更适合跨国集团内部、长期、批量的数据跨境场景，例如跨境集团内部 ERP、HR 系统的统一数据传输。

2024 年发布的《促进和规范数据跨境流动规定》进一步放宽了部分门槛：国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等场景中，如不包含个人信息或重要数据，可豁免全部三条路径；自贸区内的”负面清单”机制也在多个省市落地，企业可关注当地最新政策。

三、内地 vs 香港：两套规则的差异

维度 内地规则 香港规则
主要法律 《数据安全法》《个人信息保护法》 《个人资料（私隐）条例》（PDPO）
监管机构 国家及省级网信办、工信部、公安部 个人资料私隐专员公署（PCPD）
出境分类 安全评估 / SCC / 认证三选一 没有强制”审批”，强调”足够保障”
评估要求 个人信息保护影响评估（PIPIA） 鼓励做 Privacy Impact Assessment，但非强制
罚则强度 最高 5,000 万元或上年营业额 5% 违反条例可被检控，罚则相对温和
重要数据 由各地区、行业主管部门认定 没有”重要数据”概念
域外适用 有（针对境外处理境内自然人数据） 有限（条例主要适用于在香港控制资料处理者）

实操含义：内地规则管得更”硬”，香港规则管得更”软”但同样要求合规。把数据搬到香港，并不能”一搬了之”。

四、四种常见架构与数据流向

内地企业出海使用香港架构，通常会落到以下四种形态之一：

架构 A：纯香港主体，无境内运营

架构 B：境内运营 + 香港接单

架构 C：境内主体直接出海（无香港实体）

架构 D：集团化分工，VIE 或红筹结构

五、架构选择决策清单

以下清单可帮助决策者快速定位适合自己的方案：

六、几个常被忽视的实操要点

  1. 不要等到架构落地才想数据合规。架构一旦定型，后期改造成本极高（系统迁移、SCC 重新签订、PIPIA 重做）。建议在搭建红筹/VIE 架构时同步做数据流规划。
  2. PIPIA 要”写出来”。内地监管越来越看重评估过程证据——评估表是否签字、是否召开评估会议、风险处置是否记录在案，这些都是现场评估会问的问题。
  3. 重要数据并非”自认为不重要的就不重要”。各地区、各行业主管部门有权认定”重要数据”，建议企业主动与主管部门沟通，避免事后被认定。
  4. 香港侧的”足够保障”靠合同条款落地。PDPO 不要求审批，但要求境外接收方提供”与香港大致相当”的保护水平。具体可以通过合同中的保密、用途限定、安全措施、纠纷管辖条款体现。
  5. 集团内跨境传输 ≠ 一定豁免。即便是集团内部母公司与子公司之间的传输，仍需走对应路径。”集团内部”在数据跨境规则里并不是天然豁免理由。
  6. 保留记录。出境评估报告、SCC 备案回执、认证证书、影响评估记录，至少保存 3 年；涉及重要数据或敏感个人信息的，建议长期归档。

七、行动建议

对于准备以香港为跳板出海的内地企业，建议按以下顺序推进：

  1. 数据盘点：先梳理清楚公司目前所有业务线的数据流向，包括哪些是个人信息、是否涉及敏感个人信息、是否存在重要数据。
  2. 架构预判：把数据流与拟定的股权架构、运营架构叠加画图，标出”跨境节点”。
  3. 路径匹配：根据规模与节点数量，确定每条数据线对应的出境路径（评估/SCC/认证/豁免）。
  4. PIPIA 启动：无论走哪条路径，PIPIA 都是必经动作，建议尽早开始。
  5. 合同与制度补齐：同步更新境内外主体间的数据处理协议、保密协议、信息安全管理制度。
  6. 持续合规：每年至少做一次内部审计，关注法规变化与监管动态。

以香港为跳板的出海架构，看似只是注册一家公司、搭一个团队，实际上牵涉到两套监管、两套合规语言。把数据合规与架构设计同步规划，往往能省下后期数倍的成本与时间。

更多香港注册、出海架构、税务与人才签证相关的实操指南，可持续关注 香港大全。

常见问答

数据从内地传到香港，算不算”数据出境”？

算。根据内地《数据安全法》《个人信息保护法》及《促进和规范数据跨境流动规定》，数据从中国境内传输至境外（含香港、澳门、境外服务器），均属于”数据出境”，需按内地规则走相应路径（以官方最新公布为准）。同时，若数据后续从香港再传输到第三国，则另需遵循香港《个人资料（私隐）条例》及 PCPD《跨境资料转移指引》。

内地中小企业走标准合同（SCC）备案，通常需要满足哪些门槛？

按文章所述，SCC 备案通道适用于：非关键信息基础设施运营者（CIIO）；处理个人信息不足 100 万人；自上年 1 月 1 日起累计向境外提供个人信息不足 10 万人（敏感个人信息不足 1 万人）。满足上述条件并完成个人信息保护影响评估（PIPIA）、备齐备案材料后，可向所在地省级网信办提交备案。门槛相对低、流程标准化，是大部分中小企业早期跨境业务常见的路径，但具体门槛仍以官方最新公布为准。

集团内部母公司与子公司间传输数据，能不能豁免合规路径？

不能。文章明确指出，即便是集团内部母公司与子公司之间的跨境传输，仍需按对应路径走合规手续，”集团内部”在数据跨境规则里并不是天然豁免理由。若属于跨国集团内部、长期、批量传输场景（如统一 ERP、HR 系统），可优先考虑经认证的保护认证通道。

在内地纯做境外客户业务、不收集境内自然人数据，是不是就不用管内地规则了？

通常内地数据出境规则基本不适用。文章中的架构 A 即”纯香港主体、无境内运营”，数据收集、处理、存储全部在境外完成，内地规则一般不触发。但需注意一点：若从境外主动收集境内自然人数据，仍可能落入《个人信息保护法》的域外管辖范围，建议结合业务实际做进一步评估（以官方最新公布为准）。

把数据搬到香港，是不是就”一搬了之”了？

不是。内地企业只要在境内收集、产生数据，就受内地《数据安全法》《个人信息保护法》约束；数据进入香港后，又要面对《个人资料（私隐）条例》及跨境传输相关规则。两套规则同时适用，搬至香港并不能免除任一边的合规义务。文章总结为——内地规则管得更”硬”，香港规则管得更”软”但同样要求合规。

香港侧把资料传到境外，需要走”审批”吗？

不需要”审批”。根据文章所述，香港 PDPO 没有强制审批机制，核心是”足够保障”，即要求境外接收方提供与香港大致相当的保护水平。具体可通过合同中的保密、用途限定、安全措施、纠纷管辖等条款来落地，同时鼓励做 Privacy Impact Assessment（PIA）。但需注意：若属敏感个人资料或大规模资料转移，仍应做更充分的尽调与文档留档。

延伸阅读