企业出海数据合规指导书出海数据合规：先摸清数据怎么出境

深度解读 · 法规类报告

出海数据合规：路径因国而异，先盘清数据怎么出境

1适用对象：有海外用户或设海外机构，就可能被当地法管辖

• 域外效力GDPR对向欧洲经济区居民提供商品服务、监控其活动或代欧洲控制者处理数据的欧洲外企业同样适用（p19）。越南、沙特、日本的法律也有域外条款（p51，p37，p59）。
• 国内法同样适用《个人信息保护法》也适用于境外主体处理中国境内自然人个人信息的情形（p74）。出海企业因此同时受国内和目的国两套规则约束（p12）。
• 制造业也在名单里欧盟NIS2把制造业、化学品制造、食品生产等列为“重要实体”，能源、交通、银行、云等列为“必要实体”（p23）。报告称该指令适用于欧盟范围内的任何公司（p23）。
• 小企业有限度的豁免越南规定微型、小型、中型企业和初创公司成立两年内，可选择免于任命数据保护负责人，但直接处理个人数据的除外（p51）。

对你的生意先分清客户是企业还是个人。纯B2B出口、不收集终端用户信息的，适用面小；做独立站、App或设海外子公司的，要按市场逐国核对。

2具体要求：出境路径、本地存储和个人数据义务按国而异

• GDPR出境三条路GDPR允许个人数据出境的路径有三条：充分性认定、适当保障措施（含标准合同条款、有约束力的公司规则）、特定情形豁免（p21）。获充分性认定的只有15个对象（p21）。
• 合同之外还要做评估依赖标准合同条款或公司规则的，要做传输影响评估，核查目的国法律能否让合同保护落地，必要时加补充措施（p114）。没有有效补充措施的，不应继续转移（p114）。
• 本地存储越南要求向越南客户提供跨境服务的外国企业设实体并本地存储（p52）；俄罗斯要求收集俄公民个人数据时使用位于俄境内的数据库（p57）；沙特的卫生、金融等敏感数据须在境内存储（p37）。
• 报告自相矛盾处报告把美国、土耳其、澳大利亚列为只能境内存储处理（p16），但土耳其和澳大利亚章节又写不要求境内存储（p42，p67）。应以官方文本为准。
• 中国侧出境路径中国数据出境有三种条件：国家网信部门安全评估、专业机构认证、与境外接收方签国家标准合同（p75）。选哪条取决于是否涉及重要数据和个人信息（p75，p85）。

对你的生意把“数据回传总部”“总部员工远程访问海外系统”都列入出境场景清单（p85），不要只盯着邮件和U盘。

3流程、费用、时限：报告给了时限，没给费用

• 泄露通知时限GDPR要求知悉后最迟72小时通知监管机构（p20）。新加坡要求不晚于评估日后的3个日历日（p118）。中国个保法只要求立即补救、及时通知，未定时限（p118）。
• 越南的跨境评估越南要求传输方做跨境影响评估，自处理个人数据之日起60天内向公安部提交副本，内容变化后10天内更新（p51）。公安部可每年检查一次（p51）。
• 删除与保存俄罗斯发现未授权处理后，要求三个工作日内终止、十个工作日内销毁（p58）。汽车章节写车外数据在车外保存不应超过14天，访问日志至少保留6个月（p193）。该章混用欧盟与中国规则，须核实适用法域。
• 费用与周期原文未给出合规项目的费用和周期。仅有一个案例写明，某能源企业因合规准备不足，项目延期超过半年（p218）。

对你的生意把泄露响应写成一页流程：谁判断、谁报监管、谁通知客户，并按销售国列出各国时限。

4罚则和执法：上限随营业额走，案例多为大平台

• GDPR两级罚款GDPR轻微违规最高2%或1000万欧元，重大违规最高4%或2000万欧元，取高者（p22）。报告称2018年至2023年11月共1701起罚款，总额40亿欧元，但未注明出处（p14）。
• 其他法域NIS2必要实体最高1000万欧元或全球年营业额2%，重要实体最高700万欧元或1.4%（p23）。DSA最高全球营业额6%（p182）。巴西最高为巴西上一财年营业额2%（p32）。
• 中国企业已被罚荷兰2021年7月对中国某出海社交平台罚75万欧元，报告称是中国企业首次因GDPR被罚（p22）。爱尔兰2023年9月罚3.45亿欧元（p22）。韩国对某跨境电商平台罚近19.8亿韩元（p62）。
• 东南亚执法偏轻马来西亚自2017年以来只有20家公司因数据泄露被罚，平均24,000林吉特（p54）。新加坡PDPC历史最大罚款为75万新元（p48）。
• 案例可信度报告的案例多数匿名，无日期，部分外币换算前后不一，例如土耳其同页两处换算（p42）。不宜当作执法统计。

对你的生意比较各国罚则时先看口径（全球、本国还是本地利润），不要把百分比直接相加或对比。

5企业该怎么做：按先后顺序的清单

• 六步法报告给出六步：识别合规要求、梳理出境场景、评估差距、修复整改、编制出境评估报告、搭建长效机制（p221）。出境场景要画数据流转地图（p85）。
• 分类分级和负责人依据GB/T43697-2024做数据分类分级，区分重要数据、个人信息、敏感个人信息（p85）。设数据安全负责人和个人信息保护负责人，可由一人兼任（p90）。
• 第三方与合同与云、SDK、物流等第三方签数据保护协议，建第三方清单；合作结束时要求出具盖章的数据清理证明（p115）。
• 短期止血短期先做三件事：设数据保护官或数据安全官并组跨部门小组；审查跨境合同；对出境数据临时加密、脱敏（p223）。
• 跨境电商产品合规销往欧盟的带CE标志商品要有欧盟责任人（p178）。GPSR自2024年12月13日起，要求标示制造商和欧盟责任人信息，并保证产品可识别（p178）。

对你的生意用一页清单管理：数据在哪、谁能看、去过哪些国家、对应哪条出境路径、谁负责。

6分企业类型的建议

• 出口额数千万元、有独立站或海外仓、在欧洲或东南亚有终端客户的中小出口企业1）列出所有海外数据来源：独立站、订单系统、客服、海外仓、销售人员的邮箱和手机号（p85）；2）对销量前两三个市场核对出境与本地存储规则，并查官方文本（p15–16）；3）在欧盟销售带CE标志的商品，先确认欧盟责任人和产品标识（p178）；4）与云、物流、支付商签数据保护协议（p115）；5）写一页泄露预案并按市场列通知时限（p118）。

  投入与周期

  原文未给出。判断：前三步可自行完成，工作量以周计。

  做成的信号

  能回答“数据在哪、谁能看、去了哪些国家”；客户或平台索要材料时一周内能出清单。

  该止损的信号

  发现业务涉及敏感个人数据或大规模监控用户，或被监管要求提交出境评估报告时，转请当地律师。

• 有海外子公司、用全球统一ERP或HR系统的制造企业1）系统上线前逐国确认个人信息与数据出境规则（p219–220）；2）HR系统按国设计隐私字段与保存期限（p219）；3）设备采集的数据先界定是否含个人信息，生物信息尽量本地存放（p214）；4）总部人员远程访问海外系统，要评估重要数据泄露风险（p218）。

  投入与周期

  原文未给出。案例显示，海外准备不足的项目延期超过半年（p218）。

  做成的信号

  子公司愿意配合网络连通和数据测试，首批系统按期上线（p218）。

  该止损的信号

  某国要求数据本地存储而现有系统无法改造时，改为本地部署，或不向总部回传该国数据。

• 做游戏、社交、内容平台或App的出海企业1）把游戏服与平台服分开，游戏服就近部署，平台服按合规域集中部署（p189）；2）面向未成年人设年龄验证、消费限额和家长查看通道（p187，p185）；3）面向欧盟用户做Cookie同意，并公布第三方SDK清单（p184）。

  投入与周期

  原文未给出。

  做成的信号

  监管问询时能在规定时间内提供处理活动记录。

  该止损的信号

  收到监管函或平台下架警告时，暂停相关数据流，立即聘当地律师。

• 做车联网、智能座舱的整车和零部件企业1）按车外数据、座舱数据、运行数据、位置轨迹数据分类（p193）；2）尽量在车内处理个人数据，必须出车的先匿名化（p193）；3）OTA推送订阅功能，不得一次概括授权或默认授权（p194）。

  投入与周期

  原文未给出。

  做成的信号

  各类数据都有明确的存储位置、保存期限和出境条件。

  该止损的信号

  目的国要求的存储或出境条件与车端架构冲突时，先停止相关数据回传。

7风险与应对

8哪里存疑

9这份报告回答不了的

报告没有合规费用、周期和按企业规模区分的门槛，也没有德国、瑞士的执法细节和制造业出口企业的处罚案例。须到各国官方法规库、欧盟委员会与EDPB、国家网信办查最新文本；2024年9月之后的修订报告没有覆盖。