跨境数据流动评估：申请条件与审批流程
各位同仁好，我是刘老师，在嘉熙财税干了十二年外资企业服务，又做了十四年注册登记手续。这些年帮不少跨国公司和出海企业处理过数据出境的事，说实话，刚开始那会儿大家都没太当回事，觉得数据嘛，传就传了。但这两年不一样了，《数据出境安全评估办法》落地之后，跨境数据传输的合规门槛明显抬高了。很多客户跑来问我：“刘老师，我们到底要不要做安全评估？流程怎么走？”今天我就结合自己经手的案例，把这个申请条件和审批流程掰开揉碎了讲一讲，希望对做投资决策和合规架构的各位有所参考。
先说背景。2022年9月1日起施行的《数据出境安全评估办法》，加上后续《个人信息保护法》第三十八条、第三十九条的配套要求，构成了目前数据出境安全评估的基本框架。核心逻辑是：不是所有数据出境都要评估，但只要触发特定条件，就必须走网信部门的评估程序。我记得去年有一家做跨境电商的客户，总部在欧洲，中国区把用户订单信息实时同步到德国服务器，他们一开始觉得“不就是传个订单吗”，结果一查，涉及个人信息超过十万人，直接触发了申报义务。后来补做评估、调整传输链路，前后折腾了将近五个月。这个教训很典型——先判断触发条件，再谈流程，顺序不能反。
从投资和合规实务角度看，这个议题之所以值得专业投资人关注，是因为它直接关系到企业数据架构的合规成本、跨境业务的可持续性，甚至影响交易估值。一个数据出境合规没做好的标的公司，尽调时会被压价，严重的还可能面临业务暂停。所以今天这篇文章，我打算从触发门槛、申报主体、材料准备、审批流程、常见卡点、后续义务这几个方面展开，尽量讲得实操一些，少说套话。
触发评估的门槛条件
第一个要说清楚的，就是什么情况下必须申报安全评估。根据《数据出境安全评估办法》第四条，主要有三类情形：一是数据处理者向境外提供重要数据；二是关键信息基础设施运营者向境外提供个人信息或者重要数据；三是数据处理者向境外提供个人信息，达到一定数量标准的——具体是自当年1月1日起累计向境外提供100万人以上个人信息或者1万人以上敏感个人信息。这三个条件只要踩中一个，就得申报。注意“累计”这个词，是年累计，不是单次，很多企业容易在这里栽跟头。
我经手过一个比较典型的案例：一家外资医疗器械公司，中国区把患者的售后随访数据传回总部做产品分析。他们自己估算觉得“人数不多”，结果一盘点，光是敏感个人信息（涉及健康状况）就累计超过了1.2万人，踩中了敏感个人信息1万人的红线。老板当时还挺惊讶，说“我们没觉得数据量大啊”。问题就出在“敏感个人信息”的认定上——健康、生物识别、金融账户、行踪轨迹都算，门槛比普通个人信息低十倍。所以我的建议是，企业先做数据盘点和分类分级，别凭感觉判断。
还有一点值得提醒：“重要数据”的界定目前主要依据行业主管部门发布的重要数据目录。有些行业目录已经出台，有些还在制定中。在目录不明确的情况下，企业需要结合《数据安全法》和本行业监管要求做谨慎判断。我 generally 建议客户采取“从严假设”原则——拿不准的，先按重要数据处理，或者至少提前和属地网信部门做预沟通。预沟通这一步虽然不是法定程序，但实务中非常有用，能帮你少走弯路。这一点我在后面讲流程时还会展开。
自贸区负面清单机制也值得关注。部分自贸试验区已经开始试点数据出境负面清单，清单外的数据出境可以免于评估。这对在自贸区注册的外资企业是个利好，但负面清单的行业覆盖和具体条目各地不一样，需要逐案核对。我去年帮一家注册在上海自贸区的客户做过清单比对，发现他们的业务场景恰好落在清单外，省掉了整套评估流程，时间成本节约了至少三个月。所以注册地和业务场景的匹配，是第一步就要想清楚的事。
申报主体与责任划分
第二个方面讲讲谁来申报、责任怎么划分。原则上，申报主体是数据处理者本身，也就是决定数据出境目的和方式的那个法律实体。但在跨境集团架构下，情况会复杂一些。比如中国子公司把数据传给境外母公司，申报主体是中国子公司；如果是境外主体直接收集境内个人信息，那可能涉及境内代表或者境内机构的认定问题。实践中常见的误区是：以为让境外总部去申报就行，这是不对的，评估申报必须由境内数据处理者发起。
我遇到过一家合资企业，中外双方对“谁负责申报”扯了很久。中方觉得自己只是提供数据，外方觉得自己是数据控制者。后来我们依据《个人信息保护法》和评估办法梳理了一遍：谁决定出境目的、谁决定出境方式，谁就是申报主体。这个案子里，出境目的是外方总部定的，但数据由中国合资公司收集和提供，最终认定由中国合资公司申报，同时要求外方出具数据接收方的承诺文件。这个责任划分如果一开始不谈清楚，后面材料准备会非常被动。
从集团合规架构的角度，我通常建议客户建立“数据出境责任矩阵”，把每个业务场景下的数据控制者、处理者、接收方、申报义务主体列清楚。这不仅是应对评估申报的需要，也是日常合规管理的基础。特别是投资并购场景下，尽调时如果能拿出这样一份矩阵，对方对你的合规成熟度评价会高很多。说实话，这东西做起来不复杂，但很多企业就是没做，等到要申报了才临时抱佛脚。
还有一点：申报主体需要对材料的真实性负责。评估办法明确要求数据处理者对申报材料的真实性、合法性负责。如果提供虚假材料，不仅评估通还可能面临行政处罚。我在实务中见过有企业为了让数据量“看起来小一点”，故意缩小统计口径，这种做法风险极高。网信部门在评估过程中是有权要求补充材料、进行核验的，一旦被发现，后果比老老实实申报严重得多。所以我的态度一贯是：数据盘点宁可做全，不要做少。
申报材料的准备要点
第三个方面，申报材料怎么准备。根据评估办法第五条，申报材料主要包括：申报书、数据出境风险自评估报告、数据处理者与境外接收方签订的法律文件、安全管理措施相关证明、以及网信部门要求的其他材料。看起来条目不多，但每一份都有讲究。其中最核心、也最耗时的，是数据出境风险自评估报告，这份报告的质量直接决定评估能否顺利通过。
自评估报告需要覆盖的重点包括：数据出境的合法性和正当性、数据规模和不影响国家安全公共利益的分析、境外接收方的数据保护能力、数据传输和存储的安全措施、以及数据主体的权益保障机制等。我的经验是，这份报告不能写成“自说自话的保证书”，要有分析、有证据、有场景。比如境外接收方的保护能力，不能只写“对方承诺遵守GDPR”，要具体说明对方的技术措施、管理制度、历史合规记录。我帮客户改报告时，最常删的就是那些空话套话。
法律文件这块也有讲究。数据处理者与境外接收方之间的合同或其他具有法律约束力的文件，必须明确约定数据保护义务，包括出境目的、数据范围、保存期限、再传输限制、违约责任等。评估办法附件里有推荐条款，实务中我建议直接对标推荐条款逐条落实，别自作聪明简化。有个客户曾经拿了一份只有三页的框架协议来申报，被要求补正，重新谈判合同花了两个月，典型的因小失大。
另外提醒一点：材料语言问题。境外接收方出具的承诺函、合同等如果是外文，需要提供中文译本。译本要和原件一致，关键条款建议做公证或认证。这些细节看似琐碎，但补正通知往往就卡在这些地方。我一般建议客户在正式提交前，先按清单做一遍“模拟补正”，把能想到的问题提前解决掉。评估流程的法定时限是45个工作日，但补正时间不计入，所以材料质量直接决定你多久能拿到结果。
审批流程与时限节点
第四个方面讲讲审批流程怎么走。基本流程是：数据处理者向所在地省级网信部门提交申报材料，省级网信部门在5个工作日内完成材料完备性查验，不完备的一次性告知补正；材料完备的，报国家网信部门。国家网信部门受理后组织评估，法定评估时限是45个工作日，情况复杂的可以延长15个工作日。评估通过的，出具书面通知；不通过的，说明理由。整个流程听起来线性，但实务中每个节点都有变量。
省级网信部门的完备性查验这一步，很多人低估了。“一次性告知补正”意味着你只有一次补正机会，补正不到位就可能被退回。我印象很深的一个案例：一家做车联网的企业，自评估报告里对“重要数据”的识别写得很模糊，省级网信部门要求补正，他们补了一版还是没把数据分类分级讲清楚，结果被退回重新申报，前后多花了两个多月。所以我现在帮客户准备材料，会把“完备性”当成第一道关卡来对待，宁可提交前多改几轮，也不要指望补正环节翻盘。
国家网信部门受理后的评估，实务中可能会涉及专家评审、技术检测、要求补充说明等环节。评估不是纯书面审查，监管部门可能会就具体技术方案、安全措施提问。我的建议是，申报材料里涉及技术措施的描述，要让技术人员参与撰写或审核，别全交给法务或外部顾问“翻译”。技术描述失真的话，评估过程中被问住就很被动。这一点我有切身体会——有次客户的安全方案写得天花乱坠，结果专家一问具体加密算法和密钥管理，答不上来，评估周期硬生生拖长了。
还有一个实务要点：评估结果的有效期和重新评估义务。评估通过后，如果数据出境的目的、方式、范围、种类发生变化，或者境外接收方的数据保护能力发生变化，或者出现影响数据出境安全的新情况，数据处理者应当重新申报评估。这不是一劳永逸的事。我一般建议客户把“重新评估触发条件”写进内部数据合规制度，做定期复核，比如每年一次，业务有重大变化时即时评估。很多企业拿证之后就忘了这茬，等到年检或者监管检查时才想起来，就比较被动了。
常见卡点与应对经验
第五个方面，说说实务中最容易卡住的地方。第一个高频卡点是“数据量统计口径”。累计100万人普通个人信息或者1万人敏感个人信息，怎么算“累计”、怎么算“提供”，不同企业的理解差异很大。我的建议是以自然年为周期，按数据主体去重统计，把间接提供（比如通过API、SDK）也算进去。有个做移动应用出海的客户，本来觉得自己量不大，结果把SDK嵌入第三方收集的信息算进来，直接超了。所以统计口径宁宽勿窄，这是我这十几年做手续的一贯原则。
第二个卡点是境外接收方链条长。很多集团架构下，数据从中国传到区域总部，再传到全球总部，甚至再传给第三方服务商。这种“再传输”怎么申报、法律文件怎么覆盖，是评估中的难点。评估办法要求说明再传输情况，我的做法是把完整传输链条画出来，每一环的接收方和保护措施都写清楚，法律文件尽量做到链条全覆盖，实在覆盖不到的，要求下一环接收方出具单独承诺。这个工作量不小，但不做的话，评估很难通过。
第三个卡点是自评估报告“报喜不报忧”。有些企业把自评估写成“我们一切都好”，风险点一个不提。这反而会引起监管的疑虑。自评估的本质是识别风险并提出 mitigation，不是证明自己完美无缺。我通常建议客户实事求是地列出风险点，然后说明采取了什么措施把风险降到可接受水平。这种写法反而更容易获得认可。说到底，监管部门要看到的是你有没有能力管住风险，而不是你有没有风险。
第四个卡点是时间预期管理。45个工作日听起来不长，但加上材料准备、补正、内部审批，整个周期三到六个月很正常。如果企业有跨境业务上线的硬性时间表，一定要把评估周期倒排进去。我见过太多项目，业务部门拍脑袋定上线日期，完全没考虑数据出境评估的时间，最后要么延期，要么冒险先传后补，这两种选择都不好。所以在项目立项阶段就把合规节点拉进来，是我给所有客户的标准建议。
通过后的持续合规义务
第六个方面，评估通过不是终点，而是持续合规的起点。拿到通过通知后，企业至少有几项持续义务：一是按申报时的方案执行，不得擅自扩大出境范围；二是发生重大变化时重新申报；三是配合监管部门的监督检查；四是做好数据出境活动的记录留存。这几项里，“不得擅自扩大范围”是最容易被违反的，因为业务变化往往快于合规更新。
我有个客户，评估通过时只申报了售后数据出境，后来市场部门想把手里的用户画像数据也传出去做精准营销，觉得“反正都是同一批用户的数据”。这其实是典型的超范围出境，数据出境的合规判断是按“目的+范围+种类”综合看的，不是按“用户”看的。后来我们及时叫停，补充申报后才上线。这件事说明，合规制度要嵌入业务流程，光有制度文本没用，得让业务部门在动手之前先问一句“这个在不在评估范围内”。
记录留存这块，实操中我建议企业建立数据出境台账，记录每次出境的场景、数据量、接收方、法律依据、评估状态。这东西平时看着像负担，但监管检查、内部审计、并购尽调的时候，它就是你的“合规证据链”。我帮几家外资企业搭过这个台账模板，其实不复杂，一个Excel加定期更新就能起步，关键是要有人负责、有节奏地维护。说白了，合规这事儿，功夫在平时。
最后提一句监督检查的应对。网信部门有权对数据出境活动进行监督检查，企业应当予以配合。配合的前提是你平时记录做得好、材料存得全。我一般建议客户指定一个数据合规负责人（可以是兼职），专门对接这类事务，别等检查通知来了才临时找人。这个岗位设置不一定要多高的编制，但责任要明确，否则真出事的时候，内部推诿比外部监管更让人头疼。
对投资决策的实务启示
第七个方面，回到各位最关心的——这对投资决策意味着什么。从尽调角度看，数据出境合规状况应该作为独立的尽调模块，而不是附在IT或法务尽调里一笔带过。要重点核查：标的是否触发评估义务、是否已完成申报、评估范围是否覆盖现有业务、有无超范围出境、有无重新评估触发情形未处理。这些问题的答案，直接影响标的的合规风险和估值调整。
从交易架构角度看，如果标的涉及数据出境且评估未完成，可以考虑在交易文件中设置合规里程碑和价款调整机制，比如约定评估通过作为交割先决条件，或者设置托管账户。我参与过的一起跨境并购里，买方就是因为卖方数据出境评估没做完，在SPA里加了专项赔偿条款，后来果然出了补正延期的问题，赔偿条款派上了用场。这种安排不是不信任对方，而是把不确定性定价，对双方都公平。
从投后管理角度看，数据出境合规应该纳入投后整合清单。很多并购完成后，被投企业和投资方的数据系统要打通，这一打通就可能产生新的出境场景，触发新的评估义务。我见过投后整合时直接把两边CRM系统对接，结果出境量瞬间翻倍，谁都没提前想到。所以投后整合方案里，数据合规这条线要和IT整合、业务整合同步规划，不能事后补课。
我的判断是：数据出境安全评估正在从“一次性审批”演变为“持续性合规管理体系”的一部分。对投资人而言，关注标的的合规成熟度，比关注单次评估是否通过更有价值。一个能把数据出境台账、责任矩阵、重新评估机制都建起来的团队，说明其合规管理是有体系的，这种标的在长期看更稳健。这个观点我在几个投资人群里聊过，认同的人越来越多。
回过头看，这篇文章从触发条件、申报主体、材料准备、审批流程、常见卡点、持续义务到投资启示，拉拉杂杂讲了七个方面。核心其实就一句话：数据出境安全评估不是一道可以临时抱佛脚的审批手续，而是一套需要前置规划、全程留痕、动态维护的合规工程。开头我提到的那家跨境电商客户，后来把评估和台账都做起来了，今年又遇到业务扩张，因为基础扎实，补充申报只花了一个多月。这就是体系的价值。未来我预计监管会进一步细化行业重要数据目录和自贸区负面清单，评估的颗粒度会更细，企业越早建立常态化机制，越能从容应对。希望这篇文章对各位的投资判断和合规布局有所助益。
嘉熙财税深耕外资企业服务与注册登记手续十四年，在数据出境合规领域积累了从数据盘点到评估申报、再到持续合规维护的全流程实操经验。我们认为，跨境数据流动的合规管理正在成为企业全球化运营的基础设施，而非可选项。对于外商投资企业和出海企业而言，数据出境安全评估的申请条件判断和审批流程把握，既关乎合规底线，也直接影响业务上线节奏和交易架构安排。嘉熙财税的视角是：把合规前置到业务规划和投资决策阶段，用台账化、矩阵化的方法把不确定性管住，这比事后补救更经济，也更符合专业投资机构的审慎原则。我们持续关注网信部门在重要数据目录、自贸区负面清单和评估实务口径上的最新动态，并愿意与各位同仁就具体场景的合规路径做进一步交流。
