2024 年 3 月 22 日，国家互联网信息办公室公布《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号），自公布之日起施行。这份规定没有改变三条路径的基本框架，但调整了触发门槛与豁免范围，实务影响主要集中在“哪些情形不用申报”和“数量怎么累计”。
三条路径的门槛
- 安全评估。 关键信息基础设施运营者向境外提供个人信息，或处理重要数据；以及达到数量门槛的个人信息出境，需要申报安全评估。
- 标准合同或认证。 未达到安全评估门槛，但超过豁免门槛的个人信息出境，可在标准合同与个人信息保护认证之间选择。
- 豁免。 符合规定情形的，可以免于申报、订立标准合同或认证。
数量门槛按自然人计数，敏感个人信息与一般个人信息分别计算。具体分档以规定原文为准，企业不应沿用旧口径。
豁免情形与自贸区负面清单
规定列出了若干免于申报的情形，涵盖合同履行、跨境运输、学术合作、跨国公司人力资源管理、紧急情况等场景。这些豁免有共同前提：数据出境的目的与范围应当与所列情形相符，不能以“人力资源管理”为名行批量输出之实。
另一个变化是自贸区负面清单。自贸区内可以制定需要纳入管理的数据清单，清单之外的数据出境不受三条路径约束。清单由各自贸区自行发布，企业需要按实际所在地确认适用版本。
企业需要重新做的三件事
- 重算人数。 按自然人而非记录条数累计，区分敏感与一般个人信息，确认是否仍达到门槛。
- 重判情形。 逐项核对出境场景是否落入豁免，豁免依据要能写成书面说明，而不是口头判断。
- 重做协议。 标准合同、告知同意与境外接收方义务需要与新的门槛对应；原先按旧规准备的材料，可能已经不再适用。
涉及出境路径选择，可参见数据合规服务与跨境数据服务；境外架构安排参见境外架构；术语口径见术语表。
本文依据国家互联网信息办公室 2024 年 3 月 22 日公布的《促进和规范数据跨境流动规定》及公开信息编写，仅供参考，不构成法律意见。