数据出境安全评估申报材料清单：法定四类与实务八份文件

数据出境安全评估的申报材料，法条上只有四类，实务中却要交出八份能被独立阅读的文件。差别不在数量，而在材料之间能否相互印证。审查人员看的不是某一份写得多完整，而是场景说明、自评估报告、合同条款与安全措施四处的口径是否一致——接收方是不是同一个主体，数据种类是不是同一批，人数是不是同一个口径，措施是不是真的在运行。

口径对不上，材料越厚，退回得越快。

一、先确认是否落在申报范围

《促进和规范数据跨境流动规定》第七条把申报情形收为三类：

三个易错点。第一，累计口径是自当年 1 月 1 日起，不是单次传输，也不是合同期内。第二，敏感个人信息单独计数，1 万人即触发，门槛远低于一般个人信息。第三，重要数据不看数量，判断依据是地区与部门发布的重要数据目录，而不是企业的保密等级。

不落在三类的，走标准合同备案或个人信息保护认证。但"不申报评估"不等于"不用评估"，出境前的风险自评估义务仍然存在，只是审查主体从国家网信部门变为企业自身与省级备案环节。

二、法定四类材料

《数据出境安全评估办法》第六条列了四项，没有第五项：

第四项是兜底条款，也是实际工作量所在。它不是"有就交、没有就算"，而是审查人员用来验证前三项的材料。前三项回答"你说了什么"，第四项回答"凭什么相信"。

三、实务八份文件

其一，申报书。 按备案系统模板填写，核心是出境场景数量、数据种类、涉及人数、接收方名称与所在国家或地区。填写要点是场景拆分粒度：一个业务动作对应一个场景，不要把"模型调用"与"客服外包"合并成一个"境外处理"。

其二，出境场景说明。 用业务流程图与数据流图说明数据从哪来、经过哪些系统、以什么方式到境外、境外如何留存与再传输。文字部分只需回答四个问题：为什么出境、出境什么、给谁、留多久。图上要标出每一跳的载体与加密方式，因为审查人员会拿它与合同附件逐跳对照。

其三，数据出境风险自评估报告。 这是核心文件，下一节单独展开。

其四，与境外接收方的法律文件。 可以是主合同中的数据条款、单独的数据处理协议，或具有法律效力的其他文件。办法第九条要求至少约定六项内容：出境目的方式与范围、境外保存地点与期限及期满处理、再传输约束、接收方控制权或所在地区规则变化时的安全措施、违约补救与争议解决、数据安全事件处置与个人维权渠道。六项缺一项，都可能在完备性查验阶段被要求补正。

其五，接收方安全能力说明。 包括接收方的数据安全管理制度、技术措施、人员配置、过往安全事件记录，以及所在国家或地区的数据保护规则与网络安全环境。这一份最容易被写成一段自我声明，实际需要的是可核查的事实，例如是否通过 ISO 27001、是否有独立安全团队、数据存储在哪个区域。

其六，数据安全保护措施说明。 分技术与管理两部分。技术部分写加密、脱敏、访问控制、日志留存、传输链路；管理部分写审批流程、人员权限、供应商管理、事件响应。关键在"运行记录"：制度文本谁都有，审查看的是最近三个月的访问日志、审批工单与演练记录。

其七，个人信息权益保障说明。 说明告知与同意的实现方式、单独同意的适用场景、个人行使查阅复制更正删除等权利的渠道与时限、投诉处理机制。跨境告知必须在隐私政策中单独成节，不能只在总括条款里提一句。

其八，主体资质与授权文件。 营业执照、法定代表人身份证明、经办人授权委托书。看似最简单，退回却常见于授权委托书未加盖公章、经营范围不覆盖实际业务。

四、风险自评估报告的六章

办法第五条列了六项评估事项，报告结构应当逐项对应，不要另起体系。

第六章最常被写成"无其他事项"。这一章实际考察的是持续性管理能力：接收方被收购怎么办，所在国修改数据法怎么办，模型供应商更换推理节点怎么办。写"无"，等于告诉审查人员没有想过这些问题。

五、五个高频退回原因

其一，场景与合同对不上。 场景说明写"向 A 公司传输"，合同签署方是 B 公司，或合同附件列的数据种类少于场景说明。关联公司之间代收代付、代签合同的情形尤其常见。

其二，人数口径算错。 把累计人数按单次传输计算，或把去标识化数据当作匿名化数据排除。去标识化仍属个人信息，必须计入。

其三，再传输没有约束。 境外接收方把数据交给其子处理者或云服务商，合同未约定再传输的清单、条件与责任。这一项在办法第九条第三项中有明确要求。

其四，安全措施只有制度没有记录。 提交了制度文本与架构图，没有访问日志、审批记录、演练记录。审查人员无法判断措施是否在运行。

其五，重要数据判断缺依据。 结论写"不属于重要数据"，但未说明对照了哪一份目录、由谁判断、依据什么字段。判断过程比结论更重要。

六、流程与时限

把这张表倒推一遍，就能得出启动时点：若目标上线日固定，至少要在上线前六个月启动，因为 45 个工作日只是评估本身，不含材料准备、补正与可能的延长。

七、与标准合同备案的差异

两条路径不是可以自由选择的菜单，而是按门槛自动适用。企业常犯的错误是先按标准合同准备，做到一半发现人数越线，再转评估，前面谈好的合同条款要按第九条重谈。

八、十二周准备表

审查期不计入十二周。若已被监管问询或收到整改通知，时间压缩，材料准备与合同谈判需要并行推进。

站内相关梳理：数据出境三条路径与预算、数据分类分级怎么做、个人信息保护影响评估，以及数据合规与跨境与出海服务页。

本文依据《数据出境安全评估办法》《促进和规范数据跨境流动规定》及公开申报要求编写，仅供参考，不构成法律意见。具体申报应以属地网信部门最新要求为准。