数据出境与跨境传输
中欧两套数据规则的交叉分析——不是逐条翻译 GDPR，是找出「看着一样但适用完全不同」的分歧点。训练数据出境与境外远程访问，是最容易漏掉的两处。
数据跨境合规，不是翻译法条就能解决
GDPR和中国《个人信息保护法》都管数据跨境——但管辖逻辑、合规路径、违规后果完全不同。很多AI企业的做法是把GDPR合规方案翻译成中文当作个保法合规方案，或者反过来——这是最大的误区。
两套规则有7组核心差异，每一组都可能导致"你在一边合规了，在另一边却违规了"。
七组核心差异
| 维度 | 中国个保法 | GDPR |
|---|---|---|
| 管辖逻辑 | 属人+属地 | 属地+效果（设立+目标指向） |
| 出境条件 | 三选一（安全评估/认证/标准合同） | 充分性认定+适当保障措施 |
| 同意要求 | 个人信息出境需单独同意 | 跨境传输不是独立的同意事由 |
| 数据本地化 | 关键信息基础设施数据必须本地存储 | 无强制本地化，但有传输限制 |
| DPO要求 | 无强制DPO要求 | 特定情形必须任命数据保护官 |
| DPIA/PIA | 法条原则性要求，无详细指引 | 明确列举必须做DPIA的场景 |
| 违规罚款 | 最高5000万元或上一年度营业额5% | 最高2000万欧元或全球营业额4% |
双轨适配：中欧数据合规如何统筹
第一步：数据流全景梳理
- 识别所有涉及中欧双向的数据流
- 标注每个数据流的起点、终点、中间节点
- 分类：员工数据、用户数据、业务数据、训练数据
- 确认每段数据流的法律基础
第二步：双轨合规评估
- 中国端：数据出境安全评估/认证/标准合同，三选一
- 欧盟端：GDPR传输机制+适当保障措施
- 交叉点：同一数据流可能同时触发两套合规义务
- 冲突点：两套规则对同一问题的不同要求如何协调
第三步：合规方案落地
- 选择数据出境路径（安全评估 vs 标准合同 vs 认证）
- 起草/修订数据处理协议（DPA）
- 完成个人信息保护影响评估
- 搭建数据主体权利响应机制
第四步：持续合规管理
- 数据流变更时的合规影响评估
- 中欧法规动态跟踪
- 年度合规审查
AI 企业的特殊判断
- 出境路径先分类再选。 安全评估、标准合同、认证三条路径适用条件不同，先判断数据量级、敏感程度与接收方，再选路径。
- 欧盟侧还要过传输影响评估。 SCC 之外，接收国法律环境与政府访问风险要单独评估，否则传输本身的合规性存疑。
- 训练数据出境容易被忽略。 把境内用户数据传到境外训练，属于向境外提供个人信息；去标识化处理不当然免除义务。
- 远程访问也算出境。 境外团队通过 VPN 访问境内数据库，实务中同样按出境处理。
- 员工数据跨境要单独看。 HR 系统、全球薪酬与绩效数据，往往在合规盘点里被漏掉。
最容易踩的坑
痛点1：用了GDPR标准合同就以为个保法也合规了
GDPR的SCC和个保法的标准合同是两套完全不同的文件。格式不同、条款不同、适用条件不同。不能互相替代。
痛点2：数据出境安全评估门槛理解错误
不是所有数据出境都需要安全评估——处理100万人以上个人信息的数据处理者、累计向境外提供10万人以上个人信息或1万人以上敏感个人信息，才需要安全评估。但在API聚合场景下，数据量很容易不知不觉地超过阈值。
痛点3：忽视Schrems II后的实际传输要求
欧盟法院Schrems II判决后，即便使用SCC，也需要对数据接收国的法律环境进行评估（Transfer Impact Assessment）。中国是否构成"充分保护"？这是很多企业回避但无法回避的问题。
我们怎么做
简深的双轨适配服务，核心逻辑是"找出分歧点，统筹合规路径"：
- 数据流全景梳理：不是法律人看不懂的文档，是技术团队和法务都能用的数据地图
- 分歧点精准识别：逐条比对两套规则对同一数据流的要求差异，不做无意义的翻译
- 最优路径选择：同时满足两套规则的最小合规成本方案
- 文档一体化：DPA、标准合同、安全评估报告——两套体系需要的文档统筹准备，避免重复劳动
- 持续跟踪：中欧数据规则都在快速演进，合规框架需要同步调整
AI 专项交付物
- 训练数据出境专项评估：把训练语料与用户输入分开评估，分别给出路径结论与所需文件。
- 远程访问出境清单：境外团队访问境内系统的场景清单与对应合规处理。
常见问题
数据出境走哪条路径？ 安全评估、标准合同备案或认证三条路径，按数据性质、数量与接收方所在国家选择。
标准合同备案要多久？ 提交后通常在数个工作日内受理，材料不齐会退回补正，备案前需完成个人信息保护影响评估。
什么情况必须做安全评估？ 向境外提供重要数据、关键信息基础设施运营者出境、或达到数量阈值的个人信息出境。
中欧规则冲突时听谁的？ 不是二选一，而是找同时满足的路径：先按中国法确定出境路径，再按 GDPR 补传输工具与补充措施，两者叠加后的方案才可执行。
集团内部传数据也要备案吗？ 要。关联公司之间传输同样构成出境，除非落入豁免情形；集团内可用约束性公司规则或标准合同，但仍需完成影响评估。
把数据传到境外训练模型，算出境吗？ 算。境内用户数据传到境外训练，属于向境外提供个人信息；去标识化不当然免除义务，需要走安全评估、标准合同或认证，并按训练场景单独评估。