距离2024年《数据出境安全评估申报指南》更新已经过去快两年，最近不少做跨境业务的企业都来找我问，现在数据出境到底要遵守哪些新规矩？会不会有没注意到的合规坑？毕竟2025年底网信办又补充了几个针对性的细则，刚好赶在2026年初整理出来，给大家把常见问题理清楚。

首先第一个大家问得最多的，就是现在到底哪些情况需要走数据出境安全评估？很多中小企业觉得我只是给境外总部传点日常办公数据，应该不用申报吧？

这里给大家划个明确的线，根据最新的要求，只要满足三个条件里任何一个，就必须申报。第一种是处理100万人以上个人信息的处理者向境外提供个人信息；第二种是出境数据里包含10万人以上个人信息或者1万人以上敏感个人信息；第三种是关键信息基础设施运营者向境外提供数据。哦对了，2025年底补充的细则里特意加了一条，如果是分批次多次出境，累计数据量达到上面的标准，也得按要求申报，别想着拆分数据绕开要求，现在监管对拆分行为查得很严。

很多做跨境电商、出海SaaS的朋友会问，那如果我们的出境数据没达到安全评估的门槛，是不是就不用管了？当然不是。没到安全评估门槛的，还有另外两个合规路径可以选，一个是做个人信息出境标准合同备案，另一个是通过认证机构完成个人信息出境认证。

很多人分不清这三个路径到底怎么选，我给大家举个例子，你就懂了。比如一家做跨境医疗的机构，每年收集超过100万国内用户的健康数据，要同步给境外的研发中心，那肯定得先走数据出境安全评估。如果你是一家做外贸的中小企业，总共才不到2万客户信息，每月给境外合作方传一次客户联系方式，这种情况走标准合同备案就行，流程比安全评估简单很多。

2026年最新的合规要点里，新增了对“重要数据出境”的特别要求，很多企业对重要数据的定义还是模糊的。什么是重要数据？简单说，就是一旦泄露或者被境外组织拿到，会影响国家安全、公共利益的数据。比如各地的国土空间规划数据、大型工业企业的核心生产数据、医疗领域的重症病例统计数据，这些都属于重要数据，不管量大量小，只要出境都必须走安全评估，这个是硬性要求，没有例外。

有做跨境互联网金融的朋友问过我，我们境外上市公司要按当地要求披露财报，里面会不会涉及需要申报的数据出境？这个问题其实监管早就说过，如果是为了满足境外上市合规要求的披露，你也要先对出境的数据做分类分级。如果你的财报里只包含企业自身的经营营收数据，不涉及用户个人信息和重要数据，那不用申报安全评估。但如果财报里附带了用户的信息，哪怕只是脱敏后的，只要数量达到标准，还是得按流程走。

还有一个大家容易忽略的点，就是通过第三方中转的数据出境，算不算违规？比如很多企业把数据存在国内的云服务器上，境外员工通过云服务商的跨境同步功能访问数据，这种情况算不算数据出境？答案是算的。只要数据被境外的机构或者个人能够访问到，不管你是直接传过去还是通过云端同步，都属于数据出境，都得按规则做合规。

之前有一家做跨境远程办公的企业就踩过坑，他们给境外团队开了国内服务器的访问权限，让境外同事可以随时下载国内用户的沟通记录，后来被查出累计下载了超过15万条个人信息，没做任何合规申报，最后罚了不少钱。其实他们只要提前去做个标准合同备案，就能避免这个问题。

现在还有一个新变化，就是对儿童个人信息出境的要求更严了。2025年下半年出台的细则里明确说，只要出境数据里包含不满14周岁未成年人的个人信息，不管总量多少，都必须走数据出境安全评估，不能走标准合同或者认证路径。很多做儿童教育出海的企业之前没注意这点，今年开始一定要调整合规方案。

很多企业问，申报完安全评估或者备案之后，是不是就一劳永逸了？当然不是，最新的要求里，每年都要做一次数据出境合规自评估，还要把自评估报告报给当地的网信部门。如果你的出境业务发生了重大变化，比如新增了出境的数据类型，或者换了境外的接收方，都得重新申报或者更新备案，不能一直用旧的合规文件。

还有一个常见误区，就是觉得做了数据脱敏就可以不用合规申报了。很多企业说，我把个人信息里的姓名、身份证号都删掉了，传出去总没事吧？不对，脱敏之后的数据，如果通过其他信息还能定位到具体的个人，那依然属于个人信息，该走的流程还是得走。只有完全无法识别到特定个人，也没法复原的匿名化数据，才不用遵守出境规则。

说到这里，很多中小企业会担心，合规流程这么多，会不会成本很高？其实对于大部分中小公司来说，只要你的出境数据没达到安全评估的门槛，走标准合同备案的流程已经简化很多了，现在都是网上办理，不需要跑线下，准备材料的时间也比之前短很多。而且早合规早放心，现在监管的抽查频率越来越高，等到被处罚再补，成本才真的高。

最后提醒大家一句，2026年开始，监管会重点抽查跨境互联网、医疗、金融、人工智能这几个领域的数据出境情况，这些领域的企业最好提前做一次全面的自查，把该补的备案、申报都补上，别存侥幸心理。数据合规不是一锤子买卖，跟着政策更新及时调整，才是最稳妥的做法。

数据出境安全管理,数据出境合规,2026数据出境要点,数据出境安全评估,个人信息出境,数据出境法规,重要数据出境,数据出境问答,数据出境备案,儿童个人信息出境

[Q]：哪些情况必须进行数据出境安全评估申报？
[A]：满足以下任一条件就必须申报：处理100万人以上个人信息向境外提供；出境数据包含10万人以上个人信息或1万人以上敏感个人信息；关键信息基础设施运营者向境外提供数据；任何量级的重要数据出境；出境数据包含不满14周岁未成年人个人信息，同时分批次累计出境达到标准也需要申报。
[Q]：未达到安全评估门槛的数据出境，还需要合规吗？
[A]：仍然需要合规，未达标可选择两个合规路径：一是办理个人信息出境标准合同备案，二是通过认证机构完成个人信息出境认证，不能直接违规出境。
[Q]：境外上市披露财报属于数据出境，需要申报吗？
[A]：要分情况看，如果仅披露企业自身经营数据，不涉及用户个人信息和重要数据，不需要申报；如果披露内容包含符合申报标准的用户信息，依然需要按流程完成申报。
[Q]：境外员工远程访问国内数据算数据出境吗？
[A]：算。只要数据能被境外机构或个人访问，不管是直接传输还是云端同步访问，都属于数据出境范畴，需要按规则完成合规手续。
[Q]：脱敏后的个人信息出境还需要合规吗？
[A]：要看脱敏的程度，如果脱敏后依然可以通过其他信息定位到特定个人，仍然属于个人信息，需要按规则合规；只有完全无法识别、无法复原的匿名化数据，才不需要遵守出境规则。
[Q]：儿童个人信息出境有什么特殊要求？
[A]：2025年后新规明确，只要出境数据包含不满14周岁未成年人的个人信息，不管数据总量多少，都必须走数据出境安全评估，不能选择标准合同备案或出境认证。
[Q]：完成申报备案后就不用再管了吗？
[A]：不是，需要每年做一次数据出境合规自评估，并且将自评估报告上报给当地网信部门；如果出境业务发生重大变化，比如新增数据类型、更换境外接收方，需要重新申报或更新备案。
[Q]：中小企业数据出境合规成本很高吗？
[A]：对于大部分符合标准合同备案条件的中小企业来说，目前流程已经简化，全程线上办理，准备成本和时间成本都不高，提前合规反而比违规被罚成本低很多。