一、法规核心要点

1. 适用范围

1. 重要数据出境；
2. 关键信息基础设施运营者或处理100万人以上个人信息的出境；
3. 累计向境外提供10万人个人信息或1万人敏感信息；
4. 国家网信部门规定的其他情形。

2. 安全评估原则

• 事前评估 + 持续监督；
• 风险自评 + 官方评估相结合；
• 确保数据合法、安全、有序自由流动。

3. 自评要点

1. 数据出境的合法性、正当性、必要性；
2. 数据规模、敏感性及潜在风险；
3. 境外接收方的责任义务和安全能力；
4. 数据泄露、篡改、丢失等风险；
5. 数据出境合同条款的完备性；
6. 其他可能影响安全的因素。

4. 申报材料

5. 监管流程

• 省级网信部门查验材料完整性（5个工作日）；
• 国家网信部门受理（7个工作日）；
• 安全评估（45个工作日内完成，可延长）；
• 复评机制（15个工作日）。

6. 法律文件要求

1. 数据出境目的、范围、方式；
2. 数据存储、保存期限、处理措施；
3. 再转移约束；
4. 风险变化应对措施；
5. 违约责任和争议解决；
6. 应急处置与数据主体权益维护。

7. 有效期与复评

8. 违法责任

• 违反办法依法处理，严重者追究刑事责任；
• 故意提交虚假材料，评估不通过并承担法律责任。

二、监管逻辑

1. 监管目的

• 防范数据出境引发的国家安全风险、公共利益受损风险和个人信息泄露风险；
• 促进数据安全有序流动，实现安全与自由流动平衡；
• 推动企业建立内部数据安全管理与跨境合规机制。

2. 监管重点

• 数据类别：重要数据和敏感个人信息；
• 境外接收方：是否具备安全保障能力，所在国家法规环境如何；
• 合同条款完备性：是否明确责任与应急处置；
• 动态监督：评估有效期内是否发生风险变化，是否及时复评整改。

三、适用场景

场景一：移动APP跨境用户数据传输

场景二：跨境AI训练数据集

场景三：SaaS服务提供商数据托管

四、合规落地路径

Step 1：数据梳理与分类

1. 列出出境数据类型：个人信息、重要数据、敏感数据；
2. 统计数据量、涉及用户/组织数量。

Step 2：自评风险

1. 检查合法性、正当性、必要性；
2. 评估境外接收方合规能力与技术保障；
3. 梳理潜在风险场景（泄露、篡改、丢失等）。

Step 3：合同和法律文件完善

1. 明确数据用途、处理方式、存储期限；
2. 约定再转移规则、违约责任、应急处置流程。

Step 4：材料准备与申报

1. 制作申报书、风险自评报告、合同及其他材料；
2. 先向省级网信部门提交，再上报国家网信部门。

Step 5：配合安全评估与整改

1. 根据评估要求提供补充材料；
2. 持续监控境外接收方及数据使用情况。

Step 6：复评与更新

五、常见风险

1. 数据规模/敏感信息超标

2. 境外接收方安全能力不足

3. 合同约定不完善

4. 虚假申报

5. 动态风险忽视