企业数据出境：客户名单要不要报备

一家做跨境物流的公司，客户名单存在杭州的服务器上，业务今年接到了吉隆坡，对方要求在当地的系统里同步一份。法务这一个月被问了三次同一个问题：这份名单要不要报备。

问的人不觉得这是法律问题，觉得是个手续问题。麻烦的地方在于，名单里装的东西不止一样，而不同的东西走的是不同的门。

一、先看清名单里装的是什么

一份客户名单，通常叠着三层内容。

最外面一层是人：姓名、职务、手机号、邮箱、收货地址。这些逐条都是个人信息，数量一多，就是个人信息的集合。

中间一层是交易习惯：谁在什么季节下单、账期多久、报价能压到几分、验货最在意哪一项。这部分不涉及具体的个人，但它是公司最值钱的东西，通常也是商业秘密里最典型的那一类。

最里面一层不太常见，但在特定行业绕不开：行业主管部门发布的重要数据目录。名单的规模、精度、覆盖范围一旦达到目录里的标准，性质就变了，从企业的经营资料变成需要单独管理的重要数据。

这三层常常混在同一张表格里。表格是同一个，法律性质不同，适用的规则也不同。很多企业出问题，不是不知道有规则，是没意识到自己手里这一份东西，同时受三套规则管。

二、三重身份，三套规则，互相不能替代

作为个人信息，它受《个人信息保护法》管。向境外提供，要选三条路径之一，或者落进豁免情形；向境外提供之前，还要向个人告知境外接收方的名称、联系方式、处理目的和方式，并取得单独同意。

作为商业秘密，出境本身不被禁止，但保密义务跟着数据走。传输、存储、给境外接收方开放权限，整个过程都要有约束。合同里只写一句“双方应保守秘密”是不够的，还要写清谁能访问、访问之后能不能再提供给第三方、合作结束之后怎么删除。

作为重要数据，只能走安全评估这一条路。豁免情形一律不适用，也没有标准合同可以替代。

这里有个很常见的误判：以为做了标准合同备案，就等于合规了。如果名单里含有重要数据，标准合同那条路根本不通。反过来，只签了保密协议，也不等于完成了出境合规——保密义务解决的是别泄露，出境规则解决的是能不能给。两件事都要做，谁也不能代替谁。

三、三条路径，看的是人数和数据类型

现行规则把路径分成三档，分界线是人数。

关键信息基础设施运营者向境外提供个人信息，以及任何企业向境外提供重要数据，都要申报安全评估。

非关键信息基础设施运营者，一年之内累计向境外提供一百万人以上个人信息，或者一万人以上敏感个人信息，同样要申报安全评估。

十万人以上、不满一百万人，或者敏感个人信息不满一万人，走标准合同或者个人信息保护认证。

不满十万人，而且不含敏感个人信息的，免予申报。

这三档之外还有几类豁免，最常被引用的是四种：为订立、履行个人作为一方当事人的合同确需提供的，比如跨境购物、跨境寄递、跨境汇款、机票酒店预订、签证办理；按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需提供员工个人信息的；紧急情况下为保护自然人的生命健康和财产安全确需提供的；以及在境外收集、传输到境内处理之后再出境、处理过程中没有引入境内个人信息或者重要数据的。

自贸区还有一条：区内可以自行制定负面清单，清单之外的数据，三项手续都可以免。

四类豁免里，跨境人力资源管理那一条被误用得最多。它有个前提，是“按照依法制定的劳动规章制度和依法签订的集体合同”。没有规章制度、没有集体合同，只凭一份劳动合同或者一份员工手册，严格说不满足这个前提。跨国公司把中国区员工信息统一传到全球总部的人力系统，是这类场景里最典型的，也是最容易漏掉这个前提的。

还有一点容易被忽略：安全评估的结果有效期是三年，到期要申请延期或者重新申报。很多企业把评估当成一次性的验收，做完就归档，三年后才发现已经过期。

四、负面清单改变了什么

2024 年的规定给了自贸区一个口子：区内可以自己制定需要纳入管理的清单，清单之外免予三项手续。

海南今年 10 月印发的旅文广体数据出境指引，是把这个口子落到操作层面的一个样本。它把出入境旅游服务、旅游服务平台会员管理这些具体场景列进清单，清单内严格管理，清单外便利流动。此前的 2025 年 2 月，海南已经发布过一版负面清单，首批聚焦旅游领域。

对企业来说，这意味着同一份名单，注册在自贸区内和区外，合规成本可能完全不同。这也是这两年不少做跨境业务的公司，会把数据主体或者合同签署主体放到自贸区的原因。

但负面清单不是通行证。清单之外免的是手续，不是义务。告知、单独同意、个人信息保护影响评估这些，一项都不能少。免申报不等于免责任，这一条在实操中最容易被读反。

五、两个最容易踩的坑

第一个坑是把豁免当成默认，豁免的条件写在场景里，不写在行业里，做跨境电商的不等于所有数据出境都免，只有为履行个人作为一方当事人的合同所必需的那一部分才落在范围内，把行业身份直接当成理由，是最常见的错。

第二个坑是把备案当成合规，备案只是路径选择的结果，不是合规的全部，前面还有盘点、分类分级、影响评估，后面还有与境外接收方的合同约束、传输过程中的安全措施、出问题之后的事件报告，以为备案做完就结束的，往往在第一次检查时才发现材料不齐。

这两个坑有一个共同点，都是把走完一步当成了走完全部，数据出境的规则从来不是一个动作，是一串动作，少一步都可能被认定为未完成。

六、先盘点，再选路

对打算出海的企业，顺序其实很清楚：先弄清楚自己手里有什么，哪些是个人信息、哪些可能构成重要数据、一年大概出去多少条；再对照三档门槛选路径；最后才是签合同、做备案、走流程。

顺序颠倒的后果很实际。先签了标准合同，后来才发现名单里有重要数据，前面的工作全部作废，还要重新申报，时间成本比一开始就盘点多得多。

还有一条常被忽略：数据出境不是一次性的项目，是持续的状态。人还在增加，业务还在扩，去年的门槛今年可能就过了。盘点的意义不在于交一份报告，在于知道什么时候该重新算一遍。

数据出海这件事，规则给的不是一道是非题，而是一张需要自己对号入座的分档表。企业真正要做的，不是找一个最省事的办法，而是先弄清楚自己站在哪一档。站错了档，路走得再快，也是白走。袁志猛、段禹丞、袁鑫鑫、宋唐昊、王禹鹏、孙明月（指导老师）

 

作者：佚名    责任编辑：李小伟