跨境数据流动合规的核心要求是：向境外提供数据前，必须完成安全评估、签订标准合同或进行认证，并履行告知同意程序。很多企业一上来就传数据，结果被罚。今天我们就聊聊那些高频错误做法，帮你避坑。
错误一：以为只有大企业才需要管跨境数据
不少中小企业觉得，跨境数据合规是大公司的事，自己规模小、数据少，随便传没关系。这想法很危险。法律看的是数据类型和数量，不是企业大小。只要涉及个人信息或重要数据出境，就可能触发合规义务。
比如，一家上海的小外贸公司，把客户名单发给海外物流商，如果名单里包含身份证号、手机号，就可能构成个人信息出境。根据《中华人民共和国个人信息保护法》，个人信息处理者向境外提供个人信息，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及向境外接收方行使权利的方式和程序，并取得个人的单独同意。所以，别拿企业规模当挡箭牌。
错误二：直接传数据，不签标准合同也不做评估
这是最常见的坑。有人觉得，双方合作多年，口头说一声就行。但法律要求，向境外提供个人信息，必须根据情况选择安全评估、标准合同或认证中的一种。特别是达到一定数量的，必须申报安全评估。
《个人信息保护法》第三十八条明确：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。这里要注意，标准合同不是随便签个协议就行，必须用国家网信部门制定的模板，并在签订后向省级网信部门备案。
《中华人民共和国个人信息保护法》第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。
错误三：忽略“告知-同意”这个前置动作
很多企业只顾着和境外接收方签合同，却忘了告诉用户。向境外提供个人信息，必须向个人告知境外接收方的身份、联系方式、处理目的、处理方式、个人信息种类以及行使权利的方式和程序，并取得个人的单独同意。不能混在隐私政策里一笔带过。
实践中常见的是，App弹窗只写“我们可能将您的信息传输至境外”，没有具体接收方和目的，这不算有效告知。正确做法是单独弹窗，清晰列出上述信息，让用户主动勾选同意。上海法院在审理相关纠纷时，会重点审查告知的显著性和同意的自愿性。
错误四：以为数据出境后就跟自己无关了
数据传出去，责任还在。法律要求个人信息处理者对境外接收方的处理活动进行监督。如果境外接收方泄露或滥用数据，你作为提供方也可能要担责。所以，签合同时要约定监督条款，定期检查接收方的安全措施。
另外，如果出境数据涉及重要数据，或者达到安全评估门槛，必须主动申报。不要心存侥幸，以为不报就查不到。网信部门有监测能力，一旦发现，轻则责令整改，重则罚款、暂停业务。
正确做法：分三步走
- 盘点数据：先搞清楚你要出境的是什么数据，是个人信息还是重要数据，数量多少，涉及哪些人。
- 选择路径：根据数据类型和数量，判断是走安全评估、标准合同还是认证。不确定的，可以咨询专业律师。
- 履行程序：完成告知同意、签订合同或申报评估，并做好记录留存。备案和评估材料要保存至少三年。
常见问题
员工出差带电脑出国，算数据出境吗？
算。如果电脑里存有个人信息或重要数据，你带出境就构成数据出境。短期出差建议使用脱敏数据或云端访问，避免本地存储敏感信息。
和境外分公司共享数据也要合规吗？
要。集团内部跨境传输同样适用个人信息保护法的规定。除非符合豁免情形，否则仍需履行告知同意、签订标准合同或评估等义务。
跨境数据流动合规不是玄学，关键是别踩坑。建议结合自身情况咨询专业律师，把合规动作做在前面。