数据出境安全评估的申请，核心是三步：先判断自己是否属于必须申报的情形，再准备申报材料，最后通过省级网信部门向国家网信部门提交。在上海，企业通常向上海市网信办提交材料，由其对完备性进行查验后报国家网信部门。下面从一个常见场景说起，把法律定性、争议焦点和操作要点逐层拆开。
一家上海公司的困惑：业务出海，数据能不能直接传？
张江一家做跨境物流信息系统的公司，要把国内货主和司机的部分数据传输到海外服务器，用于全球调度。法务问：是不是所有数据出境都要做安全评估？答案是否定的。只有达到法定门槛的情形才需要申报，未达门槛的可以通过标准合同或认证等方式处理。
这里要注意，数据出境不只指把数据存到境外，还包括境外机构能访问、调用境内数据的情形。打个比方，境内服务器但海外总部可远程登录查看，也可能被认定为出境。
法律上怎么定性：哪些情形必须申报安全评估？
《中华人民共和国个人信息保护法》确立了数据出境的基本管理框架，安全评估是其中门槛最高的一条路径。关键看三个维度：数据性质、数据量级、接收方风险。
《中华人民共和国个人信息保护法》第三十八条：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。
具体到申报门槛，通常包括：向境外提供重要数据；关键信息基础设施运营者向境外提供个人信息；处理个人信息达到规定数量的处理者向境外提供个人信息等。数量标准以现行有效的规定为准，企业不要凭印象判断。
| 情形 | 是否需申报安全评估 | 常见替代路径 |
|---|---|---|
| 非CIIO，年度累计出境个人信息未达规定数量 | 一般不需要 | 标准合同或认证 |
| 非CIIO，达到规定数量 | 需要 | 无 |
| 关键信息基础设施运营者出境个人信息 | 需要 | 无 |
| 出境重要数据 | 需要 | 无 |
争议焦点：数量怎么算、重要数据谁说了算？
第一个焦点是数量统计口径。实践中常见企业把不同业务线的数据分开算，导致低估。一般应按处理者整体口径统计，且关注是否连续计算。这里建议在申报前做一次数据映射，把出境场景、字段、人数列清楚。
第二个焦点是重要数据的识别。重要数据不是企业自说自话，通常依据行业主管部门发布的重要数据目录或相关标准认定。企业拿不准时，可向主管部门咨询，不宜自行排除。
第三个焦点是境外接收方的约束。评估不仅看境内，还看境外接收方的安全能力、法律环境。合同条款是否约定再传输限制、安全事件通知义务，都会影响评估结果。
实务操作：申请流程分几步走？
在上海，申报路径一般是：企业准备材料，向上海市网信办提交，省网信部门查验材料完备性后报国家网信部门，由国家网信部门组织评估并反馈结果。流程上大致分以下几步：
- 自查是否达到申报门槛，形成书面判断依据。
- 开展数据出境风险自评估，形成自评估报告。
- 准备申报书、数据出境安全评估申报表、法律文件等材料。
- 向上海市网信办提交，配合完备性查验和补充材料。
- 根据评估结果调整出境方案，评估通过后方可按方案实施。
材料方面，自评估报告是重头戏，要写清出境场景、数据清单、接收方情况、风险点及缓解措施。申报表信息要与实际情况一致，避免前后矛盾。评估结果有有效期，到期或场景发生重大变化时需要重新申报。
结尾建议：先定性，再动手
数据出境安全评估不是填表游戏，核心是先把法律定性做对。定性错了，材料准备再漂亮也可能被退回。建议企业建立数据出境台账，动态跟踪数量变化和监管口径更新。涉及复杂场景的，建议结合自身情况咨询专业律师，必要时同步与主管部门沟通确认。
常见问题
上海企业向哪个部门提交安全评估申请？
结论：向上海市网信办提交，由其查验后报国家网信部门。理由：省级网信部门是法定受理和查验环节，企业无需直接向国家网信部门递交。
安全评估没通过，还能继续出境吗？
结论：不能按原方案出境。理由：评估未通过意味着方案存在风险，应调整出境场景或采取补救措施后重新申报，擅自出境存在合规风险。
评估结果有有效期吗？
结论：有。理由：评估结果通常设有效期，到期或出境目的、方式、数据范围发生重大变化时，需重新申报评估。