上周三凌晨两点，我微信收到个读者的消息，字里行间全是慌。
他前一天找代购买了个某大牌的登山包，商家说海关要核对身份，让他把身份证正反面照片发过去，他发了之后躺到床上突然反应过来——我这身份证照片，是不是直接就传到国外去了？
我盯着屏幕笑了半天。
真的，这问题我每个月能收个七八次。很多人觉得个人信息跨境传输是啥离自己八丈远的监管术语，是大公司才要操心的事，其实根本不是。
你订出国的机票填的护照号。
你在境外网站买东西留的收货地址。
甚至你刷境外短视频APP，留的手机号、看的内容偏好，全在这个规则的管控范围内。
到底啥才算法律说的个人信息跨境传输？
很多人对这个概念的第一反应是，我得自己翻墙上境外网站，填了信息才算？
真不是。
我之前碰到个开跨境民宿的老板，跟我掰扯了半小时，说他从来没把客人信息传到国外，为啥网信办给他开了整改通知书。我点进他民宿的预订页面一看，人家用的预订系统服务器节点全在马来西亚，客人填的身份证号、入住记录，每天自动同步到境外的系统里，他自己都不知道。
法律上对这个事的判定特别简单：只要你的个人信息，从国内的存储、处理系统，被传到了境外的服务器、境外的机构手里，不管你是主动填的还是被动同步的，全算。
别觉得这是小题大做。之前有个做留学中介的，把学生的成绩单、家长的银行卡流水，直接导给了境外的合作院校，连个提前的告知都没有，学生后来收到了一堆境外的贷款广告，顺着线索找过去才发现，自己的信息早被传得满天飞。
别信那些传得神乎其神的误区
说真的，我这些年接的咨询里，十个有八个对这事有误解。
最常见的一个，就是”只要我没主动给境外商家留信息，我的信息就不会被跨境传输”。
大错特错。
你用的跨境支付工具，绑了你的国内银行卡，你付的每一笔钱，信息都要同步到支付机构的境外风控系统。你用的国内云盘，如果买了国际版的服务，你存在里面的工作文档、私人照片，可能自动就同步到了境外的节点。这些场景里你根本没和境外的人打照面，信息的跨境传输已经发生了。
还有个误区更离谱，有人说”只要我没把信息卖给境外的人，怎么传都不违规”。
之前有个做跨境电商的朋友，拍着桌子跟我喊，我又没倒卖客户信息，就把客户的收货电话导给了越南的仓库用来发货，凭什么罚我？
我给他翻了下规则，哪怕是正常业务需要的跨境传输，也得提前满足合规要求：要么走了网信部门的安全评估，要么拿到了个人信息保护的专门认证，要么和境外接收方签了符合要求的保护协议。他啥都没做，连个最基本的保密约定都没有，仓库的员工随便就能导出客户的手机号，这当然违规。
普通人碰到这事，能做的三件小事
别觉得这事全是监管的事，普通人能做的真不少，而且全是低成本的动作，不用你去啃几百页的法条。
第一件事，下次碰到需要填信息的境外场景，多往下翻两页隐私政策。
比如你买境外机票、订境外酒店、找代购办清关，别上来就把身份证号、护照号全填了，先找隐私政策里的跨境传输说明——正规的平台都会单独列出来，说清楚哪些信息会传到境外、传给谁、用来干嘛。要是找了半天连个相关的说明都没有，你就直接找客服问，答不上来的，能少填的信息就少填，非必要的就别给。
第二件事，真碰到信息被乱传的情况，别嫌麻烦。
我去年帮个读者整理过举报材料，他说自己从来没接触过境外的培训机构，却连续三个月收到境外的考研机构的营销短信。顺着线索找过去，发现是他之前报的一个国内的考研班，把他的手机号传给了境外的合作方，连个告知都没有。他去网信办的举报平台提交了材料，不到二十天，平台不仅删了他的全部信息，还给他补偿了一年的VIP权限。
还有个小细节，平时别随便把自己的身份证、护照原图发给不熟的代购或者第三方商家。哪怕对方说要用来清关，你也尽量走官方的信息填报通道，要是真的必须发照片，就给照片加个半透明的水印，写清楚”仅用于XX年度XX航班清关使用，不作其他用途”，真花不了你三十秒。
别觉得这些动作没用，我身边好几个做跨境旅行的朋友，现在每次填境外的预订信息，都特意看一眼隐私政策里的跨境传输说明，碰到没写的直接换平台，省得后面被垃圾短信骚扰。
本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。