上周接了个读者的咨询。
是个在南京读大三的小姑娘。
她上个月帮海外的表姐填个宠物食品的订购问卷，填了自己的手机号和收货地址，转头就收到了某跨国宠物品牌的邮件，说根据欧盟的隐私规则，她的个人信息会被存储在位于爱尔兰的服务器上。
小姑娘当时就炸了。
她怕自己的手机号被境外的营销电话轰炸，翻遍了那个品牌的官网，也没找到个能删除信息的入口，急得连觉都睡不好。
不是你把信息发给外国人才叫跨境传输
很多人看到“个人信息跨境传输”这几个字，第一反应是：我又不出国，这事跟我有什么关系？
法律上管的“个人信息跨境传输”，从来不是要求你必须人在境外、或者主动把信息发给外国人才算。
你在国内用某款海外音乐APP听歌，它的用户数据中心在新加坡，你存的歌单、浏览记录自动同步到那边的服务器，这算；你出国玩的时候办的境外信用卡，回国之后每次消费的账单被传回发卡行的总部，这也算；甚至你用的某款国内云服务，为了降成本把国内用户的数据备份到了境外的节点，没经过你同意就传了，这也在监管的范围里。
说白了，只要你的姓名、手机号、收货地址、身份证照片这些能识别出你是谁的信息，被传到了我国境外的存储、处理系统里，不管你有没有主动操作，都归这套规则管。
大家对这事的误解，其实挺常见的
我写了十年普法专栏，碰到过最多的两个误解，说出来你可能也有。
第一个，总觉得自己没跟境外机构打交道，就不会碰到跨境传输的问题。真不是。现在的互联网服务早就没有明显的国界了，你手机里装的笔记APP、视频剪辑工具、甚至某款带海外版本的修图软件，很可能后台就把你的数据同步到了境外的服务器。
第二个，觉得只要平台把你的信息传到境外，就是违法。也不对。法律从来没禁止合法的跨境传输——不然你怎么海淘？怎么跟境外的导师传论文？怎么用那些好用的海外互联网工具？关键是平台得走对路：要么跟境外的接收方签了标准合同，在网信部门完成了备案；要么重要信息系统的运营者过了安全评估；要么是为了履行跟你之间的合同必须传——比如你在海外平台订了个酒店，不把你的入住人姓名传给境外的酒店，人家根本没法给你留房间。
平台哪怕走完全部合规流程，也得在隐私政策里明明白白告诉你，你的信息要传到哪个国家、用来干什么、对方会怎么保护这些信息。藏着掖着不告诉你，就算流程走得再全，也是不对的。
真碰到不对劲的情况，你能这么处理
别慌。
真的。不是什么天大的事。
先翻平台的隐私政策。别直接划到最底下点同意，专门找跟“个人信息出境”“跨境传输”相关的段落，看它有没有说清楚接收你的信息的主体在哪个国家、拿这些信息干嘛、会存多久。要是找了十分钟都找不到相关描述，或者写的全是“我们可能将您的信息传输至全球范围内的合作方”这种没边的话，先把这个页面完整截图存好，别嫌麻烦。
接着走官方反馈通道提异议。别在评论区吐槽，也别打那种永远占线的客服电话，就在APP的设置里找“个人信息权利行使”的入口，提交书面申请，要求平台停止向境外传输你的个人信息，并且告知你过去半年里已经传出去的信息明细。所有的申请文字都留好截图，别留口头沟通的记录。
要是平台压根不理你，或者你发现它连最基本的备案流程都没走就敢传你的信息，直接在全国12315平台或者网信部门的举报通道提交材料，把你之前存的截图、沟通记录附上去就行。很多人觉得举报没用，我之前接触过的两个案子，就是用户提交了举报之后，平台主动联系用户删除了所有出境的信息，还道了歉。
对了，上次那个南京的小姑娘，最后怎么着？
她按照我说的步骤，给那个宠物品牌发了邮件，三天之后就收到了对方的回复，不仅帮她删掉了所有存在爱尔兰服务器上的信息，还送了她一包试吃装的猫条当赔礼。
说真的，我最烦那种把个人信息保护说的特别高深的文章。什么“数字主权”“数据流动壁垒”，听着就离普通人远。其实说白了，这些规定最后护的就是你填个问卷、刷个APP、海淘个东西的时候，不用总担心自己的手机号、收货地址被不知道传到哪个犄角旮旯去。
哦对，别一看到“跨境传输”几个字就立马把APP卸载，连自己之前存了好几年的歌单、旅行照片都不要了。搞清楚情况再动手，比什么都强。
本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。