说实话，你买张国际机票，护照信息就已经跨境了。再比如用个海外记账App，你的消费记录可能瞬间躺在曼谷的服务器上。就算你不在乎，你所在的公司呢？总部在美国，中国子公司往总部传一份员工绩效表——这算不算“个人信息跨境传输”？算。而且，可能已经踩线了。
第一道门槛：《个人信息保护法》第38条到底说了什么？
别被那些“安全评估”“标准合同”的术语吓到。本质上，这部法给了个人信息处理者四条出国通道：一是通过国家网信部门的安全评估；二是拿到专业机构的认证；三是和境外接收方签标准合同；四是其他法规认可的条件。注意，这四条是选择关系，但不是随便选。法条原文是“应当具备下列条件之一”，可没说你随便挑一个就能用。若你属于“关键信息基础设施运营者”或者出境量达到一定级别，对不起，安全评估是唯一选项。
这部法保护的法益，是人格权益里的信息自决权。可它给企业和个人的权利分配，极不对称——个人有知情权、同意权、撤回权；企业呢？成堆的评估、备案、告知义务。而且在纠纷里，举证责任还倒置，你得证明自己没做错，而不是让用户去证明你错了。这种“义务前置、责任后置”的设计，真是让法务既恨又爱。
一个真实对比：同样合法，风险差着一个数量级
我们看两个案子。情景A：一家跨境电商公司，向境外支付机构传输用户的下单数据——只有姓名、电话、地址、订单号。他们签了网信办的标准合同，做了影响评估，也完成了备案。合规吗？合规。情景B：另一家电商公司，传输的是用户的行为轨迹和消费偏好，数量累计超过了100万人次的阈值。他们同样也签了标准合同、做了评估——但没去国家网信办申报安全评估。问题出在哪儿？
关键在于：是否达到国家网信部门安全评估的申报门槛。一旦达到，标准合同这条路就失效了。换句话讲，你没做安全评估，哪怕合同签得再漂亮，也是程序违法。这里有个量变到质变的过程——数量小，标准合同足够；数量一大，安全评估就是不可替代的硬要求。很多企业栽就栽在“我签合同了呀”这句上。
实证观察：2021—2024年，处罚的矛头对准了谁？
根据全国人大常委会法工委在第38条释义中的表述，跨境传输是监管的重点领域，处罚力度显著高于境内处理行为。再结合公开的行政处罚案例，2021—2024年期间，网信部门对个人信息跨境违规的处罚，绝大多数集中在“未履行安全评估”“未签标准合同”或“未做影响评估”这三类程序性缺漏。有意思的是，实体性违规（比如传输了超出范围的敏感信息）反倒不是罚款主因——因为监管的前置审查已经把住了入口。
另有学者对裁判文书网2020版及以后的公开判决做过梳理，发现民事纠纷里，用户主张跨境传输侵权的案件占比极少，倒是企业之间为数据服务合同违约扯皮的多。这说明什么？用户的维权意识还没完全被唤醒，但监管的达摩克利斯之剑，已经悬在企业头上了。
三阶行动：从合同签订到争议发酵前的每一道闸
事中（运行中）：别把标准合同锁进抽屉。每个季度要更新一次“出境数据清单”，列明数据字段、接收方、境外服务器位置，并由技术负责人签字。每次传输日志要保留至少三年。注意，这是物理动作——时间点定死，痕迹留全。
事前（签约前）：在项目立项后的30日内，完成一份《数据出境影响评估报告》，由法务和业务双签字，打印成册留存。别用电子签名替代。该报告里必须包含“接收方所在国法律环境评估”，哪怕只是把美国、欧盟、东南亚的区别列个表，也能在将来省点心。
事后（纠纷萌芽时）：一旦收到用户投诉或监管函，24小时内启动“传输日志冻结”程序。具体怎么做？导出最近六个月的传输日志，去公证处做证据保全，同时发函通知境外接收方暂停传输。别等到开庭才想起来找数据，到时候早就被自动删了。
规则很冷，但留下的空间很大。跨境传输不是不能做，而是得按规矩来。规矩是什么？就在第38条那四个选项里。你选了哪个，就好好走完那条路。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
