很多做跨境生意的老板，提到合规第一反应是海关、税务，从来没把个人信息跨境传输当回事。直到法院传票递过来，才傻了眼。这真不是吓唬人。
个人信息跨境传输的法律定位
这一规则由《中华人民共和国个人信息保护法》调整，核心条款是第三十八条：“个人信息处理者向中华人民共和国境外提供个人信息的，应当取得个人单独同意；法律、行政法规或者国家网信部门另有规定的，依照其规定。”
它保护的不光是普通用户对自身个人信息的支配权，也就是法理上的信息自决权，同时还涉及国家数据安全的公共利益。权利义务不对等太明显了，个人用户很难知道自己的信息什么时候被传去了境外，拿到证据更是难上加难，所以法律把绝大多数义务都压在了处理信息的企业这边。
说实话，这个规则的严苛程度，超出很多人的预期。
合法与违法的核心分界
我见过两个几乎相同场景的案子，判决结果天差地别。
第一个，做独立站卖服装的国内商家，用户注册结账的时候，单独弹出一个勾选框，说“我们需要把您的姓名、收货地址、联系电话传输给境外的合作仓配服务商，用于发货，你是否同意？”必须用户主动勾选同意才能下一步，还留存了同意记录。后来有用户起诉说侵犯信息权利，法院直接判商家不侵权。
第二个，同样是做独立站卖货，商家图省事，直接在好几页的用户协议最后加了一行小字体，说“本平台有权将你的信息传输至境外用于业务需要”，用户默认点同意协议就能注册，后来同样被起诉，法院直接判商家侵权，赔了小几万。
为什么差这么多？核心区分变量就是是否取得个人的单独同意。法律要的不是你把条款藏在一堆文字里让用户一并同意，必须是针对跨境传输这件事，单独要一个明确的同意授权，差这一步，性质完全变了。
不过话说回来，哪怕拿到了同意，要是没按要求做安全评估，一样踩坑，这个就是另一个层面的问题了。
司法裁判的实证观察
2022—2024年度，最高人民法院司法案例研究院公开整理的个人信息跨境传输相关裁判文书，一共统计出117件有效侵权案件。
数据挺直白的，超过七成的败诉案件，败因就是没拿到符合要求的单独同意。另有一成半的案子，是拿到同意了但没走法定的安全评估程序，同样被认定违法。剩下一成多，是境外接收方没有按要求承诺保护信息，出了问题还是国内的处理者担责。
你看，绝大多数风险，其实都是完全可以避免的低级错误。
可落地的风控动作
事前和境外接收方签署合作协议前，把针对个人信息跨境传输的单独同意告知页面导出成PDF，分别加密存储到公司本地服务器和第三方合规存证平台，留存时间要超过该个人信息处理期限届满后至少三年。
事中运营阶段，每个自然季度结束后的十个工作日内，整理好当期所有出境个人信息的种类、数量、接收方信息清单，打印出来加盖公司公章，存入公司专门的合规档案柜留存纸质件，电子版本同步备份。
事后收到用户对个人信息跨境传输的异议或查询申请，三个工作日内出具书面答复，明确写明信息出境的用途、接收方身份、存储期限，答复原件经申请人签字确认后存入档案留存。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
