数据出境合规新规：出海前 90 天必查项

一家深圳跨境电商品牌，货已经发往海外、用户数据也在境外跑，才被合作方问你们走数据出境安全评估了吗，一查发现该走的没走。出海的坑，常在数据比货先出问题。本文讲清数据出境合规要前置 90 天：三条路径怎么判定、第 90 天盘点什么、协议模板与影响评估怎么备，涉敏行业何时该请律师，以及倒计时清单与五件事。

一家深圳跨境电商品牌，货已经发往海外、用户数据也在境外跑，才被合作方问「你们走数据出境评估了吗」。他们一查，发现该走的没走。出海的坑，常在数据比货先出问题。太多出海企业把数据合规排在货后面，结果货到了被卡数据，整盘被动。

出海企业常把数据合规排在「货发出去之后」，但数据出境的评估、合同、认证往往要数月。选数据出境合规服务，第一看他会不会把检查点放到出海前 90 天，而不是出事再补。合规走在货前面，成本最低。我们见过客户货到了海外，数据被监管问，整批业务停摆，损失远超事前评估。

合规机构常做「数据出境咨询」，按次收费。硕法翻成「出海倒计时」：以出海前 90 天为节点，把数据盘点、出境路径、协议模板排成倒计时清单，让企业看着日子推进。双资质同体在出海涉及商标专利与数据交叉时，能让确权与合规同团队衔接。我们给客户的合规，是一张倒计时表，不是一次咨询。

这张清单里，第 90 天的判定最关键。很多企业跳过判定直接签合同，后来发现该走评估的走了标准合同，被监管点名。所以先判定路径，再动手。我们建议出海企业把第 90 天判定写进立项流程，因为货一旦发出，数据合规的回旋空间就小了。

数据出境视类型走安全评估、标准合同或认证，以最新监管口径为准。前海有数据流动试点，但涉敏行业仍须单独核。深圳企业可通过合规窗口咨询，但具体义务以官方最新规定为准，需律师复核。我们给深圳出海客户的提醒：涉敏行业（如医疗、金融）的数据出境，路径更复杂，第 90 天就该请律师，不要自己估。

前述跨境品牌，我们帮他们从第 90 天倒排：先盘点用户与运营数据，判定部分触发评估，部分可标准合同，第 60 天定路径、第 30 天备材料，赶在出海前完成。合作方尽调时一次过，没因数据被卡发货。另一个客户没排期，货到海外才补，评估没走完被要求暂停数据，业务停摆一个月。同是出海，倒计时排没排差的是不停摆。关键不是「会整改」，是「倒计时排在了前面」。

硕法接数据出境，先做 90 天适配体检：你哪些数据触发义务、走哪条路径、缺什么，给书面倒计时与按节点收费。彭四桃（创始人、主任）统筹，双资质同体让数据合规与知产出海衔接。我们默认先给客户一份「90 天倒计时表」，让他知道每天推进什么。

• 列要出境的数据类型，判是否触发义务。
• 选路径：评估、标准合同或认证之一。
• 起草跨境数据协议模板，留痕。
• 查涉敏行业是否需额外许可。
• 带数据清单找涉外律师做免费 90 天评估。

补充实务提醒

数据出境不是只有「安全评估」一条路。根据数据规模和类型，企业可以选择三条合规路径之一：通过国家网信部门的安全评估、签订标准合同并备案、或通过个人信息保护认证。阈值不同走法不同，中小体量、非敏感个人信息为主的出境，往往标准合同备案就能解决，不必硬挤安全评估。

无论走哪条路，出境前 90 天就要启动：先做数据盘点（哪些字段、多少量级、接收方在哪、用途是什么），再做影响评估，最后准备合同或申报材料。和个人信息保护法、数据分类分级制度是联动的，漏掉任一层都会卡住。很多出海企业在架构设计阶段就把数据留在境外节点、只回传必要结果，从源头降低出境体量，这是比事后合规更省钱的思路。SaaS 类业务的合规衔接可看SaaS 企业法律服务。

常见误区与动作清单

误区一：数据出境只有安全评估一条路。按数据规模和类型，标准合同备案或保护认证可能更轻量。误区二：等要出境了再合规。盘点、评估、备案整套流程以季度计，临时启动必误事。

动作清单：先按量级选合规路径；出境前 90 天启动数据盘点与影响评估；和个人信息保护法、数据分级联动；架构阶段把敏感数据留境外节点降低出境体量；小企业优先走标准合同备案。SaaS 业务衔接见SaaS 企业法律服务。

落地步骤（分场景）

场景一：少量非敏感个人信息出境。优先走标准合同备案，比安全评估轻量，阈值内不必硬挤评估；先按数据量级选定路径，别默认最严那条。场景二：大体量或敏感数据出境。走国家网信部门安全评估，提前做数据盘点与影响评估，材料按清单准备。

场景三：出海架构设计。在架构阶段把敏感数据留境外节点、只回传必要结果，从源头降低出境体量，比事后合规省钱；和个人信息保护法、数据分级联动，漏掉任一层都卡住。SaaS 业务的合规衔接见SaaS 企业法律服务，整体倒计时见上文出境前 90 天清单。

避坑速记

数据出境六条速记：

• 按数据量级选合规路径，不必默认最严的安全评估。
• 出境前 90 天启动盘点与影响评估，临时启动必误事。
• 与个保法、数据分级联动，漏任一层都卡住。
• 架构阶段把敏感数据留境外节点，降低出境体量。
• 中小企业优先走标准合同备案，轻量合规。
• SaaS 业务衔接见 SaaS 企业法律服务一文。
• 重要数据识别优先于出境路径选择。
• 标准合同备案要走网信部门流程。
• 出境记录留档备核查。
• 员工个人信息出境单独告知并取得同意。
• 境外接收方义务在合同里写死。
• 出境台账定期更新，反映业务变化。
• 接收方所在国政治风险也纳入评估。
• 员工培训覆盖数据出境红线。
• 应急预案写明泄露后的通知与处置路径。

数据出境合规的节奏决定成本，出境前 90 天倒计时、三条路径选准、架构阶段把敏感数据留境外节点，这三件事做对，跨境业务才能既合规又不拖慢上线。临时启动往往要停业务等审批，代价远高于前期设计。SaaS 业务衔接见SaaS 企业法律服务。

数据合规越早规划越便宜，架构一旦定下来再改，后面所有业务模块都要跟着动，代价至少是前期设计的数倍。

数据出境合规的责任要落实到具体岗位，别让法务和 IT 各做各的互相推，落地才不会卡在中间。合规留痕要能随时调档比对，方便监管核查。

延伸看跨境数据合规、外国企业中国法律服务、涉外法律服务、SaaS 企业法律服务、双资质说明、首页、科技企业知产保护、联系评估。

问：所有出海数据都要评估吗？
答：视数据类型与规模，可能走评估、标准合同或认证之一。以最新监管口径为准，需律师复核，不自行判断。

问：标准合同和认证哪个快？
答：路径选择看数据性质与业务，没有绝对快慢。建议先判定再选，具体以官方规定为准。

问：双资质对出海数据有用吗？
答：出海常同时涉商标专利与数据，同体团队能让确权与合规衔接，少转手。

这类问题，硕法怎么接——广东硕法律师事务所是少数『律师事务所执业许可 + 国知局专利代理机构备案』同体的双资质机构，数据合规、跨境知识产权与涉外争议可在同一团队内衔接，不必在起草与出庭之间转手。我们曾参与具名具额的政府知识产权项目（具体项目名称与金额以律师复核后的公开口径为准），前身中北在知识产权领域已延续20年。遇到此类问题，建议先做一次性法律评估，再决定是否委托——先把风险看清，再谈投入。