《数据出境安全评估办法》

把一份含个人信息的 PDF 用邮件发给境外同事，可能就构成了数据出境。本文讲清哪些情形要申报安全评估、评估看什么，以及 PDF 出境前该怎么处理。

一、法规速览

二、对 PDF 文档的关键要求

三、关键条文 / 规则要点

四、文档处理清单

1. 确认 PDF 是否含重要数据，含重要数据出境通常需申报安全评估。
2. 统计涉及的个人信息与敏感个人信息数量，对照适用路径的阈值。
3. 出境前按最小必要裁剪字段并做不可逆脱敏（/ai-desensitize.html）。
4. 清除 metadata、批注与隐藏图层（/remove-pdf-metadata.html）。
5. 选择适用路径（安全评估 / 标准合同 / 认证）并保留申报、备案与评估记录。

五、平台能力映射

建议链路：识别数据类型 → 统计数量 → 裁剪脱敏 → 清 metadata → 选路径申报/备案 → 留痕。

六、常见漏点

参考与权威来源

免责声明：本页基于公开法律法规与 PDFnoted 平台能力整理，仅供文档合规事务作一般性参考，不构成法律意见、合规咨询或专业服务。条文引用以官方发布的最新有效文本为准，具体适用请咨询具备资质的专业人士。

常见问题

把含个人信息的 PDF 发给境外同事算出境吗？

可能构成。通过邮件、即时通讯、网盘或协作平台向境外提供含个人信息的文件，通常属于向境外提供个人信息的活动，应按《个人信息保护法》及出境规定判断适用路径并履行相应程序。

哪些情形必须申报安全评估？

《数据出境安全评估办法》第 4 条规定了应当申报的情形，包括向境外提供重要数据；关键信息基础设施运营者和处理 100 万人以上个人信息的数据处理者向境外提供个人信息；以及自上年 1 月 1 日起累计向境外提供 10 万人个人信息或 1 万人敏感个人信息的数据处理者向境外提供个人信息。

不到阈值就不用管吗？

仍可能需通过个人信息出境标准合同或个人信息保护认证等其他路径，具体以现行有效规定为准。建议先判断是否属重要数据，再按主体与数量选择路径。

脱敏后再出境是不是就不用申报了？

若经处理确实达到匿名化（无法识别且不能复原），通常不再属于个人信息出境监管范围；但若仅为去标识化（借助额外信息仍可识别），仍属个人信息，出境义务并不当然免除。建议保留处理说明与复核记录。

风险评估要看什么？

通常包括出境目的、范围、方式的合法性、正当性、必要性；境外接收方的数据保护能力；出境数据被泄露、篡改、滥用的风险及应对措施；以及境外当地法律环境对数据安全的影响等。

PDF 的 metadata 在出境场景要注意什么？

metadata 可能含作者、单位、内网路径与时间戳，属于随文件出境的信息，出境前应清除；但作为原始留档件应保留原始信息备查。

处理出境文件会泄露吗？

处理环境决定是否泄露。建议在本地优先模式处理，敏感文件不上传即可预览与导出。

本文能替代法律意见吗？

不能。本文为一般性参考与自查清单，不构成法律意见。是否触发申报义务请咨询具备资质的专业人士并以现行有效规定与监管部门口径为准。

关键词：数据出境安全评估,数据出境PDF,个人信息出境,数据出境申报,标准合同备案,数据出境合规,PDF跨境传输