| 对比事项 | 中国法 | 欧盟法 | 美国法 |
|---|---|---|---|
| 制度形态 | 个保法第 38 条 + 配套办法事前路径选择 + 监管评估 | GDPR 第 44-49 条接收方保护水平评估 + 传输工具 | 无联邦出境审批部门法（如 HIPAA）+ 合同安排 |
| 触发门槛 | 出境安全评估办法第 4 条处理 100 万人以上信息、累计 10 万人敏感信息、1 万人以上敏感信息等情形须申报 | GDPR 第 46 条无量化门槛，凡传输至未获充分性认定地区即需保障措施 | 无统一门槛按行业规定（如 HIPAA 业务约定） |
| 主要工具 | 标准合同办法 / 保护认证向监管备案的标准合同 + 个人信息保护认证 | SCC / BCR欧盟委员会标准合同条款 + 约束性企业规则 | 合同自治双方协议 + 行业惯例 |
| 接收方变更 | 重新评估义务境外接收方变更处理目的方式须重新走路径 | GDPR 第 48 条第三国判决要求提供数据的，需国际协定 | 无专门规则按合同违约处理 |
| 中国法特殊点 | 数据安全法第 25 条管制物项数据 / 重要数据出口另受出口管制约束 | Data Governance Act数据中介与数据利他信任框架 | FTC Act 第 5 节虚假承诺跨境保护水平可按欺诈执法 |
表中法名与条号均可在下方「法条原文索引」展开核对；标注「无统一联邦法」的领域，美国侧为部门法或州法拼补，这是真实差异而非资料缺失。
中国和欧盟的根本差异在「谁来判定能不能传」。中国把出境当作需要事前取得合法路径的事项：达到数量门槛就必须申报安全评估，未达门槛可以走备案制标准合同或认证——制度重心在「出发前拿路径」。欧盟反过来：先看目的地国是否获得充分性认定（欧委会名单），没有的话才需要 SCC 或 BCR，且还要做「传输影响评估（TIA）」——重心在「证明接收方保护水平足够」。
美国侧的空白常被误读成「美国不管」。实际是联邦没有统一出境审批，所以同一笔数据传输到美国，从中国和欧盟角度看仍然要满足各自的出境规则——规则在出口方，不在进口方。这解释了为什么很多企业「数据在美国很安全」的判断对出境合规毫无帮助。
对中国出海企业，最容易踩的组合是：先用美国云服务（触发个保法出境评估），又同时服务欧盟用户（触发 GDPR 第 44 条以下）——一套架构要同时满足两套出境论证，且两套的证据要求不同：中国要备案/评估材料，欧盟要 TIA 记录。
个人信息处理者因业务等需 — ０ ２ １ １ — 全国人民代表大会常务委员会公报２ ０ ２ １·６ 要，确需向中华人民共和国境外提供个人信息 的，应当具备下列条件之一： （ 一）依照本法
个人信息处理者向中华人民共 和国境外提供个人信息的，应当向个人告知境外 接收方的名称或者姓名、联系方式、处理目的、 处理方式、个人信息的种类以及个人向境外接收 方行使本法规定权利的方式和程序等事项，并取 得个人的单独同意。
数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：（一）数据处理者向境外提供重要数据；（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。
国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。
原文摘录暂缺，以官方公布文本为准。
原文摘录暂缺，以官方公布文本为准。
Article 49 Article 49 "Derogations for specific situations" 1. In the absence of an adequacy decision pursuant to Article 45(3), or of appropriate safeguards pursuant to Article 46, including binding corporate rules, a transfer or a set of transfers of personal data to a third country or an international organisation shall take place only on one of the following conditions: (a) the data subject ha
Article 1 Subject matter and scope 1.This Regulation lays down: (a)conditions for the re-use, within the Union, of certain categories of data held by public sector bodies; (b)a notification and supervisory framework for the provision of data intermediation services; (c)a framework for voluntary registration of entities which collect and process data made available for altruistic purposes; and (d)a
Section 5.-The amendment made by section 5 of this Act [amending section 57a of this title] shall apply only to rulemaking proceedings initiated after the date of enactment of this Act. Such amendment shall not be construed to affect in any manner a rulemaking proceeding which was initiated before the date of enactment of this Act [Aug. 26, 1994]. "(c) Applicability of Section 6.-The amendments ma
本页为法规条文对照，仅供参考，不构成法律意见。法规以官方公布版本为准，重大事项请咨询执业律师。