网信办公布《个人信息出境标准合同》3.0版：审批时限缩短至30个工作日

三条路径，先判断走哪一条

《个人信息保护法》第三十八条规定了个人信息出境的三条路径：通过国家网信部门组织的安全评估、按照标准合同订立合同并取得认证，以及法律、行政法规或者国家网信部门规定的其他条件。对多数企业来说，实际要在安全评估与标准合同之间做选择。

判断的关键不是"数据多不多"这一个维度，而是三个：是否属于关键信息基础设施运营者、是否涉及重要数据、以及个人信息的数量与其中敏感个人信息的数量。三者共同决定走哪条路——只看数量会误判。

选标准合同之后，还有两件事必须做

• 做个人信息保护影响评估（PIPIA）并留存。《个人信息保护法》第五十六条要求影响评估报告与处理情况记录至少保存三年。签了合同但没做评估，是实务中最常见的缺口。
• 备案。按《个人信息出境标准合同办法》，合同生效后应当在规定期限内向所在地省级网信部门备案，同时提交影响评估报告。签完不备案等于没走完流程。

四个常见误区

• 拆分数量规避评估。把一次出境拆成多批、或者拆分主体，目的是把数量压到门槛以下。这种做法会被认定为规避，而不是合规。
• 只签合同，不管实际数据流。合同写的是一种数据流，系统里跑的是另一种，两者不一致时合同不能作为依据。
• 没有约定再转移。境外接收方把数据再转给第三方的情况如果合同里没写清楚，出境方仍然要承担责任。
• 签一次用很久。业务变化、接收方变化、法规更新之后，原来的合同可能不再匹配，需要重新评估。

落到文件层面的检查清单

• 确认这批数据属于哪条路径，而不是默认走标准合同；
• 影响评估已做并留存，能拿出报告；
• 合同已备案，备案材料与实际数据流一致；
• 合同里写明了再转移的限制；
• 出境的文件本身已清理——元数据、批注、修订痕迹同样属于出境内容。

边界说明：路径选择与备案要求属于专业合规判断，本文仅为流程性说明，不构成法律意见。