跨境数据传输中PDF加密的法规要求：中国《数据安全法》与欧盟GDPR双重合规

加密解决的是机密性，不是出境合法性

这是跨境场景里最常见的一个误解。加密能保证文件在存储和传输过程中即使被截获也读不出来，但它不能替代数据出境的合法路径。《个人信息保护法》第三十八条规定的三条路径——安全评估、标准合同、个人信息出境认证——针对的是"能不能传出去"这件事；加密是传出去之后的安全措施，两者不在同一层面。

换句话说：一份加密的个人信息文件，如果要出境，同样需要先确定走哪条路径。《数据安全法》与《网络安全法》对重要数据、关键信息基础设施运营者另有要求，这些要求与是否加密无关。

GDPR 这一侧：加密是技术措施，不是豁免

GDPR 第三十二条把加密列为"适当的技术与措施"之一，意味着发生泄露时，如果数据处于加密状态，可以显著降低通报义务与责任。但把加密数据发给境外接收方，仍然是第五章意义上的传输，仍然需要有传输依据——标准合同条款、约束性公司规则，或依赖充分性认定。

一个实务判断点：如果接收方能够解密（这是正常使用所必需的），那么"数据始终处于加密状态"这一抗辩并不成立。

一个必须说清楚的技术事实：权限密码不是加密

PDF 支持两种密码。打开密码会对文件内容做 AES 加密，没有密码读不出来，这是真正的加密。权限密码只设置"禁止打印/复制/编辑"的标志位，文件本身是可读的，任何工具都能把这些标志位重写掉。

所以不要用"设了权限密码"作为跨境文件的安全依据。需要保密就用打开密码，并且通过另一个渠道告知密码——把密码和附件放在同一封邮件里等于没设。

跨境文件加密的四个决定

• 先定路径，再谈加密。确定这条数据走评估、标准合同还是认证，加密是路径确定之后的补充措施。
• 用打开密码，不要只依赖权限位。权限位防的是顺手，不是防人。
• 密钥与文件分开传递。同一封邮件里放密码和附件是最常见的失效方式。
• 留记录。谁在什么时候以什么路径传了什么文件，事后能查——这是应对监管问询时唯一有用的东西。

边界说明：本文是对技术措施与合规路径关系的说明，不构成法律意见。具体走哪条路径、是否需要评估，应当结合企业自身情况由专业顾问判断。