携程被罚一千万，数据出境这条路你走对了吗？

（来源：WELEGAL法盟）

2026年6月13日，上海市网信办通报：上海携程商务有限公司因未落实数据出境安全评估要求、违法向境外传输个人信息，被罚1000万元，责令限期改正。

通报点出的问题很具体："网络数据安全主体责任履行不到位、安全管理防护措施缺失、后端处理数据合规能力不足、数据出境合规审计不严"。这四个词，每一个都对应着法务日常工作中应该提前堵住的漏洞。

很多法务同行看完这个案例，第一反应是"我们公司可能也有类似问题"。有这种警觉是好的，但警觉之后怎么办，这才是关键。

这篇文章不讲大道理，就讲数据出境合规这件事，法务到底能做什么。

一、搞清楚"有没有数据出境"

很多法务上来就问"我们要走安全评估还是标准合同"，这个问题问早了。先搞清楚有没有数据出境，再谈走哪条路。

什么是数据出境？按照现行规定，两种情形都算：一是在境内运营中收集和产生的数据传输、存储至境外；二是数据存储在境内，但境外的机构、组织或者个人可以访问或者调用。

携程踩的就是第一条——数据直接传出去了。

但很多企业踩的是第二条——以为数据没"传"出去就不算出境。比如境外母公司能登录你境内的系统查看数据、境外子公司能远程访问你数据库里的客户信息、用了一家境外云服务商、境外合作伙伴能通过API接口调取你系统里的数据。这些都属于数据出境。

法务要做的第一件事：拉一张清单，把公司所有涉及数据跨境流动的场景列出来。

怎么拉？跟IT部门、业务部门一个一个过：公司有哪些系统？这些系统的服务器部署在哪里？谁有权限访问这些系统？境外人员能不能看到数据？跟境外的合作方有没有数据交互？数据传输的方式是什么？传的是什么类型的数据？

别嫌麻烦。携程的教训就是"后端处理数据合规能力不足"，连自己传了什么、传给了谁都没搞清楚。法务如果连这个底数都摸不清，后面的合规工作就是瞎忙。

二、识别数据类型——不是什么数据都需要走同样的路

数据出境合规的三条路径——安全评估、标准合同备案、个人信息保护认证。走哪条路，取决于你传的是什么数据、传了多少。

先说重要数据。国家互联网信息办公室发布的《促进和规范数据跨境流动规定》明确了一点：未被相关部门告知或公开发布为重要数据的，不需要作为重要数据申报安全评估。但前提是你得先识别出来这不是重要数据。各行业的重要数据识别细则正在陆续出台。比如汽车行业，2026年1月工信部等八部门联合印发了《汽车数据出境安全指引（2026版）》，明确了汽车领域重要数据的判定规则和九类豁免情形。法务需要关注本行业有没有类似指引。

再说个人信息。关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供不满10万人个人信息的，可以豁免申报。10万人以上、不满100万人个人信息（不含敏感信息）或者不满1万人敏感信息的，可以通过标准合同或认证方式出境。累计超过100万人个人信息（不含敏感信息）或者超过1万人敏感信息的，必须申报安全评估。

提示建议：把梳理出来的数据场景，逐一对照上述标准做类型判断。属于什么数据类型？重要数据还是一般个人信息？个人信息的话，是敏感的还是非敏感的？年度累计出境量大概在哪个量级？

还有一个容易被忽视的点：自贸区的负面清单机制。比如，上海自贸区已发布数据出境负面清单，涵盖再保险、国际航运、商贸和气象等4个行业领域、9个具体场景、29个数据子类、109个数据项。负面清单以外的数据，企业可以"先用后报"，免除了前置审批流程。如果你的企业在自贸区，记得把这层"红利"用起来。

三、选对路、走对程序

数据类型和量级判断清楚了，选路就不难了。

1. 安全评估。这条路适用于向境外提供重要数据，或者个人信息年度累计出境超过100万人（或超过1万人敏感信息）的情形。申报通过"数据出境申报系统"线上提交。截至2025年3月，国家网信办共完成安全评估项目298个，不通过率为15.9%。这个不通过率说明——材料准备不充分、自评估做不扎实，很可能被退回。

申报材料包括自评估报告，核心是评估数据出境对国家安全、公共利益和个人权益的风险。

法务在准备自评估报告时，需要系统说明：出境数据的类型、数量和敏感程度；境外接收方的数据保护能力；数据出境后的存储和使用方式；发生数据安全事件时的应急处置方案等。

2. 标准合同。适用于非关基运营者、年度累计出境10万至100万人个人信息（或不满1万人敏感信息）的情形。签署标准合同后需向省级网信部门备案。合同主体是境内数据处理者和境外接收方。需要注意的是：合同备案的期限由双方约定，但不宜约定长期有效。数据出境的情况是动态变化的，合同条款也应该定期审视更新。

3. 认证。《个人信息出境认证办法》已于2026年1月1日起施行。认证证书有效期3年，由专业认证机构颁发。适用于非关基运营者、年度累计出境10万至100万人个人信息（或不满1万人敏感信息）的情形。认证的好处是一张证书管3年，不像标准合同那样每次签都要备案。

提示建议：根据判断结果，选定合规路径，然后按照对应的申报指南准备材料。

国家网信办发布的《数据出境安全评估申报指南》已经更新到第三版，对材料做了优化简化。标准合同备案也有对应的指南。法务要做的不是从零开始摸索，而是拿着指南逐项落实。

四、别让数据出境变成"一次性工程"

很多企业的做法是：申报过一次安全评估或备过一次标准合同，就觉得万事大吉了。

这其实是最容易被忽略的风险点。

数据是动态的——业务在变、数据类型在变、传输量级在变、境外接收方也在变。按照现行规定，已订立标准合同或通过认证，但自当年1月1日起累计出境超过100万人个人信息或超过1万人敏感信息的，必须申报安全评估。这个"累计"是按年度滚动的，不是申报一次就一劳永逸。

提示建议：建立年度数据出境合规审查机制。至少每年做一次全面复盘，比如今年传了多少数据？类型有没有变化？有没有新增的出境场景？有没有超过申报阈值？评估结果快到期了要不要申请延期？评估结果有效期届满前60个工作日内可以提出延长申请。

携程的通报里有一条是"数据出境合规审计不严"——翻译成大白话就是：长期没做合规审查，数据一直在往外传，没人管、没人问。法务不能让这种事情在自己公司发生。

五、管好"境外接收方"——别把数据给出去就不管了

数据出境不是把数据传出去就完事了——传给了谁、用在哪里、怎么用，都得管。

法务要建立境外接收方管理制度，可以分三步走：

第一步，签合同前做尽职调查。境外接收方是什么背景？有没有数据保护能力？所在国家或地区的数据保护法律环境怎么样？有没有发生过数据泄露事件？这些问题不能靠"感觉"判断，要有书面记录。

第二步，合同中写清楚条款。标准合同有官方模板，但模板之外，还需要在补充协议或附属协议中把数据使用范围、存储期限、安全措施、违约责任、审计权等内容写清楚。特别是审计权，你有权定期或不定期检查接收方的数据使用情况，这条在实践中最容易被忽略，也最关键。

第三步，合同履行期间定期审计。不是签完合同就完事了。接收方有没有超范围使用数据？有没有转给第三方？数据存储方式是否符合约定？这些问题需要有机制去核实。审计可以自己做，也可以委托第三方。

六、把数据出境合规嵌入日常——不只是"做一次"

以上五步走完，数据出境的合规工作就做完了吗？远远不够。

合规工作的难点不在于"做一次"，而在于"一直做"。法务需要建立一套机制，让数据出境合规从"一次性项目"变成"常态化工作"。具体可以这样做：

1. 建一个数据出境台账。所有涉及数据出境的业务场景、数据类型、出境通道、境外接收方、合规路径、有效期等信息，集中登记在一个台账里。台账定期更新，每次新增出境场景或变更现有场景，第一时间记录。这样法务随时能回答"公司有哪些数据在往境外传"这个问题。

2. 设一个年度审查节点。每年固定时间做一次数据出境合规全面审查，对照年度累计出境量判断是否需要升级合规路径、评估结果或认证证书快到期了及时申请延期或续期、境外接收方的情况有没有变化。

3. 定期开展全员告知义务培训。数据出境需要取得用户的单独同意，不是藏在用户协议里，而是单独、明确地告知用户数据要出境、去哪个国家、谁来接收、用来干什么。法务要确保业务部门知道这个要求，知道怎么操作，知道不操作的后果。

4. 盯住监管动态。数据出境的法规更新很快，2024年出了《促进和规范数据跨境流动规定》，2025年出了《数据出境安全评估申报指南（第三版）》，2026年1月1日《个人信息出境认证办法》正式施行。法务要持续关注这些变化，及时调整企业的合规策略。

携程这张罚单，1000万放在携程600多亿的营收体量里确实不算高。但绝大多数企业不是携程。1000万罚款，对很多企业来说可能是灭顶之灾。

更重要的是，罚款只是明面上的成本。整改期间的人力投入、系统改造、流程重构、业务停滞带来的损失，才是真正的"隐形成本"。

通报里说携程"正全面推进各项整改措施的落地实施"，这个"全面推进"四个字背后，是一笔远高于1000万的账。

法务的价值，从来不在于"事后灭火"的能力有多强，而在于"事前防火"的体系有多完善。数据出境合规这件事，说复杂也复杂——涉及法规多、场景多、路径多。但说简单也简单——把本文讲的以上步骤走完，把台账建起来、把审查做起来、把培训搞起来，合规工作就有了基本框架。剩下的，就是持续做、反复做、认真做。

合规没有捷径，但咱们走过的每一步都算数。

内容标签：#WELEGAL法盟 #数据出境 #数据合规 #个人信息保护 #法务合规 #网络安全

（来源：WELEGAL法盟）