最高院：数据出境未申报安全评估，企业会有什么后果？

作者：周军律师.

咨询请关注，私信必复。

根据《数据出境安全评估办法》，企业在四种法定情形下必须申报数据出境安全评估：向境外提供重要数据；关键信息基础设施运营者、处理百万以上个人信息企业对外提供个人信息；累计向境外提供10万条个人信息或者1万条敏感个人信息等情形，应当向网信部门申报安全评估。

那么，数据出境未申报安全评估，企业会有什么后果？

出海企业、调用境外大模型API的企业直接传输数据却不申报，将面临多层次法律后果，不仅企业受罚，直接负责人也会被追责。

一、行政整改类后果（初次查处）

监管部门核查发现应当申报却未开展安全评估，第一阶段会作出处置：

1.约谈、责令立即停止违法数据出境活动，切断数据跨境传输通道，要求企业限期完成整改、补做安全评估申报。

2.警告、没收违法所得，企业从违规出境业务获取的收益可以予以没收。

3.责令企业开展内部数据安全自查，提交整改报告。

实务风险：一旦被责令停止出境，企业跨境业务、对接海外服务器、调用境外API业务直接停摆，会造成商业合同违约、项目停滞。

二、行政处罚：企业罚款、业务限制

企业拒不整改、逾期不申报，或者已经大规模传输重要数据、大量个人信息出境，会启动罚款及业务惩戒。

1.一般违法情形：处以对应额度罚款；

2.情节严重情形：高额罚款，最高可达一千万元；还可以责令暂停相关业务、停业整顿；情节特别严重，可以吊销相关业务许可、吊销营业执照。

3.处罚记录记入企业信用档案，会影响招投标、融资、上市审核，企业出海资质也会受到负面影响。

三、直接负责人个人追责

该类违法并非只罚单位，直接负责的主管人员、实操责任人会单独处罚。

一般情形可处1万‑10万元罚款；情节严重的，对责任人处以10万‑100万元罚款。企业高管、数据负责人、技术负责人均有可能被认定为直接责任人员，承担个人财产处罚。

四、民事连锁风险

1.对用户：违规出境个人信息，用户有权起诉企业主张民事侵权赔偿；

2.商业合同：跨境合作协议中，因未做安全评估导致业务被叫停，企业要向境外合作方承担违约赔偿责任；

3.保险、投融资：IPO、融资尽调会重点核查数据出境合规，未申报属于重大合规瑕疵，会直接阻碍融资上市进程。

五、刑事风险（后果最严重）

如果未经评估出境行为，造成重要数据泄露、大规模个人信息外泄、危害国家安全，满足犯罪构成要件，相关人员可能触犯拒不履行信息网络安全管理义务罪、侵犯公民个人信息罪等，面临有期徒刑、拘役等刑事处罚。

实务高频误区澄清

误区一：只是调用海外大模型API，量不大，不算数据出境。 错误。业务数据、用户输入内容传给境外服务器，就属于数据出境，达到法定门槛必须申报安全评估。

误区二：内部做过自评估，就不用向网信部门申报安全评估。 错误。企业自我风险评估不能替代国家网信部门组织的数据出境安全评估，自评估是内部工作，申报是法定对外义务。

误区三：已经和境外签合同，业务不能停，可以先传输，后面补申报即可。 错误。法律要求先评估、后出境，不能“先出境后补手续”；被查处后即便补做评估，之前的违规行为依然可以处罚。

误区四：只有跨国大公司才需要评估，中小企业数据量小不会被查。 监管常态化抽查，中小企业只要满足法定数据数量、数据类型条件，同等适用申报义务，不存在企业规模豁免。

企业实操合规建议

1.先做数据梳理：识别是否涉及重要数据，统计出境个人信息数量，判断是否触发安全评估申报条件；

2.触发条件的，先申报评估，评估通过之后再开展跨境传输，评估有效期2年，发生重大变化需要重新申报；

3.暂时无法完成评估的，调整业务模式，改用境内服务器、境内大模型，避免数据向外流出；

4.已经存在未申报出境行为，主动自查整改，尽早向监管说明情况，争取从轻处理。

周军律师提醒，满足法定条件的数据出境，安全评估是强制性前置程序。未申报不仅企业面临警告、高额罚款、停业整顿，高管、直接责任人会被个人追责，极端情形下还会触发刑事责任。企业出海、对接境外系统，务必把数据出境合规放在业务上线之前。遇到相关问题，建议及时咨询专业律师，寻求有效的法律帮助，以免错失维权良机。

普及法律常识，帮您维护权益。

点赞关注分享，让亲友都得到法律保护！作者：周军律师.

咨询请关注，私信必复。

根据《数据出境安全评估办法》，企业在四种法定情形下必须申报数据出境安全评估：向境外提供重要数据；关键信息基础设施运营者、处理百万以上个人信息企业对外提供个人信息；累计向境外提供10万条个人信息或者1万条敏感个人信息等情形，应当向网信部门申报安全评估。

那么，数据出境未申报安全评估，企业会有什么后果？

出海企业、调用境外大模型API的企业直接传输数据却不申报，将面临多层次法律后果，不仅企业受罚，直接负责人也会被追责。

一、行政整改类后果（初次查处）

监管部门核查发现应当申报却未开展安全评估，第一阶段会作出处置：

1.约谈、责令立即停止违法数据出境活动，切断数据跨境传输通道，要求企业限期完成整改、补做安全评估申报。

2.警告、没收违法所得，企业从违规出境业务获取的收益可以予以没收。

3.责令企业开展内部数据安全自查，提交整改报告。

实务风险：一旦被责令停止出境，企业跨境业务、对接海外服务器、调用境外API业务直接停摆，会造成商业合同违约、项目停滞。

二、行政处罚：企业罚款、业务限制

企业拒不整改、逾期不申报，或者已经大规模传输重要数据、大量个人信息出境，会启动罚款及业务惩戒。

1.一般违法情形：处以对应额度罚款；

2.情节严重情形：高额罚款，最高可达一千万元；还可以责令暂停相关业务、停业整顿；情节特别严重，可以吊销相关业务许可、吊销营业执照。

3.处罚记录记入企业信用档案，会影响招投标、融资、上市审核，企业出海资质也会受到负面影响。

三、直接负责人个人追责

该类违法并非只罚单位，直接负责的主管人员、实操责任人会单独处罚。

一般情形可处1万‑10万元罚款；情节严重的，对责任人处以10万‑100万元罚款。企业高管、数据负责人、技术负责人均有可能被认定为直接责任人员，承担个人财产处罚。

四、民事连锁风险

1.对用户：违规出境个人信息，用户有权起诉企业主张民事侵权赔偿；

2.商业合同：跨境合作协议中，因未做安全评估导致业务被叫停，企业要向境外合作方承担违约赔偿责任；

3.保险、投融资：IPO、融资尽调会重点核查数据出境合规，未申报属于重大合规瑕疵，会直接阻碍融资上市进程。

五、刑事风险（后果最严重）

如果未经评估出境行为，造成重要数据泄露、大规模个人信息外泄、危害国家安全，满足犯罪构成要件，相关人员可能触犯拒不履行信息网络安全管理义务罪、侵犯公民个人信息罪等，面临有期徒刑、拘役等刑事处罚。

实务高频误区澄清

误区一：只是调用海外大模型API，量不大，不算数据出境。 错误。业务数据、用户输入内容传给境外服务器，就属于数据出境，达到法定门槛必须申报安全评估。

误区二：内部做过自评估，就不用向网信部门申报安全评估。 错误。企业自我风险评估不能替代国家网信部门组织的数据出境安全评估，自评估是内部工作，申报是法定对外义务。

误区三：已经和境外签合同，业务不能停，可以先传输，后面补申报即可。 错误。法律要求先评估、后出境，不能“先出境后补手续”；被查处后即便补做评估，之前的违规行为依然可以处罚。

误区四：只有跨国大公司才需要评估，中小企业数据量小不会被查。 监管常态化抽查，中小企业只要满足法定数据数量、数据类型条件，同等适用申报义务，不存在企业规模豁免。

企业实操合规建议

1.先做数据梳理：识别是否涉及重要数据，统计出境个人信息数量，判断是否触发安全评估申报条件；

2.触发条件的，先申报评估，评估通过之后再开展跨境传输，评估有效期2年，发生重大变化需要重新申报；

3.暂时无法完成评估的，调整业务模式，改用境内服务器、境内大模型，避免数据向外流出；

4.已经存在未申报出境行为，主动自查整改，尽早向监管说明情况，争取从轻处理。

周军律师提醒，满足法定条件的数据出境，安全评估是强制性前置程序。未申报不仅企业面临警告、高额罚款、停业整顿，高管、直接责任人会被个人追责，极端情形下还会触发刑事责任。企业出海、对接境外系统，务必把数据出境合规放在业务上线之前。遇到相关问题，建议及时咨询专业律师，寻求有效的法律帮助，以免错失维权良机。

普及法律常识，帮您维护权益。

点赞关注分享，让亲友都得到法律保护！