数据跨境传输的基本要求

数据一旦出了国境，要考虑的就不再是带宽和延迟，而是合规。《网络安全法》《数据安全法》《个人信息保护法》构成的框架下，数据跨境不是不能做，而是要按规定做。 一、先分清数据的类别 不同类别的数据，出境管理强度差别很大。重要数据，也就是关系国家安全和公共利益的那个层面，管理最严格；个人信息出境要履行告知同意义务，满足法定条件；一般经营性数据的限制相对宽松。业务团队梳理数据流向时，第一张表应该是"什么数据、存在哪、会不会出境"，这张表填清楚，后续评估才有基础。 二、出境的三条合规路径 按现行规则，个人信息出境主要有三种方式：通过国家网信部门组织的安全评估、与境外接收方签署标准合同并备案、参加个人信息保护认证。不同行业和数据规模对应不同路径，涉及个人信息较多的业务，应该在项目立项阶段就启动评估，而不是上线之后补课——补课的成本高，有时高到需要重构架构。 三、部署位置决定数据落点 很多跨境问题其实是架构问题。业务面向国内用户，数据库却放在境外节点，用户数据就直接落在了境外。规划时想清楚数据流向：面向国内用户的主库留在境内；面向海外用户的业务可以单独部署在香港这类节点，两边数据不混流，各自的合规评估都会简单很多。部署位置选错，后面再多补救都别扭。 四、给企业的评估要点 拿一张表列出：数据类型、数量级、是否含个人信息、出境目的、接收方、保留期限。对照法规条文过一遍，多数企业能自己判断出风险等级。拿不准的项目，宁可先咨询专业机构再动手。数据跨境这件事没有"先跑起来再说"的空间，是少数必须在动手前想清楚的问题。