出海合规指南系列 数据跨境新规试点：以“数据出海”引领企业出海

作者：张颖

目录

一、事实影响力突破属地管辖的新规试点

二、规范体系衔接强化未来普适性转化

三、动态调节机制背后的规制逻辑

四、依托监管构建合规内驱力

附：“数据出海”合规行动清单与系统指引

针对大湾区提升对外开放水平、优化营商环境促进企业出海的发展规划，推进粤港澳大湾区深化协同发展，在数据安全基本前提下，以“三驾马车”、《数据出境安全评估办法》《促进和规范数据跨境流动规定》等统一法律法规为基础，广东省互联网信息办公室、广东省商务厅、广东省政务服务和数据管理局联合发布了《中国（广东）自由贸易试验区数据出境负面清单管理办法（试行）》（以下简称《管理办法》）和《中国（广东）自由贸易试验区数据出境管理清单（负面清单）（2025版）》（以下简称《负面清单》（2025版））和《中国（广东）自由贸易试验区数据出境负面清单管理办法（试行）》。

这两项文件的核心逻辑归纳为“廓清红线，对标识别”，共同构建了广东自贸区数据跨境流动管理落地指引，以 “重要数据” 和“达到特定规模的个人信息” 为两大监管抓手，明确了长久以来困扰企业的两个问题：

·识别“重要数据”的机制到底是什么？

·“未达量”个人信息出境，监管尺度如何把握？

理解《管理办法》和《负面清单》（2025版）针对这两个问题设计的解决方案及其背后的规制逻辑，能够让企业在推进业务出海时，快速锚定数据合规重点，并建立起高效应对境内外合规监管能力。

一、事实影响力突破属地管辖的新规试点

根据《管理办法》第六条规定，本次这两份文件管辖范围，按照“属地原则”，是指“广东自贸试验区和河套深圳园区内登记注册、开展数据跨境流动等相关活动的企业、事业单位、机构、团体、其他组织或个人”，即在广州南沙自贸区、珠海横琴自贸区、深圳前海自贸区以及河套深圳园区登记的数据处理者。

但事实上，这两份文件效力所能辐射的范围，并不只限于属地管辖的区域，毕竟这些数据处理者的业务活动并不以自贸区或河套深圳园区为限。因此，以下两类主体，在开展特定数据或个人信息跨境处理活动时，建议比对《管理办法》与《负面清单》（2025版）梳理合规义务、厘定合规标准：

·作为登记注册在自贸区或河套深圳园区内数据处理者的供应商或合作商；

由于共同处理者或委托处理者属于管辖范围，建议非管辖范围内的共同处理者与受托处理者在开展共同处理或受托处理的活动中适用这两份文件。

·因分支机构或代理人属于在自贸区或河套深圳园区登记注册的。

从目前的实践来看，这种情况常见于各银行在自贸区或园区设置的支行、公立医院设立的分院，它们虽然没有独立的法人资格，但并不能根据总公司、总行或本部的登记注册地履行合规义务，仍需依据这两份文件关注自己独立开展的跨境数据流通活动中应遵守的合规义务。

更重要的是，早在2015年，《国务院关于印发中国（广东）自由贸易试验区总体方案的通知》（国发〔2015〕18号）文件中，就明确提出设立自贸区，是要求“支持自贸试验区先行先试……形成可复制可推广的改革经验”，并专门在“保障机制”中将自贸区即使总结改革成果，依据规范开展评估，“对试点效果好且可复制可推广的成果，经国务院同意后推广到全国其他地区。”

这就意味着，这次《管理办法》所附的重要数据识别指引以及《负面清单》（2025版）给出的出境指引，经过试点之后，依据法定程序完成评估，能够转化具有普遍适用效力的指引，因此对我国其他地区开展跨境数据处理活动的处理者而言，这两份文件显然具有重要指导意义，事实层面，其影响力远不止其管辖的区域。

二、规范体系衔接强化未来普适性转化

这两份文件事实影响力之所以值得特别重视，还是因为这次两份文件本身的法律性质与规范方式，不仅预留了极大的适应空间，并高度关注了与法律体系的系统衔接，为其转换为具有普遍适用效力的正式规范奠定了基础。

自《数据安全法》与《数据出境安全评估办法》出台以来，市场主体对标数据“分类分级”管理义务时，最关注的问题莫过于什么是重要数据。《管理办法》首次依托行业场景，颗粒度细化到处理字段，给出了明确识别指引，并制定了后续其他场景新增重要数据识别的可操作规程。

一方面，我国目前已经通过部门一般规范性文件以及行业标准等维度初步建立起的重要数据识别与保护标准体系，为《管理办法》奠定了基础。

我国目前在重要数据识别领域的规范与标准可以分为两大类：第一类是“跳出”场景的一般识别指引，标准主要是《数据安全技术 数据分类分级规则》（GB/T 43697-2024）和《信息安全技术 网络安全等级保护数据安全基本要求》（GA/T 2380-2026）；另一类则是区分行业场景，发布的专门性数据分级指引文件，主要包括《工业领域重要数据识别指南》（YD/T 4981-2024）、《金融数据安全 数据安全分级指南》（JR/T 0197-2020）、《中国人民银行业务领域数据安全管理办法》《关于印发医疗卫生机构数据安全和个人信息保护管理办法（试行）的通知》（国卫规划发〔2026〕6号）、《卫生健康行业数据分类分级指南（试行）》以及《教育数据分类分级指南》（JY/T 0661-2025）、《电信领域重要数据识别指南》（YD/T 3867-2024）、《车联网平台重要数据识别指南》（YD/T 6617-2025）、《交通运输数据安全分级指南》（JT/T 1522-2024）、《民航领域数据分类分级要求》（MH/T 3039-2025）、《智能船舶数据分类、分级与标识》（GB/T 47313-2026）以及《低空数据分类分级指南》（T/ZJWLKJAQXH 001—2026）等，这些行业指引与标准文件共同构成了当前重点行业数据分类分级的重要参考依据。

然而另一方面，无论是部门指引还是标准文件，都面临效力上的尴尬境地：

1.规范效力层级低或根本不具备正式法律效力；如《关于印发医疗卫生机构数据安全和个人信息保护管理办法（试行）的通知》（国卫规划发〔2026〕6号）这份文件，虽然是卫健委、公安部等部门发布，但其文号为“国卫规划发”，它本身并非正式立法或行政立法程序形成的部门规章或以上的规范性文件，否则至少应当以“部令”“委令”或“公告”等形式发布，在目前的判决以及执法过程中，只能发挥“参考”作用；而其他以“GB/T”为编码的标准，即便是国家编制的标准，其效力更低于“国卫规划发”这类规范性文件，并不属于正式法律渊源体系中的规范，“参考”价值很难阻却违法性或违规的认定。

2. 技术标准文件基本不符合法律规范表达范式，导致它们对特定数据分类分级或处理行为的认定没有办法给出明确的法律定性指引；一般技术标准文件内容呈现为技术术语阐释、标准化操作描述，这导致它们并没有如规则体系那样给出“假设（适用条件）+行为模式+法律后果”的定性判断，导致“参考”的时候，难以确认其作为“倡导性”的最佳实践，还是普遍性的行业共识，还是必须遵守的“法律底线”。

根据《数据安全法》第21条：“各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录。” 行业主管部门（即“各部门”）根据事务管辖以及属低级别管辖，应当负责为本行业、本地区数据处理者提供明确识别重要数据的指引，包括但不限于发布目录、制定识别标准等。而《网络数据安全管理条例》重申了落实数据分类分级，各行业行政主管部门应当负有主导重要数据的识别与认定工作的义务。

虽然从制定程序上，《管理办法》也并非政府规章或地方性法规，但它的依据是国务院为设定试验性立法划定自贸区的重要政策，并严格比照正式规范制定，相比过去的技术标准与一般规范性文件，可能会在实施成熟后形成正式的、具有较高法律层级的规范文件，因此具备更高的参考价值。

《管理办法》第七条明确将“重要数据识别”列入常规性制定负面清单的工作流程，明确将“本地区”主管机关指定为“省级管理部门”，并且建立了省级“数据安全工作协调机制”，有效衔接行业监管与国家建立数据总局确立的“数据专管”，更铺垫了未来与国家行业、领域管理规范的衔接，优先全国既有的识别标准，防止与上位法发生规范冲突。

同时，《管理办法》通过附件提供“数据分类分级参考规则”，首先提供重要数据统一识别参考规则，其后对照十三个门类的给出重要数据识别参考规则的字段示例，即便相关行业场景尚未出台负面清单，但也能为企业提供更加具象的参考依据。

此外，值得特别关注的是：全国多个自贸区也采用了“负面清单”管理模式，然而，《管理办法》和《负面清单》（2025版）以 “粤港澳大湾区”为战略背景，同步承担了探索与香港、澳门之间构建数据跨境便捷流动机制的目标，涉及金融（如跨境理财通）、征信、医疗健康、交通物流等具体的大湾区民生与商业融合场景。这使得广东的政策不仅是简化出境流程，更肩负着在“一国两制三法域”框架下，为内地与港澳数据流通探索规则衔接、机制对接的独特使命。

三、动态调节机制背后的规制逻辑

本次《负面清单》虽然仅针对“个人征信服务业”和“智能装备制造业”两个行业场景专门列举数据字段，指引相应适用的出境程序，然而《管理办法》“第三章 负面清单制定及管理”确立了动态调整机制，意味着在本次清单发布之后，可见很快会产出针对更多行业场景给出指引。

根据《管理办法》第四条与第七条，广东省互联网信息办公室、广东省商务厅、广东省政务服务和数据管理局、广东省公安厅、广东省国家安全厅等“省级管理部门”负责根据重点行业、领域组织开展需求调研，“结合调研结果及重要数据识别结果，选取数据出境需求迫切、流动频繁的业务场景，对数据出境的规模、范围和频率进行分析，为风险可控的数据出境业务场景合理设置数据项及数据量级。” 

根据规定，规范开展动态调整的实质依据实际包括两个维度：

1.各行业领域企业数据出境的需求；

2.数据出境的风险可控性。

这两个维度分别对应了优化营商环境、提升对外开放水平与落实安全管理、强化风险管理能力这两类目的，因而除了被动地对照适用，从定期发布的《负面清单》（2025版）及业务场景项下的数据管理指引来看，企业可以明确的看到目前监管重点与风险控制的尺度，标志着在重要数据或具有较高风险的个人信息出境活动中，监管逻辑从“摸索探讨”向尺度明确转化。

基于这种认识再来看《负面清单》（2025版）选择个人征信服务业和智能装备制造业发布第一批指引，就可以理解其行业领域选择的逻辑：前者是国家当前监管执法的重点领域，后者则是国家重点助推出海的行业领域。

1.“个人征信服务业”：配合国内金融领域个人信息非法买卖以及相关黑灰产整顿。

这领域主要是在个人信息的“规模”上给出了相比《数据出境安全评估办法》更细化的指引，在要求申报的100万人个人信息/1万人敏感个人信息以下，要求个人信息规模未达标，但符合10-100万人个人信息/1万人以下敏感个人信息数量级时，应当通过个人信息出境标准合同备案、个人信息保护认证。

除经行业领域主管（监管）部门告知、公开发布的重要数据（目前主要参考《金融数据安全 数据安全分级指南》（JR/T 0197-2020））以及可能仍需要参考个人信息标准文件对敏感个人信息的认定（目前主要指《信息安全技术 个人信息安全规范》（GB/T 35273-2020）和《网络安全标准实践指南——敏感个人信息识别指南》（TC260-PG-20244A））外，这次《负面清单》（2025版）列举的字段，除了一般常见的个人信息外，另列明个人职业信息（如职业类型等）、逾期信息（如逾期率、逾期类型等）、失信被执行人信息（如具体失信情形、执行案件信息等）等属于需要纳入数据量统计的范围。

·“跳出”业务活动范畴理解监管收紧背后的执法逻辑

2026年4月，公安部经济犯罪侦查局、国家金融监督管理总局稽查局联合召开专项工作会议，正式部署新一轮金融领域黑灰产集群打击整治工作，2026年5月起相关专项行动全面升级实施。该次专项行动重点整治的8类核心违法违规行为中，“非法支付结算通道、金融领域个人信息非法买卖行为、虚拟货币交易及跨境金融犯罪网络、涉金融非法技术服务黑产”等4类在实施路径上均与个人征信数据跨境流通活动存在强相关。因此，从正面强化个人征信信息跨境流通活动，非常典型地体现出国家通过强化个人征信信息以及金融领域数据出境活动的监管，重点惩治这类个人信息和数据处理活动相关的违规犯罪行为，本质是配合打击跨境金融犯罪以及贷款欺诈等行动，是广东省公安厅、广东省国家安全厅作为“省级管理部门”落实国家总体部署的、打击整治金融领域黑灰产集群专项行动工作的执法行动。

·金融类数据产品业务经营应提升此类数据处理活动的风险控制等级

我国对金融征信类业务活动本身虽然采取“强监管”的许可管理模式，然而广东自贸区的政策语境则比较特殊，无论是针对南沙、前海、横琴三地自贸区发布的《中国（广东）自由贸易试验区提升战略行动方案》还是针对河套深圳园区发布的《河套深港科技创新合作区深圳园区发展规划》，均强调推进构建湾区跨境金融、鼓励依托数字科技赋能金融创新、积极探索各类与香港金融体系深度融合的方案与模式等。

并且，广东自贸区与前海河套园区本身也处于数据交易和市场化应用非常活跃的大湾区，个人征信数据近年来的主要应用就是在数据要素市场。①近年来，在数据要素改革实践过程中，存在不少依托试点改革以“探索”为名、尝试“模糊”规避许可监管的做法，首次发布的《负面清单》（2025版）以个人信息字段与数据量而非“业务资质”作为适用特定出境路径的依据，这应当视为监管释放的重要信号：开展相关业务活动的数据处理者不能仅仅以履行征信风控作为个人信息处理合法性基础②，如涉及个人征信信息出境处理的业务活动，包括以此为支持开展的跨境金融、跨境支付等业务，穿透业务类型，要求数据处理者应当提升涉及这类个人信息出境活动的风险监测，落实履行合规管理义务。

2. “智能装备制造业”：紧扣智能产业供应链管制趋势，内在合规驱动协助企业提升应对海外监管调查能力。

随着我国智能科技的发展与普及，以大湾区出海企业为代表的中国出海企业已经从传统的劳动密集型批量进入高质量发展转型阶段，根据商务部与海关总署发布的2025年全年以及2026年前四个月的公开数据，智能制造已经成为湾区出海贸易的“核心引擎”，“made in China”的智能制造从2024年开始在全球产业体系相关市场中就开始呈现出明显的比较优势。但正因为中国智能制造业在全球市场中的强势增长，近年欧美多国利用其规则体系针对中国出海企业开展系列打压行动。

如美国佛罗里达、德克萨斯、伊利诺伊等多州依托贸易管制等针对中国企业开展执法或以执法为目的发起调查，欧盟多个国家的监管机构也依据GDPR、人工智能法案，甚至CSDDD等多部法规针对中国利用“长臂管辖”发起合规监管。虽然这些调查或最终的执法理据各有差异，本质都是源于国家利益博弈，具有很强的政治色彩，并且从法律维度来看，这些针对中国出海企业的行动模式也具有明显的共同点，即它们均利用数据与个人信息作为切入点，要求出海企业证明：

(1）数据与个人信息跨境处理活动是否符合出海业务所在地的监管规范；

(2）出海企业的数据安全与个人信息保护水平是否达到所谓“充分性水平”或被认可的其他标准。

正是因为这些针对性行动存在这种“模式化”特征，创造了系统应对的可能：

一方面，我国政府积极通过《反外国不当域外管辖条例》以及其他正当反制手段对这类执法或调查行动中存在恶意针对的行为，为出海企业提供基础支持。

另一方面，本次《负面清单》（2025版）在“智能装备制造”项下列举的产业研发制造数据（含核心技术数据与核心场景工艺数据、特殊产业生态的行业数据、AI训练中的敏感个人信息等）、供应商数据、核心员工个人信息等几类，正是针对欧美主张“长臂管辖”规则时惯用的几类涉数据（个人信息）“抓手”，将之转换为相应数据出境监管审查的重点，能够让出海企业直观感受到全球智能产业体系供应链监管的普遍执法趋势与监管重点，并倒逼企业在出海前即针对性提升相关领域的数据安全与个人信息保护水平，从境内监管制度供给侧设置出海企业的内在合规驱动力，进而提前夯实企业自身的合规基础，提升应对海外合规要求的能力。

四、依托监管构建合规内驱力

理解《管理办法》与《负面清单》（2025版）背后的规制逻辑，应当看到，“负面清单”不仅仅是企业可以对标适用出境合规路径的操作指南，它更是政府通过监管尝试为企业出海设立的有效引导机制，即：

在坚守国家安全底线的前提下，通过重点突出、风险分层监管的合规管理要求，引导境内企业主动建立起能够应对海外市场的合规经营能力。

近年来，出海已经成为国内很多企业势在必行的选择，但面临海外日益复杂的市场监管形势，相对传统的行业，如制造类企业，或强监管行业，如金融业与医药研发企业，他们最常提出的问题是：

出海千头万绪，到底从哪个点开始做出海的合规规划？

毋庸置疑，原本这个问题必然服务于业务出海的基本模式。但数智时代，出海形态早已超出了传统理解范畴：譬如广大中小企业为了减少风险与前期成本，先通过业务出海开拓海外市场已经成为普遍做法；又譬如很多传统制造企业，包括智能制造企业，对自己是否“事实出海”缺乏一定判断——如本次《负面清单》（2025版），之所以选择“智能装备制造业”作为首批给出数据跨境合规指引的行业，是因为我国政府已经深刻地认识到：只要参与全球经济的产业体系，即便只是供应链中的一环，无论是否企业意识到自己正在向海外直接销售产品、服务、技术，或是否在海外设立实体，业务已经先行带动了“数据出海”。

正因如此，欧美率先以数据与个人信息为切入口，开展系统调查与执法行动，而这种做法直接影响到全球多个国家与地区的监管重点。作为中国企业近年出海的重点区域“一带一路”沿线国家，就强化了数据与个人信息领域立法，不仅在传统业务数据领域严格控制跨境处理活动，对出海企业尝试通过业务先行模式开展跨境经营提出了前置数据合规能力建设的要求；更在针对员工、供应商管理以及资金财会管理等传统认为属于企业组织内部行政管理的相关事项上，要求出海企业能通过员工个人信息管理体系以及供应商数据流管理体系，通过数据侧证明自身能够满足当地劳工权益保护以及反洗钱等合规管理要求。

因此，数据跨境前的合规体系规划，

实质奠定了业务出海以及未来组织跨境架构的基本框架。

这就要求出海企业用好“负面清单”机制，通过识别数据跨境合规义务，在业务出海前，比对做好规划，可以说《管理办法》与《负面清单》（2025版）通过“数据出海”合规指引以及突出监管重点的模式，推进企业出海比对构建合规体系。

从文本来看，企业在“数据出海”及数据整体合规治理的规划中，对照《管理办法》与《负面清单》（2025版）提供的指引，应当关注以下几点

·比照《管理办法》附件识别重要数据；

·比照《负面清单》（2025版），在处理个人信息规模未达到法定申报规模时，确定需要履行其他合规出境程序的情况，并相应提升风险控制等级；

·相关数据与个人信息实施“就高不就低”的合规标准；具体来说，在跨境处理活动中，建议：

(1）针对这类数据与个人信息的处理实施境内外隔离处理，如无法完全实现本地化部署，跨境流通中优先采用隐私计算或其他技术方案，尽量减少原始数据跨境流通；

(2）针对这类数据与个人信息处理全流程建立起相对独立的风险监测机制，推荐采用区块链等方案，对跨境流通中的关键合规动作（如同意获取、数据处理日志等）增强存证留痕可信度，及时做好响应境内外监管的准备；

(3）针对出海企业无法确定法定评估工作如何进行这一普遍难点，依托识别为重要数据或较大规模个人信息处理的活动，开展数据出境风险评估，并以该评估为基础，配合目前海外多国要求开展的数据跨境传输评估、个人信息影响评估等合规工作要求③。

·建立与省级主管部门动态沟通机制，充分利用《管理办法》第十三条规定区域管理机构的指导监督与对接服务机制，及时推进《负面清单》更新。

对于很多企业而言，并没有建立起与省级主管部门或监管当局主动沟通的有效机制，这种运营习惯对于企业出海后在业务所在国开展经营其实也是相当不利的，最直接有效的方案就是企业指定数据合规官（DPO），依托DPO有效履职实现这一目的。

总体来说，《管理办法》与《负面清单》（2025版）为企业对标处理的数据类型、数据级别，识别自身应当遵循的合规模式，到底是申报审批、备案、适用便利通道还是适用豁免规则，这标志着广东自贸区以及河套深圳园区的数据跨境活动管理逻辑的成熟以及标准界限逐渐清晰，企业结束了“自主摸索”“自由论证”或“试验试错”阶段，为广东依托自贸区深化推进大湾区市场协同发展，并进而拓展海外市场补齐了“数据监管拼图”。

附：“数据出海”合规行动清单与系统指引

《管理办法》与《负面清单》（2025版）主要针对企业数据跨境处理活动履行合规义务提供指引，虽然突出监管重点，但如果企业需要规划整体支持业务出海以及后续可能进一步组织架构出海活动的“数据出海”合规体系，这两份文件所给的指引仍只是一个碎片化的视角。

为便于出海企业能更系统地应用试点文件勾勒出的合规指引，对规划基本框架与行动清单作初步的系统梳理，形成指引以供参考，但具体仍需企业适配自身业务类型、行业领域以及出海目的国等进行：

基本框架：“N+3”合规体系

·“N”对应的是（拟）出海企业出境业务需要处理的核心数据，从数据侧则可能面临多维度的监管要求。

正因如此，本次《管理办法》附件并没有采用传统的行业对标模式提供数据分级识别指引。以本次《管理办法》附件中第九类“卫生健康和食品药品类数据”为例，生物医药行业，尤其是跨国多中心临床试验（MRCT）就同时涉及遗传资源、健康医疗、生物安全以及疾控数据等多类“强监管”“高敏感”数据，同时还需要满足敏感个人信息监管要求，需要同时满足科技部、卫健委等多个行业监管部门的监管要求。另一个典型的例子就是人工智能训练数据，在《管理办法》附件中，因人工智能模型本身的应用场景不同，先后出现在“（三）工业类15.工业装备”和“（十一）互联网服务和电子商务类 36.人工智能服务”两种数据分类的项目下，意味着可能需要满足的监管要求相应有所差异。

·“3”对应的是企业需完善的常规数据与个人信息安全合规管理项目，主要是员工个人信息、供应商管理、企业内组织管理活动的数据流安全管理三项。

行动清单：四步推进

⚠注意：

1.鉴于出海业务领域以及目的国法律监管文件各有差异，合规义务清单与体系建设内容需相应细化调整；

2.如果出海企业已经开展的数据跨境处理活动，则无需重新确定必要数据出海范围，直接针对跨境处理的数据依据场景梳理，生成《初步重要数据目录及分类分级报告》；

3.如涉及处理个人信息，还需依据《个人信息保护法》规定的开展个人信息保护影响评估（PIA），并依法履行相关合规义务。

注释：

 ①从公开报道的统计数据来看，自2022年“数据二十条”出台推进国内数据流通应用开始，处理个人征信数据的金融场景相关的数据产品一直是数据交易所中占比最高、最活跃的应用场景，超出精准营销或其他市场分析，在北京、广州、上海和深圳等国内前几名数据交易所的年交易规模占比基本维持在30-35%左右，是所有细分行业中最大的市场；2024年初统计数据显示：截至2024年3月，仅北京、上海、广州、深圳这几家数据交易所，公开上架的“金融场景数据产品”总数就接近 2000款（其中上海1029款、广州629款、北京171款、深圳75款）。而在这些交易中，以信贷风控为核心场景的数据产品占比超过50%。

 ②指的是援引《个人信息保护法》第十三条第一款（二）、（三）项情形，不再单独获取个人同意，而对可能根据其他事由收集个人信息超出原有授权范围开展跨境处理，并尝试援引《促进和规范数据跨境流动规定》第五条第（一）项主张豁免申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证程序。

 ③自GDPR与我国《个人信息保护法》开始，企业在履行数据安全与个人信息保护领域合规义务时，就经常面临各类法定评估工作要求，而这种工作方式目前也为美国、东南亚等多个国家与地区的监管当局所采纳。相比申报审批、备案或许可资质等管理模式，这种工作方式到底为什么如此重要，我们会专门撰文说明，除了如何开展评估，还会解释如何科学使用评估工作成果，此处不再赘述。