数据跨境风险：法规、传输、存储

数据跨境风险：法规、传输、存储本文档提供：出境行为识别表；三条合规路径判定表；豁免情形核对表；安全评估触发与材料表；标准合同备案材料与时限表；个人信息出境认证与负面清单路径表；传输通道加密验收表；隐私计算与脱敏适用判定表；存储架构本地化验收表；境外访问穿透排查表；七处合规卡点排查表；决策规则表；完整示例与变量表；三套场景操作表。2026-11-09表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、先确认什么算“出境”：数据在境内、被境外访问也算出境行为识别表；四种出境形态把非物理传输的出境场景纳入评估二、三条合规路径先判一条：安全评估、标准合同、认证三条合规路径判定表；数量阈值与CIIO前置锁定应走的程序类型三、豁免情形逐条对：不满足豁免再往下走豁免情形核对表；六类豁免的观察条件排除不需要走程序的场景四、安全评估：自评估先行，材料、时限和3年有效期安全评估触发与材料表；延期六条件完成申报并管理有效期五、标准合同：PIA在前，合同生效后10个工作日内备案标准合同备案材料与时限表；PIA时效要求完成备案并建立转报触发线六、认证与负面清单：两条可替代或并行的路径个人信息出境认证与负面清单路径表；适用城市与行业在标准合同之外找更轻或更快的通道七、传输架构：加密和脱敏落到具体通道和字段传输通道加密验收表；隐私计算与脱敏适用判定表把“安全措施”写成可验收的配置八、存储架构：本地化不等于境外不能访问，穿透要管住存储架构本地化验收表；境外访问穿透排查表在物理位置和数据流动之间建立控制九、合规卡住，从这七处查：路径选错、数量拆分、豁免误用、PIA过期七处合规卡点排查表；换哪条路定位程序链条的断点十、路径已选、数量临界、境外访问未收口，先动哪个决策规则表；矛盾四段裁决合规路径与架构控制的冲突十一、完整示例：从员工数据出境识别到标准合同备案和传输加固转折记录表；变量表复现识别、判路、备案、架构的全过程十二、正式合规、内部排查、个人了解三套做法砍掉哪些项三套场景操作表；检查项增减按使用目的裁剪文档范围十三、来源层级与核对状态登记表来源说明表；核对路径登记来源层级与核对状态按第一列在正文找对应那节，按第二列判断该节有没有所需内容，按第三列判断该节是否对应当前卡住的位置。一、先确认什么算“出境”：数据在境内、被境外访问也算打开数据流图和系统架构图，标出所有“境内数据可被境外主体获取”的路径。出境不限于把数据文件传出国境：境内系统对境外开放API查询、境外运维人员远程登录境内数据库、境外SDK在境内采集后回传、跨国集团境外总部访问境内HR系统，这些在监管口径下都可能构成数据出境。欧盟GDPR的执法实践提供了同类参照：TikTok案中，爱尔兰数据保护委员会认定的违法行为不是数据被“传输”到中国，而是中国境内团队对欧洲经济区用户个人数据的远程访问。识别动作按四种形态逐条排查。表2出境行为识别表出境形态在哪个文件里找观察什么什么算需要纳入评估示例物理传输数据流图、接口清单是否存在向境外服务器或主体的文件传输传输目的地或接收方在境外境内营销系统向境外广告平台推送用户手机号远程访问运维记录、VPN日志境外人员是否登录境内系统查看或导出数据登录来源在境外且可触达个人信息集团境外IT团队远程登录境内HR数据库API查询接口文档、网关日志境外系统是否可调用境内接口获取数据接口返回字段含个人信息或重要数据境外App调用境内用户画像APISDK回传SDK清单、抓包记录内嵌SDK是否将采集数据回传境外回传目的地为境外且未告知或未取得同意境内App内嵌境外统计SDK回传设备标识输入：取数据流图、接口清单、运维日志和SDK清单。动作：按表2第2列至第4列逐条排查。输出：出境行为识别记录一行一场景，填形态、路径和是否构成出境。判定：四种形态均有排查结论；构成出境的场景有数据类别和涉及字段名。只排查物理传输、漏掉远程访问和API查询的，该轮识别标记“不完整”。二、三条合规路径先判一条：安全评估、标准合同、认证出境行为识别出来后，按“先排除、再分路”的顺序判路径。第一步确认是否属于关键信息基础设施运营者（CIIO）；CIIO出境个人信息或重要数据，直接进入安全评估，没有其他选项。第二步看是否涉及重要数据；涉及重要数据的，进入安全评估。第三步看个人信息累计数量：非CIIO且不涉及重要数据的，自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），或者不满1万人敏感个人信息，可以走标准合同或认证；超过100万人个人信息（不含敏感个人信息）或超过1万人敏感个人信息的，必须申报安全评估。数量按“累计”计算，按场景拆分不能降低路径等级。表3三条合规路径判定表判定顺序观察什么走哪条路径谁适用示例1是否CIIO安全评估（强制）CIIO出境个人信息或重要数据能源企业CIIO向境外集团传输员工数据2是否涉及重要数据安全评估（强制）任何处理者汽车企业传输测绘类重要数据3累计个人信息量是否超阈值超100万人非敏感或超1万人敏感：安全评估；10万—100万非敏感或不满1万敏感：标准合同或认证非CIIO电商平台年累计出境120万人收货地址，安全评估4是否满足豁免情形不触发任何程序见第三节跨境购物物流必要数据传输5是否在自贸区负面清单外可免于申报安全评估等程序负面清单适用区域内企业上海再保险场景数据出境输入：取CIIO认定文件、数据分类分级结果、个人信息出境累计台账。动作：按表3第1列至第3列的顺序逐项判定，不要跳过CIIO和重要数据直接看数量。输出：路径判定结论一行，填路径类型、触发条件和累计数量。判定：判定结论写明所依据的条款和阈值；标准合同或认证路径的，累计数量有台账支撑；安全评估路径的，触发原因具体到CIIO、重要数据或数量超限中的哪一项。三、豁免情形逐条对：不满足豁免再往下走《促进和规范数据跨境流动规定》设置了若干免予申报安全评估、订立标准合同、通过认证的情形，包括履行合同所必需、人力资源管理所必需、跨境贸易和物流必要、紧急情况等。豁免的判断依据是“必要性”和“场景限定”，不是企业自行声明。以人力资源管理为例，跨国集团向境外总部传输员工薪酬和绩效数据，主张“人力资源管理所必需”时，需要证明传输范围限于总部履行统一管理职能所必需的最小字段，且不包含超出管理必要的敏感信息。表4豁免情形核对表豁免类型观察什么什么算满足不合格形态示例履行合同必要传输是否为向个人履行合同所必需字段和接收方均与合同履行直接相关合同已履行完毕仍持续传输跨境机票预订向境外航司传输乘客姓名和证件号人力资源管理必要是否为总部统一HR管理所必需字段限于薪酬、考勤、绩效等管理必需项借HR名义传输员工消费记录集团向境外总部传输员工工资和绩效评分跨境贸易和物流必要是否限于贸易和物流履约必需不含超出履约的营销或画像数据物流场景附带传输用户浏览历史跨境电商向境外物流商传输收件地址和电话紧急情况是否为应对突发公共卫生事件或紧急情况所必需有紧急状态依据且范围限定以紧急名义常态化传输疫情期间向境外卫生机构传输必要防疫数据自贸区负面清单外数据项是否在适用负面清单之外清单外且不涉及重要数据清单内数据项仍按豁免处理上海再保险清单外场景输入：取出境场景对应的合同、HR管理制度、贸易单据或自贸区负面清单。动作：按表4第2列至第4列逐条核对。输出：豁免核对记录一行一场景，填豁免类型和判定结论。判定：豁免成立的有具体合同条款或管理文件支撑；豁免字段范围可列举；不满足豁免的，返回表3重新判路径。四、安全评估：自评估先行，材料、时限和3年有效期安全评估路径确定后，申报前先完成数据出境风险自评估，形成自评估报告。申报材料通过数据出境申报系统或省级网信部门提交，省级部门在5个工作日内完成完备性查验，国家网信部门受理后45个工作日内出具评估结论，情况复杂可延长但总计不超过60个工作日。评估结果有效期按现行规定为3年，2024年3月22日前核发的仍按2年执行；有效期届满前60个工作日内可申请延期，延期需同时满足六项条件，包括未来三年出境数量增幅不超过原准予数量的20%、未发生重大数据安全事件等。申报材料中的接收方保护能力、传输合法性、数据安全保障措施是审核重点。表5安全评估触发与材料表材料或步骤具体内容什么算合格常见缺项示例自评估报告出境数据种类、规模、目的、接收方情况、安全保障措施、风险判断覆盖全部出境场景，有风险等级和结论只写“已采取安全措施”无具体机制员工数据出境自评估，含字段清单和接收方安全认证申报书主体信息、出境场景、数据类别、数量数量与台账一致数量按单次填写而非累计年累计12万人，填单次最高5000人法律文件与境外接收方的合同或法律约束性文件含数据保护条款、再转移限制、违约责任合同无再转移限制集团内部数据传输协议含约束性公司规则接收方保护能力证明安全认证、审计报告或等效证明可核查且现行有效提供过期认证境外接收方ISO27001证书在有效期内有效期管理评估结论出具日、到期日、延期窗口到期前60个工作日启动延期到期后才开始准备2026年到期，2026年一季度启动延期准备输入：取自评估报告、出境台账、与接收方的法律文件和接收方证明。动作：按表5逐项准备材料，按时限提交。输出：安全评估申报包和有效期跟踪记录。判定：自评估报告覆盖全部识别出的出境场景；申报数量与台账一致；有效期到期日前60个工作日有延期启动记录。延期六条件需逐项核对，不满足的按重新申报准备。五、标准合同：PIA在前，合同生效后10个工作日内备案非CIIO且不涉及重要数据、累计个人信息量在10万—100万人（不含敏感）或不满1万人敏感信息区间的，可以选择标准合同路径。标准合同必须使用国家网信部门制定的模板，核心条款不得删减，额外商业条款不得与标准合同冲突。备案前必须完成个人信息保护影响评估（PIA），PIA报告要求在备案之日前3个月内完成且至备案之日未发生重大变化。标准合同生效之日起10个工作日内，向所在地省级网信部门提交备案材料，包括统一社会信用代码证件、法定代表人身份证件、标准合同、PIA报告等。备案是程序性要求，不改变持续合规义务：累计出境数量突破100万人（非敏感）或1万人（敏感）时，必须转报安全评估，并将此前通过标准合同出境的数量纳入申报范围。表6标准合同备案材料与时限表材料或动作具体内容什么算合格不合格形态示例PIA报告出境目的、字段、接收方、保存期限、保护措施、风险备案前3个月内完成，内容与合同一致PIA字段与合同传输字段不一致PIA列明传输手机号，合同写手机号+设备ID标准合同使用网信部门模板，填写真实传输安排核心条款完整，无冲突商业条款自行删减再转移限制条款合同附集团内部规则作为补充备案时限合同生效后10个工作日内提交在窗口内提交超过10个工作日合同9月1日生效，9月10日前提交备案材料完整性营业执照、法定代表人证件、合同、PIA材料齐全且加盖公章缺少法定代表人证件五类材料一次提交转报触发线累计数量是否突破100万人或1万人敏感有监测机制和转报预案突破后仍继续按标准合同出境11月累计突破，12月转报安全评估输入：取出境场景、PIA报告、标准合同文本和累计数量台账。动作：先完成PIA，再签合同，再在10个工作日内备案。输出：备案回执和转报触发线监测记录。判定：PIA完成日期在备案前3个月内；合同使用标准模板且传输字段与PIA一致；备案在合同生效后10个工作日内提交；累计数量监测有月度记录。六、认证与负面清单：两条可替代或并行的路径个人信息出境认证与标准合同在适用情形上相同，二选一。2026年1月《个人信息出境认证办法》施行后，认证成为与标准合同并列的路径，认证结果可作为合规证明。认证的价值在于“一次认证、多次使用”，适合出境场景多、接收方多、重复签订标准合同成本高的企业；北京数据跨境3.0版方案明确推动这一制度运用。自贸试验区负面清单是另一条路径：清单外的数据出境可免于申报安全评估、订立标准合同或通过认证，但负面清单不豁免重要数据的出境管理，且仅适用于清单覆盖的区域和行业场景。截至2026年，全国已有上海、北京、天津、浙江、广东等9个自贸试验区和海南自由贸易港发布负面清单，覆盖零售、再保险、汽车、医药、民航、人工智能训练数据等28个领域。北京清单覆盖九大领域，天津按主题类别组织，上海扩展到再保险、国际航运、商贸、气象等场景。表7个人信息出境认证与负面清单路径表路径适用条件操作要点限制示例个人信息出境认证与标准合同相同的数量区间，非CIIO且无重要数据选择认证机构，建立管理体系，取得认证证书认证有有效期，需维持体系跨国企业多场景出境，认证一次覆盖多接收方自贸区负面清单外企业注册或业务在清单适用区域，数据项不在清单内对照本区域清单逐项比对，留存比对记录清单内数据仍走三条路径；重要数据不豁免上海再保险场景清单外数据出境负面清单与安全评估衔接清单外可免评估；清单内或重要数据仍评估先判清单内外，再判是否重要数据不能以清单外为由传输重要数据北京AI训练数据清单内，走安全评估大湾区标准合同粤港澳大湾区内地与港澳之间使用大湾区版标准合同并在区域内备案不得向大湾区以外提供大湾区员工数据跨境输入：取企业注册地或业务所在自贸区、本区域负面清单、认证机构清单。动作：先判断是否在负面清单适用区域内，再逐项比对数据项是否在清单内；选择认证的，启动体系建设和认证审核。输出：路径选择记录一行，填认证或负面清单及比对结果。判定：负面清单路径有逐项比对记录和“清单外”结论；认证路径有认证计划和证书有效期；大湾区标准合同不得用于大湾区以外传输。七、传输架构：加密和脱敏落到具体通道和字段合规路径解决“能不能出境”和“走什么程序”，传输架构解决“出境过程中数据以什么形态存在”。两条基本控制：通道加密和字段脱敏。通道层面，出境链路启用TLS或等效加密，境外接收方的接入点、证书和加密套件可核查；API传输的场景核对接口鉴权、限流和响应字段最小化。字段层面，对非必要的直接标识符做脱敏或假名化，对需要保留分析价值的场景引入隐私计算或可信执行环境，使原始数据不出境而计算结果可出境。2026年的实践趋势是将区块链存证、隐私计算和脱敏组合使用，实现“数据可用不可见、可控可追溯”。表8传输通道加密验收表控制项做什么验收怎么查什么算通过不合格形态通道加密出境链路启用TLS1.2以上或等效加密抓包检查协议和证书无明文传输文件通过HTTP或未加密FTP传输接口鉴权API传输有身份认证和访问控制用无凭据请求调用接口无凭据请求被拒绝接口无鉴权，凭URL即可查询响应字段最小化API返回字段与出境目的对应对照接口文档和PIA字段清单返回字段不超出PIA范围接口返回全量用户表境外接入点核查接收方接入域名、IP和证书核对证书主体与接收方一致证书主体可对应接收方数据发往未登记的第三方域名传输日志留存每次出境有时间、数据量、接收方抽查日志记录日志可追溯单次传输无传输日志或日志无接收方字段输入：取出境链路配置、API文档、PIA字段清单和接收方证书。动作：按表8逐项做技术验证。输出：传输通道验收记录一行一控制项。判定：通道加密和接口鉴权为硬性前置；响应字段最小化以PIA字段清单为对照基准；传输日志能定位到单次传输。表9隐私计算与脱敏适用判定表技术选项适用场景什么算适用不适用情形示例字段脱敏/假名化接收方仅需部分字段或统计结果脱敏后仍满足接收方业务目的接收方需要原始标识符做匹配向境外分析平台传输脱敏后的用户ID和交易金额隐私计算（多方安全计算/联邦学习）多方联合建模且原始数据不出境计算任务可在加密或分布式状态下完成接收方需要直接读取原始记录境内外机构联合训练风控模型可信执行环境需要在受控环境内处理原始数据有可验证的隔离和审计机制接收方无法部署或验证TEE境外合作方在TEE内运行统计任务匿名化数据经处理后无法复原到个人有匿名化效果评估存在重识别风险医疗研究数据匿名化后出境数据沙盒敏感数据在受控环境内加工，产品出盒有沙盒运营方和出盒审查需要将原始数据带出北京商用数据沙盒“敏感数据入盒、合规产品出盒”输入：取接收方的业务目的、数据使用方式和可部署的技术条件。动作：按表9第2列至第4列匹配技术选项。输出：技术措施选择一行一场景，填选项和适用判定。判定：选择隐私计算或TEE的，有技术验证记录；选择脱敏的，脱敏后字段仍满足接收方业务目的；匿名化有重识别风险评估。八、存储架构：本地化不等于境外不能访问，穿透要管住存储架构的核心不是“数据放在哪里”，而是“谁在什么条件下可以访问”。中国法下的本地化要求与出境评估机制并行：数据可以在境内存储，但境外主体对境内数据的远程访问同样可能构成出境。架构设计需要把“存储位置”和“访问路径”分开管理。北京3.0版方案提出的跨境可信数据空间、上海数据跨境流动基础设施的“跨境跨链网关”和区块链存证，都是把访问控制嵌入架构的实践形态。落地动作：存储层面按数据类别划分驻留域，访问层面按“境内主存、境外脱敏副本”或“原始数据不出域、计算结果出境”设计，并对境外访问做穿透式日志记录和异常阻断。表10存储架构本地化验收表控制项做什么验收怎么查什么算通过不合格形态驻留域划分按数据类别和法域划分存储域存储清单与数据分类分级对应每类数据有明确的驻留法域所有数据存一个区域，无法区分个人信息主存位置个人信息原始记录存于境内查询数据库和备份位置原始记录和备份均在境内原始记录同步到境外数据库境外副本策略境外副本限于脱敏或聚合数据抽样核对境外副本字段境外副本不含直接标识符境外副本含完整手机号和证件号加密密钥位置密钥管理与数据存储分离，密钥在境内核对KMS部署位置和访问权限境外无法单独获取密钥密钥与加密数据同存境外访问控制策略境外访问按最小必要和审批放行查访问控制列表和审批记录境外访问有角色、时限和审批境外账户长期拥有全量读取权限输入：取数据分类分级结果、存储清单、备份策略和KMS配置。动作：按表10逐项核对存储位置和访问条件。输出：存储架构验收记录一行一控制项。判定：个人信息原始记录和备份均在境内；境外副本不含直接标识符；密钥在境内且境外无法单独获取。任一项不满足，该存储域标记“本地化未收口”。表11境外访问穿透排查表排查项打开什么看什么什么算合格不合格形态换哪条路远程登录来源VPN日志、堡垒机日志登录IP和账号归属境外访问有审批和时限境外账号长期在线改为按需审批、限时访问API查询范围网关日志境外调用方访问的字段和频次字段在PIA范围内，频次异常可告警境外API拉取全量数据响应字段最小化并加频次限制SDK回传抓包和SDK清单回传目的地和字段无未告知的境外回传统计SDK回传设备标识和位置移除SDK或关闭回传运维通道远程桌面和跳板机记录境外运维是否可触达生产库有审批、录屏和操作审计境外运维直接连生产库无审计加堡垒机和操作审计异常阻断安全设备日志境外异常访问是否被阻断有自动阻断规则和告警无阻断，仅记录配置异常访问熔断规则输入：取VPN日志、网关日志、SDK抓包和堡垒机记录。动作：按表11逐项排查境外访问路径。输出：穿透排查记录一行一排查项。判定：远程登录和API查询为高优先级；境外账号长期在线或API可拉取全量数据的，标记“穿透未收口”，该路径的出境识别需重新评估。九、合规卡住，从这七处查：路径选错、数量拆分、豁免误用、PIA过期合规或备案出现卡点时，从表12第一检查点开始。第一检查点打开路径判定记录，确认CIIO和重要数据的判定是否有依据。表12七处合规卡点排查表检查点打开什么看什么什么算合格不合格形态换哪条路CIIO和重要数据判定认定文件、分类分级结果是否有明确的CIIO认定或重要数据目录判定有依据且记录在案未做判定直接按数量分路补CIIO认定和重要数据识别数量口径出境台账是否按当年1月1日起累计计算累计数有月度记录按单次或按场景拆分计算建累计台账，按场景汇总豁免适用豁免核对表豁免是否有必要性证明字段和场景限定在必要范围以豁免为名常态化传输取消豁免，按实际数量判路径PIA时效PIA报告完成日期是否在备案前3个月内日期在窗口内且无重大变化PIA完成超过6个月重新做PIA标准合同模板合同文本是否使用网信部门模板核心条款完整自行删减或添加冲突条款换回标准模板备案时限备案回执合同生效后10个工作日内提交在窗口内逾期提交立即补交并记录原因评估有效期评估结论到期日和延期启动日到期前60个工作日启动延期到期后仍按原结论出境暂停相关出境或加急申报输入：从表12第一检查点逐行打开。动作：按“看什么”列比对。输出：排查记录一行一检查点。判定：第一检查点有CIIO和重要数据的判定结论；不合格行有“换哪条路”动作。十、路径已选、数量临界、境外访问未收口，先动哪个某企业员工数据出境：累计12万人非敏感个人信息，选择标准合同路径，PIA已完成，合同已签；但集团境外IT团队长期拥有境内HR数据库的远程读取权限，境外副本中含完整手机号，密钥与数据同存境外。累计数量接近100万人转报线。标准合同备案的时限在即，境外访问穿透和存储架构问题同时暴露。三条线争用同一批合规和IT资源。表13决策规则表编号如果可观察条件则执行动作如果判定失效条件则退路R1累计数量在10万—100万且已选择标准合同在合同生效后10个工作日内完成备案，同时建立月度累计监测累计接近100万提前准备安全评估材料，达到阈值即转报R2境外IT团队拥有境内HR库长期读取权限改为按需审批、限时访问，加堡垒机和操作审计业务要求持续在线将境外访问限定为脱敏视图，原始数据不出境R3境外副本含完整直接标识符脱敏或假名化境外副本，保留分析所需最小字段接收方需要原始标识符改用隐私计算或TEE，原始数据不出境R4密钥与加密数据同存境外将密钥管理迁回境内，境外无法单独获取密钥技术上无法短期迁移对境外数据改用代持密钥或加密网关R5R1备案时限与R2至R4架构整改同时发生备案按期提交，架构整改并行启动；备案材料中如实描述当前措施和整改计划监管问询要求整改完成才备案先完成最小必要整改（脱敏副本、密钥迁回），再提交R6数量达到100万转报线停止按标准合同新增出境，启动安全评估申报业务无法暂停与监管沟通过渡安排，登记超限风险矛盾陈述：员工数据累计出境12万人，标准合同备案窗口在即。备案材料要求描述安全保障措施，但当前境外副本含完整手机号、密钥与数据同存境外、境外IT长期在线。如实描述会暴露架构缺陷，不如实描述构成材料不实。数量接近100万转报线，安全评估的准备工作尚未启动。实质分析：备案是程序性义务，不能因为架构缺陷而停止，但材料真实性是底线。架构缺陷可以在备案材料中作为“已识别风险和整改计划”如实描述，监管关注的是风险是否被识别和管理，而不是零缺陷。数量接近转报线意味着标准合同的适用窗口有限，安全评估的准备必须提前，不能等突破后再启动。权衡规则：按R5备案按期提交，材料中如实描述当前措施和整改计划，优先完成两项可在窗口内落地的整改：境外副本脱敏和密钥迁回境内。按R2将境外访问改为按需审批和限时，堡垒机审计同期上线。按R1建立累计监测，接近100万时启动安全评估准备。R6作为触发线。退路：备案因架构描述被要求补正的，按补正意见完成整改后重新提交；密钥短期无法迁回的，对境外数据改用加密网关或代持密钥；数量提前突破的，停止新增并按R6申报安全评估。输入：取表3路径判定、表6备案进度、表10和表11架构验收结果、累计台账。动作：按表13“如果可观察条件”列匹配。输出：决策记录一行，含规则编号、执行顺序、退路。判定：规则编号对应条件和退路有具体动作；备案提交与架构整改的并行关系写明。十一、完整示例：从员工数据出境识别到标准合同备案和传输加固某跨国制造企业中国区合规团队在2026年三季度对员工数据出境做合规评估[示例案例，细节为合理设定]。起点材料数据流图、HR系统架构图、VPN和堡垒机日志、SDK清单、累计出境台账（12万人）、PIA报告初稿、集团内部数据传输协议。分步操作步骤1：按表2识别出境行为。HR系统向境外总部开放API查询、境外IT团队通过VPN远程登录境内HR数据库、境外副本数据库含员工手机号和薪资、集团绩效系统SDK回传设备标识。四种形态均构成出境。表2记录四个场景。步骤2：按表3判路径。企业非CIIO，不涉及重要数据，累计12万人非敏感个人信息，选择标准合同路径。表3记录“标准合同，累计12万人”。同时建立月度累计监测，接近100万人时启动转报准备。步骤3：按表4核豁免。集团主张“人力资源管理必要”，但境外副本含完整手机号，超出HR管理必要字段范围；SDK回传设备标识与HR管理无直接关系。豁免不成立，返回标准合同路径。表4记录“豁免不成立，字段超范围”。步骤4：按表6准备备案。PIA报告在备案前2个月完成，字段清单与合同一致；标准合同使用网信部门模板；合同生效后第7个工作日提交备案材料。表6记录备案回执。步骤5：按表8和表10加固传输与存储。出境链路启用TLS1.2以上；HRAPI加鉴权和响应字段最小化；境外副本脱敏，去除完整手机号；密钥管理迁回境内；境外IT访问改为按需审批和限时，加堡垒机审计。表8和表10验收。步骤6：按表11排查穿透。VPN日志显示境外账号改为按需审批后不再长期在线；API调用频次加告警；SDK回传关闭非必要字段。表11记录“穿透已收口”。不顺利环节表14转折记录表转折信号假设试了什么新信息换哪条路第一轮累计12万人，按单次最高5000人计算单次不超阈值即可走标准合同查累计台账监管口径按当年1月1日起累计，12万人已进入标准合同区间从“按单次判路径”改为“建累计台账，按累计判路径”第二轮集团主张HR管理豁免豁免可以覆盖员工数据出境对照豁免字段范围境外副本含完整手机号，超出HR管理必要字段；SDK回传与HR无关从“依赖豁免”改为“放弃豁免，走标准合同并裁剪字段”第三轮PIA初稿完成已超过4个月PIA可以继续用查备案指南时效要求PIA需在备案前3个月内完成从“沿用旧PIA”改为“重做PIA，与合同字段同步”第四轮境外副本脱敏后接收方分析效率下降脱敏会破坏业务价值与接收方确认分析需求接收方只需要聚合统计和假名化ID，不需要完整手机号从“担心脱敏影响业务”改为“按接收方实际需求脱敏，保留假名化ID”第一轮把数量口径从单次改为累计。第二轮放弃豁免，走标准合同并裁剪字段。第三轮重做PIA以满足时效。第四轮确认脱敏范围可以与接收方业务需求对齐。终点产出标准合同备案完成，PIA在备案前2个月完成且字段与合同一致；累计台账月度更新，转报触发线设为90万人预警、100万人启动安全评估准备；出境链路加密、API鉴权和字段最小化验收通过；境外副本脱敏，密钥在境内，境外IT访问按需审批并留堡垒机审计；SDK回传字段关闭。豁免不成立的判定和依据记录在案。表15变量表变量案例中情形如果变量不同处置变化累计个人信息量12万人超过100万人不能走标准合同，直接安全评估是否CIIO非CIIO是CIIO无论数量多少，安全评估豁免字段范围超出HR管理必要限于薪酬和考勤豁免可能成立，不触发程序PIA完成时间备案前2个月超过3个月需重做PIA境外副本字段脱敏后满足分析接收方需要原始标识符改用隐私计算或TEE累计个人信息量和豁免字段范围两项对路径选择和整改动作的影响权重较高。十二、正式合规、内部排查、个人了解三套做法砍掉哪些项正式合规申报、应对监管检查或对