data-localization

name	data-localization
description	个人信息出境合规路径——判断是否须出境 + 选择最优合规路径。 适用情形：发现数据有出境行为（境外服务器/境外第三方）时使用。 核心：是否须出境 + 安全评估/标准合同/认证三选一。
argument-hint	[数据类型] [出境目的地] [接收方类型]
legal_frame	cn-mainland
last_reviewed	2026-06
version	1.0.0
risk_level	high
trigger_phrases	["数据","数据合规","个人信息","PIPL","跨境"]

加载上下文

首次使用时： 读取 ../CLAUDE.md 获取场景级配置（法域足迹/数据源/置信度规则）。

/data-localization — 个人信息出境合规路径

是否须出境的判断

出境情形

情形	是否出境
数据存储在境外服务器	✅
数据传输至境外服务器	✅
向境外第三方提供数据	✅
境外主体直接收集境内用户数据	✅（须在境内设置专门机构）

触发出境合规的条件

条件	触发要求
敏感个人信息出境	必须做安全评估
向境外司法机构提供数据	须经主管机关批准
大规模个人信息（>100万人）	须安全评估

---

三种出境合规路径

路径一：安全评估（最严格）

适用条件：

• 重要数据出境
• 关键信息基础设施运营者
• 处理个人信息>100万人
• 累计向境外提供>10万人个人信息
• 累计向境外提供>1万人敏感个人信息

流程：

1. 自行评估（形成评估报告）
2. 向省级网信部门申报
3. 45个工作日内完成评估（可延长）
4. 有效期3年，期满重新评估

---

路径二：标准合同（中等成本）

适用条件：

• 不满足安全评估条件
• 非敏感个人信息
• 向境外提供<10万人一般个人信息

要求：

1. 与境外接收方签订个人信息出境标准合同（网信部门制定）
2. 合同须包含网信部门规定的标准条款
3. 在所在地省级网信部门备案

标准合同要点：

• 明确各方权利义务
• 明确数据安全责任
• 明确主体权利行使机制
• 承诺接受监督

---

路径三：认证（自愿）

适用条件：

• 自愿选择
• 通过认证机构的个人信息保护认证

认证机构：

• CNCA（国家认证认可监督管理委员会）认可的认证机构

---

路径选择决策树

第一步：是否属于以下情形（须安全评估）？
  - 重要数据出境 → 安全评估
  - 关键信息基础设施运营者 → 安全评估
  - 个人信息>100万人 → 安全评估

第二步：是否属于以下情形？
  - 敏感个人信息出境 → 安全评估
  - 累计出境>10万人一般信息 → 安全评估
  - 累计出境>1万人敏感信息 → 安全评估
  
第三步：以上都不是 → 可选标准合同或认证
  - 快速合规 → 标准合同
  - 长期合规管理 → 认证

---

合规义务

义务	安全评估	标准合同	认证
申报/备案	✅ 须申报	✅ 须备案	✅ 须认证
有效期	3年	无明确	认证期内有效
年度报告	✅	❌	✅
接收方监督	✅	✅	✅

---

输出格式

## 出境合规路径判断

### 出境数据情况
- 数据类型：[一般/敏感/重要]
- 出境目的地：[国家/地区]
- 接收方：[境外处理者/境外服务器]
- 预计出境人数：[X万人]

### 合规路径建议
[安全评估/标准合同/认证]

### 路径选择理由
[判断依据]

### 合规步骤
1. [第一步]
2. [第二步]
3. [第三步]

### 预计时间和成本
- 时间：[X-X个月]
- 成本：[评估费用/认证费用估算]

### 过渡期安排
[在完成合规前，数据处理是否需要暂停或调整]

---

数据源

• 出境规定：[YD] 个人信息保护法第38-43条
• 标准合同办法：[YD] 个人信息出境标准合同办法
• 安全评估办法：[YD] 个人信息安全评估办法
• 认证规则：[YD] CNCA认证规则

---

Greater China Legal — B-phase Scene C data-compliance v1.0.0