3.3 数据出境与数据主权
一句话
数据出境不是 “技术上能不能传”，而是 “法律上允不允许”：先判定数据类别与规模，再选三条合规路径之一（安全评估 / 标准合同 / 认证），最后才轮到 “怎么传、传多快”。
三条路径（按适用条件选）
| 路径 | 适用（简化表述） | 周期 | 特点 |
|---|---|---|---|
| 安全评估 | 关键信息基础设施运营者、重要数据、达到规模阈值的个人信息 | 长（数月） | 监管审核，最严 |
| 标准合同 | 未达评估阈值的个人信息出境 | 中 | 备案 + 合同条款约束 |
| 保护认证 | 集团内、特定场景 | 中 | 需认证机构参与 |
⚠️ 规模阈值、重要数据目录、豁免情形以最新法规与行业目录为准，且各地执行口径有差异——落地前必须核对官方口径，不能照抄旧文章。
本地化 / 出境限制（行业差异）
| 行业/数据 | 要求 |
|---|---|
| 关键信息基础设施（CIIO） | 个人信息与重要数据原则上境内存储，出境需安全评估 |
| 金融 | 客户信息、交易数据境内存储，出境从严 |
| 医疗健康 | 健康医疗数据境内存储，出境需评估 |
| 汽车/地图 | 测绘与高精地图数据严格本地化 |
| 一般企业 | 按 “是否重要数据 + 个人信息规模” 判定 |
代码：先把 “数据流” 画出来，再谈合规
# 数据流清单：每个流向都要有“目的地 + 数据类型 + 合规路径”
flows:
- from: 生产库(境内)
to: 海外分析平台
fields: [user_id, phone, order_amount]
class: 个人信息
path: 标准合同 # 或 安全评估 / 认证
safeguard: 去标识化 + 传输加密 + 访问审计
- from: 日志平台
to: 海外监控 SaaS
fields: [ip, device_id]
class: 个人信息（可识别）
path: 需评估 # 默认禁止，先评估
# 用出口流量核对“有没有偷偷出境”（示例：按目的地域统计）
sudo tcpdump -ni any -c 200 'not net 10.0.0.0/8' 2>/dev/null | awk '{print $3}' | cut -d. -f1-3 | sort | uniq -c | sort -rn | head
判据：数据流清单里每一条 “境外目的地” 都必须有合规路径与保护措施；没有的，默认按 “禁止” 处理。
判定流程与阈值（示例口径）
| 判定项 | 阈值/口径（示例，以最新法规为准） | 结论 |
|---|---|---|
| 是否 CIIO | 被认定为关键信息基础设施运营者 | 一律先做安全评估 |
| 是否重要数据 | 落入行业重要数据目录 | 一律先做安全评估 |
| 个人信息规模 | 累计向境外提供达到规定人数阈值 | 触发安全评估或更高要求 |
| 敏感个人信息 | 达到规定人数阈值 | 从严，通常需评估 |
| 未达阈值的一般个人信息 | 10 万人以下量级（示例） | 可走标准合同/认证 |
判定顺序不能反：先看 “是不是 CIIO/重要数据”，再看 “规模”——前者一票触发最严路径。
反模式
| 反模式 | 后果 |
|---|---|
| 以为 “加密后出境就不算数据出境” | 加密不改变数据性质，仍受管辖 |
| 用 “海外 CDN/监控/客服系统” 却不知道数据流向 | 隐性出境，审计时才发现 |
| 只评估主库，忽略日志/备份/灾备 | 副本出境同样违规 |
| 把 “去标识化” 当 “匿名化” | 可复原的仍属个人信息 |
| 出境路径选完不备案/不更新 | 视为未履行义务 |
| 业务上线后才做评估 | 要么停业务，要么违规运行 |
三条铁律
🔑 先判定数据类别与规模，再选路径；顺序反了就会选错。
🔑 隐性出境最危险：监控、CDN、客服、AI 服务都可能是出口。
🔑 去标识化 ≠ 匿名化；可复原的仍是个人信息。
自检
Q1 为什么 “加密后传出去” 不能规避出境监管？
▸ 答案：因为监管看的是 “数据是否被境外主体访问/存储”，不是 “明文还是密文”。加密只降低泄露风险，不改变 “出境” 这一事实；密钥若也在境外，等于没加密。
Q2 常见的 “隐性出境” 有哪些？
▸ 答案：四类：SaaS 监控/APM（把请求体带出去）、海外 CDN/对象存储（缓存了用户数据）、客服/工单系统（聊天记录含个人信息）、AI/翻译/OCR 服务（把原文发到境外 API）。这些往往由业务团队自行接入，安全团队不知道。
Q3 安全评估、标准合同、认证怎么选？
▸ 答案：按 “是否 CIIO、是否重要数据、个人信息规模” 三条判定：命中 “重要数据/CIIO/大规模” → 安全评估；未达阈值的一般个人信息 → 标准合同（备案）；集团内或特定场景 → 认证。判定不清时，走更严的路径。
Q4 “去标识化” 与 “匿名化” 的差别，为什么关键？
▸ 答案：去标识化是 “去掉直接标识符，但通过组合仍可能重识别”（仍属个人信息，受管辖）；匿名化是 “无法复原、不可重识别”（不再属个人信息）。很多团队把 “手机号掩码” 当匿名化，实际通过订单号/时间仍能定位到人。
Q5 数据出境评估要评什么？
▸ 答案：至少四项：数据类别与规模（是否重要数据/多少人）、接收方与目的地（法律环境、主体资质）、保护措施（加密、去标识化、访问控制、审计）、风险与救济（泄露后果、合同责任、可审计性）。
Q6 灾备在境外，算不算出境？
▸ 答案：算。灾备副本同样是 “境外存储”，受出境规则约束；如果为了 “合规” 把灾备放境外，反而制造了新的出境问题。常见做法是 “境内多可用区 + 境内异地灾备”，把出境需求降到最低。
Q7 业务已经出海，怎么补救？
▸ 答案：四步：补数据地图（哪些字段流向哪）、分级（重要数据/个人信息/敏感）、补路径（评估/合同/认证）、技术加固（去标识化、加密、访问审计、最小化）。同时评估 “能否把处理搬回境内”（如境内建分析集群），从源头减少出境。