法治 | 个人信息跨境流动须强化全流程合规

陈川 宋润政
陈川 宋润政

中国信息安全

2026年10月29日 19:22
北京

去阅读

文 | 山西大学法学院 陈川 宋润政

近期，国家网信办发布网络安全、数据安全、个人信息保护等领域执法典型案例，敦促相关单位和企业严格落实法律法规要求，切实履行主体责任，筑牢网络空间安全屏障。这些案例涉及网页篡改、设置恶意程序、数据泄露、个人信息泄露、违法收集使用个人信息、违法出境个人信息、未落实人工智能生成合成内容标识要求、新技术新应用未经评估上线提供服务等违法违规行为。其中，上海某科技有限公司超范围收集并违法出境个人信息案（以下简称上海某科技公司案）反映出的个人信息跨境处理问题尤其值得关注。在该案中，上海某科技有限公司长期通过Windows端应用程序，超范围收集用户使用硬件产品的主机配置、使用时长、用户系统等信息，并将上述信息和用户注册相关程序时填写的姓名、手机号、邮箱、生日、密码等信息传输至境外有关数据中心。该企业不仅超出实现处理目的最小范围收集个人信息，而且未依法申报数据出境安全评估就向境外传输个人信息，最终受到处罚。

该案例表明，个人信息跨境流动并不是数据进入“出境”环节后才产生合规要求，从境内收集个人信息到存储、使用再到向境外提供，本身就是一个连续的数据处理过程。企业既要确保个人信息收集、使用具有合法性，也要依法履行数据出境相关要求。规范个人信息跨境流动，必须统筹个人信息处理与数据出境两个环节，在保障个人信息权益和数据安全的同时，促进数据依法有序流动。

规范个人信息处理，从源头上防止信息过度收集

个人信息跨境合规，首先要解决境内个人信息处理是否合法的问题。近年来，我国数字经济快速发展，应用程序、智能终端和各类数字化服务持续产生和收集大量数据。数据已成为十分重要的生产要素，企业通过数据分析可以改进产品、优化服务。但技术上可以收集数据，并不等于法律上也可以。虽然数据具有潜在利用价值，但这不是扩大个人信息收集范围的理由。

我国个人信息保护法明确要求，处理个人信息应当具有明确、合理的目的。与处理目的直接相关，并采取对个人权益影响最小的方式，收集个人信息应限于实现处理目的的最小范围。这意味着企业开展个人信息处理活动，应先回答“为什么收集”“必须收集哪些”“收集到什么程度”等基本问题。要根据产品功能和业务需要确定信息收集范围，而不能按照“先收集起来，以后可能有用”的思路不断扩大数据收集规模。

上海某科技公司案具有较强的警示意义。涉案企业持续收集用户主机配置、使用时长、用户系统等信息，最终被认定超出实现处理目的最小范围。实践中，一些企业往往更重视姓名、手机号、身份证号等传统个人信息，而对设备信息、运行信息、日志信息等技术性较强的数据重视不足，易将此类信息简单视为产品运行过程中当然可以收集和使用的数据。但在数据关联分析能力不断增强的背景下，判断一项数据是否属于个人信息，关键不在于其名称或者技术形态，而在于其在具体处理场景中是否与已识别或可识别的自然人有关。

因此，防范个人信息跨境风险，应先从数据收集阶段开始。企业应按照实际业务需求确定数据处理范围，将最小必要原则落实到产品设计、功能设置和日常经营之中。可以不收集的信息不收集，可以少收集的信息不扩大范围。减少不必要的个人信息处理，既是保护个人信息权益的基本要求，也可以从源头上降低后续数据使用、共享和跨境流动带来的合规风险。

规范数据出境管理，促进个人信息依法有序流动

个人信息可以在境内依法处理，并不意味着可以向境外提供。数据一旦跨越国境，其存储地点、处理主体和使用环境都会发生变化，个人信息保护和数据安全也可能面临新的风险。因此，在个人信息处理一般规则之外，我国针对数据跨境流动建立了专门制度，通过数据出境安全评估、个人信息出境标准合同、个人信息保护认证等方式，对不同风险程度的数据出境活动实施分类管理。

规范数据出境管理，并不等于限制数据的正常跨境流动。随着数字贸易、跨国经营和全球产业协作不断深入，数据跨境流动已成为数字经济发展的重要基础。近年来，我国持续完善数据跨境流动制度。比如，2024年3月22日公布并施行的《促进和规范数据跨境流动规定》，进一步明确不同数据处理者、不同数据类型和不同数据出境规模适用的规则，为符合条件的数据出境活动提供规范依据。这体现了统筹发展和安全的治理要求：既要保障数据安全和个人信息权益，也要减少不必要的合规负担，让确有必要流动的数据依法便利流动。

因此，企业应更准确地识别和适用数据出境规则。开展个人信息跨境业务前，应当明确数据为何需要出境、哪些数据需要出境、提供给谁及如何使用，并根据数据类型、处理规模和具体业务场景，判断应当适用何种数据出境路径。依法需要申报数据出境安全评估的，应严格履行相应程序；符合订立个人信息出境标准合同或者通过个人信息保护认证条件的，应依法选择适当方式；属于规定豁免情形的，应依法履行个人信息保护相关义务。

在上海某科技公司案中，企业的违法行为同时发生在个人信息处理和数据出境两个环节：一方面，超范围收集个人信息；另一方面，在未依法申报数据出境安全评估的情况下向境外传输个人信息。这说明合法收集与合法出境是两个相互关联但不能相互替代的要求。个人信息在境内依法收集，不代表可以不经相应程序直接出境；依法履行数据出境程序，也不能使原本违法收集的个人信息因此合法化。规范个人信息跨境流动，既要防止个人信息“收得过多”，也要避免数据“出得无序”。

贯通数据处理与出境，完善全流程合规机制

解决个人信息跨境合规问题，不能将个人信息保护与数据出境割裂开来。实践中，有的企业把个人信息保护理解为隐私政策、授权同意等问题，把数据出境理解为安全评估、标准合同等程序问题，再分别交由不同业务部门或者不同业务环节处理。这种“分段式合规”的处理方式虽然能够应对具体制度要求，却容易忽视个人信息从收集、使用到跨境传输之间的内在联系。对此，应推动企业将合规要求贯穿于个人信息处理全过程，形成源头控制、过程管理与出境审查相互衔接的治理机制。

首先，强化源头控制，减少不必要的数据收集。企业应当围绕具体产品功能和业务场景，定期梳理个人信息处理目的、信息种类和使用方式，对新增数据字段、新增产品功能及时开展必要性审查。特别是在产品开发和系统设计阶段，就应当将个人信息保护要求嵌入业务流程，避免产品上线运行后再通过“打补丁”的方式被动整改。只有减少不必要的数据收集，才能降低后续数据流转和跨境处理的合规压力。

其次，精准开展出境审查，规范个人信息跨境流动。企业开展跨境业务，应建立常态化的数据出境审查机制，对拟出境数据的种类、规模、必要性和境外接收方等情况进行梳理，根据现行规则准确选择安全评估、标准合同、认证或者适用豁免等不同路径。同时，还应关注个人信息处理目的、出境范围和境外接收方发生变化后可能产生的新风险，不能把一次性完成出境合规程序理解为长期有效的“通行证”。

最后，强化流程衔接，完善全过程管理。个人信息从收集、存储、使用到向境外提供，各环节都可能产生新的风险。企业应当改变不同合规事项各自为政的管理模式，把个人信息保护、数据安全和数据出境要求有机衔接起来。数据从哪里来、为什么收集，应在源头审查；数据如何使用、保存多久，应当在处理过程中持续管理；哪些数据需要出境、通过什么方式出境，则应在跨境传输前进行专门审查。要通过全流程管理，将事后整改转变为事前预防，将单项合规转变为系统治理。

个人信息跨境流动不仅关系着数字经济发展，还关系着个人信息权益和数据安全。规范个人信息跨境流动，既要管好数据“从哪里来”，也要管好数据“向哪里去”。只有将个人信息处理要求与数据出境规则贯通起来，才能形成覆盖个人信息跨境处理全流程的合规机制，在安全与发展之间形成良性平衡，为数字经济高质量发展提供稳定、可预期的法治保障。

（来源：民主与法制时报）