数据出境制度对照：GDPR 第五章 vs 中国 2024 年《规定》
中文 · English
这一篇回答一个问题：个人信息什么时候可以出境？ 结论先给：欧盟先在「国家」这一层做判断，通过了数据就流动；中国在「这一笔出境」这一层做判断，而且要越过一个人数门槛才给开通道。
证据等级（定义见
00-overview-zh.md）：A = 官方原文（法律/法规/国家标准），已实测；B = 其他官方来源，或对原文的直接解读；C = 我们自己的比较或推断，或尚未核对原文。
一、总表
| 维度 | 欧盟 | 中国 | 等级 |
|---|---|---|---|
| 法源 | GDPR 第五章（第 44–49 条） | PIPL 第 38 条 + 2024 年《促进和规范数据跨境流动规定》（网信办令第 16 号） | A |
| 通道 | 充分性认定；适当保障措施（SCC、BCR、行为准则、认证）；范围很窄的例外 | 安全评估；备案的标准合同；个人信息保护认证 | A |
| 判断单位 | 按国家（充分性认定）或按合同（SCC） | 按这一笔出境，看出口方是谁、量有多大 | B |
| 默认姿态 | 只要有一条通道适用，就可以传 | 必须走一条具体通道，而且要先越过免报线 | B |
| 人数门槛 | 没有 | 仅限非关基运营者：不含敏感个人信息、不含重要数据、累计不满 10 万人 → 什么都不用办；10 万以上不满 100 万人（不含敏感），或不满 1 万人敏感个人信息 → 标准合同或认证；100 万人以上（不含敏感）、1 万人以上敏感，或任何重要数据 → 安全评估。敏感个人信息没有小额豁免 | A |
| 你是谁 | 没有对应触发点 | 关基运营者（CIIO） 身份会把任何「个人信息或重要数据」的出境直接拉进安全评估，不看你运了多少（第 7 条第 1 项） | A |
| 跨国集团内部 | BCR（要走正式审批） | 2024 年《规定》给跨境人力资源管理开了豁免 | A |
| 行业性触发 | GDPR 本身没有 | 重要数据 —— 但只限于有关部门、地区已经告知你、或公开发布为重要数据的那些（第 2 条） | A |
| 备案 | SCC 不用备案；BCR 要审批 | 标准合同必须向省级网信部门备案 | A |
| 豁免 | 第 49 条例外，做窄解释 | 2024 年《规定》第 3–6 条：贸易、学术合作、紧急情况、人力资源管理、小额等 | A |
| 结果有效期 | 充分性认定定期复审 | 安全评估结果有效期 3 年，届满前可申请再延 3 年（第 9 条） | A |
| 罚则 | GDPR 第 83 条（最高全球营业额 4%） | PIPL 第 66 条（最高 5000 万元或上一年度营业额 5%） | A |
二、五个观察
- 「这个国家够不够格」 vs 「这一笔批不批」。 欧盟先问国家，够格数据就走；中国问你这个出口方今年送出去多少，再决定你要办什么手续。前者批下来之后更快，后者逐笔更可预期。— C
- 数字让中国的制度变得可计算。 因为触发点是人数，合规团队可以直接算出自己要不要办手续 —— 这正是 2024 年那次放宽对跨国公司帮助最大的地方。— C
- 两边都把 HR 数据当成最别扭的一类。 欧盟的解法是 BCR，中国直接写了豁免。同一个难题，反向的解法。— C
- 重要数据和关基身份在欧盟没有对应物。 在中国，一笔出境会因为「数据是什么」或「出口方是谁」被拉进安全评估，不只看量。— A
- 实际后果：只按欧盟那套做，满足不了中国。 两边都做的话，欧盟侧要「充分性认定 + SCC」，中国侧要另外算人数、另外备案或申报评估。— C
三、同时在两个市场运营的公司要注意什么
- 维护两本账，不是一本：一本按目的国家排，一本按「每个出口方每年的量」排。— C
- 别以为标准合同可以通用 —— 中国的必须备案，欧盟的是预先批准的条款。— A
- 注意中国的自贸区负面清单，它会让同一个国家内部出现两套规则。— C
- 把「小额豁免」理解成只对非敏感个人信息开放：只要涉及敏感个人信息，就已经不在豁免里了。— A
四、局限与未核项 ⚠
- 中国侧的人数门槛已在 2026-10-07 对着网信办原文逐条核过：第 5、7、8 条。— A
- 《个人信息出境认证办法》（网信办、市场监管总局令第 20 号）2025-10-14 公布，2026-01-01 才施行：在那之前，认证这条通道的依据是 2024 年《规定》和此前已有的认证规则，而不是这部办法。— A
- 各行业的「重要数据」目录仍在陆续发布。— B
- 欧盟的充分性认定清单，以及欧美数据隐私框架（DPF）的状态，会随时间变化。— C
五、官方来源
- GDPR（EUR-Lex）：https://eur-lex.europa.eu/eli/reg/2016/679/oj
- 2024 年《促进和规范数据跨境流动规定》（网信办）：https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
- 《个人信息出境认证办法》（网信办、市场监管总局）：https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm
- 《规定》政策问答（商务部政策库）：https://policy.mofcom.gov.cn/claw/policyInfo.shtml?id=6170
- 《个人信息保护法》（全国人大）：http://www.npc.gov.cn/npc/c2/c30834/202108/t20210820_313088.html