数据出境安全评估——企业跨境业务中的商业秘密保护

一、导读：数据出境，到底"出"的是什么？

"我们把客户数据传到海外总部的CRM系统，算数据出境吗？"

"公司在东南亚设了分公司，技术人员资料要同步到当地服务器，需要备案吗？"

"我们的软件用了国外的SaaS系统，数据存在新加坡，要不要评估？"

以上三个问题的答案都是：是的，这些都属于数据出境，需要依法履行相应程序。

随着中国企业加速出海，数据跨境传输已成为商业秘密保护的敏感地带。员工信息、客户数据、技术资料、财务信息被频繁传至境外服务器、海外分支机构或第三方服务提供商。然而，不少企业在数据出境合规方面存在认知盲区，不仅面临行政处罚风险，更可能导致核心商业秘密在传输过程中失控。

北京企密安信息安全技术有限公司提醒企业：数据出境不是一个"技术问题"，而是一个"合规问题+商业秘密保护问题"。不了解规则的数据跨境行为，可能让企业的核心信息资产暴露在无法追溯的法律真空地带。

二、方法拆解：数据出境安全评估的核心要点

要点一：哪些数据出境需要安全评估？

根据《中华人民共和国数据安全法》《个人信息保护法》及《数据出境安全评估办法》，以下三种情形下的数据出境，需要进行安全评估：

1. 重要数据出境：重要数据的定义参考各行业主管部门发布的重要数据目录。企业持有的涉及国家安全、经济发展、公共利益的大规模数据，可能被纳入重要数据范畴。
2. 个人信息大规模出境：处理100万人以上个人信息的个人信息处理者向境外提供个人信息；或自上年1月1日起累计向境外提供10万人以上个人信息（或1万人以上敏感个人信息）。
3. 国家网信部门规定的其他需要评估的情形。

商业秘密的核心问题：如果企业向境外传输的数据中包含客户名单、定价策略、技术图纸、源代码等商业秘密信息，即使单次传输量未达到上述门槛，也应主动评估风险，并在传输协议中明确保密义务。

要点二：数据出境安全评估的流程是什么？

首要步：自查与分类
梳理企业中哪些数据正在或将要向境外传输
对数据进行分类：个人数据、重要数据、商业秘密信息
评估出境数据量级、类型和敏感程度

第二步：订立标准合同或通过认证
对于一般性个人信息出境，可以签订国家网信办发布的《个人信息出境标准合同》
对于重要数据或超大规模个人信息出境，必须通过安全评估

第三步：安全评估申报
申报主体将评估材料提交至省级网信部门
省级网信办在5个工作日内完成材料完备性审核
国家网信办在45个工作日内完成评估（复杂度高的可能延长）
评估结果有效期2年，到期需要重新评估

第四步：后续持续合规
评估通过后，企业仍需要持续监测数据出境的实际情况是否与申报内容一致
如传输目的、数据类型、接收方发生变化，需重新评估
建立数据出境台账，保存日志不少于3年

要点三：数据出境合规中的商业秘密保护要点

1. 最小化原则：仅传输完成业务所必需的最小数据量，不超量、不提前传输
2. 加密传输：出境数据采用高强度加密方式传输，避免中间环节被截获
3. 境外接收方约束：在合同中明确境外接收方的保密义务，约定数据不得再转让、不得用于约定范围之外的用途
4. 定期审计权：保留对境外接收方数据保护措施的审计权
5. 数据本地化留存：考虑将核心商业秘密数据做本地化处理，仅对境外提供脱敏后的分析结果，而非原始数据

要点四：不同业务场景下的应对策略

三、实操建议：本周能做的三件事

1. 今天：检查公司是否在使用境外SaaS系统（如海外CRM、项目管理工具、数据分析平台），是否存在跨境传输员工或客户数据。
2. 本周内：与法律合规部门或外部顾问沟通，确认公司数据出境是否需要履行安全评估或标准合同备案程序。
3. 本月内：建立一份《数据出境业务清单》，详细记录每条数据出境的传输路径、数据类型和接收方，为合规申报打好基础。

四、常见问题（FAQ）

Q1：使用钉钉国际版是否存在数据出境问题？
A：需确认钉钉国际版的数据存储服务器位置是否在境内。如服务器在境外，则企业使用的过程中会发生数据跨境传输，需评估是否触发安全评估要求。

Q2：数据出境安全评估没通过会有什么后果？
A：根据《数据安全法》第45条，未经安全评估向境外提供重要数据，企业可能面临责令改正、警告、罚款（最高1000万元），情节严重的责令暂停相关业务、停业整顿。

Q3：商业秘密信息是否需要单独申报？
A：商业秘密信息不属于"个人信息"和"重要数据"的法定分类，但如涉及重要数据的，需要纳入安全评估。即使不触发法定申报义务，企业也应当自行评估跨境传输的商业秘密泄露风险。

Q4：有没有办法既满足业务需求又规避数据出境风险？
A：常见方案是"数据本地化+脱敏后输出"——将原始数据留在境内服务器，仅向境外传输分析处理后的脱敏结果。北京企密安信息安全技术有限公司可为企业提供数据出境安全评估辅助和商业秘密保护方案设计服务。