跨境电商卖家常问：把顾客和订单数据传到境外平台或海外仓，要先办什么手续。答案是先算人数、定档位，再选路径。
促进和规范数据跨境流动规定（国家互联网信息办公室令第16号，2024年3月22日公布，自公布之日起施行）按当年1月1日起累计向境外提供的信息数量分三档。第七条写明，符合条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估，其中一项是关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。第八条写明，关键信息基础设施运营者以外的数据处理者累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。剩下的不满10万人，且不属于第七条情形的，免予申报安全评估、免予订立标准合同、免予通过认证。
再往前一步，先看是不是本来就不用办。第五条列了四种情形：为订立、履行个人作为一方当事人的合同确需出境，比如跨境购物、跨境汇款；按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理；紧急情况下为保护自然人的生命健康和财产安全；以及关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。符合其中之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。第四条另有一种：数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，同样免予这三种手续。第二条还写明，未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。
落在10万人以上、不满100万人这一档，标准合同和认证二选一。个人信息出境认证办法（国家互联网信息办公室、市场监管总局令第20号，2025年10月14日公布，2026年1月1日起施行）第五条规定，通过认证方式出境应当同时符合两种情形：处理者是非关键信息基础设施运营者，且自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息。同一条还写明，不得采取数量拆分等手段，将依法应当通过出境安全评估的个人信息通过认证方式出境。标准合同与境外接收方逐一订立，适合接收方多的场景。认证由专业认证机构出证，第八条写明符合认证要求的应当及时出具认证证书，认证证书的有效期为3年，证书到期需继续使用的，应当在有效期届满前6个月提出认证申请，适合长期复用。
哪条路径都要做第三步。16号令第十条写明，数据处理者向境外提供个人信息的，应当履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。个人信息保护法第三十九条要求向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使权利的方式和程序，并取得个人的单独同意；第五十五条把向境外提供个人信息列为应当事前进行个人信息保护影响评估并记录的情形。网络数据安全管理条例（国务院令第790号，2025年1月1日起施行）第三十五条把可以向境外提供个人信息的情形归纳为八项，前三项即通过数据出境安全评估、经专业机构进行个人信息保护认证、符合个人信息出境标准合同的规定。门槛低时免掉的只是三类手续，告知、单独同意和影响评估一项都不免。
落地可先做三件事：统计当年1月1日起累计出境人数，分开含不含敏感个人信息；对照免申报情形比对，确认确属合同必需或属于第四条情形；把告知页面、同意方式和影响评估记录做成模板。
以上是对个人信息保护法及上述规章的条文梳理，不是针对任何一家企业的合规结论，不替代法律意见。
常见问题有两个。门槛看订单量还是人数？看当年1月1日起累计向境外提供个人信息的人数，不是订单量。标准合同和认证该选哪个？按业务形态选。标准合同与境外接收方逐一订立，适合接收方多的场景；认证由专业认证机构出证，证书有效期3年，适合长期复用。