规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第三十八条，个人信息出境的条件与路径选择）：《个人信息保护法》第三十八条规定：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；法律、行政法规或者国家网信部门规定的其他条件。

一、说明要围绕路径展开

出境类问题的说明，核心是回答：这条数据是怎么出去的、依据哪条路径、接收方承担了哪些义务、个人权利如何保障。四个问题答清楚，说明才完整。

二、材料准备

第一，出境清单与数据流向说明，明确数据类型、接收方与传输方式。第二，路径手续材料，例如安全评估的结论、认证结果或标准合同及相应手续记录。第三，合同文本与关键条款说明。第四，面向用户的告知文本与取得确认的记录。

三、需要说清的两个问题

一是必要性。为什么这项业务必须把数据送出去，是否有境内处理的替代方案。二是范围控制。传输的字段是否已经最小化，能否通过去标识化或聚合减少暴露。这两个问题通常是质疑的重点。

四、确有问题的处置

若核查发现存在未履行相应手续的出境情形，应当先停止相应传输，评估已出境数据的处置方式，并尽快补办手续或调整架构。以业务连续性为由继续传输，通常会使问题进一步加重。

同时应当回溯评估该次出境是否对个人权益造成影响，并据此决定是否需要向用户作出说明。出境问题的处置顺序建议是先停、后评、再补，把风险敞口控制住之后，再从容安排后续的合规工作，而不是一边补办一边继续传输。