情景背景

某初创企业早期为节省成本直接使用境外云服务，用户数据一直在境外存放，业务已运行一年有余。近期企业准备申请相关资质，才发现需要在境内存储并履行相应手续。企业担心贸然迁移会影响线上服务，也不知道应当先做哪一步，现有用户约数万人。

争议与处理思路

本条（《个人信息保护法》第四十一条）设定的境内存储与安全评估要求属于事前义务。实务中通常认为，已经发生的存储安排处于不合规状态时，通常按先控制增量、再迁移存量、最后补齐手续的顺序推进：先停止新增数据出境并关闭不必要的境外调用，再分批把存量数据迁回境内，随后就确需保留的出境环节补齐手续。整个过程应当留痕，便于向监管说明整改进展。

平台提示

先做一次数据流向盘点，把不同系统与字段的存储位置列清楚，据此排定迁移优先级，优先迁回敏感度高的数据。迁移过程中注意访问权限与日志的可追溯性，避免迁移环节出现新的风险。确需保留的境外处理环节，逐一评估其必要性与替代方案。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查