导语

出境合规的争议通常不是围绕事实是否存在，而是围绕材料是否齐备：路径文件在不在、影响评估做没做、实际传输范围是否与批准范围一致。这三项构成了主要的举证内容。

本篇梳理各类路径下需要留存的材料与影响评估应当包含的内容。

规则出处与规范指向

《中华人民共和国公司法》第三十八条（个人信息出境路径）：《个人信息保护法》第三十八条规定：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；法律、行政法规或者国家网信部门规定的其他条件。

一、路径选择的证明材料

开展安全评估的，应当留存申报材料与评估结论；采用标准合同的，应当留存已备案的标准合同文本与境外接收方的承诺文件。

开展保护认证的，应当留存认证申请材料与认证证书，证书有效期内的维护记录同样需要保存。

二、影响评估的材料

个人信息保护影响评估报告是各类路径共同的前置材料，应当写明出境目的、信息种类与数量、境外接收方情况与风险应对措施。

报告中应当包含对境外接收方所在法域法律环境的分析，说明其保护水平是否足以承载本次出境处理。

操作清单

采用标准合同路径的，保存已签署并备案的标准合同文本与境外接收方的承诺文件。

采用认证路径的，保存认证申请材料与证书，并维护证书有效期内的记录。

保存个人信息保护影响评估报告，其中应包含对境外接收方所在法域法律环境的分析。

建立传输台账，记录每次传输的目的、字段与数量，便于与实际批准范围比对。