一、规定的出台背景与框架

《促进和规范数据跨境流动规定》自 2024 年 3 月 22 日起施行。规定在维持数据出境安全评估、个人信息保护认证、标准合同三条路径框架的基础上，对适用门槛作出调整，并明确了若干免于逐案履行出境手续的情形，为有真实跨境业务需求的企业释放了操作空间。

二、免于逐案履行的典型情形

• 合同必需类：为订立、履行个人作为一方当事人的合同所必需，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理等场景下的必要信息出境。
• 人力资源管理类：按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理所必需的员工信息出境。
• 紧急保护类：紧急情况下为保护自然人的生命健康和财产安全所必需。

适用豁免不代表“零义务”：告知、最小化与安全保障要求继续适用，且企业应当留存每一类出境活动适用豁免的书面判断依据。

三、路径门槛的调整方向

规定对安全评估与标准合同的适用门槛作出了衔接安排，总体方向是：风险越高、规模越大的场景走更重的程序，风险可控、规模有限的场景适用更简便的路径或豁免。企业在核对时建议按四个问题过一遍：是否属于关键信息基础设施运营者；是否涉及重要数据；累计出境个人信息的规模区间；是否落入豁免情形。四个答案的组合决定了路径优先级。

四、给企业的操作建议

第一，建立出境活动台账：场景、数据类型、接收方、规模、路径或豁免依据、备案凭证。第二，规模与场景动态复核，跨档即重评。第三，关注所在地区自贸区负面清单等区域政策，可能提供更明确的“可为与不可为”边界。路径选择的细节拿不准的，建议结合最新监管口径咨询律师。