国家网信办发布《数据出境安全管理政策法规问答(2026年9月)》：明确个人信息出境认证适用情形与申请路径

问答明确，非关键信息基础设施运营者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），或者不满1万人敏感个人信息，且不包括重要数据的，可以通过个人信息出境认证方式履行数据出境合规义务。存在个人信息出境行为的处理者不论出境规模大小，均可申请认证，证明有关活动符合GB/T 35273《个人信息安全规范》与GB/T 46068《个人信息跨境处理活动安全认证要求》。

针对“先认证后超量”的常见情形，问答给出衔接规则：已通过个人信息出境认证，但自当年1月1日起累计出境100万人以上个人信息或1万人以上敏感个人信息的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。申报时可将通过认证的有关情况附后，说明处理者和境外接收方的个人信息保护水平、个人信息权益保障等情况，网信部门将在评估中予以参考。

问答同时划定了明确的禁止性红线：个人信息处理者不得采取数量拆分等手段，将依法应当通过数据出境安全评估的个人信息，通过个人信息出境认证的方式向境外提供。这一表述直指实践中部分企业通过拆分主体、拆分时段压低单次出境规模的规避做法。

在申请路径上，处理者在申请认证前应当按照《个人信息出境认证办法》履行告知、取得个人单独同意、进行个人信息保护影响评估等义务，目前可向中国网络安全审查认证和市场监管大数据中心、中央网信办（国家网信办）数据与技术保障中心、北京赛西认证有限责任公司等已通过备案的专业机构申请。