数据出境
法律
个人信息保护法
我国个人信息保护领域的基础性法律，确立了个人信息处理的基本原则（合法、正当、必要、诚信、目的限制、最小必要、公开透明、质量、安全），明确"告知-同意"为核心的个人信息处理规则，引入敏感个人信息处理规则、自动化决策规则、个人信息跨境提供规则。赋予个人知情权、决定权、查阅复制权、更正权、删除权、可携带权等权利。规定个人信息处理者须指定保护负责人、开展影响评估、履行安全保护义务。适用于境内处理自然人个人信息的所有活动及境外处理境内自然人个人信息的特定情形。
网络安全法
由第十二届全国人大常委会第二十四次会议2016年11月7日通过、主席令第53号公布，2017年6月1日起施行，是我国网络安全领域的基础性法律。确立网络安全等级保护制度，规定网络运营者安全保护义务、个人信息收集使用规则、关基安全保护与数据境内存储要求。2025年10月28日经十四届全国人大常委会第十八次会议修正，主席令第61号公布，自2026年1月1日起施行，新增人工智能治理条款并大幅提高法律责任。
数据安全法
我国数据安全领域的基础性法律，建立数据分类分级保护制度、数据安全审查制度、数据安全风险评估报告与信息共享机制、数据安全应急处置机制、数据出口管制制度、对等反制措施。明确核心数据、重要数据和国家核心数据的保护要求，规定数据处理者开展数据活动应建立健全全流程数据安全管理制度，组织开展数据安全教育培训。对数据出境实行安全评估管理，对违反数据安全保护义务的行为设置严厉的法律责任（最高可达一千万元罚款）。
中华人民共和国出口管制法
对两用物项、军品、核以及其他与维护国家安全和利益相关的货物、技术、服务等物项的出口管制进行规范。与数据出境管理密切相关，涉及技术数据、源代码、算法等数据类物项的出口管制，是数据合规领域重要的上位法律。
测绘法
本法规范测绘活动与地理信息管理，明确测绘基准、测绘系统与测绘成果管理制度，要求使用国家规定的测绘基准和坐标系统，保障地理信息安全，禁止非法获取、持有、提供、买卖涉密测绘成果，规范卫星导航定位基准站建设与互联网地图服务，强化涉外测绘与地理信息数据出境监管，对违法行为设定行政处罚与刑事责任。
中华人民共和国反外国制裁法
针对外国对中国采取的歧视性限制措施，规定反制清单和反制措施的制定与执行。涉及数据领域的跨境数据传输限制、禁止或限制与列入反制清单的组织和个人进行相关数据交易合作等，是数据出境合规审查的重要法律依据。
中华人民共和国行政许可法
规范行政许可的设定和实施，保障公民、法人和其他组织的合法权益。数据合规领域涉及行政审批事项（如数据出境安全评估、个人信息保护认证等）的设定和实施，均应遵循本法规定。
行政法规
网络数据安全管理条例
本条例细化网络数据处理活动的安全管理要求，明确网络数据处理者主体责任，规范个人信息保护、重要数据安全、网络数据跨境传输与网络平台服务提供者义务，要求建立安全管理制度、事件应急预案、风险评估与合规审计机制，强化大型平台特殊义务、算法公平与网络身份认证，对违法行为设定警告、罚款、停业整顿、吊销许可等处罚。
关键信息基础设施安全保护条例
明确关键信息基础设施范围涵盖公共通信、能源、交通、金融、电子政务等重要行业和领域，规定保护工作部门负责认定，运营者承担主体责任，须同步规划、建设、使用安全保护措施，设置专门安全管理机构，每年检测评估，优先采购安全可信产品，采购影响国家安全的须安全审查，个人信息和重要数据境内存储，违法可处警告、罚款、停业整顿、吊销许可等处罚，构成犯罪的追究刑事责任。
《国务院关于对外投资的规定》
2026年7月1日，我国首部对外投资领域行政法规——国务院837号令正式落地，终结了过往多头监管、规则分散的局面。新规全覆盖企业、社会组织及个人出海主体，确立投资分类管控、境外安全审查、全链条合规监管机制，严管技术、数据跨境隐性转移行为。同时搭建海外权益保护与涉外反制体系，并明确分级处罚规则，大幅提升违规成本，标志我国企业出海正式进入法治化、规范化新阶段。
政策文件
广东省建设粤港澳大湾区数据特区工作方案
广东省政务服务和数据管理局2026年8月7日印发，粤政数〔2026〕21号。方案发挥广东毗邻港澳优势，释放横琴、前海、南沙、河套等重大合作平台数据跨境制度红利，系统推进特殊制度规则、特定基础设施、特色应用场景、特优服务生态建设。提出深化粤港澳大湾区个人信息跨境流动标准合同应用、推进数据出境负面清单广泛应用，到2027年底打造50个数据跨境重点场景，2028年底产业规模超2000亿元。
数据出境安全管理政策法规问答（2026年9月）
国家互联网信息办公室2026年9月11日发布，答复个人信息出境认证代表性咨询。明确非关键信息基础设施运营者当年累计出境10万人以上不满100万人个人信息或不满1万人敏感个人信息且不含重要数据的，可通过个人信息出境认证履行合规义务；达100万人以上或敏感个人信息1万人以上的应申报安全评估，评估可参考认证结果，并强调不得拆分数量规避评估。
甘肃省深入实施“人工智能+”行动方案
甘肃省人民政府2026年1月6日印发（甘政发〔2026〕1号）。方案以算力供给为支撑、场景应用为牵引，构建“算力—数据—应用”产业生态，聚焦科学技术、产业发展、消费提质、民生福祉、治理能力、开放合作六大领域。到2027年智能终端与智能体应用普及率达70%左右、政务服务“智能办”占比超60%；明确推动公共数据资源授权运营、建设国家数据基础设施（甘肃）区域功能节点。
云南省加强数字信息大通道建设 推动数字产业高质量发展实施方案
云南省人民政府办公厅2026年5月15日印发《加强数字信息大通道建设 推动数字产业高质量发展实施方案》。方案锚定“3815”战略目标，打造面向南亚东南亚的国际通信枢纽、数字枢纽与数字产业高地：到2027年跨境陆缆传输系统开通容量达9Tbps、全省算力规模达20Eflops，昆明国际通信业务出入口局建成投用；到2030年数字信息大通道主体工程基本建成，并提出数据要素市场化配置支撑举措。
湖南省人民政府办公厅关于印发《湖南省促进数字贸易创新发展的若干措施》的通知
2026年9月16日，湖南省人民政府办公厅印发《湖南省促进数字贸易创新发展的若干措施》，自印发之日起施行，有效期5年，共六部分17条。措施提出深入推进“人工智能+”“数据要素×”行动；稳健合规发展数据贸易，鼓励跨境数据服务与合规流通，支持探索“数字保税”新业态，积极申报创建数据海关和数据大使馆，依托自贸试验区研究制定数据跨境流动负面清单。
气象数据全球服务能力建设工作方案（2026—2028年）
2026年9月8日，中国气象局印发《气象数据全球服务能力建设工作方案（2026—2028年）》。方案部署构建“1+N”协同服务网络，以地球系统数据平台为核心数字底座，分层择优布局境内外数据节点，支撑中国气象智能预警方案“妈祖”规模化推广应用。明确到2028年建成标准统一、协同高效、权益清晰、安全可控的数据服务网络；要求建设跨境可信数据空间、研发跨境数据溯源监管手段，统筹推进全球数据治理。
中共广西壮族自治区委员会 广西壮族自治区人民政府关于加快推动人工智能高质量发展的决定
本决定由中共广西壮族自治区委员会、广西壮族自治区人民政府于2025年4月13日联合印发，文号桂发〔2025〕3号。文件提出到2027年建成中国—东盟人工智能创新合作中心，围绕智能算力设施、语料库与基础大模型、行业垂直应用、智能终端等部署重点任务，要求建设可信数据空间，推动与东盟国家在数据跨境流通、技术标准互认等方面合作，并坚持统筹发展和安全、智能向善，推动人工智能安全可靠可控发展。
山东省人民政府关于印发《山东省数字强省建设“十五五”规划》的通知
2026年10月9日，山东省人民政府印发《山东省数字强省建设“十五五”规划》，共八章，以“数据要素×”和“人工智能+”为抓手。明确到2030年基本形成合规高效的数据市场体系，行业高质量数据集达300个，人工智能核心产业营业收入达3000亿元，智能算力总规模达3.5万PFLOPS；提出加快数据要素市场化配置改革，健全公共数据授权运营价格形成与收益分配机制，完善数据跨境流动管理。
上海市崇明区数据局关于印发《崇明区“数字崇明”建设“十五五”规划》的通知
2026年9月30日，上海市崇明区数据局印发《崇明区“数字崇明”建设“十五五”规划》。规划提出到2030年公共数据开放规模达8亿条、公共数据授权运营产品和服务数量达50个、高质量数据集达100个；明确推进企业、行业、城市、个人、跨境五类数据空间建设，开展生态、农业等领域公共数据授权运营试点，争取在东滩建设跨境数据安全交换平台。
数据出境安全管理政策法规问答（2026年7月）
国家互联网信息办公室 2026年7月24日发布，针对数据出境安全管理中的代表性咨询问题作出官方答复。问答明确个人信息出境应履行告知义务并取得个人单独同意，单独同意须具体明确、不得捆绑或一揽子授权；规定数据出境安全评估结果有效期 3 年，到期前 60 个工作日可申请延续，但须满足目的范围、当事方、法律文件未变更，以及未来三年出境规模增幅不超过原批准量 20% 等条件；同时对招聘场景下求职者简历出境的必要性审查作出细化指引。
上海市“数字上海”建设“十五五”规划
上海市政府办公厅2026年7月28日印发，明确“十五五”数字上海建设总体目标与五大任务，提出2030年建成数字标杆城市。合规要点：健全以《上海市数据条例》为基础的1+X立法体系，强化数据要素全生命周期管理，深化公共数据授权运营与数据产权登记；推动数据出境“负面清单+操作指引”覆盖更多行业，建设规则互认的“总对总”跨境流动设施；加强关键数字基础设施防护、重要数据保护与个人信息保护治理。
部门规章
促进和规范数据跨境流动规定
落实《个人信息保护法》和《数据安全法》关于数据出境管理制度的规定，对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等制度的适用条件进行优化调整。明确了免予申报数据出境安全评估、订立个人信息出境标准合同及通过个人信息保护认证的若干情形（如国际贸易、跨境学术合作、跨境营销中不涉及个人信息或重要数据的数据出境），以及过境数据、境外数据入境再出境等场景，大幅减轻企业数据出境合规负担。（国家互联网信息办公室令第16号，2024年3月22日发布施行）
个人信息出境标准合同办法
落实《个人信息保护法》第38条的规定，制定个人信息出境标准合同模板及备案管理办法。规定个人信息处理者通过订立标准合同向境外提供个人信息的条件和程序，要求在标准合同生效之日起10个工作日内向省级网信部门备案。明确标准合同应包括个人信息处理者和境外接收方的数据保护义务、个人信息主体权利保障、救济措施等内容，是企业数据出境的低成本合规路径之一。（国家互联网信息办公室令第13号，2023年2月22日发布，2023年6月1日施行）
数据出境安全评估办法
落实《数据安全法》和《个人信息保护法》的数据出境安全管理制度，建立数据出境安全评估制度。规定数据处理者向境外提供重要数据或特定情形下的个人信息应当通过国家网信部门组织的安全评估。明确安全评估的适用条件、申报材料、评估程序和评估重点，评估重点包括数据出境的目的范围和方式合法性、数据安全保护措施有效性、境外接收方数据保护能力等。（国家互联网信息办公室令第11号，2022年7月7日发布，2022年9月1日施行）
汽车数据安全管理若干规定（试行）
该规定规范中华人民共和国境内汽车数据处理活动及其安全监管，适用于汽车制造商、零部件和软件供应商、经销商、维修机构、出行服务企业等处理者。文件明确汽车数据、个人信息、敏感个人信息和重要数据的范围，要求处理活动合法正当，落实网络安全等级保护，倡导车内处理、默认不收集、精度范围适用和脱敏处理原则，并规定重要数据风险评估、境内存储、出境安全评估和年度安全管理情况报告制度。
个人信息出境认证办法
该办法规范个人信息出境认证活动，适用于通过个人信息保护认证方式向境外提供个人信息的处理者。文件明确认证机构资质、认证申请条件、认证程序、证书有效期、认证信息共享、认证证书暂停与撤销、专业认证机构备案及监督管理要求，并规定个人信息处理者申请认证前应履行告知、取得单独同意和开展个人信息保护影响评估等义务。
促进和规范电子单证应用规定
国家网信办会同工信部、公安部、交通运输部等十部门联合公布的部门规章（令第22号），2026年4月17日公布、9月1日施行。适用于电子提单、电子仓单等电子运输记录及相关信息系统，要求可靠的电子单证系统实现信息全程可追溯、不可篡改、可识别签发人，运营者须落实网络安全等级保护与数据分类分级；明确向境外提供电子单证数据，在不含个人信息或重要数据、或为签发转让质押所必需时免予申报数据出境安全评估。
标准
GB/T 43791-2024 国际贸易业务流程规范 数据管道载体 数据交换架构
国家市场监督管理总局、国家标准化管理委员会2024年3月15日经国家标准公告2024年第1号发布，2024年7月1日实施。该标准给出国际贸易数据管道载体的数据交换架构，明确数据管道构成、载体类型与交换流程，规范跨境贸易数据的组织与传递，为贸易单证数字化与跨境数据流通提供标准化依据。，为跨境数据流动的安全评估与合规提供标准依据。
GB/T 47700-2026 区块链和分布式记账技术 行业应用 跨境贸易服务指南
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47700-2026《区块链和分布式记账技术 行业应用 跨境贸易服务指南》，自2026-09-01起实施。该标准提供了区块链在跨境贸易单据流转、通关协同、贸易金融等场景的应用指南，明确参与方角色、数据上链范围与跨境数据传输合规要点。
GB/T 21715.5-2021 健康信息学 患者健康卡数据 第5部分：标识数据
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定患者健康卡中的标识数据对象与属性，明确个人标识、机构标识与卡标识的编码规则，为医疗健康信息的准确关联与跨机构共享提供数据基础，降低身份错配风险。，为个人信息处理者的合规实践提供标准依据。
GB/T 25512-2010 健康信息学 推动个人健康信息跨国流动的数据保护指南
国家质量监督检验检疫总局、国家标准化管理委员会2010年12月8日经国家标准公告2010年第9号发布，2011年5月1日实施。该标准给出推动个人健康信息跨国流动的数据保护指南，明确个人健康信息跨境传输的合法性基础、安全保护措施与主体责任，是国内较早涉及数据跨境的标准化文件。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
信息安全技术 数据跨境传输安全评估指南（征求意见稿）
全国网络安全标准化技术委员会2026年8月30日发布的网络安全法配套国家标准征求意见稿之一，意见反馈截止2026年10月13日。文件聚焦数据出境安全评估环节，围绕出境计划的合法正当与风险可控两级评估体系，细化个人信息属性、重要数据属性、发送方与接收方安全保护能力、接收方所在国家或地区政治法律环境等评估要点及结果判定方法。同批还发布关键信息基础设施安全保障指标体系等5项标准。
信息安全技术 个人信息安全规范
本标准系统规范了个人信息处理全过程中的安全要求，界定个人信息与敏感个人信息的范围，确立合法正当必要诚信等基本原则，对收集、存储、使用、共享、转让、公开披露、删除等生命周期环节提出管理规范和安全技术措施，强调告知同意、最小必要、质量保障和个人权利保护，为各类组织建立健全个人信息安全保护体系提供依据。
数据安全技术 互联网平台及产品服务个人信息处理规则
本标准针对互联网平台及产品服务，系统规定个人信息处理规则的基本要求、编制程序、内容构成和发布修订机制，要求规则清晰完整、便于理解，须包含处理主体、适用范围、摘要、收集使用、安全保护、跨境流动、主体权利、更新规则及争议解决等内容，并强调在收集前提示阅读、设置一键访问、按业务功能分别获取授权，保障个人信息主体知情权与选择权。
数据安全技术 个人信息跨境处理活动安全认证要求
本文件规定个人信息跨境处理活动应遵循合法正当必要诚信、公开透明、同等保护、责任明确等基本原则，以及具有法律约束力文件、组织管理、跨境处理规则、个人信息保护影响评估等基本要求，明确个人信息主体知情权、决定权、删除权等权利与境内外处理者的告知、同意、安全保护、事件应急等义务责任，适用于规范个人信息跨境处理活动及开展监督管理和安全认证。
网络安全标准实践指南-个人信息跨境处理活动安全认证规范(V2.0)
本规范作为个人信息跨境处理活动个人信息保护认证的依据，明确合法正当必要诚信、公开透明、信息质量保障、同等保护、责任明确、自愿认证等基本原则，规定法律约束力文件、组织管理、跨境处理规则、个人信息保护影响评估等要求，保障个人信息主体知情权、决定权、删除权、投诉举报及司法救济等权益，适用于认证机构开展认证和运营者规范跨境处理活动。
网络安全标准实践指南-粤港澳大湾区(内地、香港)个人信息跨境处理保护要求 (V1.0)
本文件为促进粤港澳大湾区内地与香港个人信息跨境安全有序流动提供指引，规定合法正当诚信、最小必要、公开透明、权益保障、确保安全、责任明确等基本原则，明确个人信息收集、存储、使用、加工、委托处理、提供、公开及跨境传输等处理要求，以及个人信息主体权利保障、安全管理措施和跨境安全互认认证认可安排，适用于大湾区内地与香港间的个人信息跨境处理活动。
信息安全技术 电信领域数据安全指南
本指南为电信领域数据安全工作提供指引，明确电信数据处理者的安全责任与管理要求。内容涵盖数据分类分级、数据全生命周期安全保护、重要数据与核心数据识别管理、数据安全风险评估、数据出境安全管理、安全事件应急处置等方面，要求电信企业建立健全数据安全管理制度和技术防护措施，保障电信数据安全，维护国家安全、公共利益和个人组织合法权益。
促进和规范金融业数据跨境流动合规指南
为金融业机构提供数据跨境流动合规操作指南，明确金融数据跨境流动的适用场景、合规路径、风险评估、安全保护措施和监管申报要求，帮助金融机构在促进业务发展的同时确保数据跨境安全合规。
数据出境安全评估申报指南（第二版）
该指南指导和帮助数据处理者规范、有序申报数据出境安全评估，适用于向境外提供重要数据或达到规定规模个人信息的数据处理者。文件明确申报适用范围、数据出境行为认定、申报方式与流程、材料完备性查验、评估结果及复评机制、所需材料清单及数据出境风险自评估报告模板，要求通过所在地省级网信办向国家网信办提交书面材料及电子版。
网信办数据出境安全管理政策问答202510
国家互联网信息办公室数据出境安全管理政策问答2025年10月版，就促进和规范数据跨境流动规定中的豁免场景理解、酒店行业个人信息出境、员工个人信息跨境人力资源管理、重要数据申报时限、境外访问判定、系统升级是否重评、标准合同多次备案、重新订立合同情形、向境外第三方提供个人信息、认证依据和标准等十个问题作出解答。
个人信息出境标准合同备案指南（第二版）
该指南指导和帮助个人信息处理者规范备案个人信息出境标准合同，适用于非关键信息基础设施运营者且出境个人信息规模符合规定条件的数据处理者。文件明确适用范围、备案方式与流程、所需材料、标准合同范本及个人信息保护影响评估报告模板，要求自合同生效之日起十个工作日内通过数据出境申报系统向省级网信部门备案。
粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引
该指引为促进粤港澳大湾区内地与香港之间个人信息跨境安全有序流动而制定，适用于注册于或位于粤港澳大湾区内地部分及香港特别行政区的个人信息处理者和接收方。文件明确通过订立标准合同跨境提供个人信息应坚持自主缔约与备案管理、保护权益与防范风险相结合，规定个人信息保护影响评估、标准合同备案、接收方义务、个人信息主体权利、监管及投诉举报等要求。
粤港澳大湾区（内地、澳门） 个人信息跨境流动标准合同
该合同为促进粤港澳大湾区内地与澳门之间个人信息跨境安全有序流动而制定，适用于注册于或位于大湾区内地部分及澳门特别行政区的个人信息处理者和接收方。合同明确双方权利义务，要求处理者履行告知、取得同意、开展个人信息保护影响评估等义务，接收方采取技术和管理措施保障信息安全、不得向大湾区以外提供个人信息，并约定个人信息主体权利、救济、违约责任、合同解除及争议解决等条款。
数据出境安全评估申报指南（第三版）
根据数据出境安全评估办法和促进规范数据跨境流动规定制定，明确关键信息基础设施运营者和自当年起累计向境外提供100万人以上个人信息或1万人以上敏感个人信息的处理者应申报安全评估，规定线上申报流程、材料要求、完备性查验、受理、评估、复评及有效期延长申请条件与程序，数据处理者须对材料真实性负责。
网信办数据出境安全管理政策问答202504
国家互联网信息办公室数据出境安全管理政策问答2025年4月版，系统回应数据出境安全管理制度设计、自贸试验区负面清单一致性、负面清单覆盖领域、个人信息出境必要性判断、重要数据识别、重要数据出境、外资企业参与标准制定、集团公司跨境传输个人信息、延长安全评估结果有效期等代表性问题，明确法律依据和实施路径。
粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同实施指引
粤港澳大湾区内地澳门个人信息跨境流动标准合同实施指引由国家网信办与澳门相关机构共同制定，适用于粤港澳大湾区内地九市与澳门之间的个人信息跨境流动，采用标准合同与备案管理相结合方式，要求开展个人信息保护影响评估，合同生效后十个工作日内向广东省网信办或澳门个人资料保护局备案，明确变更重评、投诉举报和安全事件处置等要求。
信息安全技术 数据出境安全评估指南
为数据出境安全评估提供标准化方法，明确评估要素、评估流程和评估要点。涵盖个人信息出境和重要数据出境的安全评估要求，对数据处理者开展自评估和网信部门组织安全评估均具有重要参考价值。
规范性文件
关于培育数据流通服务机构 加快推进数据要素市场化价值化的意见
数据流通服务机构是链接数据供需双方，促进数据流通交易，推进数据要素市场化价值化的重要主体。本意见从明确功能定位、提升服务能力、强化实施保障三方面提出16条举措，引导数据交易所（中心）、数据流通服务平台企业、数据商等三类机构协同发展，目标到2029年底全社会数据流通利用水平明显提高。
广东省释放数据要素价值 促进词元经济高质量发展若干措施
广东省政务服务和数据管理局2026年6月24日印发，系全国首份省级词元经济专项政策。提出到2027年底建成全国词元供给高地、智能应用标杆和词元出海枢纽。围绕加强高质量数据供给、夯实基础设施建设、建立健全词元交易体系、培育数创企业多元主体、畅通国际数据跨境通道、优化词元经济发展环境六方面提出措施。2026年7月30日广东词元交易和服务中心在广州南沙揭牌，广深数据交易所开设词元交易专区。
汕头市促进词元产业创新发展若干措施（征求意见稿）
汕头华侨经济文化合作试验区管理委员会2026年8月3日公开征求意见。系全国首个以"词元出海"为核心定位的城市专项政策，依托国家批复的"来数加工"跨境数据试点，实行境外数据进区推理、原始数据不出境。拟发放"词元券"支持AI玩具、AI微短剧、数字员工智能体的研发迭代，依托本地数字基础设施的补贴比例最高不超过实际算力成本的40%。截至2026年7月15日已完成全国首单词元出海结汇。
海南自贸港商业航天遥感卫星数据出境合规申报指引（试行）
文昌国际航天城管理局2026年9月24日在海南自由贸易港数字跨境应用推介会上发布。指引对商业航天遥感数据进行分类管理，明确可以出境与不可出境的数据范围，并梳理申报全流程、申报材料清单与申报平台入口，通过建立“一站式”合规申报通道，解决企业“不知道怎么报、找谁报、要多久”的痛点，为卫星遥感数据共享与跨境流通提供合规指引。
汽车数据出境安全指引（2026版）
工业和信息化部等八部门2026年2月3日联合印发《汽车数据出境安全指引（2026版）》（工信部联网安〔2026〕27号），系2025年版征求意见稿转正。指引明确数据出境三种管理方式：安全评估、标准合同、出境认证，并提出九类豁免情形，含安全漏洞、安全事件与OTA源代码。面向研发设计、生产制造、驾驶自动化等五类场景细化重要数据判定规则，并从技术防护、日志管理、应急处置等方面提出保护要求。
中国（内蒙古）自贸试验区呼和浩特片区数字经济产业生态改革举措
由呼和浩特市大数据管理局、市委网信办、自贸试验区呼和浩特片区、和林格尔新区管委会联合制定，2026年9月印发，共提出十条举措。聚焦跨境数据流动、算力与Token出海、模型能力输出等方向，提出研究制定数据出境负面清单、加快建设数据跨境专用通道、探索国际数据中心建设，打通模型应用、Token计费、跨境结汇、资金回款全链条。
海南省人民政府办公厅关于印发《海南省推动“人工智能+”行动方案（2026—2028年）》的通知
海南省人民政府办公厅2026年2月印发《海南省推动“人工智能+”行动方案（2026—2028年）》。方案以“4+N”场景应用攻坚为切入口，聚焦商业航天、深海科技、南繁种业、低空经济四大特色产业，建设自主可控算力底座与高质量行业数据集，同步部署数字政府、医疗健康、智慧交通等七大行业应用。保障措施提出出台数据跨境安全流动专项政策，推行算力券、模型券等政策工具，健全人工智能风险监测预警机制。
北京经济技术开发区管理委员会关于印发《中国（北京）自由贸易试验区高端产业片区亦庄组团 国家服务业扩大开放综合示范区经开区区域数据出境负面清单实施意见》的通知
2026年9月28日，北京经济技术开发区管理委员会印发经开区“两区”《数据出境负面清单实施意见》，共二十条、有效期三年，复制推广亦庄组团数据出境管理成熟经验，原京技管字〔2024〕101号文件同步废止。意见坚持安全流动与便利服务、主体责任与规范引导、定期报备与行政监管相结合，明确数据处理者对负面清单备案承担主体责任，推动重点行业数据出境负面清单落地实施，保障敏感个人信息与国家重要数据安全。
个人信息保护认证实施规则
落实《个人信息保护法》第三十八条关于个人信息保护认证制度的规定，明确个人信息保护认证的适用范围、认证程序、认证标准、认证标志和监督管理要求。认证适用于个人信息处理者开展的个人信息跨境处理活动，是数据出境三条合规路径之一（安全评估、标准合同、保护认证），为企业跨境数据传输提供低成本合规选择。
工业和信息化领域数据安全合规指引
该指引面向工业和信息化领域数据处理者，旨在引导其合法合规开展数据处理活动并履行数据安全保护义务。文件依据数据安全法、网络安全法、个人信息保护法等法律法规，围绕数据分类分级、数据安全管理体系、数据全生命周期保护、风险监测预警与应急处置、数据安全风险评估、数据出境和数据交易等方面提供实务指引。
汽车数据出境安全指引（2025版）（征求意见稿）
工业和信息化部等八部门 2025 年 3 月 15 日发布的《汽车数据出境安全指引（2025 版）》征求意见稿，面向汽车研发设计、生产制造、驾驶自动化、软件升级、联网运行等场景提出数据出境合规要求，首次就重要数据判定与出境路径给出操作口径。该稿已被 2026 版正式指引（工信部联网安〔2026〕27号）取代，现仅作制度沿革参考。
数据跨境合规流通体系建设指南
为中国企业数据跨境合规流通提供体系建设指南，明确数据跨境合规流通的组织架构、制度流程、技术工具和应急管理四大支柱。涵盖数据分类分级、出境路径选择（安全评估、标准合同、认证）、自评估实施、安全保护措施和持续监控改进等环节的体系建设指引，帮助出海企业构建系统化的数据跨境合规管理能力。
中国（天津）自由贸易试验区数据出境管理清单（负面清单）（2024 年版）
中国天津自由贸易试验区数据出境管理清单2024年版列明区内企业向境外提供数据需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证的情形，涵盖战略物资和大宗商品、自然资源和环境、工业、金融、统计、通信传播、住房建设、交通运输、公共卫生、公共安全、互联网服务和电子商务、科学技术、个人信息等十三大类，负面清单外数据免予相关程序。
中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024版）
中国北京自由贸易试验区数据出境管理清单2024版列明汽车、医药、民航、零售与现代服务业、人工智能训练数据等领域的数据出境管理要求，区分需通过数据出境安全评估的重要数据和个人信息、需通过个人信息出境标准合同备案或个人信息保护认证出境的个人信息，明确各场景下的数据量级标准和具体数据类型范围。
中国（浙江）自由贸易试验区数据出境负面清单管理办法及负面清单
中国浙江自由贸易试验区数据出境负面清单管理办法规范负面清单制定、审批和使用管理，明确省级管理部门、自贸片区和数据处理者职责，规定需求调研、重要数据识别、业务分析、论证征求意见、审批报备等制定流程，实行分批分类和动态管理，明确申请、备案、合规出境、重大变更等实施程序，附数据分类分级参考规则。
中国（上海）自由贸易试验区及临港新片区数据出境负面清单管理办法（试行）及负面清单及实施指南
中国上海自由贸易试验区及临港新片区数据出境负面清单管理办法建立负面清单和操作指引相结合的合规出境机制，明确市级管理部门、管委会职责分工，规定负面清单适用、使用情况报告、监督检查、促进措施、重要数据识别和法律责任，支持数据出境便利化并与国际高标准经贸规则对接，打造国家制度型开放示范区。
《海南自由贸易港数据出境管理清单（负面清单）（2024版）》
中国上海自由贸易试验区及临港新片区数据出境负面清单实施指南指导区内注册的数据处理者使用负面清单依法有序开展数据出境活动，明确适用主体范围、使用情况提交与报备流程、材料核验要求和时限、终止使用情形、咨询服务和注意事项，规定统一社会信用代码证件、法定代表人身份证件、经办人授权委托书、使用情况说明、承诺书等提交材料清单以及各片区数据跨境服务中心联系方式。
中国（福建）自由贸易试验区 数据出境负面清单管理办法（试行）及负面清单
中国福建自由贸易试验区数据出境负面清单管理办法规范负面清单制定、执行和管理，明确省级管理部门、片区实施机构和数据处理者职责分工，规定需求调研、重要数据识别、业务场景分析、论证征求意见、审批报备等制定流程，明确申请备案、有效期三年、变更延续、监督检查和法律责任，关系国家安全等核心数据不纳入负面清单管理。
中国（广西）自由贸易试验区 数据出境负面清单管理办法（试行）及负面清单
中国广西自由贸易试验区数据出境管理清单2025版适用于区内登记注册的数据处理者，按行业领域分批次制定，发布地理信息与气象数据服务、企业信用信息服务、直播跨境电商、海外音视频制作与传播四个领域负面清单，明确需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证的数据范围，负面清单外数据可自行出境，实行动态管理。
中国（重庆）自由贸易试验区数据出境负面清单管理办法（试行）负面清单及实施指南
中国重庆自由贸易试验区数据出境负面清单管理办法规范负面清单管理，明确市网信办、市大数据发展局、市商务委、市公安局等部门职责，建立联席会议和信息共享机制，规定负面清单制定流程、适用规则、使用情况报告、监督检查、数据处理者义务和法律责任，核心数据不纳入负面清单管理，本办法自发布之日起施行，有效期两年。
中国（江苏）自由贸易试验区数据出境 负面清单管理办法（试行）及负面清单
中国江苏自由贸易试验区数据出境负面清单管理办法适用于南京、苏州、连云港片区，建立负面清单和操作指引相结合的合规出境机制，明确省级管理部门和片区管委会职责，规定需求调研、重要数据识别、业务场景分析、论证征求意见、审批报备等制定流程，明确负面清单实施、动态管理、报备要求、监督检查、促进措施和法律责任。
GDPR
欧盟一般数据保护条例，适用于欧盟境内控制者或处理者的个人数据处理，以及向欧盟数据主体提供商品服务或监控其行为的域外处理活动，确立合法性、公平透明、目的限制、数据最小化、准确性、存储限制、完整性和机密性等原则，赋予数据主体知情权、访问权、更正权、删除权、被遗忘权、限制处理权、可携带权、反对权和免受自动化决策权，规定控制者与处理者义务、数据跨境传输机制、监管体制及高额罚款等法律责任。
欧盟GDPR合规指引-CAICT
由中国信息通信研究院等机构编写，系统介绍GDPR立法背景、制度要点和执法机制，详细阐述域外适用、数据主体权利扩张、控制者与处理者问责、数据跨境流动机制及监管体制改革，并从风险评估、组织架构、合规体系设立与执行、培训审计等方面为企业提供合规指引，最后比较GDPR与中国个人信息保护法律的异同及冲突应对策略。
欧盟标准合同(sccs)(英文版)
欧盟委员会2021年6月4日通过的实施决定，制定根据GDPR向第三国传输个人数据的标准合同条款，作为第46条下的适当保障措施之一，确保个人数据转移至第三国时维持欧盟保护水平，包含通用条款和模块化条款，适用于控制者到控制者、控制者到处理者、处理者到处理者、处理者到控制者等多种传输情形，要求数据出口方履行告知义务，并可补充额外保障措施。
其他
山东省数据条例（草案）
山东省人大常委会法制工作委员会2026年5月21日将《山东省数据条例（草案）》全文公布公开征求意见，6月21日截止。草案共八章六十五条，经省十四届人大常委会第二十四次会议初次审议，拟取代2021年《山东省大数据发展促进条例》。内容涵盖公共数据授权运营与收费原则、数据持有使用经营三权分置与产权登记、数据爬取与算法歧视红线、敏感个人数据单独同意、重要数据分类分级与风险评估及数据出境便利化。
临港新片区印发再保险、国际航运、生物医药 3 个领域数据出境操作指引
临港新片区发布的针对再保险、国际航运、生物医药三个特定行业领域的数据出境操作指引。明确各行业数据出境的场景特征、合规要求、自评估要点和申报流程，为特定行业企业提供可操作的数据出境合规指南。
贵州省大数据发展应用促进条例
推动贵州省行政区域内大数据发展应用，明确大数据发展应用原则和目标，省人民政府信息化行政主管部门负责大数据发展应用具体工作，设立大数据发展专项资金和基金，加强信息基础设施建设，建立云上贵州大数据平台，推进公共数据共享开放和开放负面清单制度，培育数据交易市场，加强数据安全管理，建设国家大数据综合试验区和产业发展聚集区。
14117法案
美国总统第14117号行政命令于2024年2月28日签署，旨在限制受关注国家获取美国人批量敏感个人信息和美国政府相关数据，认为此类获取对美国国家安全和外交政策构成异常和重大威胁，授权司法部长制定规则禁止或限制涉及批量敏感个人信息和政府相关数据的特定交易，同时支持开放、全球、可互操作、可靠和安全的跨境数据流动，不实施普遍数据本地化要求，也不广泛禁止与受关注国家的商业往来。
