数据出境进入“清单时代”

过去几年，企业谈数据出境，第一反应往往是“要不要申报安全评估”。到了2026年，这个问题已经变成另一套更细的判断：数据属于什么行业、什么场景、什么字段、什么规模，所在地有没有负面清单，是否落入免评估、标准合同、认证或安全评估路径。

这背后是中国数据出境制度从“原则性安全管理”走向“场景化、清单化、便利化”的过程。国家层面通过《促进和规范数据跨境流动规定》收窄评估范围、扩大豁免场景；地方层面则以自贸试验区、服务业扩大开放综合试点地区为抓手，探索数据出境负面清单。

一、国家规则：从“全面紧张”转向“分类分流”

2024年3月22日，国家网信办发布《促进和规范数据跨境流动规定》。这份文件的重要意义是把不同风险等级的数据出境活动分流处理。

其中，典型豁免场景包括：国际贸易、跨境运输、学术合作、跨国生产制造、市场营销等活动中产生且不含个人信息或重要数据的数据出境；境外收集的个人信息传入境内处理后再出境且未引入境内个人信息或重要数据；为订立、履行个人作为一方当事人的合同确需出境；依法实施跨境人力资源管理；紧急情况下保护自然人生命健康和财产安全；非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息且不含敏感个人信息等。

国家制度现在强调两件事：第一，不把低风险业务一概推入重流程；第二，对重要数据、敏感个人信息、关键信息基础设施、重点行业场景保持审慎。

这正是地方负面清单的制度空间：哪些数据必须走安全评估、标准合同或认证，地方可以在国家框架内结合产业实际列清楚；清单外的数据，则在依法履行一般数据安全、个人信息保护义务的基础上，获得更明确的流动预期。

二、北京：从自贸区试点到全市域治理

北京是这轮地方清单改革中最值得关注的样本之一。

2024年8月，北京发布《中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024版）》，首批覆盖汽车、医药、零售、民航、人工智能5个行业，涉及48项数据。其特点是“场景化、字段级”：不是笼统说“汽车数据危险”，而是细化到车外实景影像、敏感区域地理信息、车辆流量、充电网运行数据、车联网远程操控数据等。

到了2026年5月，北京市网信办、市商务局、市政务服务和数据管理局联合发布“两区”负面清单及配套管理办法。这里的“两区”，指中国（北京）自由贸易试验区和国家服务业扩大开放综合示范区。由于北京国家服务业扩大开放综合示范区覆盖全市域，这意味着北京把负面清单机制从自贸区拓展到了全市。

对企业而言，北京模式的价值在于可预期性。过去企业常常卡在“这是不是重要数据”“这个字段能不能出境”的不确定性里。现在，北京试图把这些判断拆成行业、场景、字段、数量阈值和办理路径。

三、上海：全域扩容，与国际数据合作绑定更紧

上海的路径与北京相似，但产业重心不同。

2025年2月，上海发布《中国（上海）自由贸易试验区及临港新片区数据出境管理清单（负面清单）（2024版）》，2026年4月，上海市网信办、市数据局发布新版文件，将适用范围从上海自贸试验区及临港新片区，扩展到国家服务业扩大开放综合试点地区（上海）。新版上海清单覆盖4个重点领域：再保险、国际航运、贸易商贸、气象。官方英文信息显示，新版清单包含9个应用场景、29个数据子类、109个数据项。

2026年5月上海启动数据领域国际合作综合试点。国家数据局转载央视报道显示，上海试点聚焦6大板块、17项任务，目标是构建国际数据合作体系。换句话说，上海不是单纯做“合规清单”，而是在把跨境数据流动、国际数据基础设施、规则互认、数字出海服务放到一个更大的开放框架中。

四、企业可以怎么做：从“项目申报”转向“常态化台账”

数据出境合规不应只在某个项目出海时临时补材料。更稳妥的方式，是建立常态化台账。

对在北京、上海有主体或业务的企业，应优先核对所在地最新负面清单。对在安徽的企业，尤其是安徽自贸试验区内企业，可以提前按未来清单化治理做准备：先把数据出境场景和字段盘清楚，等负面清单或快速通道落地时，申报和适用会更顺。

主要资料来源