主体资质核验
市场监管局对数据出境的审查，首先聚焦于“谁在出境”——即外资企业的主体资质是否合规。这里的“资质”并非简单的营业执照，而是涵盖外商投资准入合规性、企业信用记录以及数据安全负责人资质的全方位核验。在外商投资准入方面，市场监管局会严格对照《外商投资准入特别管理措施（负面清单）》，审查外资企业拟从事的业务是否属于禁止或限制类领域。例如，若外资企业业务涉及“重要数据出境”或“大量个人信息处理”，且属于负面清单行业（如互联网信息服务、新闻服务等），则需先获得行业主管部门的批准，否则注册申请会被直接驳回。2022年，我们协助某外资云服务企业在广州注册时，就因最初提交的业务范围包含“跨境数据存储服务”，被市场监管局要求先提供工信部的业务经营许可，最终调整业务描述后才通过初审。这提醒我们，外资企业在确定经营范围时，必须同步评估数据业务的合规性，避免“踩线”。
.jpg)
企业信用记录是审查的第二道“关卡”。市场监管局通过“国家企业信用信息公示系统”“信用中国”等平台，核查企业是否存在严重违法失信记录——例如因数据泄露被处罚、未履行数据安全义务被列入经营异常名录，或涉及跨境数据违规的历史记录。对于存在上述问题的企业，市场监管局会启动“实质性审查”，不仅延长注册周期，甚至可能直接否决申请。记得2021年，某外资咨询公司在深圳注册时，因其在欧洲总部曾因“未经授权向境外传输员工数据”被欧盟GDPR处罚，尽管该事件与中国业务无关，市场监管局仍要求其提交《数据合规整改报告》及第三方审计证明，最终耗时两个月才完成注册。这背后逻辑很简单：数据安全无小事，企业的“合规惯性”直接关系到其在中国市场的数据出境风险。
数据安全负责人的资质核验是近年来的审查重点。《数据安全法》明确要求“重要数据的处理者应当明确数据安全负责人和管理机构”，市场监管局在注册时会核查企业是否已指定具备相应能力的负责人。这里的“相应能力”不仅包括熟悉数据安全法规、掌握数据安全技术，还需具备3年以上数据管理或安全工作经验。我们曾遇到某外资生物科技企业，其指定的数据安全负责人是研发部门背景，对《个保法》中的“告知-同意”原则完全陌生，市场监管局认为其“不具备履职能力”，责令企业更换负责人并提交新的资质证明。这提示企业：数据安全负责人不是“挂名岗位”，必须选择真正懂法规、懂技术、懂业务的专业人士，必要时可提前邀请市场监管部门或第三方机构进行“预沟通”，确保人选符合要求。
数据分类分级
数据出境的核心风险在于“数据本身”，因此市场监管局要求外资企业在注册时提交《数据分类分级报告》，明确说明其处理的数据类型、敏感级别以及拟出境数据的范围。这里的“分类分级”并非企业自行“拍脑袋”，而是必须遵循《数据安全法》《个人信息保护法》及《数据分类分级指南》（GB/T 41479-2022）等国家标准。分类上，数据通常分为“个人信息”“重要数据”“核心数据”三大类；分级上，个人信息分为“敏感个人信息”和“一般个人信息”，重要数据则按危害程度分为“一级”“二级”“三级”“四级”。市场监管局审查时，会重点关注企业是否对“重要数据”和“敏感个人信息”进行了准确识别——这两类数据出境受到最严格的限制。
在实践中，外资企业最容易犯的错误是“数据范围界定模糊”。例如，某外资零售企业在注册时提交的数据清单仅笼统标注“客户信息”，未区分“姓名、手机号”（一般个人信息）与“身份证号、银行账户”（敏感个人信息），也未说明“交易记录”是否包含“支付敏感信息”，市场监管局直接要求其重新梳理，按“字段级”详细列出数据类型及敏感级别。我们曾总结过一个“数据分类分级三步法”：第一步，梳理企业所有业务场景（如用户注册、订单处理、内部管理），列出涉及的数据字段；第二步，对照国家标准判断每个字段的类别和级别（如“用户位置信息”属于敏感个人信息，“产品库存信息”属于一般数据）；第三步，绘制“数据地图”，标注数据在境内存储、处理、出境的全流程。这套方法能有效帮助企业通过审查，也为后续数据出境合规打下基础。
对于“重要数据”的识别，市场监管局审查尤为严格。《数据安全法》将“重要数据”定义为“一旦遭到破坏、丧失或者被非法获取、非法利用，可能危害国家安全、公共利益的数据”，具体范围由行业主管部门制定。例如，金融行业的重要数据包括“客户账户信息、交易记录、征信数据”，汽车行业包括“车辆行驶轨迹、自动驾驶传感器数据”。2023年，我们协助某外资新能源汽车企业在合肥注册时，其拟出境的“车辆远程诊断数据”被市场监管局认定为“可能危害公共安全的重要数据”，要求企业补充提交《重要数据出境风险评估报告》，并明确说明“数据本地化存储方案”和“出境应急处理机制”。这提醒外资企业：在涉及国计民生的行业，必须提前向行业主管部门咨询“重要数据”目录，避免因识别偏差导致合规风险。
合规评估审查
明确了“谁出境”“出什么数据”后，市场监管局的核心审查转向“怎么出境”——即企业是否通过合法途径完成数据出境的合规评估。根据《数据出境安全评估办法》《个人信息出境标准合同办法》等规定，数据出境需通过“安全评估”“标准合同备案”或“认证”三种途径之一，具体取决于数据类型和数量。对于“重要数据”或“关键信息基础设施运营者处理个人信息”，必须通过国家网信部门组织的安全评估；对于“达到一定规模（如100万人以上个人信息）的个人信息出境”，需通过省级网信部门的安全评估；对于其他个人信息出境，可通过与境外接收方签订标准合同并备案，或通过数据保护认证。市场监管局在注册时，会核查企业是否已履行相应合规程序，未完成的将不予通过。
安全评估是“最难啃的骨头”，耗时最长（通常为45个工作日，可延长）、材料最复杂。2022年，某外资社交平台企业在北京注册时，因拟出境的“2亿用户个人信息”达到“百万人以上”规模，被市场监管局要求先完成网信部门的安全评估。我们协助企业梳理了6大类、32项材料，包括《数据出境安全评估申请书》《数据处理者合规承诺书》《数据出境风险自评估报告》《与境外接收方签订的法律文件》等，其中“风险自评估报告”需重点说明“出境数据的合法来源性”“接收方保护能力”“再传输限制”等。经过3个月的努力，企业最终通过评估，顺利注册。这告诉我们：对于大规模数据出境，企业应提前6-12个月启动合规工作，避免因评估周期影响注册进度。
标准合同备案是“中小企业友好型”途径，但审查同样严格。市场监管局会核查企业签订的标准合同是否采用网信部门发布的《标准合同》模板，条款是否完整（如“数据主体权利保障”“违约责任”“数据安全事件通知”等），以及备案材料是否齐全（包括合同正本、企业法定代表人身份证明、数据安全负责人联系方式等）。常见问题是企业“自行起草合同”或“遗漏关键条款”——例如某外资电商在备案时，因其标准合同未约定“境外接收方不得将数据转授第三方”，被市场监管局要求重新签订合同。我们建议企业：标准合同“宁严勿松”，即使境外接收方提出修改要求，也需确保核心条款符合中国法规，必要时可咨询律师或专业机构审核。
安全管理制度
数据出境的合规性，不仅依赖于“一次性评估”，更需要“常态化管理”，因此市场监管局要求外资企业在注册时提交《数据安全管理制度》，涵盖数据分类管理、权限管理、应急响应等全流程内容。这些制度不是“纸上文章”，而是必须具备可操作性的“行动指南”，市场监管局会重点审查制度是否与企业的实际业务场景匹配，是否明确“谁来执行、怎么执行、违反怎么办”。例如，某外资物流企业在提交的制度中仅规定“数据访问需经审批”，但未明确“审批权限层级”（如普通员工数据由部门经理审批，敏感数据由法务总监审批），被市场监管局认定为“制度不落地”，要求补充《数据访问权限管理细则》。
数据分类管理制度是基础，要求企业对不同类别的数据采取差异化管理措施。例如，对“敏感个人信息”，需采取“加密存储”“访问日志留存”“最小必要授权”等措施；对“重要数据”，需定期进行“安全风险评估”（至少每年一次），并向行业主管部门报送评估报告。2023年，某外资医疗企业在注册时，其《数据分类管理制度》未区分“患者病历数据”（重要数据）和“医院管理数据”（一般数据），被市场监管局要求按“数据级别”分别制定管理规范。我们协助企业设计了“红黄蓝”三级标签体系（红色为核心数据、黄色为重要数据、蓝色为一般数据），并开发了配套的数据管理台账，帮助企业通过审查的同时，实现了数据的“精准管控”。
数据安全事件应急响应制度是“保命符”，也是审查重点。市场监管局要求企业明确“数据泄露、篡改、丢失等事件的发现、报告、处置流程”，包括“事件发生后24小时内向监管部门报告的渠道”“向数据主体告知的内容和方式”“事后整改措施”等。某外资金融企业在提交的制度中仅规定“发现数据泄露立即处理”，但未明确“向谁报告（市场监管局、网信办还是央行）”“如何告知用户（邮件、短信还是公告）”，被市场监管局要求补充《数据安全事件应急预案》并组织“桌面演练”。这提醒企业：应急制度不能“照搬模板”，必须结合自身业务特点（如数据量、用户群体、技术架构）制定，必要时可邀请第三方机构进行“压力测试”，确保制度在真实事件中能用、好用。
跨境传输协议
数据出境的“法律载体”是跨境传输协议，市场监管局在注册时会审查企业是否与境外接收方签订了合法有效的协议，以及协议条款是否符合中国法规要求。这里的“协议”不仅包括标准合同，也包括企业间通过“数据传输协议（DPA）”约定的权利义务。审查的核心在于：协议是否明确“数据出境的合法性基础”（如“用户单独同意”“履行合同所必需”）、“数据主体的权利”（如查询、更正、删除）、“数据安全责任划分”（如境外接收方的保护义务、违约责任）以及“数据再传输限制”（如境外接收方不得将数据转授第三方或用于约定外的用途）。
“用户单独同意”是个人信息出境的“黄金法则”，也是协议审查的重点。《个保法》要求“个人信息处理者向境外提供个人信息的，应当向个人告知出境个人信息的目的、方式、范围、接收方及对个人权益的影响，并取得个人的单独同意”。市场监管局会核查协议是否包含“同意的具体内容”（如“同意将姓名、手机号传输至境外用于客户关系管理”），以及企业是否已取得用户的“明确授权”（如勾选框、书面同意书）。2022年，某外资招聘企业在注册时，因其与境外母公司的协议仅约定“基于集团业务需要传输数据”，未明确“用户同意的具体场景”，被市场监管局要求补充《用户同意告知书》模板，并说明“如何确保用户知情同意的真实性”（如是否提供撤回同意的渠道）。
“数据安全责任划分”是协议中最容易产生争议的部分。市场监管局要求协议明确“境内企业作为数据出境方，对数据安全承担主体责任”，即使境外接收方为母公司或关联企业，也不能通过“内部协议”免除责任。例如，某外资制造企业在与境外总部的协议中约定“数据安全由境外总部全权负责”，被市场监管局认定为“责任划分不清”，要求修改为“境内企业负责数据出境前的合规性审查，境外接收方负责数据在境外的安全保护，双方对数据泄露承担连带责任”。此外，协议还需约定“数据安全事件的通知义务”（如境外接收方发生数据泄露时，应立即通知境内企业，并由境内企业向监管部门报告）和“违约责任”（如境外接收方违反协议约定的，境内企业有权终止数据传输并追究法律责任）。
监管协同机制
数据出境审查并非市场监管部门“单打独斗”，而是与网信、商务、行业监管等部门“协同作战”。市场监管局在注册审查时，会通过“跨部门信息共享平台”核查企业是否在其他部门存在数据违规记录，例如是否因数据泄露被网信部门处罚、是否未履行外商投资安全审查程序等。这种“协同机制”意味着外资企业需同时满足多个部门的监管要求，任何“短板”都可能导致注册失败。2023年，某外资半导体企业在上海注册时，虽通过市场监管局的主体资质和数据分类审查，但因未通过商务部的“技术出口安全审查”，最终被驳回申请——这提醒企业：数据出境合规是“系统性工程”，需提前梳理各部门要求，避免“顾此失彼”。
“双随机、一公开”监管是协同机制的常态体现。市场监管局会联合网信部门、行业主管部门，对已注册的外资企业开展“双随机”（随机抽取检查对象、随机选派执法检查人员）抽查，重点检查“数据出境合规情况”（如是否履行安全评估/备案程序、数据安全管理制度是否落实等）。对于抽查中发现的问题，企业需在规定时限内整改，否则可能面临“罚款”“暂停数据出境”“吊销营业执照”等处罚。2021年，我们协助注册的某外资电商企业在抽查中被发现“未对出境的‘用户浏览记录’进行分类分级”，尽管企业辩称“数据量小、风险低”，仍被市场监管局责令整改并罚款5万元。这警示企业：注册通过不代表“一劳永逸”，数据合规需“常态化投入”，定期开展“合规自查”是“必修课”。
“信用监管”是协同机制的“升级版”。对于存在数据出境严重违法失信行为的企业，市场监管局会将其列入“严重违法失信名单”，实施“联合惩戒”——包括限制其法定代表人、负责人担任其他企业高管、限制参与政府采购、限制获取政府补贴等。例如，某外资咨询企业因“未经同意向境外传输10万条个人信息”被列入失信名单，不仅后续注册申请被驳回，其境内子公司在申请高新技术企业认定时也被“一票否决”。这告诉我们：数据合规不仅关乎“注册能否通过”，更关乎企业的“长期信用”和“市场声誉”，企业应将数据合规纳入“ESG（环境、社会、治理）”管理体系，提升核心竞争力。
.jpg)
.jpg)
.jpg)