跨境电商把客户订单传给海外仓，外企的中国子公司让境外总部登录国内系统查数据，工厂把质检记录同步给海外母公司——这些日常操作，在法律上都叫数据出境。
厦门司法局日前发布《2026年数据出境合规指引》，把这件事又一次推到企业面前。结合国家网信办2025年6月更新的《数据出境安全评估申报指南（第三版）》，企业要弄清的其实就是三件事：要不要报、报什么、报完之后盯什么。
《指南》认定的数据出境有三种：数据传输到境外；数据存储在境内，但境外机构、组织或个人可以查询、调取、下载、导出；在境外处理境内自然人的个人信息。
第二种最容易被忽略。数据一个字节都没离开境内服务器，只要境外总部有权限登录查看，就已经构成出境。不少企业栽在这里。
必须申报安全评估的，是两类主体：
关键信息基础设施运营者。向境外提供个人信息或者重要数据，一律要报。
其他数据处理者。向境外提供重要数据的要报；提供个人信息的，自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感信息），或者1万人以上敏感个人信息，要报。
两个细节别搞错。第一，这个门槛是2024年《促进和规范数据跨境流动规定》调整后的口径，数量按自然人去重统计，别再按老办法的10万人去记。第二，属于《规定》第三到六条豁免情形的——比如跨境购物、支付、寄递这类履约必需场景——从其规定，不必申报评估。
重要数据的范围，法律定义是"一旦遭到篡改、泄露，可能危害国家安全、经济运行、社会稳定、公共健康和安全的数据"。拿不准的，按行业主管部门的识别结果来。
申报走线上。登录"数据出境申报系统"（sjcj.cac.gov.cn），从中国网信网首页"全国网信政务办事大厅"也能进。CIIO 等不适合线上的主体，线下经省级网信办申报。
材料一共八项：统一社会信用代码证件、法定代表人身份证件、经办人身份证件、授权委托书、申报表、与境外接收方拟订立的数据出境相关合同（或等效法律文件）、数据出境风险自评估报告，以及其他证明材料。
三处实务坑，提前避开：
法律文件。以中文版为准，只有外文版的必须附准确中文译本，并把数据出境相关条款做高亮、线框等显著标识。
自评估报告。必须在申报前3个月内完成，且到申报日没有重大变化。第三版指南附了完整模板，按模板填，内容与申报表保持一致。
申报表格式。有硬性排版要求（仿宋四号、固定行距），照模板排，别自由发挥。
还要记住一点：材料造假不是补交的事。提交虚假材料，按评估不通过处理，还要依法追究责任。
流程是"省级查验 + 国家评估"两段：省级网信办5个工作日内完成完备性查验；通过后，国家网信办7个工作日内决定是否受理；受理后即组织评估，情况复杂的可以延长，进度在系统里随时可查。对结果有异议的，收到通知书15个工作日内可申请复评，复评是最终结论。
评估结果有有效期。到期还想继续出境的，在届满前60个工作日内可以申请延长，但要同时满足六项条件，核心是四条：出境目的、范围没有变化；数据处理者和境外接收方没有变化；未来三年数量或数据规模增幅不超过原评估结果的20%；过去三年严格按通知书执行、没出过重大数据安全事件。延长申请的审核时限是20个工作日。