先说一件让你细思极恐的事！上个月的你订了个日本五日游。打开携程，输入护照号、姓名、出生日期、联系方式……一气呵成，订单完成，心情愉快。

然后你关掉App，去刷了会儿短视频，睡觉了。

但你的护照信息， 没睡 ， 它可能正在穿越亚太海底光缆，落地在某个你叫不出名字的境外服务器上。

你知道吗？你同意了吗？你有得选吗？

这就是今天要写的主题， 数据出境 。而携程，刚刚因为这件事，被 罚了 1000万 。

1000万是个什么概念？ 对普通人来说，1000万是cai票头奖，对携程来说，1000万可能是……某个季度的下午茶钱？

但别小看这张罚单。

2026年6月13日，上海市网信办正式对上海携程商务有限公司开出处罚：未落实数据出境安全评估要求、违法出境个人信息，罚款1000万，责令限期整改。

监管部门调查显示，携程在未通过数据出境安全评估的情况下， 持续多年 向境外传输 大量用户个人信息，涉及：姓名、身份证号、护照信息、银行卡号、行程轨迹……这些数据被用于集团统一的海外业务系统和数据分析平台，一直传到监管部门介入才停。

这还不是携程第一次在个人信息上栽跟头，2021年它就被法院判过大数据杀熟，赔了用户订房差价的三倍。这回是第二次了。

监管部门发出的信号非常明确：" 数据出境这件事，我们是认真的 。"那携程到底踩了什么线？在说它之前，我们得先搞清楚一件事。

什么叫"数据出境"？

字面意思很好理解：你的数据，从中国境内，跑到境外去了，但很多人不知道的是，"出境"这件事比你想象的要宽泛得多。以下三种情况，都算数据出境：

① 服务器在境外： 你用的App或系统，数据直接存在境外的服务器上。比如公司用了AWS美国区、Azure欧洲区来存用户数据。

② 给境外机构共享： 数据从国内发给境外的合作方、供应商、广告商。比如国内App接入了境外的广告分析SDK，用户行为数据被悄悄发出去了。

③ 跨境集团内部传输： 这就是携程踩的那条线。集团境内子公司把用户数据同步给境外总部或境外的数据中台，哪怕只是"内部用"，法律上也算数据出境，该走程序还得走。

但问题是， 走出去有什么问题吗？

你可能会想：我订个日本酒店，数据发给日本酒店方，这不是天经地义的事吗？

对，确实天经地义。但法律说： 天经地义也得走程序。

《个人信息保护法》第38条到40条，专门管这件事。用大白话翻译一下，数据想出境， 只有 三条合法通道 ：

🚪 通道一：安全评估（国家队审核）

数据量大、敏感程度高？对不起，你 得去 国家互联网信息办公室 报备 ，让国家帮你审一审：这批数据出去，安不安全？会不会被滥用？境外接收方靠不靠谱？

审过了，盖章，放行。没审？ 不许出境； 触发这条通道的申报门槛有四条，满足其中一条就必须申报：

• 门槛一： 要传出去的是 重要数据 （一旦泄露可能危害国家安全、经济运行或社会稳定的数据）；

• 门槛二： 你是 关键信息基础设施运营者 （电力、金融、交通、通信等），或处理超过 100万人 个人信息的平台 ，想往境外传任何个人信息；

• 门槛三： 过去一年里，累计向境外传了超过 10万人 的个人信息 ，或超过 1万人 的 敏感 个人信息 ；

• 门槛四： 国家网信部门认为有必要评估的其他情形（兜底条款，主动权在监管）。

携程符合吗？四条踩了三条。 评估怎么走？

先在省级网信部门报材料（包括风险自评估报告），省级核查完备后报送国家网信办，国家网信办7个工作日内决定是否受理，受理后 45个工作日 内出结果。通过的评估结果有效期 2年 ，到期要重新申报。

听起来麻烦？确实麻烦。但这套流程存在的意义是： 让监管在数据出去之前就知道你要干什么 ，而不是出了事再来查。

🚪 通道二：标准合同（纸面上的约束）

数据量没那么大？可以走"标准合同"路线。

国家给了一份 官方模板合同 ，你和境外接收方签了，承诺数据怎么用、怎么保护、出了事怎么赔。签完备案，走起。

听起来简单，但很多企业的问题在于： 压根没签，或者签了没备案，或者签了个自己改过的版本， 这都不算数。

🚪 通道三：认证（第三方背书）

找国家认可的专业机构，给你的数据出境行为做个"合规认证"，证明你是个守规矩的好孩子。

这条路成本高、周期长，目前走这条路的企业相对较少。

好，现在回来说携程 ，三条路，条条都有门槛。

携程作为国内最大的在线旅游平台之一，每天处理的用户数据量是什么级别？护照信息、行程记录、支付数据、位置信息……这些数据，在用户订购境外酒店、机票、签证服务的过程中， 必然涉及跨境传输 。

问题不在于"传没传"，问题在于， 传之前，有没有走合法通道？ 监管部门的调查结论是： 没有，或者没有完整走完。

具体来说，违规点包括：

• 未按规定完成数据出境安全评估申报

• 向境外提供个人信息未依法取得用户单独同意

• 数据出境的告知义务履行不到位

• 对境外接收方缺乏持续监督和合同约束

翻译大白话就是： 数据悄悄出去了，用户不知道，监管也没批 。这，就是那1000万的由来！

企业自查清单：你们公司有没有踩线？

如果你是个企业主，或者你们公司有出海业务，建议对着这张清单过一遍：

第一步：判断是否触发申报线

第二步：是否走了"标准合同"路径？

数据量不大、不触发安全评估的，可以走标准合同。但坑在这里：

• 合同必须用 国家网信办发布的官方模板 ，自己改过的版本不算数

• 签完必须 向 省级网信部门备案 ，光签不备案等于没走

• 合同里必须明确约定数据保护责任、违约赔偿、数据销毁条款

第三步：个人信息保护影响评估（PIA）做了吗？

这是很多企业最容易忽视的一步。在申报安全评估或签标准合同之前，法律要求企业先做一个 自评估 ，内容包括：

• 这批数据出境的目的和必要性是什么？

• 境外接收方的数据保护水平够不够？

• 数据出去后被滥用的风险有多大？

• 出了事，用户投诉的渠道畅不畅通？

没做PIA就直接申报，材料审查时就会被退回。

最容易踩的坑： 很多企业以为签了个英文版隐私政策就完事了。不是的。中国法律要求的 是 中国境内的合规程序 ，不是你在境外服务器上贴了张"我们保护隐私"的标签。集团内部传输也是出境，"老板让传"不是理由，没走程序照样违法。

普通人能做什么？说完企业，说说你。你可能觉得：这是企业的事，跟我有什么关系？

关系大了。 你的数据，是这场游戏里唯一真正的筹码。

几个实操建议：

① 检查App的权限设置： 进手机设置，找到旅游、购物、社交类App，看看它们申请了哪些权限。定位、通讯录、相机……很多权限跟它的核心功能毫无关系， 关掉。

② 看隐私政策里的"数据共享"部分： 大多数人从来不看隐私政策，但如果你要看，重点看这一段："我们可能与以下第三方共享您的信息……"，后面跟着的，可能是一串你从没听说过的境外公司名字。

③ 涉及护照、身份证的操作，格外谨慎 ： 护照号是高度敏感信息。能不填就不填，必须填的时候，确认这个平台是否有资质处理此类数据。

④ 行使你的权利： 《个保法》赋予了你查询、更正、删除个人信息的权利。如果你觉得某个平台对你的数据处理有问题， 可以向国家网信办（12377举报中心）或各地网信办投诉，可以要求平台删除你的数据。 这不是闹，这是法律给你的武器。

最后说一句，携程这1000万罚单，只是一个开始。

随着《数据安全法》《个人信息保护法》《数据出境安全评估办法》的相继落地，监管的牙齿越来越硬。数据出境合规，已经从"可选项"变成了"必选项"。

对企业来说，这是成本，也是门槛，对普通人来说，这是保护，也是提醒： 你的数据，不是免费的。