数据跨境

3 秒看懂

数据跨境，本质上是在“数字主权”与“全球数据自由流动”之间寻找合法、安全、可持续的平衡点。它不只是一个技术问题，更是法律、地缘政治与企业战略的复杂交集。

3 分钟产业解释

数据跨境流动是全球数字经济的“血液循环”，支撑着跨国云服务、实时支付、全球研发协作、跨境电商与人工智能训练等所有核心场景。它并非简单的信息传输，而是法律合规、地缘政治与技术能力的系统性交汇。

• 驱动因素：全球化运营对统一数据分析的需求、云计算集中化带来的效率提升、AI 模型对海量多源数据的渴求，以及供应链端到端可视化的要求，都迫使数据必须跨越国界。
• 核心挑战：全球主要法域（中国、欧盟、美国等）对数据出境的法律要求差异巨大且持续演化。例如，中国的“数据出境安全评估”与欧盟的“传输影响评估（TIA）”虽目标相似，但审查重点、触发门槛与程序差异显著，意味着企业必须同时维护多套合规底稿，成本与管理复杂度成倍上升。
• 产业影响：催生了庞大的数据合规科技（RegTech） 市场，推动云厂商纷纷建设区域数据中心、推出主权云解决方案，并深度改变了企业的 IT 架构、数据分类分级策略与全球业务布局。据行业观察，超过 60% 的大型跨国企业已将数据跨境合规列入董事会常设议题。

技术原理

数据跨境的技术原理并不限于加密算法或网络协议，更在于构建一套覆盖数据全生命周期的合规机制与安全技术体系，确保数据从离开源司法管辖区到在目的地完成处理、删除的每个环节，都能满足出发地的法律保护要求。其核心可抽象为“合规路径选择层—安全传输处理层—目的地合规验证层”三层架构。

一、合规路径选择层

这是数据跨境的法律“主干道”，不同法域规定了若干法定路径，企业必须选择其一并完成相应的法律手续。

• 充分性认定（Adequacy Decision）：由数据出发国监管机构评估接收国整体的数据保护水平是否“实质等同”。典型如：欧盟委员会认定日本、韩国等为充分性国家。路径稀缺、认定过程漫长且可能被定期复审甚至撤销（例如欧盟-美国“隐私盾”在 2020 年被判无效，直到 2023 年才通过新的“数据隐私框架”）。
• 标准合同条款（SCCs）与约束性公司规则（BCRs）：欧盟主要的跨境传输工具。SCCs 是监管机构预先批准的标准法律文本，嵌入数据处理合同即使用；BCRs 则是跨国集团内部具有法律约束力的内部规则。使用 SCCs 时，数据出口方还必须进行“传输影响评估（TIA）”，评估接收国现行法律或实践是否会侵蚀 SCCs 承诺的保护水平，必要时需补充技术或组织措施（如加密、假名化等，同时要防止接收方政府机构的不当访问）。公开资料显示，截至 2024 年上半年，全球已有超过 150 家跨国集团批准了 BCRs。
• 中国出境安全评估与标准合同：中国以《数据出境安全评估办法》（2022 年 9 月 1 日施行）、《个人信息出境标准合同办法》（2023 年 6 月 1 日施行）等为基础，形成“评估与备案双轨制”。触发安全评估的门槛包括：向境外提供重要数据、关键信息基础设施运营者（CIIO）的数据、处理 100 万人以上个人信息的处理者、自上一年 1 月 1 日起累计向境外提供 10 万人以上个人信息或 1 万人以上敏感个人信息等情形。未触发门槛的少量个人信息出境，可通过签订标准合同并备案实现合规。2024 年 3 月发布的《促进和规范数据跨境流动规定》进一步澄清了免予申报的场景（如跨境人力资源管理、紧急情况、不包含重要数据的过境数据等），并对特殊自由贸易区可制定负面清单，允许清单外数据自由流动——这明显优化了企业合规负担。
• 其他路径：还有 APEC 跨境隐私规则（CBPR）体系、东盟数据管理框架等，但适用范围及法律约束力各异。

二、安全传输与处理层

在选定合规路径后，数据在传输、存储、计算过程仍需技术措施的加持。

• 传输加密：采用 TLS 1.3、端到端加密（E2EE）可保证数据在信道上的机密性与完整性。但这仅解决传输中安全问题，数据在接收端解密后，仍需通过合同和制度进行控制。
• 去标识化与匿名化：直接降低数据集的识别性，是最有效的风险削减手段之一。欧盟《第 29 条工作组意见》和中国的《个人信息保护法》均规定，能够达到无法重新识别特定个人的匿名化数据不再属个人信息，可大大降低出境合规压力。但实现真正的匿名化难度极高，往往需要对数据的粒度、关联性进行大幅损失。
• 隐私增强技术（PETs）：这是当前探索“数据可用不可见”的主战场。联邦学习可在各方数据不出本地的前提下联合训练模型，安全多方计算（MPC）允许不暴露各自输入的情况下完成统计计算、求交集等；可信执行环境（TEE）则在 CPU 硬件层面创建加密飞地，保证处理过程中的代码与数据对外部（包括操作系统）不可见。此等技术能实现价值流动而非原始数据流动，在《促进和规范数据跨境流动规定》中，中国监管明确对“数据处理者通过技术手段实现数据匿名化处理，使其无法识别到特定个人”的场景设立了豁免原则，大幅提升了隐私计算的产业地位。但需要指出，目前这些技术仍普遍存在计算性能损失（MPC 延迟可为明文计算的数百倍）、部署成本高、适用场景有限（如联邦学习对标签对齐要求高）等问题，不能直接替代法律协议，更多是作为合规的增强证明手段。

三、目的地合规验证层

数据到达接收方后，法律义务还必须转为可稽核的制度。

• 接收方义务绑定：通过 SCCs、标准合同等将数据保护义务（如目的限制、最小化使用、存储期限、删除权、再转移限制等）合同化，并要求接收方配合展开审计。
• 持续监控与审计：数据出口方需建立机制监控接收方是否合规，包括定期审查其数据安全管理制度、进行穿透式审计、监测泄露事件等。大型云服务商如 AWS、阿里云为此推出“合规审计包”（如 SOC 2 报告、合规仪表盘、第三方认证等）以减轻客户负担。

关键参数

理解数据跨境，以下几个量化门槛与成本数据至关重要。所有数字均基于公开法规或行业报告，未查实则会标明。

• 中国安全评估触发量级（据 2022 年《数据出境安全评估办法》）：处理100万人以上个人信息的数据处理者；自上一年1月1日起累计向境外提供超过10万人的个人信息或超过1万人的敏感个人信息。2024 年《促进和规范数据跨境流动规定》调整后，对于非重要数据、非 CIIO 且当年累计出境未满 10 万人的普通个人信息出境，免予安全评估。
• 合规成本规模：据行业调研，一家处理百万级用户数据的金融或互联网公司，完成一项中国数据出境安全评估的外部法律与咨询成本通常在 200 万～500 万元人民币之间，内部合规、技术整改与人员投入尚未计在内（数据年份：2023 年，口径：业界综合估算，来源：多家律所与咨询机构公开访谈）。对于适用 GDPR 的跨国企业，一次大型数据映射及传输影响评估项目初始投入通常也达 50 万～200 万欧元（2023 年口径，来源：公开资料综合）。日常合规维护的年化费用往往占企业数据治理预算的 15%～30%。
• 隐私计算性能损耗：据学术实验和厂商白皮书，安全多方计算（MPC）在复杂统计场景下的性能可能比明文计算慢 100～1000 倍；联邦学习因需要加密通信，单轮迭代的通信开销比本地训练高出数倍至数十倍，总训练时间可比集中式训练长 2～5 倍（2023 年口径，来源：IEEE S&P 学术会议论文、各大厂商技术白皮书）。但硬件加速与协议优化正使性能每年提升 30% 以上。
• GDPR 罚款上限：一般违规最高可处全球年营业额的 2% 或 1000 万欧元取高者；严重违规（如违反跨境传输条件）最高可处 4% 或 2000 万欧元取高者。自 2018 年至 2023 年，EDPB 记录的 GDPR 罚款总额已超过 40 亿欧元，其中 2023 年单年 Meta 就因跨境数据传输违规被处以 12 亿欧元罚款（来源：EDPB 年度报告及公开新闻）。
• 全球数据跨境流量：据联合国贸发会议（UNCTAD）《2023 年数字经济报告》，截至 2022 年，全球超过 80% 的互联网流量可被视为跨境数据流，且预计以年均 25% 的速度增长。在带宽上，2022 年全球使用的国际带宽达到 2000 Tbps 左右（来源：TeleGeography）。

技术路线

为实现数据跨境合规与高效流动，技术与法律的结合形成了多条路线，可归纳如下：

路线一：法律协议主导路线（“协议栈加固”） 以欧盟 SCCs+BCRs 和中国标准合同备案为代表，核心是依靠标准化的法律文本将保护义务传导至接收方，并辅以技术措施（加密、假名化）防止传输影响评估失效。优点是在现有数据架构上改动较小；缺点是需要大量法律审核和人工判断，无法完全消解接收国法律冲突风险（如政府访问）。提供此类合规 SaaS 工具和合同管理系统的厂商主要有 OneTrust、TrustArc 以及中国的合规科技初创企业。

路线二：数据本地化+允许条件下出境路线 代表为中国对 CIIO 和重要数据的本地化存储要求，以及俄罗斯、印度等的本地化法律。数据原则上必须存储于境内设施，仅当通过安全评估或满足豁免条件后出境。该路线直接将主权风险降至最低，但造成全球基础设施分离，增加了云架构复杂度和延迟。各大云厂商（如 AWS、阿里云、华为云）为此扩建区域数据中心、推出“可用区”并构建本地化服务生态，尤其在中国，已形成完整的“境内云-合规网关-境外节点”架构。

路线三：隐私计算脱敏路线（数据不动价值动） 通过联邦学习、安全多方计算、可信执行环境等技术，尽量不转移原始数据而只共享计算结果或模型参数。当前被中国监管视为满足“必要性”和“技术保障”的核心方向之一。2024 年新规将匿名化处理后无法识别的数据出境明确豁免，极大地刺激了该路线的产业化。代表技术平台如：蚂蚁摩斯、华控清交的 PrivPy、翼方健数的 XDP 平台，以及谷歌的 Private Join and Compute、Intel SGX 等。该路线理想丰满，但面临性能、互操作性和监管审计认可度挑战，目前多应用于金融联合风控、医疗联合建模等特定高价值场景。

路线四：主权云与区域性数据处理路线 部分云巨头推出“主权云”解决方案，由本地实体运营，确保数据存储、管理和密钥控制均在指定司法管辖区，不向母公司转移。典型如 AWS 的欧洲主权云、Oracle 的欧盟主权云、微软的 Cloud for Sovereignty。此路线在政府、国防、超大型金融机构中快速采纳，但其建设和运营成本极高，资源池较统一公有云更为碎片化，且可能限制AI模型训练对跨洲数据的需求。

对比：

（以上对比依据公开产品资料及法规文件，截至 2025 年初）

上游

数据跨境产业上游主要包括法律法规的制定者、标准组织与技术基础能力的提供者。

• 立法与监管机构：中国的国家互联网信息办公室（CAC）、工业和信息化部（MIIT）、人民银行等；欧盟的欧盟委员会、欧洲数据保护委员会（EDPB）、各成员国数据保护机构（DPA）；美国的联邦贸易委员会（FTC）、司法部等。此外，区域性集团如东盟、非洲联盟也在加紧制定区域数据流动框架。
• 国际标准组织：ISO/IEC JTC 1/SC 27（信息安全、网络安全和隐私保护）制定 ISO 27701（隐私信息管理）、ISO 27018（云隐私保护）等；IEEE 有 PETs 标准；中国全国信息安全标准化技术委员会（TC260）负责制定如《个人信息去标识化效果评估指南》《数据出境安全评估指南》等国家标准，直接为合规提供依据。
• 学术与开源社区：高校和研究机构提供基础密码学突破，开源社区贡献 MPC（如 EMP-toolkit）、联邦学习框架（如 FATE、TensorFlow Federated）、TEE 的基础 SDK 等，降低了产业进入壁垒。
• 上游硬件：可信执行环境依赖于 Intel SGX、AMD SEV、ARM TrustZone 等芯片能力。机密计算生态主要由芯片厂商与云厂商共同推动，至今仍受限于不同厂商 TEE 的互操作性不足。

下游

下游为需要实现数据跨境合规的各类数据控制者与处理者。

• 金融服务业：跨国银行、支付网络（SWIFT、银联国际）、保险集团需跨境传输交易数据、反洗钱（AML）与黑名单数据，同时面临极严的金融监管。跨境征信、联合反欺诈是隐私计算最先落地的场景之一。
• 互联网与科技公司：全球社交媒体、电商平台、云服务商自身需将用户行为、内容、广告数据进行集中分析，是 GDPR 罚款的重灾区。中国出海社交、游戏、工具类 App 需处理海外用户数据，并可能受中国长臂管辖与出海国本地法规的双重要求。
• 医疗与生命科学：多中心临床试验、基因研究需要共享受试者数据，患者隐私保护极为敏感。联邦学习在医学影像分析、多机构基因组关联研究中得到试点。
• 制造业与物联网：跨国公司需要将工厂设备运行数据、供应链数据回传总部进行预测性维护和优化，可能涉及地理国情及重要数据。
• 公共部门与科研：跨国科研合作中，天文、气象、环境等数据集虽看似不涉及个人，但部分可能因位置信息被认定为敏感数据。

受益公司

数据跨境强监管催生了多层次产业机会，以下仅梳理与该领域紧密相关的代表性公司（行业公开信息，不做任何投资建议）。

合规咨询与法律服务

• 国际律所：DLA Piper、Baker McKenzie、Hogan Lovells、Fieldfisher 等拥有全球数据保护业务团队，服务大型跨国企业。
• 中国律所：金杜、中伦、方达、竞天公诚等均成立了专门的数据合规团队，深度参与大型央企、互联网的安全评估申报。
• 咨询公司：普华永道（PwC）、德勤（Deloitte）、安永（EY）、毕马威（KPMG）提供端到端数据治理、差距分析、TIA 执行外包，为受益方。

数据安全与合规科技

• 海外巨头：OneTrust（隐私管理平台，一度估值超 50 亿美元）、TrustArc、BigID（数据发现与分类）等。
• 国内厂商：安恒信息（数据安全与隐私计算）、奇安信（数据跨境安全网关）、启明星辰、天融信等开始布局数据跨境管控产品；隐私计算独角兽如华控清交、翼方健数、冲量在线、光之树等；蚂蚁集团旗下摩斯（MORSE）平台已服务多家金融机构；微众银行的 FATE 开源框架生态庞大。

云基础设施与主权云

• 全球：AWS、Microsoft Azure、Google Cloud 继续加码区域数据中及主权云方案。AWS 宣布的“欧洲主权云”（2023 年）目标在欧盟内部独立运营，为公共部门服务。
• 国内：阿里云（数据出境合规全链路方案）、华为云、腾讯云均对外提供数据安全港、数据出境安全评估辅助工具，帮助出海企业与在华外资满足合规。三大运营商天翼云、移动云、联通云也受益于党政机构数据本地化建设。

认证与审计机构

• 第三方认证机构（如 SGS、BSI、中国网络安全审查技术与认证中心 CCRC）提供 ISO 27701、信息安全服务资质等认证，是数据跨境合规的必要环节。

市场规模

数据跨境带动隐私计算、数据安全及合规服务的复合增长。以下汇集可查证的研究数据，所有数字均标明年份和来源口径，若口径不明确则注明。

• 全球数据跨境合规及相关技术市场：据 MarketsandMarkets 于 2023 年发布的研究，全球数据隐私与保护技术市场（包括合规管理平台、数据发现、风险评估）在 2023 年规模约为 86 亿美元，预计到 2028 年将达到 253 亿美元，年复合增长率（CAGR）约 24.1%。（覆盖年份：2023-2028，口径：全球隐私技术支出，来源：MarketsandMarkets）
• 中国隐私计算市场：据中国信息通信研究院《隐私计算白皮书（2022 年）》及后续行业跟踪，2021 年中国隐私计算市场（含软硬件和服务）规模约为 12.5 亿元，2022 年增长至约 28 亿元，并有望在 2025 年突破 200 亿元大关。（年份：2021-2025，口径：中国隐私计算市场规模，来源：中国信通院白皮书及公开媒体引用）另据 IDC 调研，2023 年上半年中国隐私计算平台市场整体规模达到 1.2 亿美元，增速很快。
• 中国数据安全市场：据赛迪顾问和 CCIA 等机构报告，2022 年中国数据安全市场规模在 150 亿元左右（含产品与服务），预计 2025 年将达到约 360 亿元。其中，数据跨境安全与管理被视为增长最快的子领域之一。（年份：2022-2025 口径：中国数据安全市场，来源：赛迪顾问等公开报告）
• 跨境合规咨询服务支出：据 Research and Markets 2024 年报告，全球数据合规咨询服务市场规模在 2023 年达到 120 亿美元，预计以 CAGR 约 15% 增长。中国方面，仅数据出境安全评估一项，2023 年大企业产生的咨询服务需求即拉动了数亿元的收入（公开资料未见确切统计，此处为行业估算）。
• 全球云计算区域扩张开支：公开信息显示，2023 年全球云基础设施服务支出约为 2900 亿美元（来源：Synergy Research Group），其中有相当比例（约 15%-20%）用于满足数据本地化和合规所需的区域扩建及专用设施。这个趋势直接反映了数据跨境合规对云架构的重塑力度。

玩家对比

从技术方案提供商维度对比几家在数据跨境领域声量较高的厂商，聚焦其核心能力与合规工具，不涉及投资评价。

（以上信息来自于各公司官方网站及公开技术白皮书，截至 2024年末）

风险

1. 法规突变与解释不确定性：中国 2024 年的新规虽然放松了部分场景，但重要数据目录尚未完全落地，“重要数据”定义仍留有一定解释空间；欧盟与美国的数据隐私框架存在再次被法院废除的可能，导致 SCCs 再次受到合法性挑战。企业长期架构规划面临高度不确定性。
2. 地缘政治干涉与数据脱钩：数据本地化已成大国竞争工具，过度本地化可能导致全球数据网络割裂，形成“数字柏林墙”，破坏企业全球经营的规模效应，并对依赖全球数据训练的 AI 大模型构成根本挑战。
3. 技术性能与合规认可度缺口：隐私计算技术目前尚无法覆盖所有业务场景，性能损耗使得实时性要求高的场景难以采用；同时，监管对“仅靠技术能否等同法律合规”的认知不一，如果某技术保护逻辑被监管否定，前期投入可能浪费。
4. 高昂且持续的合规成本：对于中小企业，一次安全评估的费用可能超过全年 IT 预算，带来市场进入壁垒。即便获得批准，持续审计、再评估义务产生的费用同样可观，可能导致中小企业被迫放弃某些市场。
5. 接收方数据滥用与再转移风险：即便签订了严密的 SCCs，数据出口方仍难以完全控制接收方是否将数据再转移给其关联方或合作伙伴，尤其当接收方所在国法律允许政府机构获取数据时，实际保护水平可能被架空。

误读纠偏

1. 误读：“数据跨境就是把数据传到国外，是数据外流，应该尽量堵住。” 纠偏：数据跨境是一个法律概念，指数据从一法域传送到另一法域，出境不代表失去控制。通过签署 SCCs、通过中国的安全评估或采用隐私计算，接收方被法律和技术双重绑定，必须提供不低于出发地的保护水平。真正问题不是阻断，而是合法而受控的流动。
2. 误读：“用了加密技术（如 VPN、端到端加密）就能合规传输数据了。” 纠偏：加密是必需的安全手段，但绝不是合规的充分条件。数据在接收方解密后的存储、使用、处理、再转移，均需满足全量法律义务（知情同意、目的限制、数据主体权利等）。GDPR 和中国《数据出境安全评估办法》都明确要求评估接收方法律环境与保护能力，这一点远非加密所能解决。
3. 误读：“隐私计算可以解决所有数据跨境问题。” 纠偏：隐私计算提供了强大的技术减敏能力，能让数据不移动而价值流动，尤其在新规下对匿名化出境的豁免提供了直接红利。但其适用场景有限（并非所有计算都兼容），有性能与精度损失，自身部署也需要评估合规性。它不能替代合同中关于数据保护的具体条款，是目前最强大的工具之一，但绝非万能钥匙。
4. 误读：“遵守一个法域的规定（如 GDPR），就等于满足全球要求。” 纠偏：各法域监管哲学差异巨大。中国的安全评估关注国家安全和公共利益，设置了独立于 GDPR 的申报流程；俄罗斯、印度等要求本地化存储。即便已经实施了 GDPR 合规体系，向中国境外提供重要数据或个人信息的实体仍需按中国办法重新评估。全球运营必须建立“多法域映射”的复合合规体系。

最新事件

• 2024 年 3 月 22 日，《促进和规范数据跨境流动规定》正式施行，明确了免予数据出境安全评估的几类场景，设立自由贸易试验区负面清单制度，标志着中国数据出境管理进入“精准监管+便利化”的新阶段。同日起，网信办更新了《数据出境安全评估申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》，降低企业操作门槛。
• 2023 年 7 月 10 日，欧盟委员会通过了“欧盟-美国数据隐私框架（DPF）”的充分性认定，为跨大西洋的数据流动重建合法基础，但已即时遭到隐私活动家挑战，隐私权组织 NOYB 等表示将诉诸欧洲法院。Meta 等在 2023 年已利用该框架恢复部分服务，但仍面临高度不确定性。
• 2023 年 5 月，爱尔兰数据保护委员会对 Meta 处以 12 亿欧元罚款，要求停止将欧盟用户数据非法传输至美国，这是 GDPR 历史上最高罚单，直接导致众多跨国企业紧急审视数据传输路径。
• 2024 年，中国积极参与 WTO 电子商务联合声明倡议及《数字经济伙伴关系协定》（DEPA）谈判，在加入 DEPA 的工作组讨论中，跨境数据流动是核心议题，整体方向是在保障安全前提下促进有序流动。
• 2024 年 9 月，全国网安标委（TC260）发布《数据安全技术 数据分类分级规则》应用指南，细化重要数据识别，为出境评估中“重要数据”的判定提供更清晰依据。

跟踪指标

以下指标可用于持续追踪数据跨境政策松紧度与产业发展态势。

1. 中国数据出境安全评估通过数量及列表：网信办定期公布的通过清单，反映官方态度和实践口径。
2. GDPR 跨境传输相关罚款金额与执法次数：EDPB 年报及成员国的决定，表征欧洲监管力度。
3. 各国本地化立法新增数量：由咨询机构（如埃森哲、Digital Policy Alert）跟踪，可衡量全球数据保护主义上升或缓和趋势。
4. 隐私计算技术基准性能提升率：通过 IEEE 会议及厂商白皮书公布的 MPC/FL 性能提升，监控技术落地可行性。
5. 主权云/区域节点投资额度：主要云服务商（AWS、Azure、阿里云）财报中披露的资本开支区域分布，反映基础设施本地化投资热度。
6. 出海企业数据合规预算占比：可由企业调研获取，如“年度数据治理预算中用于跨境合规的比例”，反映合规成本压力。
7. 标准合同备案及 SCCs 采用数量：从网信办及欧盟层面统计，判断主流路径的活跃度。
8. 跨境数据流量增速与国际带宽增速：由 TeleGeography、国际电联发布的国际互联网流量数据，体现实际数据流动的物理趋势。

信源

• 法律法规原文：中国网信办官网（cac.gov.cn）发布的《数据出境安全评估办法》《个人信息出境标准合同办法》《促进和规范数据跨境流动规定》等；欧盟 EUR-Lex（eur-lex.europa.eu）GDPR 第 44-50 条及 EDPB 指南；美国《云法案》及实施规则。
• 行业与市场研究机构：
  • 中国信息通信研究院（CAICT）《隐私计算白皮书》《数据安全治理报告》；
  • IDC、Gartner 数据安全与合规技术市场追踪报告；
  • MarketsandMarkets、Research and Markets 相关市场规模预测；
  • Synergy Research Group 全球云基础设施季度报告；
  • TeleGeography 全球互联网带宽年报。
• 国际组织：UNCTAD《数字经济报告》、OECD 关于跨境数据流动的政策文件；EDPB 年度报告。
• 智库与法律实务：金杜、中伦、Baker McKenzie 等律所发布的数据跨境合规指南；Digital Policy Alert 的全球数据政策更新数据库；IAPP（国际隐私专家协会）的 FPF 数据流监测资源。
• 学术与技术会议：IEEE S&P、ACM CCS、USENIX 等关于 PETs 的论文；中国 ITU-T 相关标准。

免责声明：本文内容仅供概念解释与行业分析，不构成任何法律意见或投资建议。具体法律适用需咨询专业律师。