个人信息跨境传输合规（2026版）.docxVIP

个人信息跨境传输合规（2026版）

第一章总则

一、适用范围

本规范适用于所有在中华人民共和国境内处理个人信息的企业、事业单位、社会组织以及其他机构，所有向境外自然人、法人、非法人组织提供境内收集的个人信息的活动，均需严格遵照本规范执行。

涉及国家秘密的信息跨境传输活动，不适用本规范，需严格遵照《中华人民共和国保守国家秘密法》相关要求执行。法律、行政法规另有公开规定的公务类个人信息出境场景，按照对应专项规定执行，无需重复满足本规范的通用流程要求。

本规范覆盖的个人信息跨境传输场景包括但不限于：跨国集团境内主体向境外母公司、子公司、关联公司传输境内用户或员工个人信息；境内机构向境外合作方、服务商、客户传输境内收集的个人信息；境内机构通过境外云服务提供商存储、处理境内个人信息；境内用户数据被境外主体远程访问、调取的所有活动。

二、合规基本原则

所有个人信息跨境传输活动必须满足三个核心原则，第一是最小必要原则，出境的个人信息类型必须是实现传输目的的最少范围，不得超出业务必需的最小量级，不得额外传输与约定业务无关的个人信息字段。

第二是知情同意原则，除法律、行政法规规定不需要取得单独同意的特殊场景外，所有个人信息出境活动必须事先取得对应个人信息主体的单独同意，不得通过格式条款捆绑授权、默认勾选授权等方式规避单独同意要求。

第三是风险可控原则，所有出境活动必须提前完成全链路风险校验，确保个