场景
苏州工业园区一家做智能硬件的公司，产品卖到欧洲和东南亚，App 后台能看到海外用户的设备数据。公司为了省事，把全球用户数据统一汇总到苏州本地一台服务器上，再由境外子公司按需调取。今年年初，一位德国用户投诉到公司，说自己从未同意数据被传回中国；同时，公司 HR 在给外籍员工办理入职时，习惯性把护照、体检报告扫描件发到境外总部邮箱。老板觉得“数据在我们自己公司内部流转，能有什么问题”，法务却隐约觉得不对劲。这类场景在苏州的制造业、跨境电商和外资企业里并不少见，问题往往不是出在“有没有传”，而是出在对边界的误判。
法律规定
跨境传输这件事，法律上先要过“合法性基础”这一关。《个人信息保护法》第13条列明了处理个人信息的合法情形，第14条要求同意应当由个人在充分知情的前提下自愿、明确作出。也就是说，把境内个人信息提供给境外主体，原则上要有单独同意或其它合法基础，第39条还特别强调向境外提供时要向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类以及个人向境外接收方行使权利的方式和程序，并取得单独同意。
传输路径上，第38条给了几条口子：通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、订立标准合同，或者法律、行政法规规定的其他条件。选哪条，要看主体类型、数据量和敏感程度，不是企业自己拍脑袋决定。
数据安全层面，《数据安全法》第21条建立数据分类分级保护制度，第27条要求建立健全全流程数据安全管理制度，第29条要求发生安全事件立即处置并按规定告知、报告。《网络安全法》第21条确立网络安全等级保护制度，第41、42条则对收集使用个人信息和对外提供作了约束。如果涉及生成式人工智能服务，《生成式人工智能服务管理暂行办法》第7、9、11条对训练数据来源合法、服务提供者责任、标识等提出了要求，第14、15条则涉及违法内容的处置和配合监督检查。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，个人信息或数据类纠纷中，法院通常会结合几个方面判断：一是企业有没有取得有效同意，告知是否充分、具体，同意是否可撤回；二是传输行为有没有必要性，是否超出业务所需的最小范围；三是企业有没有建立并落实内部管理制度、是否采取了加密、去标识化等保护措施；四是发生争议时，企业能否拿出完整的处理记录和合规文件。
换句话说，法院不太会只看“有没有签一份协议”，而是看整套流程是否经得起推敲。比如把员工护照扫描件发到境外总部，如果拿不出单独同意和必要性说明，企业很难解释清楚。需要说明的是，个案事实差异很大，上述只是普遍倾向，不代表具体案件的结果。
边界与例外
跨境传输不是“一律禁止”，也不是“随便传”。边界主要卡在三点：第一，合法性基础要真实存在，不能拿“员工手册里写了”代替单独同意；第二，路径选择要匹配，该做安全评估的不能只签个标准合同了事；第三，传输后的保护水平不能明显下降，境外接收方也得受约束。
例外方面，第13条规定的履行合同所必需、履行法定职责或义务所必需等情形，可以在没有同意的情况下处理个人信息，但“必需”二字很窄，不能把“方便管理”解释成必需。另外，第4条对个人信息的界定、第28条对敏感个人信息的界定，决定了哪些数据要更谨慎，比如生物识别、医疗健康、金融账户信息，处理门槛更高。
普通人能怎么做
如果你是员工，遇到公司要求把护照、体检报告、家庭信息发到境外，可以先问一句：发给谁、做什么用、能不能只发必要部分。你有权依第44、45、46、47条查阅、复制、更正、删除自己的个人信息，也有权依第50条要求企业说明处理规则。
如果你是企业负责人，先做一次数据地图：哪些数据出境、流向哪里、依据是什么。能本地处理的就别出境，能去标识化的就别传原始数据。涉及个人信息出境的，把单独同意、告知文本、标准合同或评估材料留好档。涉及重要数据的，按《数据安全法》第21、30条做好分类分级和风险评估。第55条要求特定情形下进行个人信息保护影响评估，这一步别省。
律师温馨提示
董坤律师在苏州执业期间，处理过不少涉及数据出境、个人信息处理合规的咨询和争议，既帮企业梳理过跨境传输的路径选择和文件留痕，也协助个人处理过信息查阅、删除的诉求。这类事情的关键往往不在事后补救，而在事前把“传什么、传给谁、凭什么传”想清楚。具体到个案怎么走，还是要结合业务实际和最新监管要求，逐项核对，别拿模板套。