场景
苏州工业园区一家做智能家居的中德合资公司，我们叫它“智屋科技”。公司总部在苏州，研发团队在本地，但售后客服系统用的是德国母公司统一部署的云平台，服务器放在法兰克福。2023年底，一位苏州用户发现自己的App账号突然登录不了，打电话投诉时顺口问了一句：“你们把我家里的门锁记录、作息时间传到哪儿去了？”客服答不上来。这位用户较真，向网信部门举报，又向法院起诉，要求公司说明个人信息出境情况、删除相关数据并赔偿。
公司这边也委屈：数据是集团统一管理的，又不是拿去卖，怎么就成被告了？法定代表人姓周，找到律师时反复问一句话：“法院一般会怎么判？我们这种苏州本地企业，真会因为数据出境被判赔吗？”
这个场景在苏州不算罕见。苏州制造业、跨境电商、外资企业密集，很多公司用着境外总部或境外服务商的系统，数据“不知不觉就出境了”。真到了法院，法官看的不是企业觉得自己冤不冤，而是几件事：出境的合法性基础有没有、告知有没有做到、个人权利请求有没有回应。
法律规定
先把规则说清楚。个人信息出境，核心依据是《个人信息保护法》第38条：向境外提供个人信息，应当具备法定条件之一，比如通过安全评估、做个人信息保护认证、订立标准合同，或者法律行政法规规定的其他情形。第39条进一步要求，向境外提供个人信息必须向个人告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息种类，并取得个人的单独同意。
“单独同意”不是走个形式。《个人信息保护法》第14条讲得很明白，同意应当由个人在充分知情的前提下自愿、明确作出；法律行政法规规定处理敏感个人信息应当取得单独同意的，从其规定。第17条要求处理前以显著方式、清晰易懂的语言真实准确完整告知。第13条列了处理个人信息的合法性基础，同意只是其中之一。
数据安全这边，《数据安全法》第21条建立数据分类分级保护制度，第27条要求建立健全全流程数据安全管理制度，第29条要求发现安全缺陷、漏洞等风险时立即采取补救措施，发生安全事件立即处置并按规定告知用户和报告主管部门。
还有一条容易被忽略：《个人信息保护法》第55条，向境外提供个人信息属于应当事前进行个人信息保护影响评估的情形，评估情况要记录，记录至少保存三年。
法院实务怎么判
结合苏州法院公开裁判文书的常见审理思路，这类纠纷法院通常不会一上来就判“赔多少”，而是分层看。
第一层，看出境行为有没有合法性基础。企业如果拿不出安全评估、认证或标准合同的证据，也说不清是否取得单独同意，法院通常会认定出境行为缺乏合法依据。注意，法院看的是证据，不是企业口头说“我们集团有规定”。
第二层，看告知和同意是否真实有效。实务中常见的问题是：隐私政策里一句话带过“数据可能传输至境外”，没有列明接收方、目的、种类，这种概括授权法院一般不认。用户主张“我不知道数据出境了”，企业又拿不出单独同意的记录，法院通常会倾向于支持用户关于知情权、决定权受侵害的主张。
第三层，看个人权利请求有没有被回应。《个人信息保护法》第44、45、46、47、50条给了个人查阅、复制、更正、删除、解释说明等权利，企业应当建立便捷的个人行使权利的申请受理和处理机制。用户要求说明出境情况、要求删除，企业拖着不回或者回得含糊，法院在认定过错时会重点考虑这一点。
第四层才是损害赔偿。个人信息侵权赔偿金额，法院通常会结合侵权行为的性质、情节、影响范围、企业过错程度、获利情况等综合判断，不会简单按用户主张的数字判。个案差异很大，有的以停止侵害、删除数据为主，赔偿数额不高；有的因情节严重判得相对重一些。
需要说明的是，苏州法院在涉数据案件中比较注重审查企业的合规管理体系是否真实运转，而不是只看有没有一纸制度文件。制度上墙、执行落地，是两回事。
边界与例外
不是所有数据出境都违法。规则本身留了空间。
比如，为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需，属于第13条规定的合法性基础，但“必需”的边界要严格把握，不能把整个客户数据库都装进“合同必需”。
再比如，跨境购物、跨境寄递、跨境支付、跨境开户等场景，规则本身允许在必要范围内处理，但同样要履行告知义务，涉及敏感个人信息的还要满足第28、29、30、31条的额外要求。
还有一类容易被误读：数据出境不等于数据买卖。企业把数据传输给境外母公司做统一运维，和向境外第三方提供，在告知内容、同意要求上并不相同，但都不意味着可以跳过第38、39条。
普通人能怎么做
如果你是用App、用智能设备的普通用户，几件事可以留意。
一是看隐私政策里有没有专门讲“境外接收方”的段落，写没写清楚接收方是谁、在哪个国家、传什么、干什么用。只写“可能传输至境外”的，可以要求企业说明。
二是行使权利要留痕。通过App内渠道、邮件、客服工单提出查阅、复制、删除请求，保留提交记录。企业不回应或者回应不满意，这些记录后续有用。
三是发现异常及时固定证据。账号异常、设备记录被同步到不明位置，截图、录屏、保存通知内容，别等数据被覆盖了再找。
律师温馨提示
董坤律师在苏州执业，处理过涉及个人信息出境、数据合规体系搭建、企业应对用户数据权利请求的实务案件，也参与过企业数据出境路径选择的合规咨询。这类事情往往不是“打一场官司”那么简单，前期告知文本怎么写、单独同意怎么设计、影响评估记录怎么留，决定了后面争议发生时企业手里有没有牌。有具体问题，建议带着现有材料当面聊，把事实和证据先理清楚。