场景
苏州工业园区一家做智能硬件的公司，去年上线了一套海外售后系统。为了省事，技术负责人老周直接把国内用户的工单信息——姓名、手机号、设备序列号、故障描述——同步到了部署在新加坡的服务器上，由境外团队处理。公司觉得这只是“内部运维”，没做告知，也没单独同意，更没做任何出境评估。
今年年初，一位用户发现自己投诉的维修记录出现在境外客服系统里，向公司提出质疑。公司回复说“数据只是过境，没给第三方”。用户不接受，向监管部门反映。老周很委屈：数据是我们自己用的，又没卖，怎么就算违规了？更让他意外的是，监管部门问的第一个问题是——你们怎么证明这次出境是“必要”的，用户知不知道，同意过没有？
这个场景在苏州的制造业、跨境电商、软件外包企业里并不少见。很多公司把“数据出境”理解成“把数据卖给境外”，只要不交易就没事。误区恰恰在这里。
法律规定
先说清楚什么叫“出境”。《个人信息保护法》第4条界定个人信息，第38条讲的是向境外提供个人信息的路径：要么通过安全评估，要么做个人信息保护认证，要么订立标准合同，法律另有规定的除外。注意，条文用的是“提供”，不是“出售”。把数据传到境外服务器、让境外主体能访问，通常就落入这个范围。
告知和同意是另一条主线。第17条要求处理个人信息前真实、准确、完整告知处理目的、方式、种类、保存期限等；第39条专门规定，向境外提供个人信息，还应当告知境外接收方的名称、联系方式、处理目的、方式、种类，并取得个人的单独同意。第14条讲同意的有效性，第13条列了可以不取得同意的法定情形。换句话说，“我们自己用”不是免于告知的理由。
再看《数据安全法》。第21条建立数据分类分级保护制度，第27条要求开展数据处理活动建立健全全流程安全管理制度，第29条要求发现安全缺陷、漏洞等风险时立即补救并告知用户、向主管部门报告。第30条针对重要数据处理者要求定期风险评估。这些义务和“有没有卖给第三方”无关。
《网络安全法》第41、42条同样强调收集使用个人信息的合法、正当、必要原则，以及不得泄露、篡改、毁损。
还有一层容易被忽略：如果公司用生成式人工智能处理这些工单，《生成式人工智能服务管理暂行办法》第7、9、11条对训练数据、服务提供者的责任、与用户签订服务协议都有要求，第14、15条涉及发现违法内容后的处置和配合监督检查。
法院实务怎么判
结合苏州法院公开裁判文书中体现的常见审理思路，这类纠纷里法院通常关注几个点，个案会有差异。
第一，是否履行了告知义务。法院一般会看隐私政策、弹窗记录、协议文本是否具体指向“出境”这件事，而不是笼统写“可能向关联方共享”。笼统表述往往被认为不足以支撑知情。
第二，同意的真实性和独立性。把出境同意打包在注册协议里、默认勾选，法院通常会结合用户是否可拒绝、拒绝后是否影响基本服务来判断。第14条要求同意应当由个人在充分知情前提下自愿、明确作出。
第三，必要性。第6条要求处理个人信息具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式。法院会问：境外处理是不是非做不可，能不能在境内完成，传输的字段是不是可以脱敏。
第四，安全措施是否到位。第51条要求采取加密、去标识化等安全技术措施。出了泄露事件，第66条的责任认定也会看企业有没有尽到管理和补救义务。
需要强调，以上是普遍倾向，不是每个案子都这么判，具体看证据和事实。
边界与例外
不是所有跨境传输都要走最重的程序。第38条留了“法律、行政法规或者国家网信部门规定的其他条件”的口子；第13条列了取得同意之外的合法性基础，比如履行合同所必需、履行法定职责或义务所必需。第55条则明确，向境外提供个人信息属于应当进行个人信息保护影响评估的情形之一。
边界在于：“必要”要能说清楚，“影响最小”要能证明。比如海外售后确实需要境外工程师看故障描述，那能不能只传设备序列号和故障代码，不传姓名手机号？能不能先脱敏？这些是判断“必要”和“最小”的抓手。
例外不是“随便传”的通行证。即便援引合同必需，告知义务和影响评估义务通常仍在。
普通人能怎么做
作为用户，遇到 App 或服务要你把数据传到境外，可以留意三件事：隐私政策里有没有明确写境外接收方是谁、传什么、干什么用；同意是不是单独弹出来让你选，而不是藏在总协议里；有没有给你撤回同意、删除、查阅的渠道（第44、45、46、47条）。
作为企业员工或负责人，先做一次数据地图：哪些系统在境外、传了哪些字段、谁在访问。然后对照第17、39条补告知和单独同意，对照第55条做影响评估，对照第51条上加密和权限控制。拿不准的，别自己拍脑袋。
律师温馨提示
董坤律师在苏州执业，处理过涉及数据合规、个人信息出境路径选择以及企业数据安全管理制度搭建的实务问题，熟悉安全评估、标准合同、保护认证几条路径的材料准备和常见卡点，也参与过数据泄露事件后的应对与整改沟通。这类事情往往不是“有没有违法”一句话能说清，而是要看业务必要性、告知链条和证据留存是否经得起推敲。有具体场景的，建议带着系统清单和数据处理流程当面聊，把边界划在前面，比事后解释省力得多。