场景
苏州工业园区一家做智能硬件的公司，产品卖到欧洲，售后系统需要把用户设备信息回传到境外服务器做故障分析。公司负责人老周觉得这事挺正常——用户买了东西，数据传回来修bug，天经地义。可去年底，一位苏州本地用户发现自己设备的使用记录出现在境外，投诉到监管部门，还起诉到法院，要求公司删除数据、赔礼道歉。老周找到律师时一脸委屈：我又没卖数据，就是技术需要，怎么就成被告了？
这个场景在苏州不算少见。苏州制造业、跨境电商、外资企业密集，数据跨境流动几乎天天发生，但很多企业主对“出境”这件事的法律边界并不清楚，等到被投诉、被起诉才反应过来。法院碰到这类纠纷，通常怎么判？下面拆开讲。
法律规定
数据出境的核心规则在《个人信息保护法》里。第38条讲的是向境外提供个人信息的合法路径，比如通过安全评估、认证、订立标准合同等；第39条要求向境外提供个人信息必须取得个人的单独同意，还得告知境外接收方的名称、联系方式、处理目的、处理方式、信息种类，以及个人向境外接收方行使权利的方式和程序。这两条是数据出境纠纷里最常被援引的。
第13条列了处理个人信息的合法性基础，第14条讲同意应当由个人在充分知情前提下自愿、明确作出，第17条是告知义务，第21条是委托处理，第23条是向其他处理者提供，第24条是自动化决策。第4条界定个人信息，第6条要求处理目的明确、合理、最小必要。第28、29、30、31条涉及敏感个人信息和不满十四周岁未成年人的规则。第44到47条是个人权利，包括知情、决定、查阅复制、更正、删除。第50条要求建立个人行使权利的申请受理机制，第51条是安全措施，第55条是个人信息保护影响评估，第66条是法律责任。
《数据安全法》第21条是数据分类分级，第27条是数据安全管理制度，第29条是风险监测和补救，第30条是风险评估，第45条是违法责任。《网络安全法》第21条是等级保护，第41条是收集使用的合法正当必要原则，第42条是不得泄露、篡改、毁损，第64条是处罚。如果涉及生成式人工智能服务，《生成式人工智能服务管理暂行办法》第7、9、11、14、15条也有相应要求，比如训练数据来源合法、个人信息处理合规、提供者责任等。
法院实务怎么判
从苏州法院公开裁判文书的常见审理思路看，数据出境类纠纷，法院通常不会一上来就判“出境行为违法”，而是分几步看。
第一步看有没有合法性基础。法院会审查企业是否取得了有效同意，或者是否属于第13条规定的其他情形。如果企业拿不出单独同意，或者告知内容含糊，法院通常会倾向于认定处理行为缺乏合法性。老周那种“技术需要”的说法，在法院眼里不是独立的合法性基础，除非能归入履行合同所必需且符合第6条的最小必要原则。
第二步看告知是否充分。第17条和第39条的告知义务是实质性的，不是走个形式。法院会看隐私政策里有没有写清楚境外接收方是谁、数据用来干什么、用户怎么行使权利。很多企业隐私政策是从模板抄的，境外接收方一栏空着或者写“关联公司”，这种在诉讼中通常站不住。
第三步看是否履行了出境路径义务。第38条的安全评估、认证、标准合同，法院会结合企业规模、数据量、数据敏感程度判断。苏州法院对涉及大量用户信息、敏感个人信息出境的案件，审查会相对严格，但个案差异很大，不会一刀切。
第四步看损害和因果关系。个人信息侵权纠纷里，原告要证明损害往往不容易。法院通常会结合信息类型、泄露范围、是否造成实际骚扰或财产损失来判断。如果只是数据被传输出境但没造成可见损害，法院判赔的可能性相对有限，但停止侵害、删除数据的请求获得支持的可能性会更高。
需要说明的是，以上只是普遍倾向，个案结果受证据、合同条款、行业惯例影响很大，不能拿某个案子套所有情况。
边界与例外
数据出境不是绝对禁止，第38条给了几条路，走通了就合法。另外，第13条里的“履行合同所必需”“履行法定职责或义务”等情形，在特定场景下可以构成处理基础，但“必需”的认定很窄，法院通常要求数据出境与合同目的直接相关，且没有替代方案。
还有一类边界是数据分类分级。《数据安全法》第21条要求建立分类分级制度，重要数据出境和个人信息出境规则不一样。企业如果自己都说不清手里是什么数据，法院很难认定它尽到了合规义务。
例外情形还包括：为应对突发公共卫生事件或者紧急情况下为保护自然人的生命健康和财产安全所必需，以及法律、行政法规规定的其他情形。这些在普通商业场景里用得少，但边界意识要有。
普通人能怎么做
如果你是用户，发现自己的数据被传到境外，先看隐私政策里有没有写境外接收方和用途。没写或者写得含糊，可以向监管部门投诉，也可以依据第44到47条要求查阅、复制、删除。起诉的话，注意保存证据，比如截图、投诉记录、沟通记录。
如果你是企业主，先盘清楚自己有没有数据出境。有的话，对照第38条选路径，对照第39条补单独同意和告知。隐私政策别抄模板，境外接收方、处理目的、权利行使方式写具体。内部建立第50条的申请受理机制和第51条的安全措施，涉及敏感信息或大量数据的，做第55条的影响评估。生成式AI相关的，对照《生成式人工智能服务管理暂行办法》第7、9、11条检查训练数据来源和个人信息处理。
律师温馨提示
董坤律师在苏州执业，处理过涉及数据出境、个人信息保护、企业数据合规的咨询和争议案件，对苏州本地企业的业务形态和法院审理思路比较熟悉。这类事情往往不是“有没有违法”这么简单，而是合规路径怎么选、告知文本怎么写、证据怎么留。如果你正碰到类似老周的情况，或者想提前把出境路径理清楚，可以带着业务流程图和现有隐私政策来聊聊，先把风险点找出来，再决定怎么走。