场景
苏州工业园区一家做智能家居的中德合资公司，技术总监老周最近有点烦。公司要把国内用户的设备使用数据同步到德国总部的服务器做算法优化，法务提醒他这属于数据出境，得先做合规评估。老周觉得，不就是把数据传出去吗，服务器点一下鼠标的事，能有多复杂？结果法务甩给他一张清单：个人信息出境的告知记录、单独同意记录、与德国总部签的合同、安全评估申报材料……老周一看头就大了，跑来问：这些东西平时谁会专门留着？真出了事，我拿什么证明自己合规？
这个场景在苏州的外向型企业里很常见。数据出境不是传个文件那么简单，一旦被监管部门问询，或者用户起诉，你得拿得出证据。今天就把“需要准备哪些证据”这件事讲清楚。
法律规定
先说清楚什么叫“出境”。根据《个人信息保护法》第4条，个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息。把这类信息传输到境外，或者境外机构能访问到境内存储的这类信息，都算出境。
出境不是想传就传。第38条列了几条路：通过国家网信部门组织的安全评估、做个人信息保护认证、订立标准合同，或者法律行政法规规定的其他条件。走哪条路，就得留哪条路的证据。
告知和同意是基础。第17条要求处理个人信息前要真实、准确、完整地告知处理目的、方式、种类、保存期限等；第39条专门针对出境，要求向个人告知境外接收方的名称、联系方式、处理目的、方式、种类以及个人向境外接收方行使权利的方式和程序，并取得个人的单独同意。注意，是单独同意，不能混在隐私政策里一揽子勾选。第14条对同意的有效性有要求，第13条列了可以不取得同意的法定情形。
合同和记录也得留。第21条规定委托处理要约定处理目的、期限、方式等，并进行监督；第23条要求向其他处理者提供个人信息时告知并取得单独同意。第51条要求处理者采取措施并对处理情况进行记录。第55条、第56条涉及个人信息保护影响评估，评估报告和处理情况记录至少保存三年。
《数据安全法》第27条要求建立健全全流程数据安全管理制度，第29条要求发生安全事件立即处置并告知、报告，第30条要求重要数据处理者定期开展风险评估并报送报告。《网络安全法》第21条要求留存网络日志不少于六个月。
法院实务怎么判
苏州法院审理涉数据、个人信息纠纷时，普遍看重“你有没有留痕”。从公开裁判文书的常见思路看，法院不会只听你说“我们合规了”，而是看证据链。
第一，告知同意的证据。法院通常会审查隐私政策文本、弹窗截图、勾选记录、用户操作日志，看告知内容是否具体、同意是否单独作出。如果企业拿不出用户同意的记录，往往会被认定未尽到告知义务或同意无效。
第二，出境路径的证据。走安全评估的，看申报材料和评估结论；走标准合同的，看合同文本和备案情况；走认证的，看认证证书。路径选错或者材料缺失，法院通常会结合具体情节判断企业是否存在过错。
第三，影响评估和内部制度的证据。个人信息保护影响评估报告、数据分类分级制度、权限管理记录、员工培训记录，这些在判断企业是否尽到管理义务时经常被纳入考量。
第四，事件处置的证据。真出了泄露，有没有及时处置、有没有按规定告知用户和报告监管部门，直接影响责任认定。《数据安全法》第45条、《个人信息保护法》第66条都规定了相应法律责任，法院会结合情节判断。
要说明的是，个案差异很大，上述只是普遍倾向，不代表每个案子都这么判。
边界与例外
不是所有数据流动都叫出境。第38条列的情形之外，法律行政法规另有规定的从其规定。第13条列了取得同意以外的合法性基础，比如履行合同所必需、履行法定职责或义务所必需等，但这些情形能不能覆盖出境，要具体看。
另外，第28条、第29条、第30条、第31条涉及敏感个人信息和不满十四周岁未成年人信息，处理这类信息要求更严，出境时同意和评估的门槛更高。第24条关于自动化决策的规定，在算法优化场景下也值得留意。
还有一层边界：证据不是越多越好，而是要“对得上”。你留了一堆日志，但证明不了告知内容；签了合同，但没做影响评估——这种“有材料没链条”的情况，在实务中很吃亏。
普通人能怎么做
如果你是企业里负责这块的人，记住三件事：留痕、对应、可查。
留痕——用户同意要单独记录，告知文本要存档，和境外接收方的合同要保存，影响评估报告要写并保存至少三年。第50条要求建立便捷的个人权利申请受理和处理机制，这个机制运行记录也留着。
对应——每一份证据要能对应到具体规则。同意记录对应第39条，合同对应第21条或第38条，评估报告对应第55条。别堆材料，要能说清楚“这份证据证明我履行了哪条义务”。
可查——日志按《网络安全法》第21条留存不少于六个月，重要数据按《数据安全法》第30条定期评估并报送。真被问询时，能快速调出来。
律师温馨提示
董坤律师在苏州执业，处理过不少涉及数据合规、个人信息保护的企业咨询和争议案件，对数据出境路径选择、告知同意文本设计、影响评估报告撰写这些实务环节比较熟悉。这类事情往往是“平时不烧香，临时抱佛脚”，等到被问询或者被起诉再补材料，难度大很多。如果你所在的企业正打算把数据传出去，或者已经传了但心里没底，建议早点把证据链梳理一遍，别等出了问题才想起来找律师。