场景
苏州工业园区一家做汽车零部件的公司，总部在德国。上个月中国区换了销售总监，上任第一件事就是查客户数据，结果发现问题：集团那套全球统一的客服系统里，德国总部的客服人员点开一个苏州客户的档案，联系人姓名、手机号、邮箱、收货地址、过去三年的报价记录，全都在眼前，还能直接导成 Excel。
总监找到 IT 问：这是不是数据出境了？IT 说，服务器就架在苏州的机房里，数据一个字都没传出去，总部那边只是"有权限看"。
老板也这么认为：数据在境内，公司只是内部使用，不算把数据给外国人。
可真到了要跟客户续签、客户的安全问卷问上来"你们的数据是否出境"，这个问题就绕不过去了。到底算不算？苏州不少制造型企业、外资企业都卡在这一步。
法律规定
这个问题的答案，关键不在"数据存在哪"，而在"境外的人能不能拿到"。
《数据出境安全评估办法》第3条把"数据出境活动"列了几类，其中一类就是：数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出。也就是说，数据躺在苏州的服务器上不动，只要境外主体有通道能查、能调、能导，就会被认定为数据出境活动的一种形态。
客户联系人姓名、手机号、邮箱、地址、身份证号，这些属于《民法典》第1034条说的个人信息。《民法典》第1035条要求处理个人信息遵循合法、正当、必要原则，不能过度收集；第1038条进一步规定，信息处理者不得泄露、篡改其收集、存储的个人信息，未经自然人同意不得向他人非法提供——除非经过加工无法识别特定个人且不能复原。
出境这件事，还要看《个人信息保护法》。第38条规定，向境外提供个人信息，得走几条路之一：通过国家网信部门组织的安全评估、经专业机构做个人信息保护认证，或者与境外接收方订立标准合同。第39条要求，向境外提供前必须告知境外接收方的名称、联系方式、处理目的、处理方式、信息种类，并取得个人的单独同意。如果公司属于关键信息基础设施运营者，或者处理的个人信息达到国家网信部门规定的数量，第40条要求数据原则上存在境内，确需出境的必须过安全评估。
所以"只是能看、没有下载"，在监管口径里通常并不能成为挡箭牌。
法院实务怎么判
苏州本地法院处理这类问题，很少单独成案，更多出现在三类纠纷里：员工离职带客户名单的商业秘密纠纷、客户起诉企业泄露个人信息的侵权纠纷、以及企业与服务商之间的数据服务合同纠纷。
从公开裁判文书反映出的思路看，法院一般不看企业嘴上怎么说，而看技术事实：权限是怎么配的、有没有实际访问记录、日志留没留、境外主体到底能不能拿到可识别到个人的数据。苏州法院在审理中比较重视电子证据的完整性，系统后台的操作日志、权限分配表、数据导出记录，往往比一纸《数据合规承诺书》管用得多。
在商业秘密类案件中，法院通常倾向于把"境外总部因集团管理需要、在授权范围内查看境内子公司数据"和"个人擅自把客户名单发给境外第三方"区分开来，前者更多是合规管理问题，后者才容易构成侵权或违约。但个人信息这一块，即便是集团内部管理，也不能当然豁免告知同意和出境程序义务。
总的来说，主流倾向是重实质、看权限、看痕迹，而不是看数据物理上存放在哪个机房。
边界与例外
结论会发生变化的情形，主要有这么几种。
一是数据本身已经匿名化。按《个人信息保护法》第4条，匿名化处理后的信息不属于个人信息——注意是"无法识别特定自然人且不能复原"，简单打码、把姓名换成"张先生"不算，稍微一关联就能还原的，仍然是个人信息。
二是境外拿到的确实不是个人信息。比如总部只收到一张按城市汇总的销量表，没有任何可回溯到具体客户的字段，也不含订单号、联系方式，这种情况一般不构成个人信息出境。
三是法定豁免情形。《促进和规范数据跨境流动规定》里，为订立、履行个人作为一方当事人的合同所必需，像跨境购物、跨境支付、机票酒店预订、签证办理这类场景，可以免于走安全评估、标准合同、认证这三项程序。
四是数量较小的情况。非关键信息基础设施运营者，当年累计向境外提供不满10万人个人信息、且不含敏感个人信息的，同样免于上述三项程序。但要注意，免的是程序，不是第39条的告知和单独同意义务。客户的身份证号、金融账户、行踪轨迹、不满十四周岁未成年人的信息属于敏感个人信息，规则更严，不能套用这条。
五是涉及重要数据，或者企业本身被认定为关键信息基础设施运营者，还要走安全评估，没有商量余地。
普通人能怎么做
第一，先画一张数据地图。把公司所有系统过一遍，哪些字段能被境外账号看到，客户手机号、邮箱、地址、身份证号、报价记录是不是暴露在外，先摸清楚再谈合规。
第二，把权限收到最小。按岗位配权限，境外总部不需要看的字段做成脱敏视图，能只给汇总就不给明细，能只读就不给导出。
第三，把该走的程序走掉。需要出境的，跟境外接收方签标准合同并向省级网信部门备案，或者做保护认证；触发安全评估门槛的，老老实实申报。
第四，隐私政策和客户告知要同步更新。明确写出境外接收方是谁、在哪个国家、处理目的是什么，取得单独同意并留痕；员工的个人信息同样适用，别以为内部员工就可以不告知。
第五，把所有材料存好。个人信息保护影响评估报告、标准合同、访问日志、权限变更记录，按《个人信息保护法》第56条的要求，影响评估报告和处理情况记录至少保存三年。
律师温馨提示
董坤律师在华商（苏州）律师事务所执业，代理过苏州本地制造、贸易类企业的数据合规与个人信息纠纷，也处理过因客户数据跨境流转引发的商业秘密、合同违约案件。这类问题的难点往往不在法条，而在技术事实的还原——权限到底怎么配的、数据到底出去没有、境外主体拿到了什么。企业与其等到客户的安全问卷、监管的问询或者员工纠纷找上门，不如提前把系统权限和数据流向梳理清楚，把该签的合同签掉、该拿的同意拿到、该留的日志留住。具体到个案怎么处理，还是要结合企业的行业属性、系统架构和数据体量单独判断。
董坤律师主要代理民商事案件，尤其擅长数据合规与个人信息保护、商业秘密侵权、合同纠纷等与本篇主题相关的纠纷处理。