什麼是跨境數據傳輸？
進入中國市場的外資品牌每天都在產生海量數據：天貓國際與京東全球購的顧客檔案、小紅書與抖音營銷活動帶來的潛在客戶、本地員工的雇用紀錄，以及傳回海外區域總部的營運指標。一旦這些數據離開中國大陸，便落入全球最嚴格的數據出境監管體系之一。依據《個人資料保護法》（PIPL）與《數據安全法》（DSL），跨境數據傳輸屬受監管行為，違規將面臨嚴厲處罰。本指南以通俗語言說明，外資企業在 2026 年須如何合法將數據傳出中國。
三條合法路徑
中國並未禁止數據出境，而是透過三項經核准的機制加以規範；這些機制經 2024 年《促進和規範數據跨境流動規定》修訂，並於 2026 年全面施行。
- 網信辦安全評估。適用於大規模或敏感性傳輸，例如企業處理超過一百萬人的個人資料、傳輸重要數據，或營運關鍵資訊基礎設施。國家網信辦（CAC）會基於安全與公共利益審查該筆傳輸。
- 標準合同。企業可採用網信辦的標準合同範本，與境外接收方簽署並向網信辦報備。此路徑適用於低於安全評估門檻的中等量級傳輸。
- 認證。傳輸可經網信辦指定的專業機構核發個人資料保護認證而獲准，常見於跨國集團內部。
2026 年必須知道的門檻
- 涉及 一百萬人及以上個人資料的傳輸，須進行網信辦安全評估。
- 十萬至一百萬人個人資料的傳輸，可採用標準合同路徑。
- 任何涉及 一萬人以上敏感性個人資料的傳輸，至少須用標準合同，通常還需評估。
- 由各產業監管機構界定之重要數據，一律觸發安全評估。
- 小量且必要的傳輸，例如內部人資資料或有限的跨境電商履約資料，可能符合 2024 年規定中的簡化或豁免情境。
合規步驟
- 繪製數據流向。盤點 WFOE 蒐集哪些數據、儲存於何處，以及中國境外何人可取用。
- 資料分類。辨識個人資料、敏感性個人資料，以及任何重要數據。
- 選擇路徑。依據數量與敏感性，對應安全評估、標準合同或認證。
- 準備文件。進行個人資料保護影響評估，草擬標準合同或評估申請，並採用符合中國規範的隱私政策。
- 報備與執行。向網信辦提交報備，並落實加密、存取控管、審計日誌等技術防護措施。
違規處罰
違規可能導致警告、勒令改正、沒收違法所得、最高達五千萬元或上一年度營收百分之五的罰款，以及對負責主管的個人責任追究。聲譽受損與數據業務中止亦屬常見後果。
外資品牌的實務建議
- 從進入市場第一天起，就將數據出境視為董事會層級的合規事項。
- 盡可能將數據儲存本地化；把中國顧客資料留在境內伺服器可降低出境量。
- 在天猫、京東、小紅書或抖音展開跨境活動前，先建立數據盤點。
- 及早聘任合格的中國隱私顧問，因為報備流程文件繁複。
常見問題
若我們只是用電子郵件把月報寄給總部，WFOE 還需要報備嗎？
若這些報告含有超過豁免門檻的中國顧客或員工個人資料，就需要。彙總且去識別化的統計數據通常不在規範內，但可識別的紀錄則不然。
什麼是重要數據？
重要數據指一旦遭竄改、洩漏或濫用，可能危害國家安全、公共衛生或經濟利益的數據。各產業監管機構會發布目錄；如有疑問，應採審慎態度。
網信辦安全評估要花多久？
審查通常耗時數個月。市場進入時程應預留此前置時間，而非視之為形式程序。
我們可以把所有資料都存在中國境外的全球雲端嗎？
受監管資料不行。中國個人資料與重要數據一般須先境內儲存或取得合規出境機制，方可進行任何境外處理。
若未合規就傳輸會怎樣？
監管機構可下令停止、處以罰款，並追究主管責任。不合規的數據流也會危及在中國更廣泛的執照與平臺營運。