柏林的产品经理推送了一次功能更新。伦敦的增长团队通过上海代理商投放了一波广告。新加坡的 SaaS 服务商默默存着含有成都用户姓名、手机号和身份证号片段的客服记录。这些团队都不认为自己在中国运营。但就《个人信息保护法》而言，他们都是中国个人信息的处理者，都处在法律的射程之内。
《个人信息保护法》施行三年后，监管图景已足够清晰，"再观望一阵"不再是站得住脚的立场。国家网信办出台并修订了配套办法，明确了关键阈值。境外企业有足够的信号去搭建一条可操作的合规基线。本文就来谈这条基线长什么样。
多数团队低估的"域外效力"触发条件
PIPL 适用于在中国境内进行的处理活动，同时——这一点更关键——也适用于在境外、以向境内自然人提供产品或服务为目的，或分析、评估其行为的处理活动。立法用语是有意写宽的。一款在全球应用商店提供中文版的消费 App、一个向中国大陆地址发货的 B2C 网站、一条按中国城市做分群的分析管道：每一条都可能触发。
实操中，是否在适用范围内很少是一个干脆的"是"或"否"。它取决于具体产品线、用户群体和数据集。因此，第一项合规任务并不是起草一份隐私政策，而是数据测绘：弄清楚中国个人信息从哪里进入系统、存在哪里、谁能接触、流向何处。没有这张图，后续所有控制措施都是猜测。
同意：是合法性基础，而不是一个勾选框
PIPL 常被描述为"以同意为主"的体制，到了境外董事会上往往被翻译成"加个勾选框"。这低估了义务的分量。PIPL 承认多种合法性基础——合同必需、法定义务、人力资源管理、公共利益等——但同意仍是主力，且法律对何为有效同意设定了高门槛。
PIPL 下的同意必须是充分知情、自愿做出且明确表达的。涉及敏感个人信息（金融账户、健康、生物识别、不满 14 周岁未成年人信息、行踪轨迹等）或跨境传输的，需要单独同意。所谓"单独"，就是字面意义上的：一个明确、特定的同意行为，而不是塞在通用条款里的一段话。
境外企业可行的同意架构通常包括：
- 分层告知：以平实中文说明处理者身份、个人信息类别、处理目的、保存期限及用户权利。
- 细粒度开关：敏感处理类别与营销同意，应与核心服务同意分开。
- 独立的跨境同意流程：明确列出境外接收方、目的地法域及传输目的。
- 撤回机制：撤回应与给出同意一样便捷，不得使用暗黑模式。
- 审计日志：按用户记录同意内容、时间，以及对应的告知版本。
最后一条比团队预想的更重要。监管机构和商业对手越来越要求看证据，而不是听承诺。
跨境传输：三条路径，一次决策
把中国个人信息送出境，是境外企业最常发现既有架构不合规的环节。PIPL 规定了三条主要路径，并由后续网信办办法进一步细化：
- 网信办安全评估：适用于关键信息基础设施运营者、达到规定数量阈值的处理者，以及"重要数据"出境。这是政府主导的审查，而非自我认证。
- 个人信息出境标准合同（中国版 SCC）：境内出境方与境外接收方之间签署的范本合同，连同个人信息保护影响评估，向省级网信办备案。适用于未达评估阈值的中等规模传输。
- 个人信息保护认证：由网信办认可的机构出具。实务上对跨国集团内部传输最为实用。
2024 年的放宽措施对某些低量传输、为履行与本人订立的合同所必需的传输（跨境电商、机票酒店、签证申请）、以及跨境用工所必需的人力资源传输设置了豁免。豁免是实在的，但口径较窄，取决于数量、合同必需性的实质，以及是否涉及敏感个人信息。把豁免当作长期姿态而不定期复核，是常见错误。
无论走哪条路径，每一次出境都需要一份个人信息保护影响评估——形成书面文件，至少保存三年，并在处理活动发生重大变化时更新。
务实的合规基线
对于一家处理中国用户数据、规模中等的境外企业，可辩护的基线大致如下：
- 覆盖所有中国个人信息流的数据地图，至少每年刷新一次。
- 中文隐私告知，以及区分一般同意、敏感同意与跨境同意的同意架构。
- 在中国境内指定代表或机构（如适用），并公示联系方式。
- 已选定的跨境传输路径——评估、SCC 或认证——并留存底层影响评估。
- 对所有下游处理者（含云与分析供应商）的尽调。
- 满足 PIPL 对监管机构与个人通知预期的事件响应程序。
- 对产品、工程与营销团队的培训，明确哪些变更触发新的影响评估。
这些都不算异国情调。它大体上和成熟的 GDPR 合规体系所做的事相同，只是在同意颗粒度、跨境备案与语言上叠加了中国本地的要求。
境外团队最常踩的坑
三种模式反复出现。第一，把 PIPL 当作 GDPR 通知的翻译题——两套制度在同意、跨境机制和国家角色上存在实质差异。第二，认为数据托管在境外就不适用 PIPL；域外效力是常态，而非例外。第三，把跨境备案拖到监管或中国商业对手主动来问之时，那时节奏已经不在你手里。
特别是网信办安全评估这条路径，并不奖励临门一脚式的准备。SCC 备案相对快些，但同样需要一份扎实的影响评估在后面撑着。
中国数据隐私合规，归根到底是运营成熟度问题，而非法律巧思。规则是可知的。忽视的代价——执法行动、传输被阻断、被现在自己也会提问的中国商业对手淘汰——则越来越具体。
如果境外团队需要就某一具体出境结构、同意流程或备案获得中国持牌律师的意见，Serene Jade 的中国律师服务可对接中国大陆与香港持牌律师。
FAQ
只是为了备案 SCC，需要在中国设立实体吗？ 不一定。SCC 项下的境内出境方是实际在中国境内持有个人信息的一方——可能是你的本地子公司、合资伙伴，或你借以运营的中国平台。如果完全没有任何在岸存在，问题就变成是否需要依 PIPL 第 53 条指定境内代表。
把数据传到香港算跨境传输吗？ 算。在 PIPL 语境下，香港被视为中国大陆以外，因此向香港的传输与向伦敦或法兰克福一样，需要满足三条路径之一或有效豁免。
SaaS 客户数据能否依赖"合同必需"豁免？ 仅在传输确属履行个人本人订立的合同所必需时——例如完成其下的订单。B2B SaaS 中对终端用户数据的传输、分析及大多数营销用途不在此范围，仍需走 SCC、认证或评估。