数据出境安全评估申报被驳回的常见原因分析及应对

近年来，我国数据出境监管规则体系日趋完善：从《数据出境安全评估办法》正式施行，到《促进和规范数据跨境流动规定》《网络数据安全管理条例》相继落地，再到2025年6月《数据出境安全评估申报指南（第三版）》发布，数据出境安全评估、个人信息出境标准合同、个人信息保护认证三条通道的规则不断细化。与之同步的是执法明显升温——2026年6月，国内知名在线旅游平台携程因未落实数据出境安全评估要求，被上海市网信办处以1000万元罚款并责令整改，成为业内首张千万级数据出境罚单，引发广泛关注。

监管趋严之下，主动申报数据出境安全评估，已成为跨境业务企业的必答题。雷腾律所近期接到多起咨询，不少企业明明按流程提交了申报材料，却因种种原因被反复要求补充材料，甚至被不予受理或评估不通过，申报周期一拖再拖，跨境业务被迫陷入停滞。本文结合现行规定与实务经验，梳理数据出境安全评估申报中常见的驳回理由，并给出相应的应对思路，以帮助企业少走弯路、提升申报质效。

◇ ◇ ◇

一、申请常见驳回理由

从不予受理到评估不通过，申报被驳回的情形主要集中在以下几个方面：

（一）出境必要性论证不清

《数据出境安全评估办法》第五条明确将数据出境的“必要性”列为数据出境风险自评估的重点评估事项，第八条进一步将其列为重点审查内容之一。而许多企业的必要性说明仅停留在“海外总部需要查看”“境外供应商系统在境外”等层面，没有论证为什么不能通过本地化存储、脱敏、聚合或接口调用等方式替代。必要性论证应当具体、量化，泛泛的“业务需要”难以通过实质审查。监管关注的核心从来不是企业“习惯怎么做”，而是数据“何以必须出境”。

（二）数据分类分级出错

把敏感个人信息当普通个人信息申报、把重要数据当一般业务数据申报，会导致申报路径和材料要求错位。身份证件、金融账户、健康信息等敏感个人信息，出境合规门槛显著高于普通个人信息；而根据《促进和规范数据跨境流动规定》第七条，重要数据出境无论数量多少，均须申报数据出境安全评估。雷腾律所接到的咨询中就有企业因未能准确识别重要数据和敏感个人信息，选错了申报通道，导致申报被退回，延误业务进程。

（三）风险自评估报告“模板化”

不少企业的自评估报告存在直接套用模板，风险排查不深入，防控措施多为原则性表述，评估结论与实际情况明显脱节等问题。在实质审查背景下，报告若无法说清风险在哪里、为何可控、失控后如何处理，很容易被退回补正。风险自评估的核心不是把风险“写少”，而是把风险识别得足够具体、论证得足够充分。

（四）境外接收方能力证明及法律文件存在瑕疵

企业往往把精力集中在境内合规材料上，对境外接收方的访问控制、删除机制、事件响应等证明材料准备不足。根据《数据出境安全评估办法》第九条，数据处理者与境外接收方订立的法律文件应当充分约定数据出境的目的、方式和数据范围，境外数据保存期限、超期处理方式，以及数据安全保护责任、违约责任、争议解决等条款。但实践中，不少企业签订的法律文件缺少上述必要条款，或责任约定不明，甚至存在免除数据处理者责任、约定适用境外法律或境外争议解决机构等情形，此类文件在审查中均难以通过。

◇ ◇ ◇

二、破解申报驳回的实务路径（一）申报前先做“三问”判定，夯实必要性论证

建议企业在启动申报前，先围绕必要性完成“三问”判定：这批数据是否必须出境才能完成核心业务？出境前可否采取脱敏、聚合及分级同步等预处理措施？是否每个字段都有出境必要？必要性论证是评估通过的根本前提，底层逻辑站不住，后续材料准备再充分，申报也难以通过实质审查。实践中，替代方案的技术可行性如何评估、每个字段的出境理由如何与业务建立对应关系、论证材料如何量化呈现，均需专业法律与技术判断，不少企业虽意识到其重要性，却难以独立完成判定。在此阶段，可及时寻求专业律师的帮助，由其结合企业实际业务场景，协助完成必要性判定与论证材料的梳理，确保底层逻辑经得起审查。

（二）开展字段级数据盘点，做实分类分级

数据分类分级是确定申报路径的前提，但不少企业对此重视不足，往往停留在粗放的整体描述层面，难以准确判定数据性质。建议企业在申报前对拟出境数据进行逐字段盘点，列明每一类数据的具体类型、敏感程度、出境频次与规模，对照行业标准逐项核验，识别是否包含重要数据或敏感个人信息，据此确认适用的申报通道。数据清单颗粒度越细，论证越扎实，越经得起审查。行业分类分级标准如何适用、多业务条线数据如何归集、不同类别数据叠加后是否构成重要数据等，均为实务中的判定难点。若企业对此把握不准，可在律师协助下建立标准化盘点框架，逐项核验数据性质，确保分类分级结果准确、申报路径选择合规。

（三）场景化撰写自评估报告，推动境外接收方闭环管理

自评估报告是网信部门审查的核心材料，但不少企业采用“一套模板打天下”的方式，将所有出境场景混同描述，风险分析泛泛而谈，防控措施停留在原则性表述层面，缺乏针对性和可操作性，难以真实反映企业数据出境的实际风险状况。建议企业针对每个出境场景逐一识别风险、提出可落地的防控措施，同步核查境外接收方所在国家或地区的数据保护水平，要求其提供注册证明、数据安全管理制度及能力承诺，并在法律文件中落实数据安全责任、权益救济渠道、违约责任等核心条款，确保制度设计与实际操作一致。但风险识别是否全面、防控措施与风险是否匹配、境外接收方能力证明是否充分，均需专业判断，且境外接收方往往因对中国法律要求缺乏了解而配合度不高，因此可寻求专业律师的介入，由其协助企业逐场景识别风险、设计可落地的防控措施，并指导其与境外接收方就法律文件核心条款进行有效沟通，协调推动境外方配合完成能力证明材料提供和协议修订，避免因境外端配合不力而卡在审查环节。

数据出境安全评估申报，涉及数据出境必要性论证、分类分级、与境外接收方的法律文件安排、与监管部门的沟通对接等多个环节，专业性强、颗粒度要求高。很多企业正是在申报初期对触发条件判断失误、材料准备不规范、必要性与分级论证不到位，导致反复退件补正，既拉长了申报周期，也耽误了业务窗口期。对于数据出境场景复杂、涉及敏感个人信息或重要数据的企业，建议在启动申报前及时寻求熟悉数据合规的专业律师支持，从必要性论证、数据盘点到申报材料编制全程把关，以降低退件与不予受理风险，保障跨境业务合规、顺畅开展。

◇ ◇ ◇

雷腾律师——TMT领域专业律所

北京雷腾律师事务所是TMT（电信、互联网、文化传媒与高科技）数字领域法律服务的开拓者与引领者，秉持“深耕细分商业领域，打造专业的产业律师服务团队”的发展理念，致力于为客户提供更专业、更务实、更高效的法律服务。法治日报等媒体曾以北京雷腾律师事务所为蓝本专版介绍TMT律师，充分肯定雷腾律所在该领域的成就与影响。

雷腾律所的法律服务涵盖电信、互联网、文化出版、广电视听、数据产业及高新科技六大细分领域。服务范围包括常年法律顾问、刑事辩护与刑事控告、企业合规、行政许可、知识产权、诉讼仲裁、行政案件、并购融资、破产清算等。

雷腾律所具有“产业+法律”的复合专业优势，团队律师均具备TMT行业背景，熟悉产业政策、商业模式及技术逻辑，能将法律条款与商业场景深度融合，真正实现“通法律、懂业务、知技术”的产业律师发展路径。

雷腾律所主编出版了《电信行业法律合规手册》，系统梳理了电信领域合规要点；编写北京市数字编辑资格考试指导用书《数字编辑基础》《数字编辑实务》法律部分；参与编写《企业个人信息保护合规管理体系指南》团体标准；深度参与数字经济、广播电视等领域诸多法律立法过程中。

雷腾律所“电信企业专项法律服务项目”“网络安全与数据合规专项法律服务”入选北京市公共法律服务项目，“电信企业专项法律服务项目”成为唯一入选的律师事务所。2019年，雷腾律所入选新中国70华诞暨中国律师制度恢复重建40周年《中国法律年鉴》优秀律师事务所。

咨询电话：010-88829390

咨询邮箱：zixun@linktocn.com

办公地址：北京市西城区