上海的一支人力资源团队，需要把员工档案同步给新加坡的区域办公室；一家物流公司把订单数据发往德国的仓储系统。多年来，两者都面对同一个焦虑的问题：这次传输要不要北京点头，又要等多久？2024 年 3 月 22 日，国家互联网信息办公室发布《促进和规范数据跨境流动规定》（CAC 令第 16 号）。规定自发布之日起施行。它调整了三套既有机制——数据出境安全评估、个人信息出境标准合同、个人信息保护认证——通过收窄必须审查的范围、放宽豁免的范围。其表述目标是：在风险低处让数据流动，同时守住关乎安全与个人的那道闸门。对公司的实际效果是，一次常规传输——比如同步一份不含个人信息的营销名单——不再苦等原本默认要耗数月的安全评估，问题于是变窄：这次具体传输落在豁免车道里，还是碰到了仍需闸门的数据？
规定列出无需安全评估、无需标准合同、也无需认证的传输：国际贸易、跨境运输、学术合作、跨国生产、营销中生成且不含个人信息或重要数据的数据；境外收集、境内处理后又送出、且处理中未引入境内个人信息或重要数据的信息；为订立或履行与个人的合同所需的信息——跨境购物、寄送、汇款、支付、预订、签证、考试服务；依合法规则和集体合同、为跨境人力资源管理而传输的员工个人信息；为保护自然人生命、健康或财产而在紧急情况下发往境外的数据；对关键信息基础设施运营者以外的处理者，自当年 1 月 1 日起累计出境不足 10 万人个人信息的（非敏感）。合同履约豁免是刻意从宽设计的：跨境购物、寄包裹、汇款、付供应商、订酒店、办签证，都算与个人的合同订立或履行，它们所需的数据可不经单独申报而流动；员工信息例外让公司能为合法人力资源管理搬运员工档案——本文开头的上海到新加坡薪资同步——而不把常规 HR 数据当成安全事件。
并非一切都被放开。规定在两条战线上守住闸门：关键信息基础设施运营者出境个人信息或重要数据，仍须申报安全评估；其他处理者出境重要数据，或一年内累计出境达 100 万人个人信息（非敏感）或 1 万人敏感个人信息时，须申报评估。对关键信息基础设施运营者，规则很干脆：任何个人信息或重要数据出境都触发安全评估，没有"小量豁免"；对其他人，悬崖边是规模阈值——100 万与 1 万敏感这两条线——一旦年内计数越过，渐积累积的出境外就骤然变成义务。处罚并不轻：依《个人信息保护法》，严重违法最高可处 5000 万元（约 700 万美元 / 5450 万港元）罚款，或上一年度营业额 5%。一个值得注意的特点是自由贸易试验区负面清单制度：在国家数据分类框架内，自贸区可自行划定仍须评估、合同或认证的数据负面清单，经省级网信委批准并向国家主管部门备案后，清单之外的数据可自由流动，把试点区变成更细致、因地施策的数据安全试验场。为何重要其实直白：能自由流动的数据，就是能支撑业务的数据，规定让低风险流无需再等那曾令跨境运营停摆的延迟；与此同时，红线守护着真正关乎国家安全与个人权益（依《个人信息保护法》PIPL）的类别。
关键要点
- 2024 年规定已施行，并非草案——2024 年 3 月 22 日生效。
- 常规、低风险的传输被豁免；敏感与大规模个人信息出境仍须审查。
- 自贸区可设本地负面清单，增添灵活性。
- 框架立于《网络安全法》《数据安全法》与《个人信息保护法》（PIPL）之上。
诚实的局限
区分政策文本的四种状态，是读这类文件的底线：还在征集意见的稿子、送审中的草案、已经发布但尚未到施行日、以及已到施行日而具备强制力。本规定落在最后一档——2024 年 3 月 22 日自发布之日起即施行，既不是征求意见稿，也不是草案。阈值数字（10 万、100 万、1 万）是条文里的法定数字，但能不能落地，取决于"重要数据"与"敏感个人信息"在实践中怎么解释；负面清单各片区并不一致、还会更新，读者应向所在自贸区主管部门与国家网信办（CAC）核对现行版本。本文只是条文摘要，不构成法律意见。
普通人现在能做什么
- 法务：在假设需要申报前，先把每一次跨境传输对照豁免清单归类。
- 合规团队：按 100 万 / 1 万的阈值，追踪年初至今的个人信息出境计数。
- 自贸区运营方：查你的自贸区是否已发布负面清单及其覆盖内容。