上周三晚上十点多，我收到老陈的微信，连打了三个问号。
他说上周在曼谷街头扫了个路边的奶茶店优惠码，填了手机号和生日，本来只是想减3泰铢，结果回来刚落地开漫游，接连收到四条境外的投资诈骗短信，话术精准到能报出他这次出境的时间。他第一反应是自己信息被奶茶店卖了。
哪有那么多故意卖信息的。
很多人根本没意识到，自己平时随手填的那点信息，早就在不知不觉中跨过了国境线。
你以为的“跨境传输”，根本不是你想的那样
很多人对这个概念的认知，还停留在“公司把整个数据库搬到海外服务器”“自己主动把信息发给国外的亲戚”这种极端场景里。真不是。
只要你的个人信息被传到了境外的服务器、或者被境外的主体调取查看，不管你有没有主动把信息“发出去”，都属于法律管的个人信息跨境传输。
你在国内刷海外版社交软件时，系统为了给你推更合口味的内容，把你刚才停留了17秒的美食视频标签传到位于新加坡的算法服务器做用户画像，全程你甚至不会收到任何弹窗提示，这整个数据流动的过程，就是法律管的个人信息跨境传输。你买了个海外品牌的护肤品，官网把你的收货地址、手机号传给韩国的总部仓库安排发货，这也是。甚至你在国内的连锁酒店住店，酒店把你的身份证信息同步给它在境外的集团会员系统，方便你下次去东南亚出差住同品牌酒店能快速办理入住，这全算。
当然也有不算的情况。比如你自己主动把自己的护照照片发给在国外读书的发小，纯粹是私人交流，没有任何机构在背后批量处理数据，这就不在监管范围内。再比如你在小区楼下的水果店办会员，填了手机号，水果店根本没有任何境外的关联主体，那自然也沾不上边。
两个最容易踩的认知误区，别再被网上的“科普”带偏了
我做了十年普法，见过太多人对这个事的认知走两个极端。
第一个误区，总觉得“只要我没主动把信息发给境外，就不会被跨境传”。之前接过一个读者的咨询，他下载了个海外的健身记录APP，填了身高、体重、甚至睡眠质量数据，用了半年才发现，这个APP在国内根本没有服务器，所有数据直接传到境外的开发者手里，连个最基本的隐私政策都没翻译成中文。他到现在都觉得自己没主动把信息发出去，怎么就被传走了。说白了，很多时候不是你主动递信息，是后台顺着网络通道就把数据带走了，你根本察觉不到。
第二个误区，觉得“只要我点了隐私政策的同意按钮，企业把我的信息传到哪都合法”。真不是。法律上对企业的要求从来不是“甩一个几十页的隐私政策让你点个勾就完事”，它得先把要传的信息是什么、传给哪个国家的哪个主体、用来干嘛、存多久，明明白白告诉你，不能拿一揽子的授权当挡箭牌。比如你买进口奶粉，官网说要把你的信息传给荷兰总部用来发货，结果转头就把你的手机号卖给了当地的跨境电商平台发广告，这就算超范围使用，哪怕你当初点了同意也没用。
真遇到信息被乱传的情况，普通人能做的三件小事
别一听到信息跨境就慌。真遇到不对劲的情况，有几个成本极低的处理方式，不用你花大价钱找律师，也不用你花几个小时写长篇大论的举报信。
第一件事其实特别简单——你先点开那个APP的隐私政策入口，翻到专门讲跨境传输的章节，看它有没有明确写清楚接收方是谁、信息用途、存储地点。要是翻遍了整个隐私政策都找不到相关说明，直接在平台的投诉入口提交申请，要求它说明你的信息到底被传到了哪、用来做什么。很多时候平台收到正经的询问，会第一时间给你答复，毕竟他们也怕被监管盯上。
要是你翻遍了整个隐私政策，连个提境外接收方的字都没有，甚至平台收到你的询问连个正经回复都没有，你可以直接在12377的网络违法举报平台提交材料，把你当时填信息的截图、收到的境外垃圾信息的截图都附上，事实说清楚就行，不用搞复杂的法律文书。
真要是顺着线索发现自己因为信息乱传吃了亏，比如被诈骗转了钱，也别脑子一热就冲去法院立案。先把所有的聊天记录、转账凭证、收到的短信都存好，找当地的法律援助中心问一下，很多时候监管渠道的反馈速度比诉讼快多了，没必要一开始就花几万块的律师费折腾。
说实话，我从来不是那种一上来就喊“所有海外APP都是偷信息的小偷”的人。法律管个人信息跨境传输，本质上也不是不让大家用海外的软件、买进口的东西，是不让那些企业拿着你的信息当免费的流量包，想传去哪就传去哪，想怎么卖就怎么卖。
你填个手机号，只是想减3泰铢买杯冰奶茶。
不是想把自己的全部生活信息打包送出去给陌生人当骚扰素材对吧？
本文仅代表作者观点，不作为正式法律意见，具体案件请咨询专业律师。