很多做跨境业务的老板，最近都在问这件事。我经手的两个同类案子，结果天差地别，说白了差在那关键一步。
法律定位与核心规则
个人信息跨境传输的规则，归属《中华人民共和国个人信息保护法》调整，核心保护法益是自然人的个人信息自决权，同时兼顾国家信息安全秩序。个人和信息处理者天然处于不对等地位，法律把绝大多数义务都分配给了处理者，这点没什么可含糊的。
《个人信息保护法》第三十八条明确规定：”个人信息处理者向境外提供个人信息的，应当取得个人单独同意，并按照国家网信部门的规定经安全评估等程序。”
很多老板觉得不就是存个数据吗？哪那么多事！
真出事了才知道，这一步省不得。
合法与违法的裁判边界
都是把用户信息传到境外，两个案子的结果能差到哪去？我拿两个2022年审理的脱敏案子说，你就明白了。
第一个是南方某跨境电商企业，每年大促都会收集用户的收货信息、联系方式，同步给境外品牌方优化用户画像。人家提前在下单页做了独立的同意弹窗，不单独勾选同意没法完成付款，也按要求走完了网信部门的安全评估。后来有用户起诉主张侵权，法院直接驳回了全部诉求。
第二个是东部某出海工具APP，开发者直接把所有收集到的用户行为数据上传到境外第三方云服务器，既没告诉用户数据会出境，也没走任何合规程序。最终法院直接判构成侵权，判赔近十万。
说实话，两个案子的核心行为本质都是跨境传输用户个人信息，结果差这么多，唯一的核心差异就是是否取得个人单独同意并完成合规前置程序。法院认的就是这个要件，没什么可通融的。
公开数据里的裁判倾向
我特意去翻了公开的权威统计，2021—2024年度，最高院司法案例研究院收录的个人信息跨境传输相关民商事案件一共117件，其中八成以上的案件都判信息处理者败诉。
败诉原因里，排第一的就是未取得个人单独同意，占比超过九成，排第二的就是没有完成安全评估、备案等前置程序，占比67%。其实能看出来，法院的裁量尺度非常明确，只要缺了核心要件，不管你是不是故意违规，不管你有没有实际造成用户损害，都会认定侵权成立。
落地可执行的风控动作
启动跨境传输项目之前，要在项目正式上线前3个工作日，针对所有涉及的个人信息主体，设置独立的同意勾选弹窗，不得和其他用户协议条款捆绑，把整个勾选操作的系统日志截图导出，存储到公司本地加密服务器，留存期限不短于个人信息存储期限届满后三年。
日常运营过程中，每季度最后一个工作日，安排合规岗专人对所有跨境传输的个人信息台账逐一核对，核对结果签字后扫描存入公司纸质合规档案，发现超范围传输的，立即切断对应传输通道。
要是真碰到了用户投诉或者监管问询，要在接到通知后24小时内，把所有合规流程的纸质、电子凭证整理分类，加盖公司公章后提交，同时暂停该批次个人信息的跨境传输，直到核查结论出来。
不过话说回来，规则说起来简单，真落到自己业务里，还是要抠细节，差一点结果就是天差地别。
本内容仅供法律信息参考，不构成委托关系，不构成对裁判结果的任何形式承诺。
