当上海自贸区率先发布数据出境负面清单覆盖再保险、国际航运、零售等行业，当金融业数据跨境流动合规指南明确108个场景的豁免路径，当安全评估结果有效期从2年延至3年——中国数据跨境流动的合规框架正在从“原则性要求”走向“可操作的制度安排”。中国美国商会这份白皮书系统梳理了数据跨境流动的政策演进、合规路径与行业实践，为在华美企应对数据合规挑战提供了关键指引。

自2021年《数据安全法》和《个人信息保护法》实施以来，中国已构建起涵盖安全评估、标准合同和个人信息出境认证三大合规机制的数据跨境流动监管体系。2024年3月发布的《促进和规范数据跨境流动规定》明确了免予申报安全评估的标准，标志着政策从“从严管控”走向“精准治理”。
2025年6月，国家网信办发布《数据出境安全评估申报指南（第三版）》，将安全评估结果有效期从两年延长至三年，并明确集团企业可提交合并申请。2025年10月发布的《个人信息出境认证办法》于2026年1月1日生效，进一步完善了认证机制。

关键信息基础设施运营者向境外提供个人信息或重要数据、其他数据处理者向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息的，需申报数据出境安全评估。

非关键信息基础设施运营者自当年1月1日起累计向境外提供10万人以上、不满100万人非敏感个人信息或不满1万人敏感个人信息的，可通过订立标准合同或通过个人信息保护认证后向境外提供数据。

《促进和规范数据跨境流动规定》明确了免予申报安全评估、标准合同和认证的情形：因人员需要而跨境传输的雇员个人信息、非国内收集但需向境外提供的个人信息、为订立履行合同确需向境外提供个人信息（如跨境购物、跨境支付、跨境开户等）、紧急情况下为保护自然人的生命健康和财产安全确需向境外提供个人信息。

2025年，上海、北京等地自贸区陆续实施数据出境负面清单。上海自贸区负面清单覆盖再保险、国际航运、零售、住宿等行业，并为特定应用场景设置简易申报和豁免路径。根据政策安排，不在负面清单范围内的数据无需申报数据出境安全评估、订立标准合同或通过个人信息保护认证。

2025年2月，中国人民银行联合国家网信办、金融监管总局等部门发布《促进和规范金融业数据跨境流动合规指南》，明确了108个场景为监管机构原则上认可的必要时数据出境场景。对于风险管理、对公信贷等场景，部分项目不适用于“境内独立法人金融机构”的表述引发外资银行关注。
在证券和期货行业，六部门联合发布的指引附有个人信息“白名单”。商会建议进一步扩展该白名单，特别是在境内发行人赴港IPO场景下，允许根据香港上市规则将尽职调查数据传输至境外。