一、《问答》的文件性质
2026年7月24日，国家互联网信息办公室在中国网信网发布《数据出境安全管理政策法规问答（2026年7月）》（以下简称《问答》）。全文仅3问3答，分别涉及个人信息出境的告知同意义务、已通过安全评估的结果延期条件、招聘场景中求职者简历出境的必要性。
类似的问答，根据笔者的统计，已经有4期。《问答》不是法律、行政法规或部门规章，而是主管机关对现行数据出境规则的官方口径说明，本身不创设新的权利义务，也不具强制约束力。
此次《问答》，是对《个人信息保护法》《促进和规范数据跨境流动规定》中本有些模糊的规定进行了执行层面的具体明确化，包括：告知同意怎么算有效、评估结果怎么延期、招聘简历出境有无必要性——一次性地”刻度化”。这些对于企业合规管理方面具体直接的指导意义。
二、告知同意：明确”三种安全形式，免同意≠免告知”
《个人信息保护法》第39条只规定了的”单独同意”如何具体实现，本期《问答》援引GB/T 42574-2023并首次列举三种可接受形式，把这一尺度进一步具体化。
本期《问答》明确了四项内容。
（一）指定 GB/T 42574-2023《信息安全技术 个人信息处理中告知和同意的实施指南》为参考依据，并列举书面签署、弹窗确认、邮件短信回复三种可接受形式；
（二）明确出境单独同意”不得与其他个人信息处理活动捆绑，不得采取’一揽子’授权方式”；
（三）明确《个保法》第13条第1款第2至7项情形（如履行合同必需、跨境人力资源管理必需、履行法定义务、紧急情况）下免单独同意，但告知义务不因免同意而免除；
（四）明确敏感个人信息出境时，除第39条六项告知事项外，还须按第30条告知”出境敏感个人信息的必要性以及对个人权益的影响”。
免同意不等于免告知，这可能是企业在实务中特别容易疏忽和错误理解的一个点。 一个常见误区是：员工数据出境走跨境人力资源管理必需，就认为不需要单独同意。另外，在相关的隐私政策或相关文件中，概括性地约定与境外关联方共享相关个人的信息，这类表述已不足，必须要有独立的出境告知形式。
三、评估结果延期：”六项条件＋20%增幅红线”
《促进和规范数据跨境流动规定》第9条只给出三个程序要件：有效期3年、届满前60个工作日通过省级网信部门提出、经国家网信部门批准可延长3年。没有明确申请需要的实质条件。
本期《问答》援引《数据出境安全评估申报指南（第三版）》，明确六项须同时满足的条件：数据出境目的与范围未发生变化；数据处理者与境外接收方未发生变化；出境个人信息的，未来三年自然人数量增幅不超过原评估结果准予过去三年出境数量的20%；出境重要数据的，未来三年数据规模增幅不超过20%；与境外接收方订立的法律文件符合《数据出境安全评估办法》第9条；过去三年严格按照评估结果通知书合规开展，且未发生重大数据安全事件。
“20%增幅”，分母取”原评估结果准予过去三年出境数量”、分子取”未来三年增幅”，是一个跨期比例判断。自2022年《数据出境安全评估办法》施行后首批出具评估结果的项目，将在对应三年有效期届满时陆续进入延期窗口，面临重新完整申报。企业应在有效期届满前预留充足的申报延期动准备时间。
四、招聘场景必要性：求职者不是员工，跨境人力资源管理豁免到此为止
《促进和规范数据跨境流动规定》第5条第2项将”按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的”列为免予三条路径的情形，该项以劳动规章制度和集体合同为前提。但是，求职者能否援引该项豁免，此前没有官方定论。
本期《问答》明确要求招聘简历出境走三条路径，并且综合了2025年4月那次问答的“必要性分析”原则，明确了：境外总部或关联机构不参与境内应聘人员录用决策的，数据出境”不具备必要性”；直接参与录用决策的，出境人员规模须为满足境外决策所需的最小数量，数据项须为最小范围，并同时履行告知、单独同意、个人信息保护影响评估。
据此，常见的诸如服务器在境外的全球统一招聘系统、未录用候选人简历进入总部人才池等情境、很可能无法援引《促进和规范数据跨境流动规定》第5条第2项的豁免，须按”求职者≠员工”分别处理。
五、对企业的简要建议
建议企业结合《问答》三类情形做一次针对性自查：核对出境告知文本是否区分”免同意”与”免告知”并留存同意记录；已在安全评估有效期内的，提前规划延期或重新申报的节点；将求职者简历与员工数据分类处理，修改相关的软件和流程。
李立律师，上海锦赋律师事务所合伙人 1999年起在上海执业，专注企业、投资与商业法律事务，擅长重大、复杂、新颖、疑难项目的非诉讼法律服务。