跳到主要内容
HAINAN SETUP海南自贸港企业服务
Data ComplianceCross-Border Data海南自贸港外商投资Digital Economy

海南跨境数据规则详解：外国企业2026年能做什么、不能做什么

面向外国企业的海南跨境数据指南：中国数据出境三种路径、2024年全国性豁免、海南自贸港数据出境负面清单、邓白氏案例及2026年最新试点信息。

2026年8月20日 · Hainan Setup 编辑团队 · 2 分钟阅读

如果问外国创始人为什么对在中国设立运营主体有顾虑，除了税务，最常见的问题就是：“我们的数据怎么办？”这是中国市场进入中信息噪声最大的话题之一。一些说法仍停留在几年前，另一些则把最严格的法律边界当成所有企业的日常情形。

先给出一段话结论：中国对数据出境设有安全评估、个人信息出境标准合同和个人信息保护认证三种主要路径，具体适用哪一种，取决于数据类型、主体身份和处理规模。但是，2024年的全国性规定已为大量普通商业场景设立豁免；海南自贸港又采取数据出境负面清单机制，自贸港内数据处理者向境外提供负面清单以外的数据，可以免予履行上述三种出境程序。

2026年8月的试点信息进一步把海南推向跨境数据流动和国际数据服务的方向。但方向性信号不等于已经可申报的操作细则，企业不应把尚未公布的实施要求写进投资模型。

发布前核验说明（2026年8月19日）： 2024年全国性数据出境豁免、海南负面清单及其五个重点领域、邓白氏通过安全评估并进入增值电信试点等事实，均已通过官方来源核对。附件所述“2026年8月18日十地试点”和邓白氏最新访问量数据，发布前尚未检索到可直接访问的一手公告全文，因此本文将其标记为待持续核实的方向性信息，不把它当作当前可执行细则。

一、2026年8月数据出境制度一览

本文所说的“跨境数据传输”，是指将在中国大陆境内运营中收集或产生的数据提供给境外接收方，例如境外总部、海外云服务商或境外客户。

层次 制度 主要适用对象
路径一：数据出境安全评估 数据出境前由国家网信部门组织的监管审查 重要数据、关键信息基础设施运营者以及达到规定数量门槛的个人信息出境
路径二：个人信息出境标准合同 与境外接收方签署标准合同，并向省级网信部门备案 未达到安全评估门槛、但仍需履行出境手续的个人信息场景
路径三：个人信息保护认证 由认可机构对个人信息保护能力进行认证 个人信息出境的另一种合规路径，跨国企业集团可能考虑使用
2024年全国性豁免 符合条件时，无需履行上述三种程序 不包含个人信息或重要数据的普通商业数据；合同履行、跨境人力资源管理、“来数加工”和规定数量门槛以下的非敏感个人信息等场景
海南自贸港数据出境负面清单 清单规定哪些数据仍需进入三种程序，清单外数据可免予履行这三种程序 海南自贸港内数据处理者；现行清单聚焦深海、航天、种业、旅游和免税商品零售五个领域
2026年8月试点信息 指向海南继续发展跨境数据流动和国际数据服务 当前应视为政策趋势；实施细则及一手公告链接仍需确认

二、全国基线：中国数据出境的三种路径

无论是WFOE、合资企业还是内资企业，只要在中国大陆开展数据处理活动并将数据提供到境外，都要先判断是否适用全国数据出境制度。

第一种路径是数据出境安全评估。 这是监管强度最高的路径，适用于重要数据出境、关键信息基础设施运营者的数据出境，以及达到监管数量门槛的个人信息出境。注意，“重要数据”是法定监管类别，不等同于企业自认为对经营重要的所有数据。

第二种路径是个人信息出境标准合同。 企业需要与境外接收方签署国家网信办发布的标准合同，并向所在地省级网信部门备案。它通常比安全评估稍轻，但仍是有正式文件、个人信息保护影响评估和后续义务的合规流程。

第三种路径是个人信息保护认证。 这是个人信息出境的另一种合规路径，可能适用于跨国企业集团等特定场景。对一般外资中小企业而言，它往往不是第一选择，但不应被忽略。

过去一些评论把这三种路径解读成“所有数据都需审批”。2024年发布的新规定已经明确缩小了必须进入这三种路径的范围。

三、2024年放宽措施：多数评论尚未完全反映的豁免

2024年3月，国家互联网信息办公室公布《促进和规范数据跨境流动规定》，对免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的场景作出了明确规定。对外国企业最有实际意义的包括：

  • 普通商业数据。 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集、产生的数据，如果不包含个人信息或重要数据，可免予履行三种出境程序。
  • “来数加工”场景。 在境外收集和产生的个人信息传输至境内处理后再提供到境外，处理过程中没有引入境内个人信息或重要数据的，可适用豁免。
  • 合同订立或履行。 为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息的，例如跨境购物、寄递、汇款、支付、开户、机票酒店预订和签证服务等场景，可以适用豁免。
  • 跨境人力资源管理。 按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需提供员工个人信息的，可以适用豁免。
  • 紧急情况。 紧急情况下为保护自然人的生命健康和财产安全，确需提供个人信息的，可以适用豁免。
  • 10万人的数量门槛。 关键信息基础设施运营者以外的数据处理者，自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，可免予履行三种出境程序。

这意味着，为海外客户提供服务的SaaS企业、跨境电商卖家、需将员工信息同步到全球HR系统的咨询公司，很多日常传输在2024年后已有明确豁免基础。真正需要进入三种路径的，主要是重要数据、敏感个人信息或规模较大的个人信息出境。

四、海南的区别：从默认审查转向负面清单

《促进和规范数据跨境流动规定》允许自由贸易试验区和自由贸易港在国家数据分类分级保护制度框架下，制定区内需要纳入安全评估、标准合同或认证管理范围的数据清单。

《海南自由贸易港数据出境管理清单（负面清单）（2024年版）》的文件落款日期是2025年2月8日，官方公开发布信息见于2025年2月20日前后。它重点覆盖五个领域：

  1. 深海产业
  2. 航天产业
  3. 种业
  4. 旅游业
  5. 免税商品零售业

它改变了企业的判断方式：负面清单明确哪些数据出境场景需要进入三种程序；海南自贸港内数据处理者向境外提供清单外数据，可免予申报安全评估、订立标准合同和通过个人信息保护认证。

一般软件、SaaS、电子商务、专业服务、市场营销和普通企业运营并不当然属于现行五个重点领域。对典型外资数字服务企业而言，海南的实际价值是：它们同时享有全国性豁免和海南清单外免程序机制。对位于五个领域的企业，负面清单的价值则是更清晰地列出何种数据、何种场景和何种数量门槛会触发程序。

需要保留两个边界。第一，海南负面清单仍运行在国家制度框架之内，重要数据、国家安全和关键信息基础设施等场景不会因为注册地在海南就自动放宽。第二，“免予履行三种出境程序”不等于“免于所有合规”。《个人信息保护法》《数据安全法》等对收集、使用、保存和安全保护的要求仍然适用。

五、已经走通路径的外资案例：海口邓白氏

政策文件说明制度怎样设计，真实运营案例则说明这条路是否能够走通。邓白氏是海南数据跨境政策中最具代表性的外资案例之一。

  • 2022年：邓白氏在海口复兴城互联网信息产业园设立外商投资主体。
  • 2023年底：海南邓白氏成为海南首家通过国家网信办数据出境安全评估的企业。
  • 2025年2月：海南邓白氏进入工业和信息化部公布的首批增值电信业务扩大对外开放试点经营企业名单。

新华社2026年1月公开报道显示，当时已有超过16万家中国企业利用邓白氏编码服务参与全球贸易，并通过数据专线为超过26万家中国香港企业提供服务。附件原文另述及平台超过100万独立访问及超过30万家香港企业的更新数据；由于发布前尚未找到可直接核对的一手公告，本中文版不将该组最新数字作为已确认事实。

这个案例最重要的启示不是每家外国企业都需要复制邓白氏的合规投入，而是：对于业务核心就是跨境数据的外资企业，海南的安全评估、增值电信开放和本地服务机制已经有实际案例。如果企业的数据场景比邓白氏更常规，需要履行的程序通常也会更简化。

六、基础设施：海缆、数据中心与一站式服务

数据制度不仅是规则，还需要真实的网络、数据中心和企业服务机制支撑。

国际通信基础设施。 国家数据局2025年的公开发布会信息显示，海南正加快建设连接东南亚国家和地区的第二、第三条国际海缆，并获批在海口建设国际通信业务出入口局。这些设施为海南连接香港、新加坡和东南亚市场提供更直接的物理基础。

国际数据中心的地方法规基础。 2024年公布的《海南自由贸易港国际数据中心发展规定》，为国际数据中心业务建立了地方法规框架，支持在安全保障前提下发展游戏出海、影视加工、商业航天、北斗应用、跨境电商和跨境直播等国际数据服务。

一站式服务。 海南已建立面向跨境数据业务的服务机制，可为企业提供专用通道申请、跨境连接、数据出境安全评估和备案咨询。对外资中小企业而言，有明确受理机构和服务窗口，往往比单纯看到一条原则性政策更有实际价值。

七、2026年8月18日试点信息：它改变了什么？

附件原文称，2026年8月18日，国家数据局在北京举行的上海合作组织数字经济论坛新闻发布会上，公布了数据领域国际合作试点地区，并将海南的方向定为跨境数据流动和国际数据服务。

截至本中文版发布前，我们尚未在国家数据局或其他政府官方网站上找到可直接访问、包含附件所述完整地区名单和任务分工的一手公告全文。因此，最稳妥的处理方式是把它视为待补充一手链接的方向性信息，而不是已经可以直接申报的操作手册。

如果该试点信息经官方全文进一步确认，它会有两层含义：

它是有分量的政策方向。 这会把海南已经建立的负面清单、国际数据中心和跨境服务机制，进一步纳入国家层面的国际数据合作布局。

它还不是操作细则。 在具体实施文件、申报条件、主管部门和操作流程正式公布前，企业不应围绕尚未成文的试点细节作出公司架构或系统迁移决策。企业当前真正可以依靠的，仍是2024年全国性豁免、海南负面清单、国际数据中心规定和已经运行的服务机制。

八、哪些企业真正受益，哪些企业应谨慎评估

为海外客户提供服务的SaaS和软件企业。 这类企业最关心的问题是产品、客户和运营数据能否进入境外技术栈。2024年全国性豁免与海南清单外免程序机制，为大量日常数据流动提供了更清晰的基础。再加上增值电信业务对外开放试点，海南可以成为中国研发、交付或国际数据服务节点的候选地。

跨境电商和数字服务企业。 订单、物流、支付和市场营销数据中，很多场景可能属于普通商业数据或合同履行豁免。如果同时属于海南鼓励类产业并满足实质性运营条件，还可以另行评估海南15%企业所得税政策，详见中国企业所得税指南。

游戏和内容平台。 “游戏出海”已经是海南国际数据业务中的实际应用场景，国际数据中心地方法规也为面向全球玩家和用户的服务提供制度基础。

数据加工和数据服务企业。 “来数加工”豁免可以成为其业务模型的合规基础，这也是海南未来跨境数据服务试点中最值得持续跟踪的企业类型。

深海、航天、种业、旅游和免税零售企业。 这些企业并非享有无条件放宽，而是可以通过负面清单更精确地确定触发安全评估、标准合同或认证的场景。有明确规则的监管，通常比完全不确定更有利于商业规划。

应谨慎评估的企业。 如果企业的核心资产是大规模中国境内自然人的敏感个人信息，或者所处领域容易涉及重要数据，国家层面的数据出境路径仍会适用。注册在海南不会改变这一基本判断。

九、对海南公司设立决策的实际含义

如果数据流动是企业设立中国主体时的关键条件，建议按以下顺序处理：

  1. 先画数据地图，再设计公司架构。 列明需要提供到境外的客户记录、产品遥测数据、HR数据、内容和交易信息。多数外资中小企业会发现，大量日常传输本身就位于豁免范围。
  2. 把数据制度纳入选址比较。 海南的数据负面清单和服务机制，可以与鼓励类产业15%企业所得税、符合条件人才的个人所得税政策和零关税政策一起评估。可参阅海南替代方案指南及海南分行业优惠地图。
  3. 建立实质性运营。 人员、管理、财务记录和真实业务活动都需在海南形成实际支撑。负面清单便利的是自贸港内实际处理的数据，纯粹的信箱公司无法替代真实处理活动。
  4. 尽早使用当地服务机制。 在系统上线或数据迁移前，就专用通道、安全评估和备案问题与受理机构沟通，比运营后才发现路径判断错误更高效。
  5. 跟踪试点实施文件。 如果企业的核心业务是国际数据服务，2026年8月试点的后续官方文件是未来几个季度应重点跟踪的内容。在细则出台前，仍应按现行规则设计系统和合规方案。

对多数外国创始人而言，最有价值的结论并不是“中国数据合规没有限制”，而是：对普通商业数据和常规个人信息场景，现行制度已经给出了可执行的豁免、数量门槛和申报路径；海南是在全国制度之上，进一步写入负面清单和服务机制的地区。

30分钟初步梳理您的数据出境路径

您的中国业务能否便利地将数据提供到境外，主要取决于三件事：处理的数据是什么，它属于豁免还是三种路径之一，以及公司和数据处理活动位于哪里。一次初步咨询可以把您的数据流与全国豁免、海南负面清单和可能需要的申报手续进行对照。我们的服务价格已在价格页公开：公司设立服务2,500美元起，包含第一年记账服务的设立方案4,800美元起，更完整的落地支持9,800美元起。

预约免费30分钟咨询 →

也可以直接联系我们：

如果您还在前期调研，可以先下载免费中国公司设立清单，其中包含第一年合规日历。

FAQ：海南跨境数据规则

外国企业可以自由将数据从海南提供到境外吗？

对大量普通商业数据而言，现行规则确实提供了较为便利的路径。2024年的全国性豁免已覆盖不包含个人信息或重要数据的商业数据、合同履行、跨境HR管理、“来数加工”和不满10万人的非敏感个人信息等场景。海南负面清单又允许自贸港内数据处理者对清单外数据免予履行三种出境程序。但重要数据、敏感个人信息和高数量门槛的场景仍可能需要安全评估、标准合同或认证。

什么是海南自贸港数据出境负面清单？

这是海南在国家数据分类分级保护制度框架下制定的省级清单，用来明确自贸港内哪些数据出境场景仍需要安全评估、标准合同或认证。现行2024年版聚焦深海、航天、种业、旅游和免税商品零售五个领域。清单外数据可免予履行这三种出境程序，但数据全生命周期的其他法律义务仍然存在。

2026年8月试点信息已经改变现行规则了吗？

不应做这样的解读。附件所述试点把海南的方向聚焦在跨境数据流动和国际数据服务，但目前未见完整实施细则，发布前也尚未检索到可直接引用的一手公告全文。它可以作为政策方向跟踪，但企业当前仍应依据2024年全国性豁免、海南负面清单和现有数据出境程序行动。

海南企业还需要申报数据出境安全评估吗？

有些场景需要。涉及重要数据、关键信息基础设施、高数量门槛的个人信息或负面清单内特定场景时，仍可能需要安全评估。但典型外资咨询、SaaS、电商或专业服务企业的很多日常数据流动，可能已落入全国性豁免或海南清单外范围。邓白氏在2023年底通过安全评估的案例也说明，在确实需要评估时，这条路径是可以执行的。

海南邓白氏案例说明了什么？

海南邓白氏2022年在海口设立主体，2023年底成为海南首家通过数据出境安全评估的企业，2025年2月进入首批增值电信业务扩大对外开放试点经营企业名单。它证明了外资数据企业可以在海南依法走通严格的出境路径并实际经营，但不代表所有企业都需要复制它的合规成本和业务模式。

哪些行业最可能从海南数据制度中受益？

面向海外客户的SaaS和软件公司、跨境电商、数字服务、游戏出海及以“来数加工”为模式的数据服务企业，是最值得评估的类型。深海、航天、种业、旅游和免税零售企业得到的主要价值是更明确的规则边界。如果企业的核心资产是大规模敏感个人信息或重要数据，则不应把海南视为规避全国制度的方式。

这些数据规则会如何影响在海南设立公司的决策？

对需要中国研发、交付、跨境电商或国际数据服务节点的企业，海南的负面清单、国际数据中心规定、国际通信基础设施和一站式服务机制会增加其选址吸引力。但这些机制依赖企业在岛内有真实的数据处理和运营活动，不能由空壳注册替代。公司架构和预算可结合海南设立方案比较和中国公司注册费用明细一起评估。

外国企业在海南如何开展跨境数据流动？

企业应先对数据分类，核对全国性豁免和数量门槛，再判断海南负面清单是否覆盖相关行业和数据。不含个人信息或重要数据的普通商业数据可能适用豁免；重要数据及受监管的个人信息出境仍可能需要网信部门安全评估、标准合同或认证。海南可能改变符合条件场景的筛选顺序，但不会免除国家安全、个人信息保护和数据全生命周期义务。

科技或游戏企业在海南运营需要满足哪些数据合规要求？

在决定数据存储地点和访问方式前，应先梳理账号、支付、玩家、设备、内容、员工和训练数据，识别个人信息、敏感个人信息和重要数据，并落实合法处理、最小必要、安全措施及境外接收方管理，再判断是否需要适用国家数据出境路径。电信、内容、出版和游戏审批与数据出境合规相互独立。公司和运营选址可结合中国市场进入咨询服务与海南和前海AI一人公司对比评估。

官方来源

本文主要依据以下已公布法规、政策及官方信息：

数据出境规则、负面清单和试点实施细则都可能更新。本文反映截至2026年8月的公开制度和已注明的待核实信息；作出系统迁移、数据出境或公司架构决策前，应向网信部门、海南主管部门或具备相应资质的专业顾问核对当期要求。

结语

中国跨境数据制度的市场印象，往往由最严格的场景主导；而真正影响多数外国企业日常运营的2024年豁免和海南负面清单，却常常没有被充分说明。更准确的结论是：普通商业数据的出境已有较广的豁免范围，需要重点监管的类别有明确路径，海南又将更便利的方式写入负面清单，并在海缆、数据中心和企业服务方面继续投入。

2026年8月的试点信息不应被解读成“这个季度立即改变了哪些规则”。它更像是在提示未来几年的方向，而企业今天应依靠的，仍是已公布的全国性豁免、海南负面清单和已运行的服务机制。对产品和业务确实涉及跨境数据的外国企业而言，这种已落地制度与长期政策方向的组合，才是值得纳入选址决策的信号。

需要初步判断您的中国业务数据能否便利出境？预约免费咨询——我们会将您的数据流与全国豁免及海南负面清单进行对照，并将建议的合规范围写入服务说明。

继续阅读

相关海南商业洞察

通过下一篇指南，把当前决策与公司设立和运营的其他环节连接起来。