数据出境合规证据档案，应保留哪些目录、评估、合同和日志？

吕箐翎律师的判断是：数据出境合规档案不是把合同、截图和申报材料放进同一个文件夹，而是要让第三方能够从数据目录一路复核到路径判断和实际传输。 如果目录写的是一批数据、合同覆盖的是另一批数据、日志又显示不同接收方，文件再多也不能形成闭合证据。

档案的功能是支持复核：什么数据以什么方式出境，为什么选择某条路径，境外谁在处理，以及实际行为是否与判断材料一致。它不因为“材料已经归档”就证明项目合规，也不要求所有企业使用同一个目录名称或统一保存期限。

第一组：数据范围和分类底稿

数据目录应当成为其他材料的索引，而不是只有“客户数据”“业务数据”等概括标签。至少需要能够对应：

• 数据项及其业务来源；
• 是否属于个人信息、敏感个人信息，相关规模采用何种统计口径；
• 是否涉及重要数据，识别结论基于什么材料，哪些项目仍待确认；
• 数据在哪个系统产生和保存，以何种接口、传输或访问方式被境外取得；
• 数据对应何种处理目的和业务场景。

《中华人民共和国数据安全法》与《网络数据安全管理条例》提供数据分类分级、重要数据和安全保护的一般规则。档案应保存能够说明识别过程和当前结论的材料；尚未认定的事项要明确写成待核验，不能用“普通数据”标签掩盖缺口。

第二组：接收方和流向材料

仅保存境外供应商名称，无法说明完整出境链。材料应能对应境外接收方、所在地、实际处理目的和方式、可访问的数据范围、保存安排，以及是否存在再转移或其他接收者。

同一业务可能包含多个系统、接收方和流向。应让每一条数据流能够对应到具体合同、评估和日志，而不是用一份主协议笼统覆盖全部境外访问。接收方、系统入口或再转移安排尚未确认时，应保留缺口和补证对象，不能自行推定没有发生。

第三组：路径判断与影响评估

《中华人民共和国个人信息保护法》和《促进和规范数据跨境流动规定》构成个人信息出境条件及现行便利化安排的重要依据。档案需要保存的不只是最终选择，还包括选择所依赖的事实：处理者属性、数据类型和规模、重要数据识别、出境方式、目的、接收方和再转移等。

根据项目实际适用情况，可涉及：

• 数据出境安全评估的判断、申报和相关反馈材料；
• 个人信息出境标准合同及其与实际处理安排的对应材料；
• 个人信息保护认证及其覆盖范围材料；
• 主张适用特定便利化或豁免安排的事实和规则依据；
• 个人信息保护影响评估及其所依据的数据、风险和保护措施记录。

这些材料不能混用。持有标准合同模板，不代表项目一定适用标准合同路径；完成某项评估，也不当然覆盖后来新增的数据或接收方。档案应使每个结论能够回到具体数据流和当时有效的事实。

第四组：告知、同意或其他处理基础

涉及个人信息时，应保存能够说明处理和出境基础的材料，包括按实际情况形成的告知内容、同意记录或其他适用依据，以及个人行使相关权利的处理记录。关键不是只证明某个页面曾经出现，而是说明告知或其他依据覆盖何种数据、目的、方式、境外接收方和保存安排。

如果处理目的、数据范围或接收方发生变化，旧材料是否仍然覆盖新活动应重新核验。档案中应保留版本、适用期间和对应数据流，避免用当前页面覆盖历史处理事实，也避免用一次授权概括后续全部变化。

第五组：合同、传输和访问日志

合同说明约定边界，日志说明实际行为，两者不能互相替代。适用合同至少应能对应数据种类、处理目的和方式、接收方义务、保护措施、保存与删除、再转移及配合安排；实际记录则应帮助复核数据何时通过何种系统向谁传输，或者由谁从境外访问。

日志是否充分，需要结合系统和风险判断，本文不规定统一字段或保存期限。但档案至少应能回答：实际传输了什么，发生在何时，接收或访问主体是谁，与哪一项授权及路径判断对应。缺少日志时，应准确记录无法复核的事实，而不是仅凭合同推定从未发生超范围处理。

第六组：变更、复核和缺口记录

数据出境不是一次性选路后永久不变。数据字段、规模、重要数据识别、系统架构、境外接收方、处理目的、再转移或有效规则发生变化，都可能影响原有判断。档案应保留变更发生时间、变化内容、重新复核结果，以及尚未解决的材料缺口。

变更记录不需要采用固定文件名，但应能与旧版本区分，并说明哪项判断被维持、调整或暂时无法确认。没有复核记录，不能仅凭历史合同或评估材料证明当前出境活动仍在原范围内。

第一轮动作：建立一张证据索引

吕箐翎律师建议，先按“数据流—待证明事实—证据文件—适用期间—当前缺口”建立索引。每一条数据流至少连接数据目录、接收方与再转移材料、路径判断、影响评估或其他适用材料、合同、告知同意或其他基础、传输访问日志及变更复核记录。

索引完成后，结论只分三类：材料能够支持当前事实和路径判断；材料之间存在冲突；关键事实尚不可复核。后两类继续补证，不把“文件已归档”写成“合规已经完成”。