2026年9月，上海数据领域国际合作综合试点公布阶段性进展。全市已归集企业国际合作线索100余条，以跨境电商、大模型出海和智慧文旅等最为集中。未来五年，上海计划打造50个国际数据合作标杆场景，实现10个跨境数据互操作。

　　随着中国企业在海外市场由产品出口、项目落地转向长期经营，大量数据也跟着业务、人员和系统在不同国家之间流动。企业除了要解决数据能否出境、怎样办理手续等问题，更需要合理决策哪些数据确有必要跨境、哪些可以在当地处理，总部与海外团队如何协同，云、网络和第三方服务商怎样选择等重要经营事项，对数据跨境服务的需求更加复杂和多样化。

　　澎湃研究所研究员梳理了2026年以来国家及长三角地区的数据跨境政策与公开案例，分析长三角41城相关服务供给情况，并于2026年8月至10月访谈出海企业、数据基础设施从业者、数据合规专家与数字经济学者。本系列将依次观察企业需求、城市供给及服务升级。第一篇先从企业端出发，探究数据跟着企业出海之后，怎样才能真正支撑全球经营。

　　一条跨国数据链

　　一条真实的数据链往往比政策文本中的分类更长更复杂。澎湃研究所研究员访谈的一家中国金融科技企业，在进入某海外市场时需要接入身份认证、征信和支付等本地数据服务。具体的数据合作通常从国内团队提出需求开始，然后由当地业务人员接手，寻找供应商、建立联系、比较方案。对方提供数据测试接口和报价之后，再由总部的产品、技术和风险团队评估。测试通过，合作才会进入价格谈判、合同审核和技术接入阶段。上线以后，还要持续处理接口运行、业务指标和对账等问题。一个发生在海外某地的数据服务采购事项，实际上需要把境外供应商、本地合作方、海外团队和国内总部紧密连接在一起。

　　在这个经营事项中，至少可以看到三类数据在不同主体之间流动。第一类是业务数据，包括身份核验信息、设备与行为信号、征信数据和支付结果等，主要在当地客户、企业平台与本地供应商之间产生和使用。第二类是管理信息，涵盖测试结果、报价、合同进展和业务指标等，供总部评估供应商是否值得接入、合作能否继续推进。第三类是技术信息，如接口日志、系统告警和模型表现等，主要用于支持国内团队完成系统接入、排查问题并持续优化。

　　这三类数据不必全部回传国内，也未必沿着同一条路径流动。上海财经大学数字经济研究院副院长崔丽丽教授在接受澎湃研究所研究员采访时，将部分企业的数据跨境策略概括为“分区存储、按需回流”，用户注册、订单履约等海外业务数据优先在当地存储和处理，国内总部再按需获取经营指标及经去标识化处理的汇总数据，用于经营分析。

　　不过，数据存在哪里与谁能接触数据是两回事。国内工程师远程登录境外系统排查故障，或调用当地数据调试模型，也可能形成跨境访问。企业必须要弄清各类数据的使用目的、访问权限和第三方责任，才能让境内外团队在同一项业务上顺畅协作。

　　先把数据流画清楚

　　“不少出海企业一遇到数据跨境问题，马上就想这批数据能不能出境。然而，企业首先要理清楚的并不是数据跨境申报表，而是数据流向图，包括数据在哪里收集、在哪里存储、谁能访问、是否共享、如何备份和删除。只有把这些事实弄清楚，才能确定是适用中国法、东道国规则还是客户合同义务，进而判断远程访问和数据回传各自的风险。”上海交通大学数据法律研究中心执行主任、凯原法学院副教授何渊在接受澎湃研究所研究员采访时表示。

　　画出数据流向只是第一步，还要知道图上流动的究竟是什么。何渊提出，可以从三个层面识别。先看数据的法律属性，区分一般个人信息、敏感个人信息、重要或行业数据，以及商业秘密、版权材料；再看数据所处的业务场景，是否涉及公共安全、金融、医疗、教育、就业或城市治理等敏感领域；最后看具体路径，包括数据是否跨境传输、是否被远程访问、是否共享给第三方、是否用于模型训练和微调，以及能否按期删除等。同一类数据，放在不同场景、经由不同路径使用，企业承担的风险和义务并不相同。

　　因此，这张数据流向图不只是法务部门判断数据出境申报路径的材料，也会反过来影响产品和技术方案。业务系统是部署在当地，还是由海外团队调用总部能力；原始数据留在境外，还是将必要结果传回国内；系统发生故障后由属地人员处理，还是由国内工程师远程运维，每一种安排都会形成不同的数据流。

　　崔丽丽提醒，国内总部主导IT架构容易形成“组织惯性”。海外团队按既有系统开展业务，可能到后期才发现还需适配所在地的要求。届时要改动的除了隐私政策，还可能涉及系统接口、模型调用、访问权限和供应商合同等方面，合规成本将明显增加。

图1 出海企业经营数据流动过程示意 研究员根据企业及专家访谈整理，仅为一般化示意，不代表所有企业采用相同架构。

　　不过，业务和技术架构不能同底层设施混为一谈。周大福数据执行总经理张修枫长期从事海外数据中心项目投资建设。在采访中，他表示，自己负责投资和运营的数据中心，主要提供的是IT设备运营所需的空间场地、电力保障、制冷系统和网络接入等基础设施。服务器运行什么业务、数据通过什么专线传输，主要由客户和运营商决定。“数据中心和数据流通其实是两个层面。”

　　这一区分也纠正了一种常见想象，企业出海，并不天然意味着要在海外自建数据机房。据张修枫观察，多数出海的中小企业在国内时已经习惯了使用云服务，到了海外也很少自行建设或专门租用数据中心。对它们而言，更重要的是根据业务需求选择合适的云服务，并与服务商明确数据存放位置、访问权限和故障处置责任。

　　到了具体行业，数据为什么流动、谁需要使用，答案也不同。例如，跨境电商平台需要让境外采购商查看中国供应商的商品和联系信息；汽车企业的数据链贯穿生产制造、联网运行和售后服务；还有一些企业直接把数据做成产品。上海数据交易所国际专区挂牌的“船视宝”，提供全球船舶、港口和航线的动态数据。客户访问、产业协同和数据产品交付，各有不同的数据流向，企业需要按实际业务安排总部、海外团队和服务商的参与方式。

　　把数据合规嵌入海外经营场景

　　近年来，数据跨境的规则正在变得更加便利和细致。据国家网信办披露，《促进和规范数据跨境流动规定》实施一年后，安全评估项目月均受理数量约下降60%，个人信息出境标准合同月均备案数量约下降50%。到2026年3月，已有北京、上海、浙江等9地自贸试验区或自贸港发布数据出境负面清单，覆盖22个领域。越来越多低风险、日常性的跨境活动，可以适用豁免或更简化的路径。

　　图2 数据出境规则便利化的两个变化 资料来源：国家互联网信息办公室2025年、2026年《〈促进和规范数据跨境流动规定〉实施周年》相关公开信息。左图以规定实施前月均数量为100，官方公布的是约降幅，图中作指数化呈现。

　　申报数量下降，说明制度和政策正在为出海经营减负，却不能简单理解为企业需要做的事情也随之减少。过去，企业容易把数据合规看成一个有明确起点和终点的申报项目，以为准备材料、通过审核，事情就算办完了。在进入长期经营阶段以后，申报之外的变化可能变得更难以处理。产品每增加一项功能、总部调整一次权限、云服务商更换存储区域，或者业务从一个国家扩展到另一个国家，都可能使原有判断发生变化。合规因而不再是上线前的一次检查，而是要伴随业务不断调整。

　　这就要求企业内部有人对跨部门的数据处置判断负责。业务团队需要说清楚数据为什么要用、使用到什么程度；技术团队据此安排系统部署和访问权限；法务团队判断不同市场的规则；采购和运营则需要把有关要求写进供应商合同，并在合作期间继续核查。

　　企业的数据流向图不会在业务上线那天定稿。产品、合作方或所在市场发生变化，原先的判断就可能需要重做；合规要求也要落实到系统配置、人员权限和供应商合同中。相应的，上海试点中提出的“场景”与“互操作”能否落实，还要看各地的服务窗口和专业机构能否接住这些具体而多变的企业海外经营问题，帮助企业找到适用的数据协作方式。

　　（实习生姚艳冰对本文有较大贡献）

　　------------------

　　城市因集聚而诞生。

　　一座城市的公共政策、人居环境、习俗风气塑造了市民生活的底色。

　　澎湃城市观察，聚焦公共政策，回应公众关切，探讨城市议题。

　　澎湃研究所研究员 吕娜