企业要把数据传到境外，先得过一道合规关：向境外提供个人信息的，原则上须在数据出境安全评估、个人信息出境标准合同、个人信息保护认证三条路径中择一而行——梳理数据资产、准备申报材料、等待审核，流程走下来往往以月计。对数据出境频繁、场景复杂的企业，这笔投入不是一次性的，而是随业务持续发生。
负面清单是现行制度为此预留的一条“快车道”：自贸试验区可以自行划定需要纳入三条路径管理的数据范围，区内企业向境外提供清单之外的数据，无须再走任何申报程序，监管重心相应从出境前的审查，移到出境后的监督核查。
这条“快车道”已从纸面走向实操。2026年9月下旬，太湖星云子公司天津星云航天科技有限公司（下称“星云航天”）收到《天津自贸试验区数据出境负面清单使用备案结果通知书》，完成卫星数据跨境基于负面清单方式的使用备案——既是天津自贸试验区的第一单，也是中国—上海合作组织数字经济合作先行区范围内的第一单。此前，天津、北京、上海、海南、浙江、广西、江苏、重庆、福建、广东等地自贸试验区（港）已先后发布各自的负面清单；配套动作也在近期密集落地：9月11日，国家网信办公布数据出境安全管理政策法规问答（2026年9月），就个人信息出境认证等路径给出官方口径；9月28日，北京经济技术开发区管委会印发亦庄组团数据出境负面清单实施意见，把适用范围扩至经开区“两区”；更早的4月，上海已将负面清单覆盖范围从自贸试验区扩展至全市。
对企业而言，最直接的变化是：符合条件的出境场景不必再走传统申报程序，合规周期与成本都有明显的压缩空间。本文以下梳理负面清单路径的制度依据、地方版图与首单流程，并就企业如何用好这条路径提出几点实务要点。
一、制度依据：负面清单路径的规范基础
负面清单的直接依据，是2024年3月22日公布施行的《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号，下称《规定》）第六条。按这一条的设计，自贸试验区可以在国家数据分类分级保护制度框架下，自行制定需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（即负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案；区内数据处理者向境外提供负面清单之外的数据，可以免予申报安全评估、订立标准合同、通过认证——三条路径的义务，就此整体让位于一份清单。
这一条并不是孤立的豁免。《规定》第三条至第五条本身就规定了几类免予三条路径的情形：国际贸易、跨境运输等活动中不含个人信息和重要数据的数据出境；境外收集的个人信息在境内处理后向境外提供、且处理过程未引入境内数据的；为订立履行个人作为一方当事人的合同、实施跨境人力资源管理、紧急情况保护生命健康所必需的个人信息出境；以及非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。负面清单与这些一般豁免并列，共同构成”三条路径”之外的第四种安排。
从制度逻辑看，学界普遍将其解读为监管思路的调整：由事前监管为主，转向加强事中和事后监管。而它也并非自贸试验区的终局性特殊安排——在区内先行先试、为全国范围的数据出境管理积累经验，才是这一安排的真正用意。
特别提示：负面清单不等于免于监管。第一，使用负面清单的前提是完成数据分类分级；第二，企业仍须确认所涉数据未被相关部门告知或公开发布为重要数据；第三，个人信息出境的告知、取得个人单独同意、个人信息保护影响评估等《个人信息保护法》项下义务，不因适用负面清单而免除。
二、地方版图：十地清单的差异化设计
自2024年5月天津发布首份清单以来，两年间已有十地跟进。各地清单思路不尽相同，大体可归纳为三种做法。
第一种是“全行业覆盖”，以天津为代表：按数据类别而非行业划设清单，覆盖13个数据大类并单列个人信息，等于给区内所有数据处理者提供了一份统一的出境判断基准。第二种是“行业聚焦”，多数地区采用——清单围绕当地优势产业展开，如北京的人工智能训练数据、海南的种业与深海、福建的车联网；清单未覆盖的行业，数据出境仍按国家一般规定执行。第三种以广东2026年5月发布的清单为代表，在行业聚焦之外配上“先用后报”：数据处理者自行研判、先行使用，事后向所属区域管理机构报告（南沙、前海等片区实施指南要求在15个工作日内报告）；同时确立“一地制定、多地适用”——其他自贸试验区正式发布的负面清单，广东自贸试验区和河套深圳园区可参照执行。
十份清单里，江苏对医药行业的处理值得单独一讲。2025年8月13日，江苏省互联网信息办公室、省商务厅（自贸办）、省数据局联合印发《中国（江苏）自由贸易试验区数据出境负面清单管理办法（试行）》及《负面清单（2025版）》（苏网办发〔2025〕6号），聚焦医药行业，按出境合规路径分设安全评估、标准合同与认证、其他合法合规路径三个部分，共21个数据项，另配套《数据分类分级参考规则》（13类40子类）。它真正的分量，在于对通用阈值作了场景化调整：依《规定》第七条，自当年1月1日起累计向境外提供1万人以上敏感个人信息，即须申报安全评估；江苏清单则按业务场景划出梯度——临床试验、药物研发场景下，受试者诊疗和健康生理信息（属敏感个人信息）累计出境满5万人才须申报安全评估，1万人以上不满5万人的，只需标准合同备案或认证；药物警戒、产品投诉、医学问询场景下，患者信息累计出境满10万人，才触发安全评估。对跨国研发与注册申报常态化的医药企业来说，这个梯度直接决定申报频次与合规成本。
上海的走法又不一样。2026年4月24日，上海发布新版负面清单（2025版），把适用范围从自贸试验区及临港新片区扩展到全市，覆盖再保险、国际航运、商贸、气象4个领域、9个场景、109个数据项（2024版为3个领域、6个场景、84个数据项，气象是2025版新增），成为全国第一个把负面清单扩到全市域的地区；一个月后，北京发布“两区”负面清单（2025版），同样扩至全市域。配套层面，临港新片区已出台再保险、国际航运、生物医药、证券、公募基金、智能网联新能源汽车、新能源动力和储能电池7个领域的数据出境操作指引，涉及65个业务场景、479个数据项。目前上海完成的数据出境安全评估和个人信息出境标准合同备案数量，均约占全国总量的四成；生物医药行业药物警戒场景的敏感个人信息评估阈值，也从1万人放宽到了10万人。
三、首单实践：天津卫星数据备案的流程示范
备案主体星云航天主营卫星遥感数据与相关技术服务，所涉数据包括遥感影像、测绘地理信息、轨道与测控数据——既有产业价值，又牵动国家安全，是数据出境监管中公认的敏感品类。以负面清单方式完成使用备案后，企业在清单之外的场景无须逐项申报安全评估，跨境传输的时间与合规成本明显下降，卫星数据的国际科研合作与商业服务由此有了更顺的通道。
据天津港保税区披露，太湖星云与阿曼存在一笔卫星数据订单，主要用于当地矿产资源勘查，备案时已进入数据出境合规审批阶段；企业还计划在天津设立卫星服务出海基地，面向上合组织国家开展遥感数据、太空算力等技术服务。配套动作也在同步推进——天津港保税区依托中国—上合组织数字经济合作平台发起成立上合商业卫星数据应用产业联盟，首批意向成员40家，覆盖卫星制造、火箭、遥感运营、在轨服务、合规服务的全产业链条。
更有参考价值的是流程。据天津港保税区披露，传统模式下，卫星数据出境安全评估从材料筹备到审批通过，整体周期接近一年；依托上合组织数据跨境综合服务平台内置的大模型工具，申报被简化成一份填空式问卷——企业填报信息，平台智能匹配合规路径、生成申报材料，安全评估全流程压缩到一个月左右，成本降到原先的约十分之一。该平台注册企业已超过50家，为大众、太湖星云、格一集团等提供数据出境合规服务，落地了汽车销售数据出境数字孪生工厂运营数据出境等多个场景。
首单的意义，在于给同类企业留下一套可复用的备案材料范本与流程参照。也要看到，负面清单降低的是申报负担，不是安全义务：企业仍须完成数据分类分级，确认所涉数据未被相关部门告知或公开发布为重要数据，落实个人信息出境合规路径，并把备案材料与跨境传输记录留存好，随时备查。
四、实务要点：企业如何走通负面清单路径
其一，先核对适用前提。负面清单原则上只适用于在自贸试验区（港）内登记注册、开展数据出境活动的数据处理者——注册地不在区内的企业，不能直接适用。所处行业没有被当地清单覆盖的，可以关注“一地制定、多地适用”安排下其他地区清单的参照适用可能，但参照适用的条件与确定性还有待各地实践检验，稳妥的做法是先向属地网信部门或数据跨境服务平台咨询确认。
实操顺序建议：先核对注册地是否位于自贸片区，再比对企业主营场景与当地清单覆盖领域；两者都满足，再进入数据分类分级环节。
其二，把数据分类分级做扎实。使用负面清单，实质是企业自己判断“哪些数据在清单内、哪些在清单外”，而这个判断只能建立在分类分级的基础上。江苏、天津等地已发布数据分类分级标准规范或参考规则，企业可据此建立数据资产台账，标注每一类数据的类别、级别、出境场景与接收方。落入清单内的数据，按清单指定的路径处理（安全评估、标准合同备案或认证）；清单外的数据，免予三条路径，但《个人信息保护法》项下的告知、单独同意、影响评估等义务不因此免除。
其三，按清单重新计算数量阈值。地方清单可能对《规定》的通用阈值作场景化调整（江苏医药清单就是一例），企业应按清单设定的场景分别累计出境数量，不要直接套用国家通用标准。另有一点容易忽略：依国家网信办就《规定》答记者问的解释口径，属于《规定》第三条、第四条、第五条第一款第一项至第三项、第六条规定情形的数据，不计入累计数量。
其四，别忽略备案与报告义务。各地对负面清单使用的程序要求不一：广东采用”先用后报”，企业自行研判使用后向区域管理机构报告；江苏苏州片区已编制负面清单备案操作指引，并在”苏数通”数据跨境公共服务平台上线了备案功能。企业应查询属地要求，把备案材料、跨境传输记录与分类分级工作底稿留存好，以备监管核查。
建议建立“分类分级台账—清单比对结论—路径选择记录—备案/报告留痕”四件套文档，应对事中事后监管的一致性抽验。
其五，跟踪清单的动态更新。负面清单实行动态管理，省级管理部门会跟踪评估实施情况并统筹修订。清单更新应当纳入企业的合规监测事项，必要时及时调整出境路径。
五、结语
负面清单制度运行两年多，走过了一条清晰的递进线：从《规定》第六条的授权条款，到十地清单的差异化落地，再到天津卫星数据首单备案。它的取向很明确——用场景化清单替代一刀切的路径强制，在守住重要数据与个人信息安全底线的前提下，把区内企业的合规成本降下来。对企业来说，负面清单是一条需要主动使用的通道：数据分类分级、清单比对、备案留痕，每一环考验的都是企业对自身数据资产的真实掌握程度。
