百万条数据“出海”之后：企业跨境数据刑事风险启示录

·肖飒律师团队·

2026年1月，上海某科技公司管理层例行审计时发现，账面余额与CEO此前的汇报严重不符。随后公司发起全面审计，没想到撕开了一条数据暗流。

涉案主体：该公司是一家为奢侈品牌及快消品提供消费者回访与数据分析的行业龙头企业。2022年起，时任CEO刘某某引入外部资方A某（某智能手机企业前高管）和上海某大学教授B某，A某两次注资共2000万元。

审计发现的核心问题有三重：

第一重：资金套取。刘某某以个体工商户名义，在无真实交易的情况下虚开合同与发票，从公司套取资金近280万元。此外，刘某某还存在大量违规报销，包括B某多次出国、购买奢侈品的费用，以及与B某行程高度重合的差旅报销，金额近19.4万元。更甚者，刘某某曾直接通过微信要求财务给B某转账20多万元。

第二重：数据迁移。审计启动后，刘某某开始大规模删除某协同办公平台上的文档，甚至侵入公司服务器删除数据。公司通过恢复数据发现：2025年1月29日，刘某某在群聊中通知团队成员“逐渐转移某协同办公平台到其海外版平台，未来所有跟境外业务有关的信息都在海外版平台进行”。

关键在于：该平台海外版注册时需选择海外国家/地区，该地区即成为企业数据驻留地，所有传输数据实时上传至海外服务器。这不是简单的“换了个聊天软件”，而是主动将业务沟通、数据传输和证据留存的环境迁出境外。

第三重：数据出境。2024年5月23日，刘某某、B某、A某及两名员工私自成立某境外数据研究项目团队，并在境外注册管理公司。2025年9月，A某表示境外公司研究数据量不够，B某主动提出将公司旗下一个学术训练营项目的数据提供给A某。

该训练营沉淀了20多万条数据记录、涉及3000多名样本对象，涵盖姓名、性别、年龄、手机号、籍贯、现居地、婚姻状态、职业状态、收入水平、消费偏好等敏感信息。此外，三人还转移了公司超百万条用户信息，包括姓名、籍贯、手机号码、户籍地、居住地、经济状况等。

2025年1月14日，A某、刘某某、B某在境外注册成立了一家“豁免私人股份有限公司”，A某持股50%、刘某某35%、B某15%。公司核心数据资产，最终流向了三人控制的境外实体。

目前，刘某某等人因涉嫌破坏计算机信息系统罪、虚开发票罪已被刑事立案，数据出境问题仍在调查中。

这个案子之所以值得剖析，在于它可能涉及的刑事罪名，远不止“虚开发票”这么简单。

（一）侵犯公民个人信息罪：最可能升级的罪名

根据《刑法》第二百五十三条之一，违反国家有关规定向他人提供公民个人信息，情节严重的，构成侵犯公民个人信息罪。“情节严重”的入罪门槛并不高——违法所得5000元以上即可立案；涉及行踪轨迹信息、通信内容、征信信息、财产信息等敏感信息的，50条以上即构成犯罪。

本案中，刘某某等人向境外提供了超百万条个人信息，其中包括姓名、手机号、经济状况等敏感内容。若该行为被认定为“向境外非法提供公民个人信息”，其数量规模远超入罪标准。

飒姐团队提醒各位老友注意一个容易被忽略的点：即便数据是合法收集的，未经被收集者同意向境外提供，也可能被认定为“非法提供”。《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第三条第二款明确：未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”。本案中，这些数据来自品牌授权的会员信息，但授权范围显然不包括“向境外转移”。

（二）数据出境的行政合规义务：不履行是刑事风险的前哨

根据《数据出境安全评估办法》及《促进和规范数据跨境流动规定》，向境外提供重要数据或达到一定数量的个人信息，应当申报数据出境安全评估、订立标准合同或通过保护认证。

本案中，向境外传输的数据涉及超百万条个人信息，远超触发安全评估的门槛（自上年1月1日起累计向境外提供10万人以上个人信息或1万人以上敏感个人信息）。而这些数据均未进行安全评估申报。

飒姐团队在此特别强调一个实务要点：数据出境的行政合规义务不是“备案登记”那么简单，其背后是刑事责任的风险传导机制。如果企业违规出境个人信息达到“情节严重”标准，将直接触发侵犯公民个人信息罪。本案中，即便数据出境问题目前仍在调查，但一旦被认定构成犯罪，刘某某等人的刑期将不止于虚开发票罪的量刑。

对于很多企业经营者而言，遇到这种问题第一反应往往是：删！本案中刘某某也是这么做的：大规模删除在某协同办公平台上的文档、侵入服务器删除数据。

但是，“删了”不等于“没了”。司法机关已形成一套完整的电子数据取证体系。在虚拟货币类案件中，办案机关已能做到对区块链数据的穿透式追踪；在数据出境类案件中，远程勘验也已从“截图式、经验式操作”转向“留痕式、可复核取证”，同步固定操作界面、进行哈希校验、引入见证机制，确保数据的完整性和可验证性。

本案中，公司正是通过“恢复协同办公平台数据”，发现了刘某某将沟通环境从境内平台迁移至海外平台的完整聊天记录、数据传输记录以及境外公司注册文件。数据一经生成，痕迹便不可真正消除。即使刘某某删除服务器数据，办案机关仍可通过技术手段恢复或通过第三方平台调取备份。

企业经营中的数据痕迹，既是风险，也是机会。对于被害企业而言，若能第一时间保留证据、及时报案并委托律师介入，挽损的可能性远高于被动等待。

本案的核心教训，并不在于“数据出境合规”这个抽象概念，而在于三个具体、可操作的警示：

警示一：“物理留境内”不等于“数据未出境”。

很多企业经营者误以为只要数据库留在境内，就不算数据出境。但根据监管规则，境外主体可以查询、调取、下载、导出境内数据的，同样构成数据出境。本案中，刘某某要求团队将沟通环境从某协同办公平台迁至海外版，海外版平台数据实时上传至海外服务器，本质上就是数据出境行为。

飒姐团队建议：在引入外部资方、设立境外项目时，应将“数据能否出境、以何种方式出境、审批手续是否完成”作为前置合规审查事项，而非事后补救。

警示二：技术手段的“中立性”不能阻却刑事责任。

本案中，刘某某等人的行为逻辑是“我只是换了个办公软件”。这种以“技术操作”规避“法律行为”的思维，在刑事司法中难以获得认可。选择使用海外版而非境内版，本身就是一个合规决策，需要被纳入企业数据管理的内控体系进行评估。当“换软件”被用于规避数据出境审批程序时，该行为本身就构成了评价的对象。

警示三：内部人风险，是企业数据安全的最大变量。

本案最具讽刺性的是：数据泄露的源头不是外部黑客，而是公司CEO、外部投资人和高校教授的内部联盟。他们利用职务便利，将公司的核心数据资产转移至境外个人控制的实体。

飒姐团队建议出海企业：建立数据访问的分级授权与审计机制，对关键数据的访问、提取、传输进行日志记录与异常预警；对涉及数据出境的项目，设置独立的合规审批流程，避免“一个人说了算”。

上海某科技公司的案子，目前仍在刑事调查阶段。但它的警示意义已经足够清晰：数据不仅是企业的核心资产，也可能成为企业“命门”。当内部人员将数据悄无声息地送出境外，企业面临的不仅是商业损失，还有刑事责任的风险传导。

数据出境的刑事合规，不应等到案发再做。飒姐团队建议有出海业务或涉外数据流动需求的企业，从三个维度排查风险：数据出境的合规路径是否走通、内部数据访问权限是否可控、异常数据流动是否可监测。