摘要

在出入境旅游全面复苏、文旅服务数字化深度融合的背景下，旅行社因签证办理、境外资源预订、地接协作等核心业务需求，高频开展游客个人信息与旅游业务数据跨境传输，数据出境已成为行业刚需。当前我国已构建“法律+规章+标准”三层数据出境规制体系，而旅行社行业普遍存在数据分类分级不清、出境必要性论证不足、境外接收方管控缺失、双法域规则冲突应对能力薄弱等突出问题，叠加监管执法趋严与境外数据保护机构高频处罚，数据出境安全风险已成为旅行社经营与国际化发展的核心合规痛点。

关键词：旅行社；数据出境；个人信息保护；数据安全；合规路径；跨境治理

一、引言

据国家移民管理局公布的数据，2026年春节假期全国口岸累计出入境人次1779.6万，日均197.7万人次，较2025年春节假期日均增长10.1%。出境游、入境游双向繁荣带动旅行社跨境服务链条全面运转。旅行社作为文旅服务的核心组织者，在境内收集的游客姓名、身份证件信息、联系方式、行程轨迹等数据，需向境外地接社、酒店、航空公司等主体传输，数据出境行为贯穿旅游服务全周期，是保障跨境旅游服务顺畅履约的基础前提。

数据出境在支撑旅行社跨境业务高效运转的同时，也带来多重安全风险，既包括个人信息泄露、滥用、非法交易等民事风险，也可能触及危害国家安全与公共利益的监管红线。2025年以来，国家网信部门、文旅部门持续加大数据出境执法力度，上海、北京等地先后查处旅游、酒店行业违规数据出境案件。与此同时，欧盟、美国、日韩等旅游目的地国家/地区亦强化跨境数据传输监管，对未合规传输游客数据的旅游企业处以高额罚款，旅游行业数据出境已进入“强监管、严问责”时代。

二、旅行社数据出境现状与核心特征

（一）数据出境核心场景

旅行社数据出境均围绕旅游服务履约展开，覆盖出境游、入境游、跨境定制游全品类，无脱离业务场景的单纯数据出境行为，核心场景大体可分为六大类：

1. 签证与入境合规场景：向境外驻华使领馆、签证中心传输游客护照、照片、资产证明、在职证明、行程单等敏感个人信息，部分国家（如欧盟、美国）要求生物识别信息（指纹、面部信息）出境，此类数据出境直接关系签证审批效率，时效性要求极高。

2. 境外资源预订场景：向境外酒店、航空公司、邮轮公司、租车公司、景区传输游客身份信息、行程信息、联系方式，完成预订确认、订单修改、入住/登机核验等操作，是跨境旅游服务的核心数据流转环节。

3. 地接服务协作场景：向境外地接社、导游、车队传输团队游客名单、行程计划、特殊需求（如饮食禁忌、残疾辅助需求）、健康状况、紧急联系人信息，保障落地服务衔接，避免因信息缺失导致服务脱节。

4. 跨境支付与结算场景：向境外支付机构、银行传输游客支付信息、订单信息、消费明细，完成团费、自费项目、退款等资金结算，此类数据出境需符合跨境支付监管与数据保护双重要求。

5. 紧急救援与医疗场景：向境外救援机构、医院、保险公司传输游客健康信息、病史、过敏史、行程轨迹，开展紧急医疗救助与保险理赔，此类数据多为敏感个人信息，出境风险较高。

6. 数字化服务场景：通过境外APP、小程序、SaaS系统向游客提供行程查询、导航、翻译服务，或向境外云服务商存储游客数据，构成“境内数据境外可访问”的出境行为，此类场景易被忽视，存在合规隐患。

（二）出境数据类型与敏感等级

旅行社出境数据以个人信息为核心，少量涉及重要数据，结合《个人信息保护法》《数据安全法》及行业特性，可分为三个等级，不同等级数据出境监管要求差异显著：

1. 敏感个人信息：包括身份证件信息（护照、身份证）、生物识别信息（指纹、面部）、健康信息、行踪轨迹、支付账户信息、紧急联系人信息、未成年人信息，此类数据出境风险最高，监管最严格，需履行单独同意、专项评估等额外义务。

2. 一般个人信息：包括姓名、联系方式、住宿偏好、饮食禁忌、行程安排等，为业务必需数据，出境频次最高，监管要求相对宽松，但需遵循最小必要原则。

3. 业务数据与重要数据：包括团队游客规模、客源地分布、高频出境线路、大额消费数据、长期合作境外机构清单等。其中，达到一定规模与敏感度的数据（如年度累计出境游客数据超100万条、核心线路客源数据），可能被认定为重要数据，需强制开展数据出境安全评估。

（三）行业数据出境核心特征

结合旅行社业务模式与数据流转特点，其数据出境呈现鲜明特征，也是区别于其他行业数据出境的核心要点：

1. 高频次、小批量、多主体：单团数据出境规模小（多为数十条游客信息），但团队数量多、接收方分散（境外地接、酒店、航空、签证中心等），导致合规管理成本高、管控难度大。

2. 强履约刚需、时效性强：签证办理、酒店预订、紧急救援等场景需即时传输数据，合规流程不能影响业务履约效率。

3. 跨法域、规则冲突显著：旅行社数据出境目的地多为欧盟、美国、日韩等数据保护规则严格的国家/地区，需同时受中国数据出境规则与境外目的地数据保护法（GDPR、CCPA等）约束，双合规难度大。

4. 中小旅行社合规能力薄弱：旅行社行业以中小微企业为主，多数企业缺乏专职合规人员、技术防护能力与资金投入，普遍存在“不知不合规、不会合规”的问题。

5. 豁免场景明确但易误用：《促进和规范数据跨境流动规定》明确“机票酒店预订、签证办理”为履约豁免场景，但仅限“确需履约”的最小必要数据，部分旅行社超范围、超必要传输数据，误将豁免场景视为“无合规义务”，存在违规风险。

（四）行业现存主要问题

结合行业调研与监管执法案例，当前旅行社数据出境存在六大突出问题，也是导致违规处罚的主要原因：

1. 数据出境边界不清：将“境内预订境外服务”全部视为豁免场景，超范围、超必要传输数据（如传输与履约无关的游客营销信息），未开展风险自评估，忽视最小必要原则。

2. 合规路径选择错误：达到安全评估阈值仍采用标准合同，或未备案标准合同直接出境，未履行法定合规程序。

3. 境外接收方管控缺失：未对境外接收方进行安全能力审查，未签订数据保护协议，或协议条款不完善，导致数据出境后失控。

4. 个人信息权益保障不足：未向游客明确告知数据出境范围、接收方、用途、风险，未取得敏感个人信息出境单独同意，无法提供数据查询、删除、撤回同意渠道。

5. 技术与管理措施缺位：未采取加密、脱敏、访问控制、日志留存等安全措施，通过邮箱、微信等未加密渠道传输敏感个人信息，存在数据泄露风险。

三、旅行社数据出境合规路径

（一）判定是否构成数据出境

首先明确数据出境的界定标准，避免因界定不清导致违规或过度合规。根据《数据出境安全评估办法》及相关政策，符合以下任一情形即构成数据出境，需启动合规评估：

1. 将境内收集的游客数据传输至境外机构/个人（包括境外地接、酒店、航空、签证中心等）；

2. 数据存储在境内，境外机构/个人可查询、调取、下载、导出（如境外合作方通过系统访问境内游客数据）；

3. 为境外游客提供服务，在境外处理境内自然人个人信息（如境外分支机构处理境内游客数据）。

（二）判定是否适用豁免场景

豁免场景是旅行社高频合规路径，可大幅降低中小旅行社合规成本，但需严格把握适用条件，避免误用。具体要求如下：

1. 豁免适用条件

（1）目的要件：为订立、履行旅游服务合同确需出境，无其他目的（如营销、数据分析）；

（2）范围要件：仅限最小必要数据，不超履约所需范围（如签证办理仅传输护照、照片、行程单，不传输消费偏好）；

（3）接收方要件：接收方为境外履约方（地接、酒店、航空、签证中心、救援机构），非无关第三方；

（4）数据要件：不涉及重要数据，不传输敏感个人信息中超出履约必需的部分（如健康信息仅传输紧急救援所需的过敏史，不传输完整病史）。

2. 豁免场景清单

（1）签证办理：向签证中心/使领馆传输游客护照、照片、行程单、在职证明（仅限签证审批所需）；

（2）境外预订：向酒店、航空、邮轮、租车公司传输游客身份信息、行程信息、联系方式（仅限预订确认、核验所需）；

（3）地接协作：向境外地接社传输团队游客名单、行程计划、特殊需求、紧急联系人信息（仅限落地服务衔接所需）；

（4）跨境支付：向境外支付机构、银行传输订单信息、支付信息（仅限资金结算所需）；

（5）紧急救援：向境外医院、救援机构传输游客健康信息、行程轨迹（仅限紧急救助所需）。

3. 豁免≠无义务，必须遵守以下要求

（1）最小必要原则：严格筛选出境数据，不传输与履约无关的数据，如禁止传输游客营销信息、无关病史等；

（2）告知同意：向游客明确告知数据出境场景、接收方类型、目的地、用途、范围，敏感个人信息出境需取得单独同意；

（3）安全保护：采用加密传输方式，管控境外接收方，禁止通过未加密渠道（邮箱、微信）传输敏感数据；

（4）留存记录：建立《数据出境记录表》，留存出境数据、接收方、时间、用途等信息，留存期限不少于3年，便于监管检查。

（四）核心合规操作要点

无论选择哪种合规路径，旅行社在业务过程中，均需落实以下核心操作要点，确保合规落地：

1. 数据分类分级与最小必要管控

（1）建立《旅行社数据分类分级清单》，明确敏感个人信息、一般个人信息、业务数据的范围，标注禁止出境、限制出境、可出境的数据项，定期更新；

（2）出境数据去标识化、脱敏处理：在可能的情况下，隐藏身份证、银行卡中的部分位数，不传输完整支付账户信息，不传输非必要健康信息；

（3）明确禁止出境数据：游客生物识别信息（指纹、面部）、完整银行卡信息、无关病史、未成年人额外信息（除履约必需）、未脱敏的敏感个人信息。

2. 告知同意与权益保障

（1）隐私政策/报名须知明确告知。在旅游报名页面、合同文本中，列明数据出境相关内容，包括出境场景、接收方类型、目的地、用途、范围、风险、数据主体权利，避免模糊表述；

（2）敏感个人信息出境单独获取游客同意，可通过电子勾选、书面签字等方式，禁止捆绑同意（如将数据出境同意与旅游报名捆绑，不勾选则无法报名）；

（3）保障数据主体权利方面，提供便捷的查询、更正、删除、撤回同意、注销账户渠道，响应时限不超过15个工作日，留存响应记录；

（4）2026国家版旅游合同中明确写入数据出境条款，固化告知义务与双方权利义务，避免后续纠纷。

3. 境外接收方管控

（1）建立境外接收方准入机制，筛选数据保护能力强、无泄露记录、所在国家/地区监管完善的合作方，要求提供数据安全管理制度、资质证明，开展安全评估；

（2）与境外接收方签订《数据保护协议》，结合目的地规则，明确以下核心条款：①仅限履约使用，不得转发、出售、滥用数据；②采取加密、访问控制、日志留存等安全措施；③发生数据泄露24小时内通知我方，配合处置；④遵守中外数据保护规则，承担违约责任；⑤终止合作后删除/返还全部数据，提供删除证明；

4. 安全技术与管理措施

（1）采用HTTPS、加密传输工具（如加密邮件、专用传输系统），保证传输安全，避免通过普通邮箱、微信、QQ等未加密渠道传输敏感个人信息；

（2）游客数据优先在境内存储，确需境外存储的，选择合规云服务商（如符合中国《数据安全法》、欧盟GDPR要求的服务商），加密存储，定期备份；

（3）实行员工访问权限最小化原则，根据岗位需求分配权限，操作日志留存≥6个月，员工离职立即注销权限，定期开展权限核查；

（4）制定《数据泄露应急预案》，明确泄露处置流程、责任分工、通知时限，发生数据泄露后，立即启动应急预案，采取补救措施，通知监管部门与受影响游客，留存处置记录。

5. 合规文档留存

合规文档是监管检查、审计的核心依据，需建立专门档案，留存期限不少于3年，主要包括：

（1）数据出境记录：《数据出境台账》《数据出境记录表》，明确出境场景、数据项、规模、时间、接收方、目的地、用途；

（2）告知同意凭证：游客签字/电子确认记录、隐私政策版本、告知书模板；

（3）境外合作方文件：合作协议、数据保护协议、接收方安全评估报告、资质证明；

（4）合规评估文档：风险自评估报告、个人信息保护影响评估（PIA）报告、整改记录；

结论

随着数据跨境流动规制体系的不断完善，以及文旅数字化的持续深化，旅行社数据出境合规将面临新的机遇与挑战。未来可从以下几个方面进一步深化研究：一是结合行业专项标准，细化旅行社重要数据认定、豁免场景边界的实操标准；二是聚焦数字化场景（如境外SaaS系统、跨境小程序）的数据出境合规，研究“境内数据境外可访问”的合规边界与安全措施；三是结合跨境旅游一体化发展趋势，研究旅行社与境外关联企业（如境外子公司、合资企业）的数据流转合规，探索跨境文旅企业数据协同治理模式。

 

参考文献

[1] 国家移民管理局. 2026年春节假期全国口岸出入境统计数据. 2026.

[2] 上海市互联网信息办公室. 2025年上海市数据出境违规典型案例通报. 2025.

[3] 北京市互联网信息办公室. 2025年北京市数据安全与个人信息保护执法典型案例通报. 2025.

[4]中华人民共和国个人信息保护法. 2021.

[5]中华人民共和国数据安全法[Z]. 2021.

[6] 国家互联网信息办公室. 促进和规范数据跨境流动规定. 2024.

[7] 国家互联网信息办公室. 数据出境安全评估办法. 2022.

[8] 国家互联网信息办公室. 个人信息出境标准合同办法. 2023.

[9] 国家互联网信息办公室, 国家市场监督管理总局. 个人信息出境认证办法. 2025.

[11] 全国网络安全标准化技术委员会秘书处. 网络安全标准实践指南—敏感个人信息识别指南. 2024.

[12] 文化和旅游部. 2026年版团队旅游合同（示范文本）. 2026.

[13] 国家互联网信息办公室. 网络数据安全管理条例. 2024.

[14] 国家标准化管理委员会. 数据安全技术 个人信息跨境处理活动安全认证要求（GB/T 46068-2025）. 2026.

[15] 国家标准化管理委员会. 信息安全技术 个人信息安全规范（GB/T 35273-2020）. 2020.

[16] 国家标准化管理委员会. 信息安全技术 个人信息安全影响评估指南（GB/T 39335-2020）. 2020.

[17] 文化和旅游部. 旅游景区在线信息要求（LB/T 093-2025）. 2025.