• On 15 October 2026 the Shanghai Municipal Cyberspace Administration and the Shanghai Municipal Data Bureau issued the Several Measures for Promoting High-Standard Opening-Up and Facilitating Cross-Border Data Flow, a local facilitation instrument rather than a new national rule.
  2026 年 10 月 15 日，上海市互联网信息办公室、上海市数据局印发《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》，属地方便利化举措，不是国家层面新规。

• The measures treat the Data Export Security Assessment, standard contract filing, certification and the negative list as one connected sequence rather than four separate procedures.
  举措把数据出境安全评估、标准合同备案、认证与负面清单视为一条相互衔接的链条，而不是四套彼此独立的程序。

• A company whose flow falls inside a negative-list scenario files through the dedicated procedure, and the upgraded government service portal now supports Full Online Processing of that filing.
  数据出境活动落在负面清单场景内的企业，通过专门备案程序办理，升级后的政务服务专区支持该备案”全程网办”。

• For exempt transfers, Shanghai is compiling Scenario-Based Guidelines so that the exemption can be documented rather than merely asserted.
  对免予申报的活动，上海正在编制场景化操作指引，使豁免可以被记录，而不只是被主张。

• A Cross-Border Data Service Centre offers policy interpretation, compliance diagnosis and filing coaching, but it does not take over the company’s assessment.
  数据跨境服务中心提供政策解读、合规诊断与申报辅导，但不代替企业自身的评估结论与法定责任。

• Being outside the negative list does not mean having no procedure: the flow still has to be classified against the national thresholds and the conclusion recorded.
  不在负面清单之内，不等于没有任何程序：该数据出境活动仍须对照国家层面门槛完成归类，并留下结论记录。

Shanghai’s Data Cross-Border Facilitation Measures: Scenario-Based Guidelines and Full Online Processing | 上海数据跨境便利化举措：场景化操作指引与”全程网办”备案怎么用

Overview

On 15 October 2026 the Shanghai Municipal Cyberspace Administration and the Shanghai Municipal Data Bureau issued the Several Measures for Promoting High-Standard Opening-Up and Facilitating Cross-Border Data Flow. The document contains six measures.

It is not a new national regulation: it does not replace the national regime and lowers no statutory threshold. What it changes is the operating layer: where a company submits, what a reviewer looks for, and how a conclusion is recorded.

What the six measures contain

Coordination. National requirements and local facilitation run together, so assessment, standard contract filing, certification and the negative list form one sequence.

The negative list. Keep operating it inside the national framework, improve the joint filing procedure, guide companies to use it through that procedure, and expand sector coverage.

Guidelines. Shanghai will compile Scenario-Based Guidelines for transfers exempt from assessment, from standard contract filing and from certification, describing scenario by scenario how such a transfer is conducted and evidenced.

The channel. The data export service area on the unified portal is being upgraded so a company can complete negative-list filing online, end to end — Full Online Processing. Progress tracking and online correction are to be built progressively.

Capacity. Cross-Border Data Service Centres in key districts, for policy interpretation, compliance diagnosis and filing coaching.

Scenarios. Priority-sector scenarios are named but not set out, so nothing concrete can be planned.

The three-step path

Locate the flow. Inventory the data leaving China — field, system, overseas recipient, purpose — then map each flow against the negative-list scenarios. A flow inside a listed scenario takes the negative-list route; one outside it is not thereby free of procedure.

Choose the route and file. Inside the list, the filing procedure applies and the portal supports it online. Outside the list, the flow must still be classified against the national thresholds for assessment, standard contract and certification. The list changes the route, not the need to reach a conclusion.

Document the conclusion. A company concluding that a transfer is exempt should show the scenario matched, the reasoning, the fields involved and the date. An exemption asserted in a memo and one documented against a published guideline are different positions in a review.

Why the exemption is the hardest position

An exemption leaves no filing and no receipt; nothing in a government system records that the company looked at the question at all. The evidential burden sits entirely inside the company.

The guidelines supply a shared vocabulary — a named scenario, a described fact pattern, expected controls — so a record can be checked against a public text rather than a reviewer’s expectations. But a guideline is guidance, not a safe harbour: it supports the position without transferring the assessment to the regulator, and it covers exempt flows only. Nor does it write the record: the company does, in a ledger naming the flow, the scenario, the decision date and any later change.

What a service centre can and cannot do

A company can bring a draft data map and filing to a centre for review before submission, which shortens the correction cycle. What a centre cannot do is decide for the company: the conclusion, the accuracy of the inventory and the legal basis remain the company’s own. Verbal reassurance is not a receipt and is not a defence.

Four misjudgements

“We are outside the negative list, so we have no procedure.” Outside the list means the filing does not apply, not that the transfer is unregulated.

“The portal accepted the filing, so it is complete.” Submission moves the queue, not the substantive test.

“The exemption is obvious, so no record is needed.” Obviousness is not evidence.

“The service centre reviewed it, so we are covered.” Review is not approval.

Practical checklist

• Field-level data inventory with system, recipient, purpose and volume.
• Scenario mapping for each flow, citing a list scenario or an exemption basis.
• Filing materials checked against the functions live on the portal at submission.
• One retention file with the determination, the guideline, the receipt and any centre feedback.
• A named owner for the inventory: data maps decay faster than policies.

Outlook

The direction is toward procedure: fewer judgement calls left undocumented, more route selection pushed into a portal and a published guideline. For a foreign-invested company, cross-border data compliance in Shanghai is becoming an administrative routine.

Related reading

• Articles 458, 230 and 276 cover the Shanghai negative list itself.

Sources

• 上海市人民政府·政策发布渠道：https://www.shanghai.gov.cn/
• 上海市虹口区人民政府·上海市网信办负面清单管理办法通知（含附件清单）：https://www.shhk.gov.cn/xwzx/002002/20260427/4a9e557d-4665-459c-8cea-629533cf6328.html
• 国家互联网信息办公室·《促进和规范数据跨境流动规定》：https://www.cac.gov.cn/
• 中国政府网·国务院政策文件库：https://www.gov.cn/

---

上海数据跨境便利化举措：场景化操作指引与”全程网办”备案怎么用

概述

2026 年 10 月 15 日，上海市互联网信息办公室、上海市数据局印发《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》。文件共六项举措，篇幅不长，由两家市级机构联合印发，落点是”便利化”，不是”立新规”。

要按它本来的性质来读。它不是国家层面新规，不取代国家数据出境安全管理制度，没有新设任何一类允许出境的数据活动，也没有降低任何法定门槛。企业向境外提供个人信息或者重要数据时，国家规则要求的事项，一件都没有因为这份文件而改变。判断一份文件的性质，比记住它的条目更重要：性质决定它能被用来做什么，也决定它不能被用来做什么。

它改变的是操作层：企业往哪里提交、审核人员看什么、结论怎么记录下来。国家规则告诉合规团队，一笔数据出境适用四条路径中的哪一条——数据出境安全评估、标准合同备案、个人信息出境认证，或者免予申报；但对”上海的企业应当怎样把这个选择落成材料”，着墨不多。六项举措补的正是这一段，因此它的价值不在权限，而在可操作性。

这也是读地方文件的一般方法：先分清它是”落实型”还是”突破型”。本文这份属于落实型——它不改变国家制度，只把国家制度在上海的落地路径做得更顺，把可以线上办的事情挪到线上，把原来靠口头沟通的判断标准写成指引。对企业而言，落实型文件不会带来新的合规义务，但会改变不合规被发现的概率。

六项举措包含什么

六项举措不是并列的六件事，而是从制度、清单、指引、渠道、能力到场景的一条线：前两项解决”依据什么”，第三项解决”怎么写”，第四项解决”往哪交”，第五项解决”谁来帮”。

制度衔接。 上海统筹落实国家数据出境安全管理要求与地方便利化举措，使安全评估、标准合同备案、认证与负面清单作为一条相互衔接的链条运行，而不是四套彼此独立的程序。对企业的含义是：不必再把这四件事当成四个项目分别立项、分别找部门，也不必假设它们之间存在先后排斥关系。

负面清单。 上海在国家数据出境安全管理制度框架下继续推动负面清单落地，健全跨部门协同备案程序，指导企业通过备案流程使用负面清单，并拓展行业领域范围、动态更新迭代清单。清单本身另有一套管理办法，覆盖领域、场景与数据项，本文不重复盘点。

操作指引。 上海针对免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动，编制场景化数据出境操作指引，逐场景说明这类活动如何开展、如何留痕，并逐步拓展指引覆盖度。这一项直接决定企业能否把”豁免”写成可核查的记录：没有指引时，豁免只能靠企业自己论证；有了指引，论证就有了公共参照。

服务渠道。 “一网通办”的数据出境服务专区正在升级，支持企业在线完成使用负面清单开展数据出境活动的备案，即文件所称”全程网办”。事前指引、线上申报、受理审核、结果反馈等环节要优化；备案信息动态更新、办理进度查询、材料在线补正等配套功能，则按”逐步建立”推进。

服务能力。 在重点区域成立数据跨境服务中心，提供政策解读、合规诊断、申报辅导，并为网络数据安全风险评估、个人信息保护影响评估、个人信息保护合规审计提供专业技术支撑。

应用场景。 文件点名重点产业的数据跨境应用场景，但没有展开具体场景，因此目前无法据此安排任何具体事项，也不宜在内部立项材料中把它当作依据引用。

有一个起草细节值得注意：多项专区功能写的是”逐步建立”。这意味着文件承诺的是建设方向，不是开通时点。在依赖进度查询或在线补正之前，应先确认提交当时专区上哪些功能已经可用，否则容易把内部流程设计建在尚未上线的功能之上。

三步走的实际操作

把六项举措合起来看，企业实际要做的是三步，而不是一次提交。

定位数据流。 建立出境数据清单：哪些字段、来自哪个系统、传给哪个境外接收方、用于什么目的。然后把每条数据流对照负面清单场景。落在已列场景内的，走负面清单路径；落在场景外的，并不因此免除程序，只是换一条路径。

选路径并办理。 落在负面清单内的数据流，通过备案程序办理，专区现已支持在线完成。落在清单外的数据流，仍须对照国家层面的安全评估、标准合同、认证门槛完成归类，并把适用路径走完。负面清单改变的是路径，不是”必须得出结论”这件事；把”不在清单”读成”不用判断”，是最常见的一步错。

记录结论。 得出”免予申报”结论的企业，应当能够说明：匹配了哪个场景、依据是什么、涉及哪些字段、结论作出于哪一天。写在内部备忘里的豁免，与对照公开指引记录下来的豁免，在审核中是两种完全不同的处境。这一步最容易被跳过，因为它在任何系统里都留不下痕迹；也正因如此，才需要企业自己建一份。

为什么豁免是最难站住的位置

豁免没有备案、没有回执，政府系统里没有任何记录显示企业曾经考虑过这个问题。全部举证负担都留在企业一侧，正因如此它更容易被追问：监管机关看到的不是一份材料，而是一片空白。

操作指引补的正是这个缺口——它提供一套共同语汇：有名称的场景、被描述的事实形态、一组预期控制措施。合规团队据此写出的记录，审核人员可以拿公开文本去比对，而不是拿自己的预期去比对。共同语汇的价值，在于把”我们认为没问题”变成”我们按第几条判断没问题”。

两条边界要说清楚。其一，指引是指引，不是安全港：遵循它可以支撑企业立场，但不把评估责任转移给监管机关。其二，指引覆盖的是免予申报的活动；需要评估、备案或者认证的，适用规则仍是国家层面的规则，指引不能用来替代这些程序。

实务上还要补一件指引不会替你做的事：把判断过程留成台账。台账不必复杂，能回答四个问题即可——这条数据流是什么、依据哪一条场景或哪一条豁免情形、谁在什么时候作的判断、之后有没有变化。数据流一旦调整，台账要跟着改，否则一年后翻出来的记录与实际业务已经对不上。

服务中心能做什么、不能做什么

落到操作上，企业可以带着数据清单草稿和备案材料草稿，在提交之前请中心看一遍，这能明显缩短补正周期，也能提前发现场景归类上的分歧。对第一次办理的企业，这种前置沟通往往比事后补正更省时间。

还有一层容易被忽略：中心提供的技术支撑里，包括网络数据安全风险评估、个人信息保护影响评估与合规审计。这三项本身是企业的法定义务，中心能做的是方法与工具上的支持，不是出具结论、代替签字。

中心不能做的是替企业作决定。评估结论、清单的准确性、每条数据流的合法性基础，仍然是企业自己的责任。中心的口头认可不是备案回执，也不能作为抗辩理由。把它当成复核资源而不是审批环节，是使用这类服务的正确姿势。对没有专职数据合规团队的中小外资企业，中心的价值更明显：它把”看不懂的文件”变成”可以照着做的动作”，前提是企业先把自己家的数据流说清楚。

四处常见误判

“我们不在负面清单里，所以没有程序。” 不在清单内，意味着负面清单备案不适用，不意味着这笔出境不受管理。国家层面的评估与备案义务，仍要单独判断。

“专区受理了，备案就算完成了。” 在线提交只是把队列往前推，不改变实质审查标准，也不改变所提交内容本身的准确性要求。

“豁免是显而易见的，不用留记录。” 显而易见不是证据。审核时，记录才是证据。

“服务中心看过了，我们就没风险了。” 复核不是批准，批准也不是中心能给的东西。

这四条误判有一个共同点：都把”程序走完了”当成”结论站得住”。前者是形式，后者才是被检查的对象。区分这两件事，基本就能判断一家企业的数据出境合规是真做了，还是只做在纸上。

实操清单

• 字段级的数据资产清单，标注系统、接收方、目的与数量。
• 每条数据流的场景映射：或对应负面清单场景，或对应明确的豁免依据，并注明所依据的指引条目。
• 备案材料按专区当前要求准备，并在提交时核对哪些功能实际可用。
• 单一留存档案：结论记录、所依据的指引、备案回执、中心反馈放在一起，日后被问到时可以一处调齐。
• 指定一名清单责任人，并约定复核频率，因为数据地图的衰减速度比制度文件快。
• 在合同与供应商准入环节加入数据出境条款，把”对方是否落在清单场景”作为续约前的复核项。

展望

方向是”程序化”：留给判断而不留记录的空间在缩小，路径选择越来越多地被推进专区与公开指引。对在沪外资企业而言，数据跨境合规正在从一次性项目变成一项日常行政事务——工作量集中在前端的盘点与首次备案，之后转入维护。这个转变对预算与人员安排的影响，往往比制度本身更直接。

值得跟踪的有两点：操作指引公布时的颗粒度是否细到可以按场景引用；专区功能实际上线到哪一步，因为文件对多项功能承诺的是”逐步建立”，而不是一次性开通。这两点决定了本文描述的三步走，能在多大程度上真正搬到线上完成。对合规团队而言，这份文件最实际的用法，是把它当作内部流程改造的说明书：盘点表怎么建、场景怎么标、留痕放在哪里、谁来复核。制度层面没有变化，执行层面可以因此少走一段弯路。

延伸阅读

• 若需要判断某项具体业务是否落入负面清单，应以清单管理办法及其附件为准，本文只处理”落入之后怎么办”。
• 本库第 458、230、276 篇写的是上海负面清单本身——领域、场景与数据项，是使用本文所述备案路径之前应当先读的部分。

来源

• 上海市人民政府·政策发布渠道：https://www.shanghai.gov.cn/
• 上海市虹口区人民政府·上海市网信办负面清单管理办法通知（含附件清单）：https://www.shhk.gov.cn/xwzx/002002/20260427/4a9e557d-4665-459c-8cea-629533cf6328.html
• 国家互联网信息办公室·《促进和规范数据跨境流动规定》：https://www.cac.gov.cn/
• 中国政府网·国务院政策文件库：https://www.gov.cn/