上个月跟做互联网合规的朋友喝茶，聊起一个刚接的咨询，太扎普通人了。
当事人是上海的一位二胎宝妈，叫小秦。去年怀老二，嫌公立医院的孕周算得粗糙，刷种草平台被推了一款美国开发的小众AI孕期APP，据说能结合孕吐、胎动数据精准算预产期，界面做得也干净，没广告。
下载完打开，弹了个用户授权协议。跟绝大多数人一样，她没看，直接拉到最底部点了同意。
坑就在这。
藏在同意书里的暗门：你点的不是同意，是开门
后来小秦要办生育津贴，需要把所有产检数据导出来给社保中心，这才傻了眼。这款APP所有数据都存在美国的服务器，国内没有节点，那段时间刚好网络波动，她登了三天都登不上去，更别说导出数据了。
好不容易翻出去找到客服，客服甩给她用户协议，说根据条款，APP有权将用户的健康数据共享给美国的生殖医学研究机构，用户注册即视为同意。
你敢信？那一行说明个人信息出境的字，字体比协议正文小两号，挤在版权信息的旁边，不凑到屏幕跟前根本看不见。合着就是吃定了普通人不会读那几十页的英文协议对吧？
说实话，这不是个例。你手机里装的海外版社交软件、买手店用的境外ERP、甚至你找代购买东西填的收货地址，只要信息最终跑到境外服务器，或者被境外机构拿到，都算个人信息跨境传输。很多人到被查了都不知道自己踩了红线，更别说普通人了，连这个概念都没听过。
新规落地后，没人敢说自己完全合规
这两年监管真的严起来了。去年广东一家做跨境游学的培训机构，就是因为把几百个孩子的身份证、护照、家庭住址信息直接存在境外的谷歌云盘，没走任何合规申报流程，被罚款一百万，老板哭着说自己只是图方便，根本不知道这也违法。
很多中小商家甚至个人代购都有误区：我又没做一亿的生意，又没收集一百万人的信息，凭什么要求我合规？不对的。根据现在的规则，只要你向境外提供个人信息，不管数量多少，都必须走合规路径——要么做安全评估，要么签标准合同，要么做认证，没有例外。哪怕你是个小代购，每天把国内客户的收货信息发给境外供货商，这也是个人信息跨境传输，也得合规。
不过话说回来，现在很多境外APP进国内，根本没按要求做备案，还是偷偷把数据往境外运，监管查起来也有难点，毕竟很多APP藏在应用商店外面，普通人轻易就能下到。最后吃亏的还是我们自己，你的产检数据、出行记录、消费习惯，一整套个人画像飘在境外，谁知道会被用来做什么？
普通人攥住数据的三个小动作
别觉得个人信息跨境传输是大公司的事，跟你没关系。其实你每天都可能在给别人开门。给你说三个随手就能做的事，别嫌麻烦。
第一，装新APP的时候，别上来就点同意。花十秒钟拉到授权页最底部，找找有没有“数据出境”“共享给第三方机构”这类字样，要是有，你不想给就别装。别嫌十秒钟长，真出问题你花十个月都搞不定。
第二，如果你发现你已经授权了，随时可以撤。根据个人信息保护法，你有权撤回你的同意，APP不能拦着你，也不能因为你撤回同意就不给你用核心功能，真拦着你你可以投诉。
第三，只要涉及到身份证号、住址、健康信息这类敏感信息，尽量用国内合规的产品，不是说国外的一定不好，是出了问题你维权都找不到地方，小秦到现在都没把她的产检数据拿回来，走跨国诉讼？成本够她再生一个了。
法律其实不是盯着普通人罚，是在给大家划边界。原来这片是没人管的荒地，大家随便走，现在慢慢建起了围栏，哪里能走哪里不能走，越来越清楚。只是很多人还没反应过来，还在凭着旧习惯往前走，一不小心就踩了坑。
就像小秦说的，她原来以为自己只是下个APP算个预产期，怎么也想不到，自己最隐私的产检数据，早就漂过大西洋，躺在不知道哪个机构的数据库里了。
