上周三，一个做轻医美咨询的女生推开我办公室的门。坐下来第一句话，声音都是抖的。
她刚接了网信办的约谈通知。
她开工作室才一年，三十平米的铺子，连她一共三个人，怎么也想不到会跟「个人信息跨境」这种听起来就很大的词扯上关系。
你顺手用的免费工具，都是数据出境的暗道
她的问题说出来你肯定不信——就是用了一款美国开发商做的免费客户管理CRM。
因为工作室刚起步，掏不起几万块买国内的正版系统，搜了一圈「免费客户管理」，第一个跳出来就是它，界面好看还不卡，她美滋滋用了大半年。所有客户的信息全存在上面：身份证正反面照片、想做的项目、过往过敏史、甚至连客户约时间改了三次这种细节都记在上面。
她从头到尾没看过用户协议。也根本不知道，这个工具默认所有数据自动同步到美国的服务器。等于她每天都在把上百个中国人的敏感个人信息，合法（对工具来说）偷偷传到境外去了。
她跟我说，不就是点个免费软件吗？我一个做小生意的，哪懂这些规矩？
说实话，我接触过的小商家十个有八个这么想。
做代购的用Notion存客户的收货地址和身份证信息，做留学咨询的把学生的成绩单、存款证明全存在Google Drive，做海外旅拍的用境外表单工具收客人的护照信息，这些太常见了。大家都觉得，不就是存个东西吗？我这点数据谁看得上？
真没人看得上吗？
几百个有医美需求、有出境计划、有海外购物需求的精准个人信息，放到黑产市场，比你那点货值钱多了。
规则从来不是只盯大厂，小虾米也会挨罚
很长时间里，大家提到个人信息跨境传输，第一反应都是苹果iCloud、抖音出海、拼多多海外版这些大厂的事，跟普通人没关系，跟小生意没关系。
去年广州那张开罚单你还记得不？一家做留学咨询的小公司，一共才五个人的小公司，因为存客户资料用了境外云盘，被罚了一百万。
很多人看到新闻的时候还在笑，说至于吗？至于。
现在《个人信息保护法》和《数据出境安全评估办法》摆在这里，只要是向境外提供个人信息，不管你是几百人的公司还是三个人的工作室，不管你是主动传还是用了第三方工具自动传，都要合规。
不过话说回来，现在监管也真的是跟着场景走，之前数据出境的口子只盯着大流量的大厂，现在不一样了，数据流动比水还散，小B端的零散传输早就成了监管看得见的灰色地带。
我之前遇到过一个做海外代购的宝妈，把一千多个客户的微信聊天记录备份到境外的网盘，结果网盘被盗，信息全漏了，最后不光赔了钱，还接了处罚。她跟我哭，说我就是想赚点奶粉钱，哪想到会闯这么大的祸。
真不是要堵死你的生意，合规没你想的那么难
很多人一听到「合规」两个字就头大，觉得肯定要花很多钱，要跑很多部门，干脆破罐子破摔，假装不知道。
那个找我的医美咨询女生，一开始也跟我说，大不了我关门不干了，我哪折腾得起这个。结果呢？补了个人信息出境标准合同备案，把所有数据迁回了国内的服务器，最后就是给了个警告，连罚款都没交。
哪有那么可怕？现在针对不同规模的主体，本来就有三条合规路径：一千万人以上的做安全评估，中小型的走标准合同备案，还有个认证路径，根本不是一刀切把所有境外工具都禁了。很多人不知道，现在标准合同备案直接在网上填个表就能交，连线下都不用跑，花不了你一个下午的时间。
当然，话说回普通人自己，你有没有把自己的身份证、银行卡存在境外网盘？用境外AI作图的时候，有没有上传过自己的人脸照片？填个境外网站的表单，有没有顺手把自己的真实信息填进去？
你觉得无所谓的一次点击，其实就是一次个人信息跨境传输。
别觉得规则离你远。别觉得你的信息不值钱。
法律现在也在摸着石头过河，跟着新冒出来的一个个小场景调整脚步，你多留个心眼，总比出了事再慌慌张张找律师强，对吧？
