海外用戶在中國處理個人資料或提供個人資料給平台時，主要受三部法律約束：
《個人資訊保護法》（PIPL）自 2021 年 11 月 1 日施行，是中國首部系統性保護個人資訊的法律。它規定了個人資訊處理的合法性基礎、知情同意原則、以及個人對其資訊的查詢、更正、刪除等權利。《數據安全法》自 2021 年 9 月 1 日施行，規範了數據分類分級、重要數據目錄與跨境數據安全管理。《網絡安全法》自 2017 年 6 月 1 日施行，要求網絡運營者在收集使用者資訊前取得同意，並對蒐集到的資訊保密。
這三部法律對海外用戶的實際意義在於：你在中國境內註冊任何 APP、購物、就醫、簽訂合約時，平台收集你的姓名、電話、地址、身分證或護照資訊，都必須有法律上的合法性依據，並向你說明用途。你也有權詢問平台你有哪些資料、要求更正或刪除。
根據《個人資訊保護法》第 13 條，處理個人資訊須具備合法性基礎，其中最常見的是「取得個人的同意」。平台在收集你的姓名、電話、位置、身份資訊時，必須透過隱私政策告知你蒐集的目的、方式與範圍，並取得你的明示同意。
實際經驗是：多數 APP 的隱私政策都寫得極長，海外用戶幾乎沒人去讀。但有一條很實際的判斷標準——如果某個 APP 要求你同意收集「與服務完全無關」的資料，例如點餐 APP 要求取得你的通訊錄或位置權限，你可以拒絕該項權限而不影響核心功能。依《個人資訊保護法》第 16 條，平台不得以使用者不同意收集非必要資訊為由，拒絕提供服務。
具體來說，海外用戶在使用中國 APP 時可以留意三類權限：位置權限（多數外賣、叫車 APP 必需）、相機與攝影機權限（自拍類 APP 必需）、通訊錄權限（多數社交與服務 APP 非必需）。第三類權限是可以放心拒絕的。
《個人資訊保護法》對向境外提供中國境內收集的個人資訊，設定了更嚴格的要求。依第 38 條，向境外提供個人資訊須符合條件之一：通過國家網信部門組織的安全評估、取得專業機構的隱私保護認證、或與境外接收方訂立標準合約並取得個人單獨同意。這是因為跨境數據傳輸被視為更高風險的處理行為。
對海外用戶的實際影響：當你在中國境內產生個人資料（如購物紀錄、定位軌跡、支付資訊），而平台將其傳輸至境外伺服器時，平台必須依法完成上述程序並事先告知你。若平台未告知即出境，屬違法行為，你作為資料主體可向國家網信部門或地方網信機關舉報。
《個人資訊保護法》賦予資料主體多項權利，海外用戶同樣享有。主要權利包括：知情權（了解平台收集了什麼資料）、決定權（同意或撤回同意）、更正權（要求平台更正錯誤資料）、刪除權（在特定條件下要求刪除）、以及限制或拒絕處理權。當平台在達成處理目的後、或你撤回同意時，可要求平台刪除你的個人資料；平台無正當理由不得拒絕。
實際執行上，許多中國 APP 在帳號設定裡設有「資料管理」或「隱私設定」入口，可在其中查看與刪除個人資訊。刪除帳號通常也會同步刪除關聯資料，但部分服務依據法律要求須保留一定期限的交易紀錄或金融紀錄，這屬於合法例外。
| 風險場景 | 典型問題 | 防範建議 |
|---|---|---|
| APP 權限過大 | 索取與服務無關的通訊錄、位置權限 | 拒絕非必要權限，不影響核心功能 |
| 跨境數據傳輸 | 平台未告知即將資料傳至境外 | 查看隱私政策，發現異常可舉報 |
| 身份資訊洩露 | 護照、身分證影本被不當存取 | 僅在正規平台提交，保留提交紀錄 |
對在中國從事跨境業務的海外用戶而言，還有一個容易被忽略的環節：企業層面的數據合規。如果你在中國境內設有營運實體，或透過第三方收集中國用戶的個人資料，依據《數據安全法》與《個人資訊保護法》，你還需要完成數據安全分類分級、指定數據保護負責人、並在處理重要數據或向境外提供數據時依法申報。這已經不是大企業獨有的義務，中小規模的跨境服務同樣適用，違規的責任後果與前述罰款額度一致。
當平台違反《個人資訊保護法》時，資料主體可向國家網信辦公室或地方網信部門舉報。情節嚴重的違法行為，依《個人資訊保護法》第 66 條，可被責令改正、警告、沒收違法所得，並處 5000 萬元人民金以下或上年度營業額 5% 以下罰款；情節特別嚴重的，可能被責令暫停業務、撤銷許可或責令停止營運。
可以。對於非必要資訊，你拒絕後 APP 不應拒絕提供核心服務。位置權限若是服務核心（如叫車）則合理，但通訊錄這類權限通常可以拒絕。
平台要通過安全評估、隱私保護認證，或與境外接收方訂立標準合約，並事先取得你單獨同意，才合法。
可以。在撤回同意或平台已達處理目的時，你有权要求刪除。有些金融、稅務紀錄因法律要求需保留一定期限，屬合法例外。
可向國家網信辦公室或地方網信部門舉報，保留平台違法收集或傳輸的證據會有幫助。
正規平台的實名場景提交是合法的，但請盡量在平台官方渠道提交，避免透過私人聊天或不明連結傳護照影本，降低洩露風險。