收到境外取证要求，先查请求来自谁
江北企业涉外争议中，收到外国法院或执法机构要求提供客户资料的函件，不能只按普通海外客服数据传输处理。个人信息保护法第四十一条，对向外国司法或者执法机构提供存储于境内的个人信息设有专门规则。
应先核请求主体、正式文书、案件和要求范围，识别是否确属外国司法、执法取证。对方律师、商业合作方或私人调查人员自称代表某机构，也不能未经核实就获得全部资料。
客户同意不能替代主管机关批准
第四十一条规定，中华人民共和国主管机关依有关法律、条约协定或平等互惠原则处理相关请求；非经我国主管机关批准，个人信息处理者不得向外国司法或执法机构提供存储于我国境内的个人信息。
因此，即使已经拿到客户签字同意，也不能直接把这项批准要求删除。集团总部发来指令、境外法院规定回复期限、服务合同写了配合调查，同样不能自动替代我国法规定的程序。
普通出境机制与特别取证规则不能混用
企业日常海外物流、客服等业务可能涉及个人信息出境的不同条件和机制，但适用普通业务路径，不等于同时获得向外国司法执法机构交付境内信息的许可。应把目的、接收主体、数据存储位置和实际访问方式都说明白。
也不能简单认为把资料先发给境外关联公司，再由其转交，就必然不受相关规定影响。实际提供链条、指令和用途需要如实核查，不能用中间转手掩盖真正接收方和取证目的。
核查并保存材料，不等于可以任意扩大复制
收到要求后，可依法保存原始请求、往来沟通、现有系统位置和拟涉字段，及时研究合法处理路径，必要时就具体程序向有权机关咨询或提出申请。对涉及商业秘密、敏感个人信息和其他数据的，还要分别核查相应保护要求。
保存证据应在合法权限与必要范围内进行，不能因为担心取证就删除应保存资料，也不能为准备回复把所有客户数据库复制到个人邮箱。内部接触人员和导出权限应有明确记录。
对外回复要准确说明程序状态
可以说明正在依适用法律核查请求及办理相关手续，避免在未经批准时先发一部分测试数据，再解释只是配合。是否可以提供、提供哪些内容、通过何种渠道，应以实际合法依据和程序结果决定，不承诺一定获批或给出未经核实的统一时间。
完成处理后，应留存请求身份核验、范围评估、相应批准或程序文件、实际提供清单和接收记录。若最终不提供，也应保留真实处理依据。遇到中外程序要求冲突，应依法提出具体解决方案，不能让一份泛化的用户同意书承担它不能替代的法律功能。