君合法评丨跨国企业需要关注的员工个人信息出境合规要求及实践发展

依据《中华人民共和国个人信息保护法》（以下简称 “ 个保法 ”）及相关法律法规规定，在司法实践及监管认定中，以下几种情形通常会被判定为 “向中国境外传输个人信息”：

在员工个人信息出境的实际场景中，上述信息跨境传输的情形均较为普遍。特别是跨国企业的全球化统一管理中上述第3种情形尤为突出，即使用服务器位于中国境外的各类信息系统或平台，例如人事管理、财务管理、业务流程管理系统以及IT 基础设施相关的系统或软件等。以上场景均应将其纳入员工个人信息出境合规管理的范畴之内。

根据个保法第38条规定，用人单位确需向中国境外提供个人信息的，应至少满足以下出境合规机制之一：（1）通过国家互联网信息办公室（以下简称 “ 国家网信办 ”）组织的安全评估（以下简称“ 安全评估 ”）；（2）按照国家网信办的规定经专业机构进行个人信息保护认证（以下简称“ 安全认证 ”）；或（3）按照国家网信办制定的标准合同（以下简称“ 标准合同 ”）与境外接收方订立合同，并向省级网信部门备案。于2024 年 3 月发布并正式施行的《促进和规范数据跨境流动规定》（以下简称 “ 数据跨境规定 ”），一定程度上放宽了对用人单位将员工个人信息向境外传输的上述出境合规机制要求。倘若用人单位向境外传输员工个人信息符合以下两种例外情形之一，则可豁免经由上述安全评估、标准合同以及安全认证程序的出境合规机制：

目前尚无法规或官方指引对“实施跨境人力资源管理” “确需向境外提供员工个人信息” 的情形进行定义或解释。就当前的理解而言，这一表述很可能涵盖跨国公司中的与员工日常人事管理及常规业务管理密切相关的个人信息出境场景，例如员工入职流程中的信息提交、薪酬福利管理、绩效评估中的信息传输，以及内部员工合规管理所涉及的信息跨境流动等。

所谓 “依法制定的劳动规章制度”，是指用人单位依照劳动法所规定的民主程序及公示程序（即向全体员工征求意见、与工会或员工代表协商讨论及向全体员工公示发布）制定的公司规章制度。在实务操作中，我们建议企业对于其自行制定或本地化的员工隐私政策或员工个人信息保护相关政策，遵循法定民主程序及公示程序进行制定、修订以及发布，以确保出境合规机制的豁免情形的有效适用。

此外，通过观察我们发现，主管部门目前的立场倾向于认定非员工（如求职者、候选人、外包员工以及员工家属等）的个人信息，可能不属于 “实施跨境人力资源管理” 的范畴。因此，企业能否利用上述豁免情形来实现该类人员个人信息的出境，仍然存在不确定性。若不涉及敏感个人信息的跨境传输，非员工的个人信息出境可依据“累计提供不满10万人个人信息”这一豁免情形来操作。鉴于此，我们建议企业对于非员工的敏感个人信息尽可能在中国境内进行处理和存储，以降低和控制潜在的合规风险。

尽管数据跨境规定在前述的个人信息出境的合规机制方面，为作为用人单位的跨国企业减轻了一定的合规负担，但该规定并未改变用人单位在向境外传输员工个人信息时，仍需满足的其他法定合规要求。数据跨境规定重申了该等合规要求。这些要求具体涵盖如下方面：

个保法目前已经生效实施3周年，个人信息出境相关立法已全面落地，市场实践操作也逐步趋于成熟与稳定。近期个保法的重要配套文件之一《个人信息保护合规审计管理办法》也已出台并将自2025年5月1日起正式施行。基于此，对于那些计划建立或完善员工个人信息出境合规措施的企业以及相关机构，我们建议密切关注并切实采取以下措施，从而有效降低潜在的合规风险：

注：本文同时供稿于《上海律师劳动法讯》

声 明

《君合法律评论》所刊登的文章仅代表作者本人观点，不得视为君合律师事务所或其律师出具的正式法律意见或建议。如需转载或引用该等文章的任何内容，请注明出处。未经本所书面同意，不得转载或使用该等文章中包含的任何图片或影像。如您有意就相关议题进一步交流或探讨，欢迎与本所联系。