数据出境FAQs（八）：如何识别与应对员工个人信息出境场景？

欢迎点击上方 TMT法律论坛 关注我们

专栏

Law

★

导读

★

随着《数据出境安全评估办法》生效及其指南的发布，触发申报门槛的企业大都在积极地推进着自评估和申报工作。鉴于申报工作是一项崭新的法律要求，企业和监管部门都在探索和积累经验，实操中难免会存在诸多不清晰的问题，我们将通过本FAQs系列栏目，基于法律法规理解、实践案例及多渠道的监管咨询，对焦点问题进行解读和分享。

本期为数据出境FAQs第八期“如何识别与应对员工个人信息出境场景？”

需要指出，本FAQs所有内容乃是一家之言，仅供参考，企业的具体行动应当以法律规定、监管要求为准。

往期回顾：

如何识别与应对员工个人信息出境场景？

跨国企业往往涉及在多国设立分子公司，出于集团统一人力资源管理等目的，会面临员工个人信息出境场景下（以下或称“HR场景”）的数据合规问题，如境内实体向境外实体提供员工个人信息，或境内实体直接使用服务器位于境外的人力资源管理系统等。不同于外部用户或客户数据出境，员工个人信息出境有其特殊性，本篇FAQs将为企业如何识别需要申报数据出境安全评估的HR场景提供一些应对思路。

_____________    

FAQs

问：处理100万人以上个人信息的境内数据处理者，如仅HR场景涉及少量员工个人信息出境，是否需要申报？

答：根据《数据出境安全评估办法》（以下简称“《办法》”）第4条规定，对于处理100万人以上个人信息的数据处理者，向境外提供个人信息的，需要申报安全评估。法律上对HR场景下的个人信息出境没有例外规定，如仅涉及HR场景下少量员工个人信息出境，亦需要按规定进行申报。经咨询，某地方网信部门表示，员工个人信息出境作为企业个人信息出境的典型场景，需要严格参照《数据出境安全评估申报指南（第一版）》的要求完整、准确填写，没有豁免或简化处理的例外。

问：跨国公司境内多个关联公司之间如何确定HR场景下个人信息出境安全评估的申报实体？

答：根据行业实践并经咨询部分地方网信部门意见，在某些场景下，多个关联公司之间的员工个人信息出境场景可以合并申报。[注1]实践中，申报实体可参照如下场景确定：

1）若境内各关联公司（如下图A和B）将员工个人信息传输至拟申报实体（如下图C），或境内各关联公司使用该拟申报实体的人力资源管理系统，而由拟申报实体归口将该等员工个人信息传输至境外，则可以由拟申报实体合并申报。

Tips：经咨询地方网信部门，虽然涉及数据委托处理关系时，一般倾向于由数据出境需求方，即委托处理者进行申报，但在HR场景下，若某一关联公司受托作为员工个人信息管理的归口方，并由其实施出境行为，则建议由该归口方进行申报。

2）若境内各关联公司（如下图A和B）仅有本实体自身的人事管理权，而拟申报实体（如下图C）享有全部境内关联公司的人事管理权，并对境内各关联公司所处理的员工个人信息具有管控权限，则拟申报实体将构成相应关联公司员工个人信息的共同处理者，可以由拟申报实体合并申报。

3）若境内各关联公司均使用同一系统向境外传输员工个人信息，且各关联公司的员工个人信息出境场景具有高度一致性，即使各关联公司仅可访问、管理自身数据，也可确定由某一关联公司进行统一申报。

问：如涉及合并申报，如何签署HR场景下个人信息出境的数据处理协议？

答：据监管部门的咨询意见，其暂未对跨境数据处理协议签署主体提出特殊要求，而重点关注各方对于个人信息安全保护责任义务的约定。同时，有部分地方网信部门表示，跨境数据处理协议的签署主体需体现拟申报主体及境外接收方。此外，若拟申报主体因受托处理或享有境内关联公司的人事管理权限（构成共同处理者），而进行合并申报，则其余境内关联公司应：1）体现为跨境数据处理协议的共同签署方；或2）提供相关内部规章制度或关联公司之间签署的数据处理协议，以便于监管部门明晰数据传输链路并确保境内各关联公司落实其作为数据处理者的相应责任。

法律解读

根据《办法》第4条（三），自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息，需要申报数据出境安全评估。该场景下，监管侧重点为企业累计向境外提供个人信息的量级达到了一定门槛，其对外提供数据的活动本身落入了监管关注范畴。若该等个人信息包含员工个人信息，则此等情形下需申报安全评估基本没有争议。

同时，根据《办法》第4条（二），处理100万人以上个人信息的数据处理者向境外提供个人信息，需要申报数据出境安全评估。其侧重点在于境内主体处理个人信息的总量达到了网信部门规定数量，而100万门槛标准的统计对象往往为企业的外部用户或客户，故此等情形下外部用户或客户数据出境需申报安全评估亦无争议，而对于该场景下的少量员工个人信息出境是否需申报安全评估一度存在争议。从近期各地申报实践及地方网信部门的回复口径来看，即使100万人数据处理者的HR场景仅涉及少量员工个人信息出境，亦需就该HR场景进行申报，体现了我国当前对于掌握大量个人信息企业的强监管态势。

相关规范

《数据出境安全评估办法》

第四条 数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

（一）数据处理者向境外提供重要数据；

（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；

（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；

（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。

[注] 

[1] 根据咨询结果，亦有部分地方网信部门出于属地管理和责任落实考虑，建议在此场景下由各关联公司分别申报。鉴于实践中具体场景存在特殊性，且不排除各地网信部门随申报工作推进而调整申报要求，建议企业在申报前向境内各关联公司的属地网信部门进一步咨询确认。

重要提示：

本文仅作为信息性参考，不构成法律意见，不能作为任何行动的依赖。本文中的回复意见可能是不全面的，考虑到监管的不断实践，不排除后续的进一步变化。任何的行动，请以律师的正式意见和监管的意见为准。

作者往期文章推荐

中伦解读

域外关注

本期编辑：陈瑊 陈煜烺 张媛媛