Envío de datos de empleados en China a la sede central en el extranjero: la exención para recursos humanos

1. Identificar qué puede ver realmente la sede central

Identifique la entidad empleadora en China, los destinatarios y proveedores de servicios en el extranjero, los lugares desde los que se accede, los usuarios, las finalidades, los campos de datos y los plazos de conservación. Incluya los archivos adjuntos y el acceso remoto, además de las hojas de cálculo exportadas. Las preguntas y respuestas de la Administración del Ciberespacio de China (CAC) de octubre de 2025 explican que el acceso desde el extranjero a datos almacenados en China puede constituir una transferencia de datos al extranjero. El acceso por empleados de una organización extranjera que se encuentren en China, sin transmitir datos fuera del país, no se considera una transferencia al extranjero por el mero carácter extranjero de la organización.

Para cada campo solicitado, documente la decisión concreta de recursos humanos y por qué la información que permite identificar a una persona debe llegar a ese destinatario. Por ejemplo, determine si la sede central necesita el número de cuenta bancaria de cada empleado o solo el importe total de la nómina; se trata de valorar la necesidad, sin presumir que cualquiera de las dos opciones sea siempre lícita. Separe los análisis opcionales del grupo y los expedientes de selección de la administración del personal. Un mismo sistema puede contener flujos con bases jurídicas distintas.

2. Documentar la exención de recursos humanos sin presumir que cubre todo el sistema del grupo

El artículo 5(1)(2) de las Disposiciones sobre la promoción y regulación de los flujos transfronterizos de datos contempla los supuestos en los que sea realmente necesario facilitar al extranjero información personal de empleados para la gestión transfronteriza de recursos humanos, de conformidad con normas laborales elaboradas legalmente y convenios colectivos celebrados legalmente. Exime a las transferencias que cumplan los requisitos de presentar la solicitud de evaluación de seguridad, celebrar el contrato tipo prescrito para la transferencia al extranjero y obtener la certificación de protección de la información personal. El artículo 5 excluye los datos importantes. Si no se acredita el cumplimiento de las condiciones, evalúe por separado la vía aplicable a la transferencia antes de habilitar el acceso.

Conserve las normas efectivamente aplicables en China, los documentos relativos a los convenios colectivos y las pruebas de su adopción o celebración legal y de su aplicación. Un modelo de la sede central o la afirmación de que la plataforma resulta cómoda no son suficientes. Las preguntas y respuestas de octubre de 2025 exigen analizar la necesidad y la minimización según las circunstancias concretas respecto de los documentos de identidad, pasaportes y cuentas bancarias de los empleados. La exención no es una autorización universal para cargar esos documentos. Elimine campos o restrinja el acceso desde el extranjero cuando el proyecto no pueda justificarlos.

3. Examinar el consentimiento por separado del mecanismo de transferencia al extranjero

El artículo 13 de la Ley de Protección de la Información Personal de la República Popular China (PIPL) establece las bases jurídicas para el tratamiento, incluida la gestión necesaria de recursos humanos conforme a las normas y los convenios colectivos legalmente establecidos que especifica. Las preguntas y respuestas de la CAC de julio de 2026 confirman que una transferencia al extranjero comprendida en el artículo 13(1)(2)–(7) no requiere el consentimiento de la persona, pero sigue exigiendo que se le informe de la transferencia. Documente por qué la actividad concreta reúne los requisitos de una base jurídica que no exige consentimiento. Cumplir únicamente las condiciones de una exención del mecanismo de transferencia no sustituye ese análisis.

La información comunicada debe identificar al destinatario en el extranjero y sus datos de contacto, las finalidades, los métodos de tratamiento, las categorías de información y las formas y procedimientos para ejercer derechos ante ese destinatario conforme al artículo 39. Deben cumplirse también los requisitos generales de información del artículo 17, incluido el plazo de conservación. Cuando se exija consentimiento separado, obtenga una manifestación de voluntad específica e informada, en lugar de una autorización conjunta para distintas actividades. En relación con la información sensible, revise la finalidad específica, la necesidad suficiente, las medidas estrictas de protección y la información adicional sobre la necesidad y los efectos para los derechos e intereses de la persona conforme a los artículos 28–30.

4. Evaluar la carga de datos de selección de personal según sus circunstancias

Las preguntas y respuestas de julio de 2026 establecen un límite concreto: cuando la sede central o una entidad vinculada en el extranjero no participe en las decisiones de contratación en China, la transferencia al extranjero de los currículos de los candidatos carece de necesidad. Si participa directamente, limite el número de candidatos y los campos de datos al mínimo necesario para esa decisión y cumpla los requisitos aplicables a la transferencia. No clasifique automáticamente a todos los candidatos como empleados amparados por la exención de recursos humanos.

Antes de habilitar un módulo global de selección de personal, identifique quién toma realmente la decisión, qué candidatos requieren revisión desde el extranjero y cuándo finaliza el acceso. Crear una amplia bolsa de talento para futuras vacantes del grupo tiene una finalidad distinta de decidir la contratación para una vacante concreta en China. Evalúe esa finalidad y su base jurídica por separado; no reutilice sin verificarla la justificación de un proceso de contratación actual. Refleje esta distinción en los permisos del sistema y en la información comunicada a las personas, además de recogerla en un memorando jurídico.

5. Completar la evaluación y el expediente de puesta en funcionamiento

Los artículos 55–56 de la PIPL exigen realizar, antes de transferir información personal al extranjero, una evaluación de impacto sobre la protección de la información personal y documentar el tratamiento. Examine la licitud, la necesidad, los efectos sobre las personas, los riesgos y las medidas de protección. Conserve el informe de evaluación y los registros del tratamiento durante al menos 3 años. Esto no significa que deba conservarse cada documento de personal subyacente durante 3 años: el artículo 19 exige, con carácter general, el plazo más breve necesario para la finalidad del tratamiento, salvo que las leyes o los reglamentos administrativos dispongan otra cosa.

Prepare el mapa de flujos de datos, el análisis de necesidad de cada campo, el expediente de normas y convenios colectivos, la evaluación de la exención o de una vía alternativa, la información comunicada y las pruebas de los consentimientos que sean exigibles, la evaluación de impacto, los acuerdos y medidas relativos a los destinatarios y los controles de acceso. El artículo 38 exige medidas que garanticen que el destinatario en el extranjero cumpla los niveles de protección de la PIPL; un proveedor al que se encomiende el tratamiento también requiere los acuerdos contractuales y la supervisión previstos en el artículo 21. Asigne responsabilidades para la supresión de datos, las solicitudes de ejercicio de derechos y los incidentes. Revise de nuevo el análisis antes de añadir destinatarios, campos o nuevos usos.

Para una revisión jurídica inicial, envíe una descripción no confidencial de la entidad en China, la finalidad de recursos humanos, las ubicaciones de los destinatarios, el número aproximado de empleados y las categorías de datos previstas. No envíe documentos de identidad de empleados, datos bancarios ni currículos en la primera consulta. Acuerde un procedimiento seguro de revisión del expediente detallado.