中国员工数据交给境外总部：人力资源管理豁免如何适用

一、先查总部实际上能够看到什么

列明中国用人单位、境外接收方和服务商、访问地点、访问人员、用途、数据字段及保存期限。检查附件与远程访问权限，不能只查导出的表格。国家网信办2025年10月问答说明，从境外访问境内存储的数据可能构成数据出境；境外机构人员在境内访问且未将数据传输至境外，不因机构具有境外身份而当然构成数据出境。

逐字段记录实际人事管理事项，以及为什么必须向该接收方提供可识别个人的信息。例如，总部需要每个人的银行账号，还是只需工资汇总数？这是必要性判断，不能预设任一安排当然合法。将非必要的集团分析及招聘材料与员工管理分开，同一系统可能包含法律依据不同的数据流。

二、记录豁免依据，不能默认整个集团系统均适用

《促进和规范数据跨境流动规定》第五条第一款第二项针对按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的情形。符合条件的，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。第五条排除重要数据。不能证明符合条件时，应在开放访问前另行判断适用的出境路径。

保留实际适用的中国劳动规章制度、集体合同材料及依法制定、签订和实施的证据。总部模板或“使用平台更方便”的说明并不充分。2025年10月问答要求结合实际情况判断员工身份证、护照、银行账户是否必要，并遵守最小化原则，不能理解为这些材料一律允许上传。不能说明必要性的字段，应删除或限制境外访问。

三、将同意要求与出境手续分别判断

《中华人民共和国个人信息保护法》第十三条规定个人信息处理的合法性基础，包括依相应合法制度和集体合同实施人力资源管理所必需的情形。国家网信办2026年7月问答明确，出境活动属于第十三条第一款第二项至第七项的，不需取得个人同意，但仍应履行出境告知义务。应记录具体活动为何符合无需同意的法定基础，不能只凭出境手续豁免作出该结论。

依第三十九条，告知应包括境外接收方及联系方式、处理目的和方式、信息种类，以及向接收方行使权利的方式和程序；同时满足第十七条包括保存期限在内的一般告知要求。依法需要单独同意时，应取得具体、知情的意思表示，不能捆绑授权。涉及敏感信息，还应依第二十八条至第三十条审查特定目的、充分必要性、严格保护措施，以及对必要性和权益影响的补充告知。

四、招聘简历需要单独审查

2026年7月问答划明具体边界：境外总部或关联机构不参与境内录用决策的，求职简历出境不具备必要性；直接参与决策的，应将应聘人员数量和字段范围限定为该决策所需的最小范围，并按适用的出境要求办理。不能把所有求职者自动归入员工人力资源管理豁免。

启用全球招聘模块前，核对实际决策人员、确需境外审阅的候选人及访问终止时间。为集团未来岗位建立广泛人才库，与决定某个中国岗位的录用属于不同目的，应另行评估相应用途及法律依据，不能未经核对沿用当前招聘理由。系统权限和告知内容也应体现这一区分，不能只写在法律备忘录中。

五、完成影响评估及上线材料

《个人信息保护法》第五十五条至第五十六条要求向境外提供个人信息前开展个人信息保护影响评估，并记录处理情况，审查合法性、必要性、对个人的影响、风险及保护措施。评估报告和处理情况记录至少保存3年。这不等于所有原始人事材料均须保存3年：依第十九条，除法律、行政法规另有规定外，信息应保存实现目的所需的最短时间。

备齐数据流图、逐字段必要性分析、制度和集体合同材料、豁免或其他路径判断、告知及依法所需的同意证据、影响评估、接收方安排和权限设置。第三十八条要求采取措施保障境外接收方达到本法保护标准；委托服务商处理的，还应落实第二十一条的合同及监督安排。明确删除、权利请求与事件处理责任，增加接收方、字段或用途前重新核对分析。

初步法律审查可先提供中国主体、人事管理目的、接收方所在地、大致员工规模和拟处理信息类别的非保密概要。首次咨询不要直接发送员工身份证、银行资料或简历，应先约定详细材料的安全审查方式。