外资企业把员工个人信息传回境外总部：单独同意、三条路径与「人力资源管理所必需」的边界

德载律所·劳动人事部　｜　《中华人民共和国个人信息保护法》，与国家互联网信息办公室令第16号、令第11号并读

一、基本信息

二、义务落在哪一侧

第三条第一款把本法适用于在境内处理自然人个人信息的活动，未按被处理人国籍分层；第四条第二款把传输、提供列入处理的范围。此后整章主语是同一个词——第三十八条、第三十九条、第五十五条都以个人信息处理者为主语，总部只以「境外接收方」出现在第三十八条第三款。把外籍员工信息回传其本国总部，仍是向境外提供。

三、第一步：把合法性基础落到本公司自己的文件上

第（二）项两支，用人一侧常用后一支，条文在这支里挂了两份文件的名字。条文把这两份文件写成条件，不是描述：主张这一支，等于同时主张本公司有依法制定的劳动规章制度和依法签订的集体合同；条文未规定它们如何制定，本页不判断某一份是否依法制定。举证的一方是本公司，底稿里就该有两份文件的名称、编号、生效日期与每类数据对应的制度条款。第二款免掉的只是同意。

四、第二步：出境路径与2024年之后的人数门槛

第三十八条第一款是四选一：安全评估、个人信息保护认证、按国家网信部门制定的标准合同与境外接收方订立合同，以及其他条件；第（四）项是开口，令第16号的免予情形正从这里进来。第二款另规定条约、协定对出境条件有规定的可以按其规定执行。第三款不是路径，是持续义务：无论走哪条路，本公司都要采取必要措施保障境外接收方达到本法规定的保护标准。第四十条另对关键信息基础设施运营者与达到规定数量的处理者规定境内存储与安全评估。

被省略的第七条第一款第（一）项是关键信息基础设施运营者向境外提供个人信息或者重要数据；两条各自的第二款是同一句——属于本规定第三条至第六条规定情形的从其规定，免予情形优先于门槛。数人数三处易错：起算点是自当年1月1日起累计，不是自上年、不是按单次；敏感个人信息单独计数；数的是出境人数。「以上」含本数。

五、第三步：豁免的是三条路径，不是告知与单独同意

第（二）项与个人信息保护法第十三条第一款第（二）项后半支几乎同构，并把范围限定为员工个人信息：第三节那两份文件同时承担合法性基础与路径豁免，一处不实两处一起塌；打包同行的产线、客户数据不在其文义之内。第二款最易被跳过——豁免的射程到重要数据为止，识别回同令第二条。

第三十九条先列六项告知事项，再要求取得个人的单独同意；第十三条第二款免的是「同意」，第三十九条要的是「单独同意」，两者不是同一件事。另有一项文本事实：第三十九条中没有写入「本法第十三条第二款规定情形除外」一类除外句；但本页不以条文的沉默作推论，结论落在有明文处——令第16号第十条与授予豁免的第五条同在一部令内，只隔五条。本公司省下的是三张纸，第十条要的三件事一件不少。落到文本上：境外接收方要写名称，「集团」二字不满足这一项；单独同意必须单独，不能夹在整包材料里签；变更目的、方式、种类的，第十四条第二款要求重新取得同意。

六、第四步：影响评估、留痕与罚则，以及一条不能并线的第四十一条

关键词是「事前」「记录」与「至少保存三年」。出问题的往往不是没做评估，而是评估做成一封邮件、一份无落款无日期的说明，或者做完无人保管。下表按时序排动作清单。

另有一条线不能并进这张表。第四十一条规定，非经我国主管机关批准，处理者不得向外国司法或者执法机构提供存储于境内的个人信息；它触发的是批准程序，与例行、持续的集团内回传不是同一条线——后者入口在第三十八条至第四十条。三道报批由后台在册的境外诉讼调取境内数据一篇展开。

两款不是同一档，也不是同一个机关：第一款独有的处置对象是应用程序，第二款独有的是经营资格与任职资格上的处置。金额照条文写，均含本数。

七、谁会用到、怎么用