香港内地跨境数据转移私隐合规安排

越来越多内地企业在港设立分支、越来越多香港公司处理内地客户与员工资料，跨境数据流动已成日常运营的一部分。但香港适用《个人资料（私隐）条例》（PDPO），内地适用《个人信息保护法》（PIPL）、《数据安全法》及《网络安全法》，两套法律在管辖、合法性基础、敏感信息界定、传输机制、罚则上各有差异。简单把一方规则搬到另一方适用，往往会出现”看似合规、实则违规”的风险敞口。

本文围绕一个核心问题展开：当内地企业作为数据提供方、香港机构作为数据接收方（或反之）时，应当如何在 PDPO 与 PIPL 双重框架下设计合规路径？文章从法律基础、传输机制、合同要件、内部治理四个层面拆解，并以清单形式给出可执行的动作清单。

一、双方法律框架的核心差异

理解跨境合规的第一步，是承认 PDPO 与 PIPL 是两套并存、各自独立的法律体系，企业在两地均可能被管辖。

1.1 管辖逻辑

PDPO：属地原则为主，凡在香港境内”收集、持有、处理或使用”个人资料均受规管。香港境内的资料使用者（data user）须遵守六项保障原则。
PIPL：属地 + 属人原则。内地处理者自然受规管；向境外提供个人信息、境外组织个人信息的处理活动损害内地自然人权益的，亦受 PIPL 规管，并可适用”长臂管辖”。

1.2 合法性基础

维度	PDPO	PIPL
核心同意要求	资料敏感（如种族、犯罪记录等）或用于新目的时，需取得”明示、自愿、可撤回”同意	处理个人信息原则上须取得个人单独同意或具备其他法定基础
其他合法性基础	直接促销以外场景，允许基于”必要”、”合约”等基础；相对宽松	同意、合同必需、人力资源管理必需、法定义务、应急公共利益、新闻舆论监督、已公开信息合理范围等，列举式
敏感个人信息	“敏感资料”概念存在，但范围有限	单设”敏感个人信息”概念（生物识别、宗教、医疗、金融账户、行踪轨迹、不满14周岁未成年人等），处理须取得单独同意并具备特定目的、充分必要性

1.3 罚则与影响

PDPO 违反：个人资料私隐专员公署（PCPD）可发出执行通知，违反执行通知属刑事罪；近年最高罚款为违反执行通知，可处罚款及监禁（具体金额以官方最新公布为准）。
PIPL 违反：违规情节严重的，可处五千万元人民币或上一年度营业额百分之五以下罚款；可对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息处理负责人。

实务提示：跨境数据安排若违反 PIPL，企业所受影响不限于罚款，亦可能触发业务暂停、声誉损失及跨境业务拓展受限——这一点往往被低估。

二、四种跨境传输机制（内地视角）

PIPL 第三十八条至第四十一条提供了三条”通道”加一条”通道”以外的路径。内地企业向香港输出个人信息时，通常采用以下方式：

2.1 通过国家网信部门组织的安全评估

适用情形：通常为重要数据出境、CIIO（关键信息基础设施运营者）处理个人信息达到网信办规定数量，以及处理超过 100 万人个人信息的网络平台运营者。
实务判断：除非企业属于上述类别，否则多数内地企业并非必须走”安全评估”通道。
注意：何为”重要数据”由各行业主管部委、企业所在地省级人民政府认定，企业须自行识别。

2.2 个人信息保护认证

由经认证机构按国家网信办与市场监管总局联合发布的认证规则开展认证。
适合场景：跨国集团内部传输、跨境处理业务场景；CIIO 以外企业亦可适用。
时长与成本：以官方最新公布为准，通常为数月。

2.3 标准合同（SCC）

内地企业可与境外接收方签署由网信办发布的标准合同条款模板，并向所在地省级网信办备案。
适合场景：单次或单条业务线传输，体量与敏感性未达安全评估门槛。
必备配套：开展个人信息保护影响评估（PIPIA）、形成评估报告，保存至少三年。

2.4 法律、行政法规及网信办规定的其他条件

兜底条款，为未来新通道预留空间。

香港接收方的特别提示：内地企业签订 SCC 时，香港机构作为”境外接收方”须在合同中承诺履行 PIPL 规定的义务，包括”为向境内自然人提供产品或者服务”目的而处理个人信息、配合 PIPIA 等。这与 PDPO 下香港机构作为资料使用者的义务并不重叠，而是叠加适用。

三、PDPO 视角下的合规要件

香港 PCPD 历来关注跨境传输中的资料使用者责任。即使内地母公司是数据的”提供方”，香港机构一旦接收并继续处理该数据，便成为 PDPO 意义上的”资料使用者”，须直接对 PCPD 负责。

3.1 六大保障原则的关键要点

收集目的与方式合法 — 须为合法目的，且不超出合理范围。
准确性 — 资料使用者须采取切实可行步骤，确保资料准确。
使用限制 — 资料只可用于收集时所述目的（或直接相关目的），除非取得资料当事人”明示且自愿”同意。
保安 — 须采取合理可行的保安措施，防止未经授权或意外查阅、处理、删除、遗失或使用。
公开政策 — 须以易查阅方式向资料当事人告知其私隐政策与权利。
查阅与更正 — 资料当事人有权要求查阅及更正其个人资料。

3.2 跨境传输的特别要求

PCPD 强调跨境传输不豁免资料使用者的责任。香港机构在接收内地传输的数据时，应当：

尽职调查：对内地提供方的处理环境、安全能力、过往合规记录进行评估；
合同约束：与内地提供方签订书面协议，明确双方角色（控制者/处理者/共同控制者）、责任分担、安全事件通知时限；
透明度：更新私隐政策，说明数据来自何地、为何接收、谁可查阅；
最小化：仅接收为既定业务目的所需的最少数据；
保安级别匹配：采用与香港法律所要求水平相当的保安措施（加密、访问控制、审计日志、备份恢复）。

3.3 直接促销与”do not call”机制

若涉及跨境将客户资料用于直接促销，须遵守 PDPO 第 35A 条及”Do Not Call”机制：必须先取得资料当事人明确同意，且须提供免费拒收机制。内地《广告法》《消费者权益保护法》亦有重叠义务，建议两套机制并行设计。

四、合同条款清单：一份跨境数据协议的必备项

内地 ↔ 香港的跨境数据安排，最终落地为一份具备 PIPL 标准合同 + PDPO 关键要件的协议。建议条款结构如下：

4.1 角色与定义

双方角色（个人信息处理者 / 委托处理 / 共同处理）
个人信息、敏感个人信息、处理的范围与目的
数据类别、数据主体类别、传输频率

4.2 合法性基础与告知

内地提供方的合法性基础与单独同意证据保留
香港接收方对资料当事人的告知义务

4.3 安全保障

加密算法与密钥管理（传输加密 + 静态加密）
访问权限审批、账号生命周期管理
安全审计日志保存期限（建议不少于 12 个月）
漏洞管理与补丁机制
安全事件响应：内地提供方须在 24 小时内（以合同约定为准）通知接收方

4.4 数据主体权利

查阅、更正、删除、可携权（如适用）
双方对接机制：内地提供方受理内地主体请求，香港接收方受理香港主体请求
时限与工本费处理

4.5 二次传输限制

香港接收方再向第三国/地区传输的限制
必要的”白名单”或”逐项同意”

4.6 审计与检查权

内地提供方对香港接收方进行检查或第三方审计的权利
检查频率、保密义务、费用承担

4.7 终止与返还

合作终止后数据的返还、销毁或匿名化方案
销毁证据留存年限

4.8 责任分担与法律适用

双方在 PIPL 下的违约责任（行政罚款、民事赔偿的内部分担）
法律适用与争议解决（建议选择香港仲裁或内地仲裁，但须与运营实际相符）

五、内部治理：让纸面合规落地的七项动作

跨境合规不仅是合同与文件，更是组织能力。建议内地企业及在港机构同步推进以下事项：

建立个人资料清册（Data Inventory）：记录每一类数据的来源、接收方、传输路径、保留期限。
开展 PIPIA（个人信息保护影响评估）：在 SCC 备案之前完成，覆盖合法性、必要性、风险与缓释。
任命个人信息保护负责人（DPO）：内地侧依据 PIPL 第四十一条，香港侧可考虑设立私隐合规主任。
员工培训：分场景、分岗位开展培训，重点关注 IT、销售（直接促销）、HR（员工数据跨境）、客服（数据请求响应）。
供应商管理：所有处理个人资料的第三方均须签署数据处理协议（DPA），并纳入审计范围。
安全事件演练：年度桌面演练 + 半年实际演练，建立 24/7 响应机制。
年度合规复核：随业务变化、法律更新（PCPD 与网信办定期发布指引）调整。

六、合规速查清单

行动开始前，先用这张清单判断当前跨境安排的成熟度：

七、结语

香港与内地之间的跨境数据流动，并不是”哪一边的法律先让步”的问题，而是两套法律都同时适用的问题。内地企业作为提供方时须遵守 PIPL 的传输机制，香港机构作为接收方时须独立满足 PDPO 的六项保障原则与跨境传输要求。两套义务在合同、组织、流程层面彼此叠加，缺一不可。

实务上最常踩的坑，是把”SCC 备案 + 签订一份数据处理协议”当作合规终点，而忽视了目的限制、最小化、保安措施、透明度、数据主体权利响应与内部治理的持续运营。建议企业把跨境数据合规视为一项持续性能力，而非一次性项目。

如果你正在规划内地 ↔ 香港的数据流，或希望系统梳理香港公司的合规基础，hkguide.org 提供从公司注册、私隐政策模板、人力资源跨境安排到 PCPD 合规自查的完整指南，值得作为下一步行动的起点。

常见问答

内地企业向香港传输客户数据，一定要做安全评估吗？

不一定。原文明确，触发国家网信部门安全评估的情形主要是重要数据出境、关键信息基础设施运营者（CIIO）处理个人信息达到规定数量，以及处理超过 100 万人个人信息的网络平台运营者。不属于上述类别的内地企业，多数可走标准合同（SCC）或个人信息保护认证通道，具体适用顺序以官方最新公布的指引为准。

香港公司接收内地数据后，是否还需要独立遵守 PDPO？

需要。即使内地母公司是数据的”提供方”，香港机构接收并继续处理该数据后，便成为 PDPO 意义上的”资料使用者”，须直接对个人资料私隐专员公署（PCPD）负责，独立满足六项保障原则与跨境传输要求。这意味着 PDPO 义务与内地侧的 PIPL 义务是叠加适用，而非相互替代。

标准合同备案前，必须完成个人信息保护影响评估（PIPIA）吗？

是的。原文指出，采用 SCC 通道须开展 PIPIA 并形成评估报告，保存至少三年。PIPIA 应覆盖处理的合法性、必要性、风险与缓释措施，是备案前的必备配套，而非可选项。

跨境数据协议中，安全事件通知时限一般约定多久？

建议是 24 小时内通知，但同时强调”以合同约定为准”。实务中企业可在协商基础上确定具体时限与通知内容（如事件性质、涉及数据类别、初步影响），但不宜在合同中省略或大幅延长该时限，以免在 PIPL 与 PDPO 两端均被视为控制力不足。

内地客户数据若用于香港侧的直接促销，会触发哪些额外义务？

若涉及将跨境接收的内地客户资料用于直接促销，须同时满足两套机制：PDPO 第 35A 条及”Do Not Call”机制要求事先取得资料当事人明确同意并提供免费拒收渠道；内地《广告法》《消费者权益保护法》亦有重叠义务。原文建议两套机制并行设计，避免单边合规。