香港香港大全HK GUIDE

个人信息保护法跨境合规：内地企业赴港出海的数据红线

2021 年 11 月 1 日正式实施的《中华人民共和国个人信息保护法》（PIPL），被业界称为中国数据立法的”三驾马车”之一，与《网络安全法》《数据安全法》共同构筑起国家数据治理体系。PIPL 第六章以整整 11 个条文（第 38 条至第 43 条）专门规制”个人信息跨境提供”行为，并对违规者设置了最高 5,000 万元营业额 5% 或 上一年度营业额 5% 的”按顶计算”罚款。

对于以香港为跳板出海的内地企业而言，PIPL 的合规义务并不因”数据出境到香港”而自动豁免——只要数据主体仍是中国境内自然人，或者数据是在境内收集产生的，跨境传输路径就必须先在国内打通。本文从内地法源头出发，结合香港本地私隐条例，梳理出海企业最常踩的三类坑与三套合规工具。

一、跨境传输的三条法定通道

PIPL 第 38 条明确列举了四类合法路径，与企业最相关的有三条：

通道 适用场景 主管机关 大致周期
安全评估 处理 100 万人以上个人信息；或自上年 1 月 1 日起累计向境外提供 10 万人个人信息或 1 万人敏感个人信息 国家网信办 通常 3 个月以上，复杂案件更长，以官方最新公布为准
标准合同 非安全评估强制情形的常规出境，向境外提供 100 万人以下个人信息 省级网信办备案 备案周期相对短，落地相对快
个人信息保护认证 跨国集团内部跨境传输、跨境处理活动 经认证的专业机构 以官方最新公布为准

第三条被广泛忽视：法律、行政法规以及 PIPL 规定的其他条件。其中包括”为订立、履行个人作为一方当事人的合同”“实施跨境人力资源管理”“紧急情况下保护自然人生命健康”等豁免场景，企业可在不触发任何通道的情况下跨境传输，但需留存书面证据。

二、关键阈值与认定细节

1. “100 万人”与”10 万人”如何计算

2. 敏感个人信息的特殊规则

敏感个人信息一旦跨境，门槛更低、要求更严：

实务中常见误区是把”敏感”等同于”生物识别”。实际上，金融账户、行踪轨迹、未满 14 周岁未成年人信息、医疗健康等均落入敏感范围。

3. 重要数据：另一条隐蔽红线

跨境传输”重要数据”无论数量多少，一律走安全评估。”重要数据”由各行业、地区主管部门在《数据分类分级指南》框架下具体认定，国家网信办 2024 年发布的《数据出境安全评估申报指南（第二版）》进一步明确了识别流程。

三、合规工具箱：四步落地法

第一步：内部盘点（PIPIA）

由法务与数据安全负责人联合启动个人信息影响评估（PIPIA），输出：

第二步：路径选择

依据盘点结果对号入座：

情形 推荐通道
集团内部跨境调动员工 HR 数据，且跨国集团具备合规体系 认证通道
出海业务量适中，涉及 B2C 用户数据但未触线 标准合同通道
跨境传输敏感个人信息或触线 100 万人 安全评估通道
履行员工劳动合同所必需（如薪资、社保跨境处理） 合同必需豁免，留档

第三步：文件准备

第四步：持续合规

跨境通道并非”一次备案终身有效”。合同备案有效期与安全评估有效期均有限制，到期前需重新申报或续期；个人信息处理者在发生境外接收方变更、跨境目的与方式变更、个人信息类别与规模重大变化时，需重新履行合规义务。

四、落地香港：双线合规的并行义务

内地企业把数据传到香港子公司后，并非万事大吉。香港《个人资料（私隐）条例》（PDPO）独立运作，对在港收集、持有、处理或使用的个人资料施加六项保障原则：

  1. 收集目的与方式合法——须以”必要”为限度；
  2. 准确性——资料应准确、最新；
  3. 使用限制——未经同意不得用于新目的；
  4. 保安——须采取合理措施防止未授权访问；
  5. 透明度——隐私政策须清晰易懂；
  6. 数据保留——不超过原定目的所需时间。

PDPO 设有”跨境资料转移”专项（第 33 条），当香港资料使用者拟将个人资料转移至香港以外地方时，须采取”所有合理可行的步骤”确保该资料在接收地得到与 PDPO 大致相当的保护，否则不得转移。

维度 PIPL（内地侧） PDPO（香港侧）
主管机关 国家网信办、各行业主管部门 个人资料私隐专员公署（PCPD）
跨境路径 安全评估 / 标准合同 / 认证 / 豁免 须自行评估接收地保护水平
同意要求 单独同意（敏感信息） 推定同意（自愿提供即视同同意），但敏感信息可被撤回
罚则 最高 5,000 万元或上一年营业额 5% 违反私隐原则可被 PCPD 调查，强制执行令、刑事检控有限
监管风格 事前审批 + 事后处罚 事后监管为主，强调指引与认证

实务中，企业应同步建立两套合规文档：内地侧的法务、信安、IT 团队负责 PIPL 路径申报与备案；香港子公司指派隐私专员（Privacy Officer）负责 PDPO 的政策更新、个人资料查阅请求处理与跨境转移评估。

五、典型出海场景与合规建议

场景 1：跨境电商客户运营

内地总部将订单数据、客户画像同步至香港子公司用于再营销。涉及用户姓名、地址、购买行为，规模通常在百万级。 建议：走标准合同通道；同时为香港子公司建立 PDPO 合规框架与隐私政策；对敏感字段（身份证号用于清关）原则上不出境。

场景 2：SaaS 服务出海

总部位于内地的 SaaS 厂商服务香港乃至东南亚客户，部分客户在中国境内注册。 建议：区分客户主体所在地，若为境内自然人则适用 PIPL；可在架构上让香港子公司作为合同主体，避免直接从境内收集数据。

场景 3：跨境员工 HR 数据

派遣员工赴港工作，薪资、社保、考勤数据跨境传输。 建议：评估是否落入”履行劳动合同所必需”的豁免情形；即便适用豁免，仍建议签署内部数据传输协议（IDTA）并留存记录。

场景 4：集团合并报表与风控数据

内地子公司向香港母公司报送集团数据用于审计与风控。 建议：依据《跨国集团个人信息出境认证管理细则》评估认证路径；提前一年准备集团合规体系文档。

六、合规误区的红线警示

七、合规成本与节奏把控

跨境数据合规的常见支出项包括：法务咨询费、PIPIA 评估费用、认证机构审核费、系统改造费（脱敏、加密、日志审计）、培训与持续运营费用。规模较小的出海团队可以借助律师事务所与认证机构的”打包服务”降低单位成本，但必须确保 PIPIA 报告与备案材料由企业内部数据负责人深度参与，避免”代写模板化”。

节奏建议：

  1. T-3 个月：内部盘点与路径选择；
  2. T-2 个月：文件准备与法律文本签署；
  3. T-1 个月至 T：向网信办备案或提交安全评估；
  4. T+1 个月：建立香港侧 PDPO 配套文件与培训；
  5. T+6 个月：首次内部合规审计与差距分析。

数据跨境从来不是一次性工程，而是伴随企业出海生命周期的长期治理。对于以香港为跳板的内地企业，内地侧 PIPL 路径 + 香港侧 PDPO 框架的双线合规能力，正在成为能否真正”走出去”的基础设施。建议把跨境数据合规纳入董事会级议题，而不是交给 IT 部门独自承担。

香港大全 持续更新香港身份、税务、营商与合规相关指南，欢迎前往站内查阅更多内地企业赴港实操内容。

常见问答

内地的个人信息传到香港子公司，是否仍属于《个人信息保护法》意义上的”出境”？

属于。PIPL 判断”出境”看的是数据主体或数据来源是否在境内，与接收方所在地无直接关系。只要数据主体是中国境内自然人，或数据是在境内收集产生，传到香港同样构成跨境传输，须先在国内打通合规路径。

什么情况下必须走国家网信办的安全评估，而不是签标准合同备案？

两类情形触发安全评估：一是个人信息处理者实际处理的个人信息主体累计达到 100 万人；二是自上年 1 月 1 日起累计向境外提供 10 万人个人信息或 1 万人敏感个人信息。此外，跨境传输”重要数据”无论数量多少也须走安全评估。

签了网信办的标准合同备案，是不是一次备案长期有效？

并非如此。标准合同备案与安全评估均有有效期限制，到期前需重新申报或续期。同时，境外接收方变更、跨境目的与方式变更、个人信息类别与规模发生重大变化时，也需重新履行相应合规义务，建议建立到期与变更的内部预警机制。

香港《个人资料（私隐）条例》要求隐私政策写成什么样？需要单独同意吗？

PDPO 要求隐私政策清晰易懂，符合收集目的与方式合法、准确性、使用限制、保安、透明度、数据保留六项保障原则。在同意机制上，PDPO 采用推定同意原则，但敏感信息的同意可被资料主体撤回，实务中通常会另行获取明确同意以降低争议风险。

跨境电商场景下，客户的身份证号或护照号能否直接同步到香港子公司用于清关？

原则上不建议直接出境。身份证号、护照号属于敏感个人信息，单独同意与必要性的要求更高。可行的做法是境内主体完成清关后再将脱敏或最小化字段同步给香港子公司，或由香港子公司作为合同主体重新收集，以降低 PIPL 项下的合规压力。

集团内部把内地员工的 HR 数据传到香港母公司，能否完全豁免合规通道？

不一定。PIPL 允许在”为订立、履行个人作为一方当事人的合同”或”实施跨境人力资源管理”等豁免场景下跨境传输，但需留存书面证据。若涉及集团合并报表、风控等非 HR 必需场景，则需评估能否适用跨国集团个人信息保护认证通道，而非简单依赖豁免。

延伸阅读