港府资助项目中的跨境数据传输合规
越来越多的中小企业通过「发展品牌、升级转型及拓展内销市场的特别措施」（BUD Fund）、「科技券」（TVP）、「中小企融资担保计划」（SFGS）等政府资助，把研发或市场团队设在内地，把项目管理与客户数据留在香港。一旦业务流跨越两地，跨境数据传输的合规成本就不再是 IT 部门的事——它会直接写进资助申请书的合规声明、季度进度报告与项目审计中。
不少企业以为申请了港府资助，只要遵守香港的《个人资料（私隐）条例》就足够。事实上，涉及内地业务、员工或客户的资料输出，均须同时对照内地《网络安全法》、《数据安全法》、《个人信息保护法》（PIPL）的出境规则。任一环节缺漏，轻则被资助秘书处要求整改、重则面临审计不合格与资助金回收。
本文为申请港府资助的中小企业提供一份「双轨合规」入门指引。
一、为什么资助项目特别敏感？
港府各资助计划在申请条款中均设有「资料保密与使用」条款。以 BUD Fund 与 TVP 为例，申请人须承诺：
- 项目所收集、储存、传输的个人资料均符合相关司法管辖区法规；
- 同意政府在审计、评估、合规查核时查阅项目相关资料；
- 项目若涉及跨境资料，须自行承担合规责任，政府不承担连带责任。
也就是说，资助方把合规义务「下放」给了申请企业。一旦跨境传输出现违规，被处罚的是企业本身；资助方亦可据此判定项目不符合条款，要求退回款项。
二、跨境传输的两条法规线
1. 香港线：《个人资料（私隐）条例》（PDPO）
PDPO 由个人资料私隐专员公署（PCPD）执行，核心是六项保障原则：
| 原则 | 关键要求 |
|---|---|
| 收集目的 | 须明确告知当事人收集目的与使用方式 |
| 准确性 | 资料须准确、及时更新 |
| 使用限制 | 资料只用于当初收集的目的，或直接相关目的 |
| 储存期限 | 不再需要时须删除 |
| 安全保障 | 须采取合理措施防止未授权查阅 |
| 透明度 | 须公开私隐政策 |
跨境传输的重点：PDPO 第 33 条规定，把香港资料转移至境外前，须评估目的地是否能有「合理程度的保护」。若未达此标准，须先取得当事人书面同意或采取合同、约束性企业规则（BCR）等补救措施。
2. 内地线：《个人信息保护法》（PIPL）出境三路径
内地《个人信息保护法》第 38 条规定个人信息出境须经以下任一通道：
- 通过国家网信办组织的安全评估（主要适用于关键信息基础设施运营者及处理大量个人资料的企业）
- 按规定经专业机构进行个人信息保护认证
- 与境外接收方订立标准合同条款（SCC），并向省级网信办备案
另外，亦可依据《促进和规范数据跨境流动规定》（2024年发布）的豁免条款——例如非关键信息基础设施运营者、单次出境不满一定数量个人信息等情形，可在符合条件时免于申报。具体门槛以官方最新公布为准。
三、常见资助项目与典型传输场景
| 资助计划 | 典型跨境场景 | 主要资料类型 |
|---|---|---|
| BUD Fund（内地计划） | 香港母公司 ↔ 内地销售团队/客户 | 客户资料、销售订单、合同 |
| 科技券 TVP | 项目开发、测试、运维 | 用户行为日志、测试用户资料 |
| 中小企融资担保计划 | 风控审计、客户尽调 | 信贷资料、身份证副本 |
| 数码转型支援先导计划 | 客户管理系统上云、CRM 数据迁移 | 客户资料、交易记录 |
无论是哪一种，只要资料流跨越内地与香港，两地法律同时适用。
四、合规自检清单
在递交资助申请或中期报告前，建议企业按以下清单逐项核验：
A. 资料盘点
- 已绘制项目涉及的资料流图谱（谁收集、储存在哪、谁访问、是否出境）
- 已区分敏感个人信息与一般个人信息
- 已识别项目期内预计传输的资料量级
B. 法律适用
- 已确认项目同时受 PDPO 与 PIPL 约束
- 已查阅《促进和规范数据跨境流动规定》的最新豁免门槛
- 已确定自身是否属于「关键信息基础设施运营者」
C. 传输路径
- 已选择合适的出境路径（安全评估 / 认证 / 标准合同 / 豁免）
- 已与境外接收方签订符合 PIPL 要求的数据处理协议
- 已向省级网信办完成必要的备案或提交评估申请
D. 内部治理
- 已更新私隐政策，涵盖跨境传输条款
- 已对参与项目的内地员工进行合规培训
- 已建立资料安全事故应急响应机制
- 已指定资料保护负责人（DPO 或对接人）
E. 资助文档
- 资助申请书中的合规声明已如实填写
- 已保留跨境传输相关证据，以备秘书处审计
- 季度/中期报告能清晰说明资料流向变化
五、四类常见误区
误区一：「只要走云服务商就合规」
云平台（例如某海外云、内地云）可提供基础设施层的加密与权限控制，但合规责任不会转移。企业仍须评估资料出境的合法性、签署 SCC、办理评估申请。
误区二：「BUD Fund 项目资料可以全部带回内地」
BUD Fund 的资助目标是协助港企拓展内地市场，并不等于授权企业将香港端的客户资料自由回传内地。传输前仍须按 PIPL 完成路径选择与备案。
误区三：「集团内部子公司传输无须合同」
母公司与子公司之间的资料传输同样属于「跨境传输」，仅依据集团内部政策并不足够。须按 PIPL 选用 SCC、BCR 或同等机制。
误区四：「审计只看发票与开支凭证」
资助秘书处的审计范围已扩展至项目执行过程与合规情况。若发现项目期间出现重大资料违规（如被网信办处罚），可判定项目执行不力。
六、实操建议
- 尽早介入：在撰写资助申请书阶段就启动合规评估，不要等项目获批后才补救——预算与时间表通常无法容纳补办安全评估或 SCC 备案的周期。
- 善用官方资源：PCPD 出版的《跨境资料转移指引》、国家网信办的个人信息出境申报指南均为公开文件，可直接套用其模板。
- 保留过程证据：每一项跨境传输决策、内部审批、合规培训都建议留档，资助审计与监管检查均可调用。
- 寻求专业意见：涉及资料量级较大、涉及敏感个人信息或医疗、金融等行业时，建议委托律师事务所或合规顾问出具意见书。
结语
跨境数据传输合规看似技术议题，实则是资助项目能否顺利验收的「隐形门槛」。把合规动作前置，不仅能降低审计风险，也能让企业在拓展内地市场时具备更稳固的资料治理基础。
香港大全 持续整理香港人才、补贴、税务、创业与生活相关实用指南，欢迎站内查阅更多专题。
常见问答
申请 BUD Fund 内地计划时，客户资料能否直接由内地销售团队调取香港 CRM？
不可以。即便 BUD Fund 的资助目标是协助港企拓展内地市场，资助条款并不等于授权企业将香港端的客户资料自由回传内地。跨境传输前仍须依据内地《个人信息保护法》（PIPL）选择出境路径，例如签订标准合同条款（SCC）并向省级网信办备案，或评估自身是否符合豁免门槛。具体豁免门槛以官方最新公布为准。
TVP 科技券项目用内地云做开发测试，是否需要做 PIPL 出境申报？
需要。把项目开发、测试、运维放在内地云，等同于资料从香港出境至内地，仍受 PIPL 与香港《个人资料（私隐）条例》（PDPO）双轨约束。云平台可提供加密与权限控制等基础设施，但合规责任不会随之转移，企业仍须自行完成路径选择、合同签署与必要备案。
中小企融资担保计划（SFGS）的尽调资料传到内地做风控，是否受 PIPL 管辖？
是。只要资料流跨越内地与香港，两地法律同时适用。信贷资料、身份证副本等通常属于个人资料范畴，须按 PIPL 第 38 条三路径处理；若企业并非关键信息基础设施运营者，且单次出境量级未超出豁免门槛，可在符合条件时免于申报，具体门槛以官方最新公布为准。
集团母公司与内地子公司之间的资料传输，是否需要额外合同？
需要。母公司与子公司之间的资料传输同样属于「跨境传输」，仅依据集团内部政策并不足够。须按 PIPL 选用 SCC、约束性企业规则（BCR）或同等机制，并与境外接收方签订符合 PIPL 要求的数据处理协议，必要时向省级网信办备案。
资助秘书处审计时，会核查跨境传输合规情况吗？
会。港府各资助计划在申请条款中均设有「资料保密与使用」条款，秘书处的审计范围已扩展至项目执行过程与合规情况，审计时可能查阅项目相关资料。若发现项目期间出现重大资料违规，可判定项目执行不力，进而要求整改甚至收回资助款项。建议企业保留跨境传输决策、内部审批与合规培训的过程证据，以备核查。