目前隨著經濟全球化，跨國公司在全球市場中所佔的比例正在逐步增加。出於經營、管理的目的，跨國公司需要頻繁地將設立於各國的機構處產生的員工信息、客戶信息等資料跨境傳輸至總部，這便產生了個人信息跨境提供合規的需求。同時，隨著國內《個人信息保護法》等相關法規的出台，對前述個人信息跨境提供等資料處理行為的合規提出了日益嚴格的要求。因此，本文就跨國公司個人信息跨境提供的相關規定進行了整理。下表為個人信息跨境提供涉及的部分法規以及官方發布的徵求意見稿：

一、《個人信息保護法》等法規的效力範圍

《個保法》第三條

在中華人民共和國境內處理自然人個人信息的活動，適用本法。

在中華人民共和國境外處理中華人民共和國境內自然人個人信息的活動，有下列情形之一的，也適用本法：

（一）以向境內自然人提供產品或者服務為目的；

（二）分析、評估境內自然人的行為；

（三）法律、行政法規規定的其他情形。

對於跨國公司的個人信息跨境提供合規，首先需要討論的是此種行為是否受到國內相關法規的約束。我國的立法採用了屬地管轄+保護管轄的立法模式。就屬地管轄而言，只要在中華人民共和國境內對自然人個人信息進行處理，不論處理主體是否為中國公民或中國企業均受到《個保法》等法規的約束。因此，境內的跨國公司向境外公司提供資料的，依據屬地管轄受《個保法》等法規的約束。

其次就保護管轄而言，《個保法》第三條第二款的規定以信息處理行為的目的與對象作為保護管轄的認定標準，這基本上涵蓋了指向中國境內個人或組織的所有信息處理行為，囊括範圍較大。同時，《條例》中補充了「涉及境內重要資料處理」的情形，使得《個保法》等法規的適用範圍呈現進一步擴大的趨勢。因此，跨國公司集團內部傳輸或處理的信息如包含中國境內組織或個人的信息或者其他涉及境內的重要資料，就有較大的可能受到《個保法》等規定的規制。

二、個人信息跨境提供的合規要求

（一）個人信息跨境提供的前提條件

1. 特殊主體的安全評估申報義務

《個保法》第四十條

關鍵資訊基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者，應當在中華人民共和國境內收集和產生的個人信息存儲在境內。確需向境外提供的，應當通過國家網信部門組織的安全評估；法律、行政法規和國家網信部門規定可以不進行安全評估的，從其規定。

根據《個保法》第四十條的規定，滿足特定條件的個人信息處理主體需要向境外提供信息的，應當向國家網信部門申報進行安全評估。同時，《評估辦法》等規定進一步細化了安全評估的相關內容。

（1）關鍵資訊基礎設施運營者

《關鍵資訊基礎設施安全保護條例》第二條延續了《中華人民共和國網路安全法》的規定，將關鍵資訊基礎設施定義為公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務、國防科技工業等重要行業和領域的，以及其他一旦遭到破壞、喪失功能或者資料洩露，可能嚴重危害國家安全、國計民生、公共利益的重要網路設施、資訊系統等。

（2）處理個人信息達到規定數量

在《個保法》提出安全評估的要求後，《評估辦法》就安全評估的具體事項做出了規定。根據《評估辦法》第四條的規定，處理100萬人以上個人信息或者自上年1月1日起累計向境外提供10萬人個人信息或者1萬人敏感個人信息的資料處理者向境外提供資料的，需要通過所在地省級網信部門向國家網信部門申報資料出境安全評估。

（3）資料出境風險自評估

根據《評估辦法》第五條的規定，資料處理者在申報資料出境安全評估前30日內，應當完成資料出境風險自評估，並在申報安全評估時將資料出境風險自評估報告一併提交。資料出境風險自評估應當包含以下內容：

（4）資料出境安全評估的評估事項

根據《評估辦法》第八條的規定，資料出境安全評估的具體內容與資料出境風險自評估的內容存在相似性，具體如下：

2. 非特殊主體個人信息跨境提供的前提條件

《個保法》第三十八條規定

個人信息處理者因業務等需要，確需向中華人民共和國境外提供個人信息的，應當具備下列條件之一：

（一）依照本法第四十條的規定通過國家網信部門組織的安全評估；

（二）按照國家網信部門的規定經專業機構進行個人信息保護認證；

（三）按照國家網信部門制定的標準合同與境外接收方訂立合同，約定雙方的權利和義務；

（四）法律、行政法規或者國家網信部門規定的其他條件。

中華人民共和國締結或者參加的國際條約、協議對向中華人民共和國境外提供個人信息的條件等有規定的，可以按照其規定執行。

個人信息處理者應當採取必要措施，保障境外接收方處理個人信息的活動達到本法規定的個人信息保護標準。

針對非特殊主體進行個人信息跨境傳輸，《個保法》採取了事前監管的模式。不同於特殊主體必須進行安全評估，非特殊主體可選擇按照國家網信辦的規定經專業機構進行認證，或按照國家網信辦制定的標準合同與境外接收方訂立合同。

（1）個人信息保護認證

《認證規範》於2022年12月16日生效，進一步細化了個人信息保護認證的相關內容。值得一提的是，《認證規範》明確指出了境外個人信息處理者可由其在境內設置的專門機構或指定代表申請認證，並承擔法律責任。這暗示了對於存在跨境資料傳輸需求的跨國企業，個人信息保護認證可作為保證信息處理合規的重要途徑。

（2）國家網信部門制定的標準合同

國家互聯網信息辦公室於2022年6月30日公布了《標準合同》。《標準合同》對個人信息出境的目的和範圍、取得事先單獨同意等內容進行了規定。合同內容概括如下：

需要注意的是，信息處理者就信息處理合同的約定是個人信息跨境提供合規的關鍵，一份內容完善的信息處理合同可以說明企業規避大多數個人信息跨境提供過程中的法律風險。因此，《標準合同》除了用於滿足《個保法》第三十八條的規定之外，跨國企業在涉及信息處理的其他場合也可參照《標準合同》的內容訂立合同。

（二）個人信息安全影響評估

《個保法》第五十五條規定

有下列情形之一的，個人信息處理者應當事前進行個人信息保護影響評估，並對處理情況進行記錄：……四）向境外提供個人信息…

個人信息安全影響評估，是指針對個人信息處理活動，檢驗其合法合規程度，判斷其對個人信息主體合法權益造成損害的各種風險，以及評估用於保護個人信息主體的各項措施有效性的過程。個人信息保護影響評估報告應當保存至少3年。根據《個保法》第五十五條的規定，個人信息處理者如果需要進行信息的跨境傳輸，除需要滿足前文的前提條件之外，應當另外進行個人信息安全影響評估。目前，全國信息技術標準化技術委員會於2018年6月11日發布了《評估指南》，就評估實施、評估內容等提供了參考文本。

（三）單獨同意

《個保法》第三十九條

個人信息處理者向中華人民共和國境外提供個人信息的，應當向個人告知境外接收方的名稱或者姓名、聯繫方式、處理目的、處理方式、個人信息的種類以及個人向境外接收方行使本法規定權利的方式和程序等事項，並取得個人的單獨同意。

單獨同意，根據《條例》第七十三條的規定，是指資料處理者在開展具體資料處理活動時，對每項個人信息應當單獨取得個人同意，而不能一次性請求針對多項個人信息、涉及多種處理活動的同意。因此，企業曾經通過單獨的請求頁面一次性請求所有個人信息的處理授權的做法，已經不能滿足現行《個保法》的要求。

值得一提的是，《個保法》第十三條規定了取得個人同意的例外情形：個人信息為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需時，個人信息處理者不需要取得個人的同意。在跨國企業為公司管理等需求而在企業內部跨境傳輸員工個人信息時，一定程度上滿足「為勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需」的要求，因此便存在是否需要就上述情形取得個人的單獨同意的問題。目前，就該問題尚不存在有法律約束力的規定或解釋。本文認為，一方面《個保法》第三十九條規定的「單獨同意」相較於《個保法》第十三條規定的「同意」有更高的要求，不是包含與被包含的關係，因此對「同意」的豁免條件不能當然地適用於「單獨同意」。另一方面，在跨境信息傳輸的場合應當更傾向於個人信息的保護。因此出於謹慎考慮，本文建議企業在上述情形下以與員工單獨簽訂「授權同意書」等授權檔的方式規避潛在的法律風險。