中企出海人力資源管理數據合規(guī)白皮書(2024版)

BeisendtHAN<UN數據合規(guī)白皮書第二章第三章第四章第五章第六章趨勢引領未來：中企出海的新挑戰(zhàn)與新機遇出海企業(yè)人力資源管理數據合規(guī)場景及挑戰(zhàn)人力資源管理數據合規(guī)的五大關鍵一.個人信息收集、使用的合規(guī)處理二.跨境傳輸個人信息的合規(guī)處理三.個人信息存儲、刪除的合規(guī)處理四.個人信息主體權利響應的合規(guī)處理五.個人信息安全保障的合規(guī)處理人力資源數字化如何做到全球數據合規(guī)一.人力資源數字化平臺合規(guī)場景分析二.全球人力資源數字化建設合規(guī)誤區(qū)關于本白皮書附錄一:關于北森附錄二:關于漢坤附錄三:重點國家/地區(qū)的數據合規(guī)要求概述(新加坡歐盟阿聯酋南非哈薩克斯坦美國)050809202223273335384042趨勢引領未來：中企出海的新挑戰(zhàn)與新機遇中企出海人力資源數據合規(guī)白皮書02探索未知，擁抱未來：全球化浪潮下的中企出海局勢隨著全球百年未有大變局的加速演進，時代的風口之下，越來越多的企業(yè)以前所未有的決心揚帆出海，在全球探索新的機遇?；仡欉^去一年，在中國技術革新、能源轉型和產業(yè)升級的新趨勢下，一批批出海的先行者以創(chuàng)新的生命力，開拓出一片全球化的廣闊天地。據商務部、外匯局統計，2024年1~8月，我國全行業(yè)對外直接投資7894.5億元人民幣，同比增長12.5%。其中，非金融類直接投資累計6692.4億元人民幣，增長14.3%。2024年上半年，上市公司實現海外業(yè)務收入3.83萬億元，同比增長12.84%，增長率提升9.93個百分點。電氣、電子及通訊、木材、家具、科學研究和技術服務業(yè)等行業(yè)海外業(yè)務收入份額較高，達25%以上。這些均顯示出中國企業(yè)出海取得了顯著成效。這一次中國企業(yè)走向國際市場，也表現出了時代的特點。首先，這些企業(yè)在選擇海外市場時更加注重市場潛力和行業(yè)發(fā)展趨勢，不再僅僅局限于傳統的貿易伙伴。其次，他們在進入新市場時，更加注重本土化策略及產業(yè)鏈的構建，以更好地適應當地文化和市場需求。此外，中國企業(yè)在本次全球化過程中，更加注重品牌建設和知識產權保護，努力提升自身在國際市場上的競爭力和影響力。最后，他們表現出了更強的靈活性和應變能力以應對國際貿易環(huán)境變化。03跨越國界的人力資源數據合規(guī)挑戰(zhàn)：中企出海的新課題當下的中企出海不僅是全球化，更要尊重各地本土化。然而一些企業(yè)往往容易陷入誤區(qū)，帶著固有的認知去海外經營。這種思維方式導致他們在海外運營常常會面臨一些棘手的問題。而在這其中，人力資源數據合規(guī)挑戰(zhàn)已成為出海企業(yè)不可回避的關鍵命題。它不僅關乎企業(yè)的法律風險防控，更是企業(yè)穩(wěn)健前行、贏得國際市場競爭力的核心要素。以下是出海企業(yè)會高頻遇到的一些數據合規(guī)挑戰(zhàn)：法規(guī)遵循的挑戰(zhàn)：海企業(yè)需要在全球范圍內確保合規(guī)。e@人力資源管理的數據合規(guī)挑戰(zhàn)：在招聘、入職、績效管理等環(huán)節(jié)，企業(yè)需收集大量員工個人信息，這些信息的處理必須合法合規(guī)，尤其是敏感信息如生物識別、醫(yī)療健康等，一旦泄露將對個人權益產生重大影響。此外，內部數據管理流程也是關鍵，員工數據保護意識不足、系統漏洞、惡意攻擊等都可能導致數據泄露。e技術發(fā)展的挑戰(zhàn)：隨著云計算、大數據、人工智能等技術的快速發(fā)展，使得企業(yè)在處理人力資源數據時面臨更多的技術難題。如何在合規(guī)的前提下高效應用新技術，以及不斷更新和迭代的數據隱私保護技術，如加密、訪問控制、匿名化處理等，都給企業(yè)帶來了額外的技術挑戰(zhàn)和成本投入。中企出海人力資源數據合規(guī)白皮書04即便當前中企出海的熱潮正以前所未有的勢頭席卷全球，眾多企業(yè)在涉足陌生的海外市場時，面對紛繁復雜的政策體系與法律環(huán)境，依然會感到困惑與迷茫。尤其在如何妥善處理各類合規(guī)問題上，這些企業(yè)往往缺乏足夠的經驗與策略，導致在國際化進程中步履維艱。更令人擔憂的是，一些企業(yè)將合規(guī)管理簡化為在本地部署一套軟件，認為這樣就能輕松滿足所有合規(guī)要求。這種簡單的做法，顯然未能觸及合規(guī)管理的本質與核心，更無法真正解決企業(yè)在出海過程中可能遭遇的各種合規(guī)挑戰(zhàn)，反而將公司置于更大的合規(guī)風險中。為了幫助中國企業(yè)更好地應對這一困境，我們策劃并發(fā)布這份白皮書。這份白皮書旨在為中國企業(yè)提供指導與幫助，使其能夠迅速識別并有效應對在出海過程中可能遇到的合規(guī)挑戰(zhàn)。通過深入了解海外市場的政策與法律環(huán)境，企業(yè)將能夠更快地適應新的市場環(huán)境，在全球化發(fā)展的道路上穩(wěn)健前行。出海企業(yè)人力資源管理數據合規(guī)場景及挑戰(zhàn)中企出海人力資源數據合規(guī)白皮書06歐盟《通用數據保護條例》（GeneralDat其后，巴西、中國、泰國、越南等多國均加快了本國數據安全方面法律的立法節(jié)奏，中國企業(yè)當下的出海浪潮恰好在這樣的背景下出現。這就對出海企業(yè)的人力資源管理提出了一個挑戰(zhàn)：在全球化人力資源管理的同時，能夠符合不同國家的個人數據安全法規(guī)和政策。人力資源管理，管理的對象是人，而與人相關的個人信息及其他信息（統稱“數據”）是人力資源管理過程中必然涉及的要素，例如招聘時收取應聘者簡歷，即是數據“收集”；向員工支付工資時，產生對員工銀行企業(yè)進行人力資源管理的動作，無不交織著數據處理動作，因此除需遵守勞動用工相關法規(guī)外，還需遵守數據合規(guī)的相關法規(guī)。中國企業(yè)出海成為跨國型集團公司后，增加了集團總部與分子公司之間，為了實現管理目的而不可避免的數據流動場景，例如海外招聘場景下，在總部參與人事聘用決策時，海外分子公司需將相應應聘者數據提供給位于中國的總部進行處理；集團對員工薪酬統一管控場景下，位于中國之外的分子公司自行招聘、管理的員工信息也需提供給中國總部進行薪酬管理；跨國公司通常使用一套人力資源管理軟件，該軟件的服務器可能在總部或者分子公司所在的國家/地區(qū)，則整個集團的人力資源管理數據均存在跨境傳輸及存儲的問題。實際上，除了人力資源管理軟件外，出海企業(yè)辦公中使用電子郵件、即時通訊IM、公司通訊錄等工具也有可能帶來個人信息的跨境傳遞，同樣構成個人數據跨法域流動問題。以上數據跨法域流動，使得出海企業(yè)除了遵守目的地國家/地區(qū)數據合規(guī)相關法規(guī)外，還需考慮遵守數據入境國家/地區(qū)數據合規(guī)相關法規(guī)。因此，出海企業(yè)把人力資源管理動作拆解并抽象為對應的數據處理行為，有助于更好的識別本企業(yè)人力資源管理場景下具體產生了哪些數據處理行為，涉及哪些數據，從而明確企業(yè)應該匹配哪些數據合規(guī)動作。目前越來越多的中國出海企業(yè)選擇擴大目的地國家/地區(qū)本土化團隊規(guī)模來代替大量人員外派，因此，本白皮書重點以“員工當地化”的出海模式為模型，討論出海企業(yè)在人力資源管理中將面臨的數據合規(guī)問題。以下列舉部分人力資源管理場景中的數據處理行為，以便于基于場景理解數據合規(guī)面臨的問題和挑戰(zhàn)：(1)人員招聘過程中，涉及個人信息收集使用、存儲刪除、跨境傳輸等數據合規(guī)問題人員招聘過程中企業(yè)收取應聘者簡歷是人力資源管理場景中，收集個人信息的主要入口；企業(yè)自行對應聘者進行背景調查時，從公開渠道或應聘者自行提供的渠道獲取的應聘者簡歷以外的個人信息，也是企業(yè)收集應聘者數據的又一入口，依法收集是后續(xù)數據合規(guī)處理的源頭。人員招聘過程中面試官閱讀應聘者簡歷、面試時與應聘者討論其簡歷等，是招聘場景下對數據使用的主要方式。企業(yè)需關注不同國家/地區(qū)對何為依法收集使用的限定。如招聘失敗，企業(yè)涉及是否可繼續(xù)留存、使用應聘者簡歷，或需要何時刪除應聘者簡歷問題。如企業(yè)用于存儲應聘者簡歷等個人信息的服務器位于應聘者所在國家/地區(qū)之外，或集團中A公司評估該應聘者更適合B公司招聘的崗位因而將應聘者簡歷推薦給位于與A公司不在同一個國家/地區(qū)的B公司時，或集團中A公司通過郵件形式將應聘者簡歷發(fā)送給總部評估時，都會導致應聘者個人信息跨境流動，則應滿足數據跨境傳輸的合規(guī)要求。（2）用工管理過程中，涉及個人信息收集使用、跨境傳輸等數據合規(guī)問題招聘成功后，企業(yè)可依法向員工進一步收集除簡歷信息之外的個人信息，用于人力資源管理所必需的目的，以中國法為例，如用于簽署勞動合同的身份證信息、用于支付工資的銀行賬戶信息、用于為員工繳納社保的社保賬戶信息等；企業(yè)對員工進行假勤管理過程中，可收集員工的打卡信息，員工請休病假、婚假等假期時，企業(yè)可向員工收集醫(yī)院病假證明、結婚證明等必要的證明材料信息；企業(yè)對員工進行績效、薪酬管理過程中，可收集員工的績效信息及薪酬、社保、個稅等信息；企業(yè)用于存儲員工個人信息的服務器或為企業(yè)提供人力資源服務的供應商的服務器位于員工所在國家/地區(qū)之外這樣大的管理框架下，或企業(yè)集團總部統一向各分子公司員工配發(fā)期權等激勵這樣具體的管理場景下，均會產生員工個人信息跨境存儲或流動，應滿足數據跨境傳輸的合規(guī)要求。（3）員工離職后，涉及個人信息使用、存儲刪除等數據合規(guī)問題員工離職后，企業(yè)需依員工所在國家/地區(qū)法律規(guī)定，及時刪除員工數據，或依法繼續(xù)保存員工部分數據，并僅限于法律規(guī)定的范圍內使用，如以中國法為例，企業(yè)與離職員工簽署了競業(yè)限制協議時，在該協議履行期限內，企業(yè)可不刪除履行該協議所必需的信息，但也僅可為履行該協議而使用，不得轉作他用，例如向該離職員工發(fā)送廣告信息等。（4）員工作為個人信息主體的權利響應合規(guī)問題員工在發(fā)現企業(yè)違法收集、使用其個人信息，或企業(yè)應當依法刪除其個人信息而沒有刪除等情形時，有權向企業(yè)提出停止、拒絕相應行為或刪除其個人信息等要求，企業(yè)需依法予以及時響應。（5）人力資源管理各階段均涉及數據安全保障合規(guī)問題企業(yè)在員工入、轉、調、離整個人力資源管理場景下，均需采取必要的組織、制度、技術措施，保障應聘者及員工的個人信息安全。例如：任命數據隱私官或數據保護官，建立相關流程、以及對員工的權利做出響應，開展個人數據保護影響評估、報告數據泄漏等?？梢?，中國企業(yè)出海，在人力資源管理數據合規(guī)方面，應重點了解目的地國家可見，中國企業(yè)出海，在人力資源管理數據合規(guī)方面，應重點了解目的地國家/地區(qū)在個人信息收集使用、存儲刪除、數據跨境、個人權利響應、安全保障義務等方面的法律法規(guī)，以防范可能產生的管理風險，建立一套支持企業(yè)多國家、跨區(qū)域運營的人力資源管理數據合規(guī)體系，提升企業(yè)的運營效率，為企業(yè)向其他國家或地區(qū)拓展業(yè)務提供良好的底層基礎和支撐。人力資源管理數據合規(guī)的五大關鍵09個人信息收集、使用的合規(guī)處理e@個人信息及敏感個人信息的定義不同法域對個人信息的定義相近，多數都強調個人信息的可識別性特征，即能識別特定個人的信息是個人信息，很多國家在可識別性特征之外，又對個人信息進行了部分列舉。東南亞泰國馬來西亞新加坡歐盟中東阿聯酋沙特不同法域對敏感個人信息的定義不同，但多數法域的敏感個人信息（在部分法域稱為“特殊種類的個人東南亞泰國馬來西亞新加坡歐盟中東阿聯酋沙特敏感個人信息沒有明確提出“敏感個人數據”的概念，但是對部分特殊數據的處理進行了殘疾狀況、所屬貿易聯盟、基因數據、生物識別數據或者任何以泰國數據保護監(jiān)管機構認定方式影響信息主體的數據包括有關信息主體的身體或精神健康狀況、政治觀點、宗教信仰或其他類似信仰、犯罪記錄相關信息，或主管部門確定的任何其他個人數據未單獨定義敏感個人數據，但以列舉方式規(guī)定了需加強保護水平的個人數據類型，包括新加坡國民身份證號碼（NRIC）及其他身份證件號碼、財務性質個人數據、保險信息、個人不良行為的歷史記錄、敏感醫(yī)療健康信息、未包括顯示種族或民族背景、政治觀念、宗教或哲學信仰或工會成員的個人數據、基因數據、為了特定識別自然人的生物性識別數據、以及和自然人健康、個人性生活或性取向相關的數據包括任何直接或間接揭示自然人的家庭、種族出身、政治或哲學觀點、宗教信仰、犯罪記錄、生物特征數據，或與該人的健康、身體、心理、精神、遺傳或性狀況有關的任何數據，包括與其健康狀況相關的醫(yī)療服務信息除歐盟涉及的敏感個人數據外，還包括揭示個人“部落起源”的數據、表明某人可能是非婚生或被收養(yǎng)的數據非洲肯尼亞中亞哈薩克斯坦北美美國南美中企出海人力資源數據合規(guī)白皮書非洲肯尼亞中亞哈薩克斯坦北美美國南美包括種族、健康狀況、宗教信仰、財產狀況、婚姻狀況、家庭詳情、性取向等數據未明確定義敏感個人信息，但定義了“生物特征數據”指表征個人信息主體生理和生物特征的數據，并根據可訪問性將個人數據分為公開個人數據和受限訪問的個人數據oSSN(社保號)、駕駛執(zhí)照、州身份證或護照號碼。消費者的登錄賬戶、金融賬戶、借記卡或信用卡號碼，并結合任何必要的安全或訪問代碼、密碼或允許訪問的憑證。精確的地理定位。種族或民族出身，宗教或哲學信仰，或工會會員資格。消費者郵件、電子郵件和短信。發(fā)送給公司之外其他人的信息溝通(如郵件、短信)的具體內容?；驍祿樽R別個人的目的處理的生物識別信息。有關消費者健康的個人數據。有關消費者的性生活或性取向的個人數據包括健康狀況、種族或民族起源、宗教信仰等數據（表一）e@人力資源管理中個人信息收集、使用的基本原則大多數國家或地區(qū)的法律要求僅當滿足特定法律規(guī)定的條件時才可以收集和使用個人信息，這些條件通常以獲得個人信息主體的同意為主，同時規(guī)定了不需要獲得同意即可收集、使用個人信息的例外情形，常見的例外包括為訂立或履行合同所必需、法律授權或為履行法定義務所必需、收集和處理已公開的個人信息、為追求合法利益所必需等。對于敏感個人信息的收集和使用，除需要滿足法律針對個人信息所規(guī)定的條件外，部分法域規(guī)定了更為嚴格的處理條件，通常體現為更嚴格的同意條件、限縮不需要獲得同意即可收集及使用的例外情形、需要履行額外的合法義務等。在人力資源管理場景下，招聘過程中收集的應聘者簡歷通常為一般個人信息，而招聘成功后，用工管理過程中，難以避免會收集到員工敏感個人信息，因此需要分別考慮其合規(guī)路徑。以下為部分國家/地區(qū)關于收集、使用應聘者、員工個人信息合規(guī)路徑的對比：收集使用應聘者個人信息合規(guī)路徑東南亞泰國馬來西亞新加坡收集使用應聘者個人信息合規(guī)路徑東南亞泰國馬來西亞新加坡歐盟收集使用員工個人信息合規(guī)路徑。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括履行勞動保護、社會保障和社會保護相關義務所必需的數據；履行勞動保密協議、競業(yè)限制協議等必需的數據；實現雇主的合法利益所必需的數據）。收集員工其他個人信息需取得員工明示同意（可以書面或電子簽名的方式）。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括依據就業(yè)相關法規(guī)及履行勞動合同所必需的數據）。收集員工其他個人信息需取得員工同意（需要在確保告知內容完整情形下做出同意，且形式可記錄，員工可隨時撤回其同意）建議通過獲得應聘者同。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括員工的住址、身份證件出生日期、性別、開始雇傭日期、結束雇傭工作時長、休假記錄、薪水記錄信息、為管理或結束雇傭關系的信息）。收集員工其他個人信息需取得員工同意。除法律規(guī)定的收集、處理情形外，企業(yè)在收集新加坡國民身份證號碼(NRIC)及其他身份證件號碼時必須遵守嚴格的必要性限制，僅在必須“以高保真度準確確定或驗證個人身份”時才能收集、處理身份證號碼信息建議通過獲得應聘者同個人信息（在GDPR規(guī)者同意的路徑更加可行）。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必企業(yè)為履行人力資源管理過程中法定義務所必需的數據；企業(yè)為維護自身合法利益所必須的數據）。在慎重證明員工不同意也不會給其造成任何不利后果的前提下，可通過取得員工同意的方式中東阿聯酋沙特非洲肯尼亞中亞哈薩克斯坦北美中東阿聯酋沙特非洲肯尼亞中亞哈薩克斯坦北美美國南美通過獲得應聘者同意的簡潔的語言以及易于獲可以隨時撤回同意）。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的為履行就業(yè)、社會保障或社會保護相關法律項下的義務或行使有關權利所必需的數據；履行勞動合同、保密協議、競業(yè)限制協議等必需的數據）。一般通過獲得應聘者行避免雇傭童工義務時可不取得應聘者同意。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括履行勞動合同、保密協議、競業(yè)限制協議等必需的數據、履行用人單位法定義務所必需的數據）。收集員工其他個人信息需取得員工同意，如為敏意的方式收集、使用其。除非企業(yè)意向與應聘者簽訂雇傭合同，否則即關部門或機構出具的無犯罪證明或合規(guī)證明。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括員工的姓名、年齡、性別、入職日期、國籍和學歷水平信息；企業(yè)履行法律義務必須的數據、履行勞動合同、保密協議、競業(yè)限制協議等必需的數據）。收集、使用敏感個人數據應充分向員工告知敏感同意，并開展數據保護影響評估。無需取得員工同意可直接收集、使用為員工設立養(yǎng)老金賬戶的信息。收集員工其他個人信息需取得員工同意方式告知應聘者企業(yè)收一般應當通過隱私政策等方式告知員工企業(yè)收集、使用其個人信息情況，如涉及敏感個人信息，對隱私政策告知內容有特別要求。除非存在其他符合法律規(guī)定的例外情形，一般通過獲得應聘者提供與絕育或懷孕狀檢查報告等。在滿足最小必要原則的前提下，無需取得員工同意即可直接收集、使用人力資源管理中所必需的個人信息（包括姓名、出生日期、地址、教育程度、國籍、工資、休假等信息）。收集員工其他個人信息需取得員工同意。即使獲得了員工同意，也不得為建立或延續(xù)雇傭關系而要求員工提供與絕育或懷孕狀態(tài)相關的證明、聲明、檢查報告等（表二）從上表可以看出，多數法域下，對于收集、使用應聘者個人信息通常以取得應聘者的同意為合規(guī)路徑；而對于收集、使用員工個人信息，在大多數法域內可依據人力資源管理所必需對員工信息進行處理，或取得員工同意收集使用個人信息兩個主要的合規(guī)路徑，因此建議出海企業(yè)：。對于應聘者，可通過取得其同意的方式收集使用其個人信息；。對于員工，可依據“人力資源管理所必需”的原則直接收集使用其個人信息，收集使用超過“人力資源管理所必需”范圍外的個人信息，需取得員工同意。在確定收集、使用的合規(guī)路徑基礎之上，如何確保企業(yè)已真實、有效地落實了合規(guī)動作，如何有效的“取得同意”、如何判斷哪些信息是“人力資源管理所必需”的信息，是人力資源管理場景下的重難點之一。人力資源管理中個人信息收集、使用的合規(guī)處理對于依賴同意作為合規(guī)路徑的情形，合規(guī)動作應重點考量“取得同意”的有效性。在收集使用應聘者個人信息及收集使用員工非人力資源管理場景必需的個人信息時，落實“取得同意”通常可采取要求應聘者或員工簽署知情同意書的方式進行。由于有些法域對“有效同意”設置了具體要求，例如告知充分、自由自愿給予、針對特定目的、明確且具體、不得捆綁、不得欺騙脅迫、可便捷撤回等，因此知情同意書需設置相應的內容以滿足該國充分、具體等告知要求；以員工自主線下書面簽署、電子簽署、線上勾選同意等方式進行簽署，以滿足該國自愿、明確等同意要求。建議跨國集團企業(yè)按照全面詳述收集應聘者或員工何種個人信息、收集使用的目的、方式、保存期限、是否會提供給第三方、是否涉及數據出境（如涉及，其可能的接收方）等內容，并由應聘者或員工線下簽署或電子簽署，以適配全球多地關于“取得同意”的合規(guī)路徑要求。對于依賴其它非同意作為合規(guī)路徑的情形，合規(guī)動作應重點考量是否遵循了最小必要原則，是否為人力資源管理中所必需的信息。從表二所列國家收集使用員工個人信息合規(guī)路徑的內容中可以看出，不同法域下人力資源管理中可能涉及處理的信息大致有以下幾類：信息舉例參考國家信息舉例參考國家收集使用合規(guī)路徑如為簽署、履行勞動合收集使用合規(guī)路徑如為簽署、履行勞動合同等人力資源管理所需如中國法下為履行代扣個稅、代繳社保等法定安裝門禁記錄員工進出工作場所的信息肯尼亞、中國肯尼亞、中國泰國、歐盟在對應國家無需取得員工同意，可直接收合法利益這一合法性基礎時，需在使用前開展平衡測試）人力資源管理中必需的信息訂立及履行人力資源管理中勞動者作為一方當事人的合同所必需的信息履行雇主法定義務所必需的信息為維護雇主合法利益所必需的信息非人力資源管理中必需的信息信息舉例收集使用合規(guī)路徑除上述人力資源管理中必需的信息外的所如中國法下非人力資源管理中必需的信息信息舉例收集使用合規(guī)路徑除上述人力資源管理中必需的信息外的所如中國法下收集員工息即非必需信息參考國家需取得員工同意（表三）上表從框架上界定了何為人力資源管理中必需的信息，但在實操中，并未有哪個國家的法律從字段級規(guī)定究竟何為人力資源管理中必需的信息。因此，需要結合該國勞動用工相關法律的規(guī)定及人力資源管理場景，對“必需的信息”做限縮解釋。一個判斷標準為，如不收集員工的某項信息，依法或依據勞動合同必須進行的某項管理動作是否即無法進行，如回答為是，則該信息為必需的信息，如回答為否，則該信息非必需的信息。例如在招聘場景下，收集應聘者的銀行賬號通常是非必需的，如收集則違反最小必要原則，即使經過應聘者同意也不應收集；而對于在職員工，為履行為其發(fā)放薪資的法定及勞動合同約定的義務而收集其銀行賬號則為必需的，不經員工同意也可以收集，此種場景下，通常收集一名員工一個銀行賬號即可實現發(fā)放薪資的目的，企業(yè)如想收集員工多個銀行賬號，同樣違反了最小必要原則，即使經過員工同意也不應收集。又如企業(yè)以訂立或履行勞動合同所必需為基礎處理員工個人信息，則應當確保處理個人信息的目的、方式、范圍均為履行勞動合同所必需，不存在超出必要范圍處理的情況。企業(yè)基于發(fā)放薪資等目的處理員工的薪酬信息通常為履行勞動合同所必需，而企業(yè)在辦公區(qū)域內拍攝宣傳視頻將部分員工攝錄入畫面中，此行為則可能已超出為履行勞動合同所必需的范圍，需要考慮通過取得員工同意的合規(guī)路徑來實現?？缇硞鬏攤€人信息的合規(guī)處理以GDPR為代表，大多數法域均規(guī)定了跨境傳輸個人信息的合規(guī)路徑，通常約束數據控制者僅能將個人信息傳輸至與本法域提供同等保護水平的國家，并在此基礎上規(guī)定相應的例外情形。針對如何衡量“提供同等（1）基于公共機構之間具有約束力和可執(zhí)行力的協議進行跨境轉移；（2）制定有約束力的公司規(guī)則（BCRs）且該BCRs獲得了數據保護機關的批準；（3）數據出口方與數據進口方簽署了標準合同條款（SCCs（4）基于經批準的行為守則（codeofconduct）進行轉移；（5）基于經批準的認證機制進行轉移。類似地，其他法域在考量是否“提供同等保護水平”時，也多采取白名單機制、簽訂數據跨境傳輸合同等。特別地，東盟仿照GDPR標準合同條款的形式發(fā)布了東盟合同條款（MCCs）供數據控制者跨境轉移個人信息時自愿采用。本地存儲要求參考實踐東南亞泰國基于上述，企業(yè)在人力資源管理場景下需跨境傳輸個人信息時，需首先建立個人信息跨境傳輸的合規(guī)路徑，本地存儲要求參考實踐東南亞泰國跨境傳輸合規(guī)路徑沒有明確的數據本地化泰國的數據跨境傳輸機制：。向具有充分數據保護水平的白名單國家傳輸：建立了該機制但尚未公布國聯公司間可制訂集團的BCR并經泰國數據保護監(jiān)管機構批準后進行傳輸。適當保障措施：包括簽署標準合同條或協議進行跨境傳輸。例外情形：存在以下例外情形時，亦可進行跨境傳輸，主要包括：法律要求轉移；已取得信息主體有效同意，在轉移到不具備充分保護水平的國家時確保個人信息主體充分知情；為履行信息主體作為一方當事人的合同所必需；為防止或消除對個人生命健康的危險；為實現重大公共利益?zhèn)鬏攲嵺`中出海泰國的企業(yè)通常選擇簽的方式，將其個人信息傳輸、存儲至署標準合同條款進行跨境傳輸中企出海人力資源數據合規(guī)白皮書16馬來西亞。例外情形：存在以下例外情形時，亦可進行跨境傳輸，包括信息主體同意，同意以書面通知為前提，且形式可被留存實踐中出海馬來西亞的企業(yè)通常選擇簽訂標準合同條款的方式，將其個人信息傳署標準合同條款業(yè)亦可選擇取得應聘者或員工充進行跨境傳輸新加坡新加坡原則上禁止個人數據跨境傳輸，。接收方受到同等保護水平法律管轄。簽訂數據跨境傳輸協議要求接收方履。取得特定數據保護認證等。特定情形下可認為組織已滿足適當保需，且已采取合理措施避免接收方用實踐中出海新加坡的企業(yè)通常選擇簽訂數據跨境簽署數據跨境傳輸協議較為困難擇取得應聘者或員工的同意或視跨境傳輸歐盟如未滿足數據化存儲歐盟僅在以下情形下可以跨境傳輸：。滿足具有同等數據保護水平，即白名。提供適當的保障措施：例如獲得數據保護或安全認證、簽訂標準合同條款。其他情形：獲得個人信息主體同意或滿足履行合同所必需等合法性基礎后可進行實踐中出海歐盟的企業(yè)通常會選擇簽訂標準合同簽署標準合同條款較為困難的，企業(yè)亦可選擇取得應聘者或員工充分知情同意，以進行跨境傳輸中東阿聯酋經阿聯酋央行許可的支付系統運營商需要阿聯酋的數據跨境傳輸機制：。數據控制者與數據接收方之間簽訂合同實踐中出海阿聯酋的企業(yè)通常會選擇簽訂數據跨境傳輸協議的方沙特非洲肯尼亞沙特非洲肯尼亞括客戶身份和行本地化存儲醫(yī)療健康服務的機構一般情況下需要將醫(yī)療健康數據進行本地化存儲。已獲得信息主體關于跨境傳輸的明示。數據傳輸對于信息主體作為合同一方所必需的。數據傳輸對于執(zhí)行與國際司法合作相關的程序是必需的。數據傳輸對于保護公共利益是必需的式，將其個人信息傳輸、存儲至阿聯據跨境傳輸協議較為困難的，出海企業(yè)亦可選擇取得應聘者或員工的充分知情同意，以進行跨境傳輸力資源記錄，劃分為第3級別和第4級別的消費者數數據需進行沙特相關法律規(guī)定跨境傳輸首先限于特定目的，包括為履行與信息主體的合同所必需，以及為個人信息主體提供服務或福利等。在滿足目的合法性要求的基礎上，沙特企業(yè)可依據如下。為履行與信息主體的合同所必需等法。以上跨境傳輸或是持續(xù)或大規(guī)?？缇硞鬏斆舾袀€人數據，均應當開展風險評估實踐中出海沙特的境外數據接收方簽訂標準合同條聘者或員工個人信沙特境外沒有明確的數據本地化肯尼亞明確規(guī)定了合法跨境傳輸個人。接收方采取了適當的數據保障措施(需向肯尼亞數據主管部門提交有關證明材料）。接收方所在地已獲得肯尼亞數據主管部門作出的充分性決定。轉移具有必要性，具有必要性的情形包括但不限于履行合同所必需、涉及公共利益、保護信息主體利益但難以獲得信息主體同意、數據控制者存在壓倒性的正當利益等。已告知信息主體有關風險并取得信息。如向肯尼亞境外傳輸敏感個人數據，必須取得信息主體的同意且確保實施了適當的保障措施實踐中出海肯尼亞的企業(yè)通常會選擇取得應聘者或員工同意，將其個人信息傳輸、存儲至肯尼亞境外。如效同意，企業(yè)需向部門提交有關證明以實現合規(guī)出境中亞哈薩克斯坦北美美國南美中企出海人力資源數據合規(guī)白皮書中亞哈薩克斯坦北美美國南美必須將個人數據存儲在位于哈薩克斯坦境內的數據庫中（即使存在跨境傳輸業(yè)務，仍需在哈薩克斯坦境內進行一份數據存儲）哈薩克斯坦目前人力資源場景下取得個人同意為主要可行的出境方式：。建立了被認定為保護個人數據的國家可自由流動的機制，但尚未公布國。如不滿足上一條件，則只有在確保未落入哈薩克斯坦法律限制跨境傳輸的特殊情形，同時符合以下情形之一時可進行數據跨境傳輸i）個人信哈薩克斯坦法律規(guī)定的情況下，為保護哈薩克斯坦的憲法制度、公共秩序、個人和公民的權利和自由以及公公民的憲法權利，而無法取得當事人或者其法定代表人的同意的實踐中在確保未取得應聘者或員工同意，將其個人信息傳輸、存儲至哈薩克斯坦境外沒有明確的數據本地化要求，但對于特國家安全、反外國政府調務或財務記本地化的要求美國尚無生效的關于數據跨境傳輸的原則上美國企業(yè)可直接將應聘者或員工個人信息需要關注政府針對跨境傳輸至中國的一系列行政令，避免落入受限制的情形對于政府數據、銀行云服務數據等有數據本地化存巴西可依據如下路徑跨境傳輸個人。建立了被認定為具有充分的數據保尚未公布國家名單。數據控制者采取相關保護措施：包準合同條款、具有約束力的公司規(guī)。獲得巴西國家數據保護局批準。信息主體已被告知跨境傳輸活動情實踐中出海巴西的企業(yè)通常會選擇簽訂數據跨境息傳輸、存儲至署數據跨境傳輸擇取得應聘者或員工的充分知情境傳輸歐亞俄羅斯歐亞俄羅斯必須將個人數據進行本地化存儲俄羅斯數據可以通過如下方式出境：。在與俄羅斯達到同等保護水平的白要先通知俄羅斯通信監(jiān)督管理部門。要俄羅斯通信監(jiān)督管理部門審批通過且要取得自然人的書面同意實踐中出海俄羅斯的企業(yè)通常會在俄羅斯部署服務器存儲在其境內收集處理的個人信息，并在有充分必要性時，再將數據依法傳注：標準合同條款SCC(StandardContractualClauses)指一國數據保護監(jiān)管機構制訂并頒布的、相應場景下必須簽署的數據跨境傳輸合同；數據跨境傳輸協議指由個人信息控制者和境外接收方間簽署的，約定個人信息跨境傳輸的目的、方式、安全措施、各自權利、義務等事項的協議。（表四）可見，多數法域對人力資源管理數據沒有強制進行本地化存儲要求；多數法域都建立了“白名單”、簽署SCC、制訂BCR、取得個人同意等數據跨境傳輸機制，企業(yè)可視自身情況選擇合適的機制將應聘者或員工的個人信息傳輸至境外：（1）由中國總部與出海國家的子公司（如泰國子公司）之間簽署“跨境傳輸標準合同SCC”或其他數據跨境傳輸協議的方式；（2）取得員工/應聘者充分知情同意的方式；（3）集團內部制訂有約束力的公司規(guī)則BCR的方式。因為包括歐盟在內的很多國家/地區(qū)都規(guī)定了BCR需經該國家/地區(qū)相關機構批準后方可適用，所以此種方式在實踐中較少使用；（4）如果集團總部所在國家和出海所在國家之間有“白名單”，可以通過“白名單”機制進行數據跨境傳輸，因為現在公布了本國數據出境白名單的國家尚不多，所以此種方式在實踐中較少使用。特別提示：俄羅斯特別提示：俄羅斯俄羅斯法律明確規(guī)定了依據勞動相關法律收集處理的個人信息不豁免數據出境的相關規(guī)定，也即：（1）數據必須進行俄羅斯本地存儲；（2）數據可以出境，但都需要經過俄羅斯通信監(jiān)管部門：。白名單國家，需要先通知俄羅斯通信監(jiān)管部門；。非白名單國家，需要俄羅斯通信監(jiān)管部門審批且要取得自然人的書面同意。因此建議出海俄羅斯的企業(yè)，應首先將在俄羅斯境內收集的數據存儲在俄羅斯境內，并在通知俄羅斯通信監(jiān)管部門的前提下將數據傳輸至中國總部或向中國總部開放相應的訪問權限。中企出海人力資源數據合規(guī)白皮書20個人信息存儲、刪除的合規(guī)處理各法域個人信息保護法律法規(guī)均設置了個人信息處理的合法性與必要性原則，基于該原則，員工/應聘者個人信息的存儲時間應限于實現處理個人信息的目的所需的時間，反言之，處理目的實現后即沒有繼續(xù)存儲相關個人信息的必要性，需進行刪除。具體到招聘場景下的應聘者個人信息而言，從合法性原則角度來看，個別國家允許企業(yè)在應聘結束后繼續(xù)保存未成功的應聘者的個人信息一段時間，例如德國和愛爾蘭，通常允許企業(yè)在招聘結束后保留未成功應聘者的數據6個月，以便處理可能發(fā)生的就業(yè)歧視等申訴；愛沙尼亞法律規(guī)定，應聘者相關索賠的訴訟時效期限為12個月，因此企業(yè)將應聘者數據保留12個月后刪除符合GDPR存儲限制原則。出海至此類國家時，企業(yè)依據相關規(guī)定存儲相應的時間后刪除應聘者個人信息即可。然而，多數國家并未就應聘者信息可存儲時間做出明確規(guī)定，此時需要適用必要性原則進行判斷，即該應聘者應聘失敗且該崗位已招募到合適的員工，或直至與招聘流程相關的訴訟時效截止，即可認為處理該應聘者個人信息的目的已實現，已無繼續(xù)存儲該應聘者個人信息的必要，需及時刪除。愛爾蘭愛爾蘭相關法律對部分員工數據的存儲期限做出了規(guī)定，如與員工的產假或不可抗記錄應保存六年，與工資信息相關的記錄具體到用工管理場景下員工個人信息而言，很多國家均在勞動相關法律法規(guī)中設置愛爾蘭愛爾蘭相關法律對部分員工數據的存儲期限做出了規(guī)定，如與員工的產假或不可抗記錄應保存六年，與工資信息相關的記錄新加坡企業(yè)應當通過紙質或電子方式留存員工的雇傭記錄及薪水記錄信息，針對在職員工應當留存近兩年的記錄，針對離職員工應當保留其離職前兩年的記錄，并且在員工離職后保存一年印印尼目前印尼并未在勞動雇傭相關的法律內明確規(guī)定雇傭記錄的維護要求，但根據《公司文件法》，員工招聘、雇傭記錄可能被歸類為“其他文件”，其保留期限由雇主根據其實用性或價值確定，根據文件性質保留德國《德國商法典》規(guī)定，企業(yè)的商業(yè)記錄、財規(guī)定企業(yè)的賬目和記錄等數據應保留10年；如上述企業(yè)賬目中包含員工薪資信息，肯尼亞關系終止后的5年內留存雇員勞動合同等材料南南非南非《就業(yè)基本條件法》規(guī)定雇主應當準確留存員工姓名與職位、工作時間、薪酬、匈牙利匈牙利《社會保障養(yǎng)老金福利法》規(guī)定，企業(yè)必須在員工達到退休年齡后的5年內保留所有包含有關員工就業(yè)年限以及員工所獲工資或收入信息的文件，包括雇傭合同、納稅申報表和收入證明等；此外，其《勞動法》規(guī)定可在訴訟時效內即雇傭關系終（表五）對于沒有相關法律對員工個人信息存儲期限做出規(guī)定的國家，或雖有法律規(guī)定，但仍有部分員工個人信息的存儲期限沒做出規(guī)定的，仍需適用必要性原則進行判斷，在員工在職期間，一般可存儲其個人信息；當員工離職年限已超過當地法律規(guī)定的相關訴訟時效期限時，一般認為處理該員工個人信息的目的已實現，已無繼續(xù)存儲其個人信息的必要，需及時刪除。因此，建議出海企業(yè)，無論是對應聘者個人信息還是對員工個人信息，均可遵循以下原則進行存儲或因此，建議出海企業(yè)，無論是對應聘者個人信息還是對員工個人信息，均可遵循以下原則進行存儲或（1）對所在國法律明確規(guī)定了存儲期限的個人信息，依據規(guī)定的期限存儲，到期后刪除；（2）對所在國法律沒有規(guī)定存儲期限的個人信息，按照必要性原則，在實現相應處理目的，繼續(xù)存儲該員工個人信息已無必要時，即刪除其個人信息；（3）對于離職人員，如企業(yè)有充分的必要性，需要在法律規(guī)定的期限之外繼續(xù)存儲其個人信息，可告知繼續(xù)存儲個人信息的期限、目的、信息類型等事項，并取得該離職人員的同意。中企出海人力資源數據合規(guī)白皮書22個人信息主體權利響應的合規(guī)處理各法域個人信息保護法律法規(guī)均設置了較近似的個人信息主體權利，同時也就部分權利規(guī)定了寬嚴不等的響應時間，例如：撤回同意、要求刪除、反對權、更正權等。東南亞泰國馬來西亞新加坡歐盟中東阿聯酋東南亞泰國馬來西亞新加坡歐盟中東阿聯酋沙特非洲肯尼亞中亞個人信息主體權利響應規(guī)則營銷活動進行處理的權利反對處理權等不受自動化決策約束以及向監(jiān)管機關投訴的權利?？刂普咭话銘斣?0日內響應權利請求。數據控制者應當在30日內響應信息主體的攜帶權請求北美美國南美23北美美國南美。企業(yè)應向個人信息主體提供兩種或以上的指定方式以供其提出行使知情權、刪除權或更正權的要求，指定方式至少包括提供免費的電話熱線。企業(yè)應在收到可經驗證的個人信息主體要求起的45日內(最多延長至90天)進行權利響應。企業(yè)應保存?zhèn)€人信息主體提出的權利請求以及企業(yè)如何回應請求的記錄至少24個月，且應實施并維護合理的安全程序和實踐來維護這些記錄。數據控制者應當在15日內響應信息主體的查閱權請求出海企業(yè)應建立個人信息主體權利響應機制，包括：（1）使用具備權利響應功能特性的人力資源管理軟件，如查詢、更正、刪除、撤回同意等功能；（2）如企業(yè)未使用具備相應功能的人力資源管理軟件，則應建立相應的權利響應機制，如公布權利響應郵箱、成立專門的部門或指定專人及時響應。個人信息安全保障的合規(guī)處理為保障企業(yè)持有的個人信息免遭未經授權或意外的查閱、處理、刪除、丟失或使用，各法域均對如何保障個人信息安全提出了較為相近的要求，主要包括采取適當的技術和管理措施保護數據安全、告知個人信息主體處理情況、記錄數據處理、規(guī)定情形下任命數據保護官、規(guī)定情形下開展個人數據保護影響評估、報告數據泄以上要求分別涉及組織建設、技術措施、評估、報告等多角度的義務，因此，建議出海企業(yè)：（1）集團內自上而下設置個人信息安全保護組織或人員，專門負責相關工作；（2）集團內制訂個人信息保護管理制度和流程，如主體權利保障制度、數據記錄使用制度、數據泄露報告制度等，使得個人信息保護各項工作均在制度規(guī)制下有序開展；（3）采取適當的技術措施,如IT安全管理措施、傳輸安全技術措施、使用具備隱私合規(guī)能力的人力資源管理軟件等，保障信息安全；（4）根據所在國法律規(guī)定，落實指定場景下數據保護影響評估、任命數據保護官等合規(guī)動作。人力資源數字化如何做到全球數據合規(guī)25人力資源數字化如何做到全球數據合規(guī)隨著中企出海熱情持續(xù)高漲，中企出海的廣度、力度和深度以及競爭力都在不斷加強。在出海進程方面，中企出海已經從單純的營銷出海、產品出海、更進一步發(fā)展為品牌出海和研發(fā)出海。大量中國企業(yè)在海外設立公司及建立生產基地，全面推進涵蓋生產、銷售與研發(fā)的全球化業(yè)務布局。由于中企出海階段不同，海外人員布局不同，海外人力資源管理面臨的挑戰(zhàn)不同，對人力資源數字化的要求也有所不同。如：以國內人員海外外派為主，少量屬地化市場人員，主要負責開拓貿易伙伴，獲以國內人員海外外派為主，少量屬地化市場人員，主要負責開拓貿易伙伴，獲取原材料及商品價差利益。人力資源管理以國內為主，重點關注外派人員的管理。市場開拓階段海外人員呈現“多個國家，少量人員”特點，國內生產的產品在海外市場開拓和營銷，以獲得更大的市場和品牌知名度。由于出海國家眾多，海外人員分散，人力資源管理仍以國內為主，員工屬地化招聘或EOR名義顧主方式為輔。在海外設立公司及建立生產基地，整合當地優(yōu)勢資源，利用屬地自然資源和廉價勞動力，為本地市場提供生產和服務能力，降低成本。這個階段管理人員以國內外派為主，生產人員屬地化招聘或采用三方勞務人員，人力資源管理以國內為主導，結合屬地化政策進行管理。開始設立海外國家區(qū)域性總部，整合全球資源和供應鏈，統籌研發(fā)、生產、供應鏈和市場營銷。綜合提供全球產品研發(fā)和屬地化市場的開拓與服務。海外機構人員體量成一定規(guī)模，國內以管控為主，屬地化獨立業(yè)務運營，國內總部進行全球化數據分析。貿易伙伴型產品出海型海外運營型全球運營型中企出海人力資源數據合規(guī)白皮書26初創(chuàng)期國內外派為主初創(chuàng)期國內外派為主開拓期多個國家少量人員開拓期多個國家少量人員發(fā)展期一定規(guī)模屬地化HR發(fā)展期一定規(guī)模屬地化HR成熟期較大規(guī)模全球化運營成熟期較大規(guī)模全球化運營貿易伙伴型產品出海型海外運營型全球運營型以國內人員外派為主，少國內生產的產品在海外市場成立區(qū)域公司或屬地建廠，全球一盤棋，整合全球資源量屬地化市場人員，主要開拓和營銷，目的是獲得更整合當地優(yōu)勢資源，利用屬負責開拓貿易伙伴目的是大的市場和品牌知名度。市供應鏈和市場營銷。全球化獲取原材料及商品價差利場開拓階段呈現多個國家少為本地市場提供生產和服務企業(yè)多數為此類型，有海外益量人員特點能力。目的是整合屬地資源提供本地化服務，降低成本國家區(qū)域性總部，綜合提供全球產品研發(fā)和屬地化市場的開拓與服務管理模式管理模式管理模式管理模式國內統一系統管理國內管理+EOR(名益雇主)或GPO(新酬外包)或.IC(獨立雇主)服務組合過渡階段國內進行整體管控屬地化HR團隊，全球資源配置和管理我們看到，作為中企出海無論業(yè)務發(fā)展處于哪個階段，中國總部對海外機構人力資源都有管理或管控的訴求。不同于CRM、ERP等可以區(qū)域化的業(yè)務系統，人力資源數字化要遵循“全球一張表”的架構邏輯，這個設計與人力資源的業(yè)務特點有關。在全球化人力資源業(yè)務場景中，集團總部與分子公司之間存在大量人事業(yè)務流程，以及管理或管控場景。例如：員工海外外派流程、員工跨機構海外調動流程、員工海外出差流程；集團總部對海外公司的編制情況、薪酬總額、人工成本等管控；從戰(zhàn)略到目標的績效分解，集團總部目標分解到各分子公司；總部和海外聯絡所必須的公司通訊錄等，這都要求企業(yè)需要構建統一的全球人力資源數字化平臺，在保證合規(guī)基礎上，實現“全球一張表”，以滿足全球人員調配、業(yè)務流程高效審批、合理的編制與成本控制、全球人力數據分析等需要。我們反向觀察，以歐美全球化知名跨國集團為例，已經出海全球幾十年，這些跨國集團均遵循了全球一張表的人力資源數字化原則，他們的總部及子公司仍然要使用全球人力資源系統，并遵循全球的人力資源管理框架和流程，在全球標準化策略基礎上，結合出海國家情況進行本土化經營。因此，全球化人力資源管理數據合規(guī)的重點應該是：人力資源“全球一張表”的前提下，實現因此，全球化人力資源管理數據合規(guī)的重點應該是：人力資源“全球一張表”的前提下，實現各個出海國家的數據合規(guī),保護員工的權益。人力資源數字化平臺合規(guī)場景分析招聘環(huán)節(jié)中的應聘者數據合規(guī)要素 場景一：如何實現招聘場景中的充分同意、自愿原則？ 出海企業(yè)在招聘環(huán)節(jié)需要遵守目標市場的數據保護法規(guī),企業(yè)在招聘環(huán)節(jié)收集和留存應聘者個人信息應該怎么做？如何讓應聘者充分的自愿同意，獲取應聘者授權同意的方式有哪些？在招聘環(huán)節(jié)中，如企業(yè)招聘官網、公眾號等渠道通過招聘職位發(fā)布，應聘者線上投遞方式直接收集應聘 者個人信息，因此在信息收集環(huán)節(jié)需要讓應聘者了解企業(yè)要收集哪些信息、收集的目的、使用方式、數據存儲以及數據跨境傳輸情況，保護措施等關鍵內容。招聘環(huán)節(jié)直接收集應聘者信息，企業(yè)一般通過定義“隱私協議”或“隱私政策”的方式，清晰、完整的向應聘者告知，應聘者通過閱讀勾選后，主動投遞簡歷的方式證明其已 給予同意，企業(yè)則以此依據協議內容開展后續(xù)的招聘活動。同時，為滿足部分國家和地區(qū)法律法規(guī)中要求的“充分告知、充分理解獲取授權的基準原則”，需提供多種版本，如大陸地區(qū)中文協議版本，港澳臺地區(qū)繁體協議版本，海外英文協議，泰語版本等。另外，針對特殊場景需要提供多種應聘者隱私協議確認方式，企業(yè)可以根據合規(guī)要求程度進行選擇，包括勾選確認、按鈕確認、按鈕+輸入內容確認等。并要為企業(yè)提供隱私協議自定義能力，及同意記錄留痕能力。場景二：如何按照“最小化原則”實現最短時間留存?zhèn)€人信息？按法律規(guī)定，企業(yè)需要按照最小化原則收集和使用與目的相關的必要數據，并在實現招聘的最短時間留存?zhèn)€人信息，超出隱私協議說明的個人信息保留最長期限后，需重新獲取應聘者授權，若應聘者沒有繼續(xù)給予授權但企業(yè)仍然存儲簡歷信息，將不符合個人信息保護的相關法律規(guī)定。中企出海人力資源數據合規(guī)白皮書28在海外招聘過程中，企業(yè)要更加強化數據合規(guī)意識，招聘環(huán)節(jié)僅收集應聘者與職位相關的信息，如姓名、聯系方式、簡歷信息、面試信息、考試信息、Offer信息，不收集應聘者敏感個人信息。對于未授權/授權超期的應聘者，將自動提醒HR及時獲取授權。并定期刪除未授權/授權超期的應聘者信息，以確保符合合規(guī)要求。 未成年人用工風險提醒 在多個國家法律當中，都有明確針對未成年人個人信息保護及用工要求的規(guī)定。原則上，企業(yè)應禁止招聘16周歲以下應聘者，針對16周歲~18周歲的應聘者存在用工風險，需謹慎考慮。對于大量招聘的職位，如餐防止企業(yè)使用年齡不合規(guī)的應聘者導致出現合規(guī)風險。場景四：應聘者信息的存儲與刪除原則上，當企業(yè)招聘流程結束，對于未錄用應聘者的信息即應刪除處理。對于一些國家為了預防勞動爭議或為應聘者提供未來工作機會，基于應聘者自愿同意的前提下可以保留一段時間，但有最長期限限制。因此，對于未錄用應聘者或授權存儲期限到期的應聘者，如果企業(yè)要繼續(xù)使用或留存其個人信息，均需再次獲得應聘者的有效授權，否則應對個人信息進行刪除處理。29對于很多企業(yè)有建立出海招聘人才庫的管理需求，但這并非招聘所必須的場景，需要通過“進入人才庫授權”的方式，在充分告知應聘者后獲得應聘者的單獨授權同意。 場景五：容易忽視的高風險行為-數據導出 很多企業(yè)對于系統功能和數據權限的控制都很關注，但往往忽略了對于數據導出這個高風險行為的監(jiān)管和控制。擁有數據導出權限的人員也在不斷變化，這就可能導致簡歷等個人信息導出失控，這不僅會造成人才信息外流，還會加大數據合規(guī)風險。系統首先需要對數據導出行為進行監(jiān)控，完整記錄導出操作的人、時間、來源、具體內容。同時應該支持設置導出閾值，限制每次/每日導出的數量，攔截高風險導出行為并自動提醒企業(yè)管中企出海人力資源數據合規(guī)白皮書30員工管理過程中的數據合規(guī)要素出海企業(yè)在員工管理過程中，會涉及員工很多方面的信息收集和使用。因很多國家都有關于員工隱私信息處理的要求，也使大量中國出海企業(yè)對于海外員工的信息管理范圍產生困惑。對于人力資源管理場景，很多國家都明確了收集使用條件，這些條件通常以獲得個人信息主體的同意為主，同時規(guī)定不需要獲得同意即可收集、使用個人信息的例外情形，常見的例外包括為訂立或履行合同所必需、企業(yè)與員工簽訂勞動合同或協議、企業(yè)為了履行合同義務需要進行員工必要信息的采集。場景一：員工信息采集授權，不同國家采用單獨的采集模板出海企業(yè)在海外進行員工信息采集時，需要遵守目的地國家的合規(guī)要求，這些要求因國家和地區(qū)的不同而有所差異。企業(yè)需要制定完善的隱私協議，有明確的使用目的限制，內容要涵蓋數據的收集、存儲、使用、共享、刪除等各個環(huán)節(jié)，以符合個人信息保護法律法規(guī)要求，取得相應的處理合法性基礎。涉及需員工給予同意的處理場景，鑒于企業(yè)與員工之間的權力的不平衡性，為了確保告知充分、自由自愿授權，企業(yè)需注意取得員工同意的方式，不得脅迫員工給予同意，同時需告知員工便捷的撤回同意的方式。系統需要能夠根據出海目的地國家對于隱私合規(guī)要求的差異，設定不同的信息采集范圍，以滿足合規(guī)要求。因此不同國家可以定義差異化的采集模板，確保信息采集范圍的合規(guī)。如法國、德國、意大利等歐盟國家可以定義一套采集模板范圍；泰國、新加坡、越南可以再單獨定義不同的采集模板范圍。 場景二：員工敏感信息單獨授權、單獨管理 企業(yè)在進行員工管理過程中，需要對部分敏感信息進行采集。例如:企業(yè)與員工簽署勞動合同所需要的身份證信息、為員工支付工資收集的員工的銀行賬戶信息、為員工繳納社保的社保賬戶信息；以及企業(yè)對員工進行假勤管理過程中，員工請休病假、婚假等假期時，企業(yè)向員工收集醫(yī)院病假證明、結婚證明等必要的證明材這些雖然屬于員工敏感信息，但企業(yè)因履行合同義務和必要的管理仍需要進行采集。企業(yè)應確保收集和處理個人敏感數據符合“最小必要原則”，同時要對敏感信息進行權限控制，以便有效的保護員工隱私數據。因此，在進行員工信息采集過程中，對于敏感信息需要可單獨控制和授權，對于沒有權