中企出海人力资源管理数据合规白皮书（2024版）员工数据可出境，但要选对路径
1多数法域不要求人力资源数据本地化，出境有四条路径（p22）
2总部在境内访问境外数据，同样算出境（p36）
3德国商业记录留10年，落选应聘者通常留6个月（p23）
10年德国商业记录与账目保留期含薪资信息的员工数据一并保存 p.23
6个月德国等国落选应聘者数据保留期用于应对就业歧视申诉 p.23
45日美国隐私请求响应期限最多延长至90天 p.26
20个白皮书覆盖的国家及地区七大经济体 p.45
老板之问
- 海外员工的数据能传回中国总部吗？
- 能。多数法域不禁止出境，可选标准合同条款、知情同意、BCR、白名单四条路径。 p.22
- 在当地建一套HR系统、数据放本地，就合规了吗？
- 不够。总部在中国境内访问境外数据，同样算数据出境。 p.36
- 招聘和在职员工的数据，收集依据有什么不同？
- 应聘者多靠同意；在职员工在“人力资源管理所必需”范围内无需同意。 p.16
- 哪些市场要求数据存在本国？
- 白皮书列出俄罗斯和哈萨克斯坦必须境内存储。 p.22
- 落选应聘者和离职员工的数据留多久？
- 德国招聘结束后通常可留6个月；德国商业记录类需留10年。 p.23
对德国、瑞士和欧洲的含义
欧盟：中国不在GDPR白名单，实践中常用标准合同条款，签不下来再用知情同意；对员工用同意要谨慎证明“不同意也无不利后果”（p14，p19）。德国：落选应聘者通常可留6个月，含薪资信息的商业记录要留10年（p23）。法国、德国、意大利的员工信息采集可共用一套模板（p33）。
员工数据可以出境，但要先选对路径、分国设置
核心观点
2024年版：多数国家不禁止员工数据出境白皮书称多数法域对人力资源数据没有强制本地化要求，并有白名单、标准合同条款、约束性公司规则（BCR）、个人同意等出境机制（p22）。例外是俄罗斯和哈萨克斯坦（p21–22）。
数据放在本地不等于合规境外数据被中国总部访问、下载或使用，同样算出境（p36）。新加坡数据中心也不能自动满足全球合规（p36–37）。
应聘者靠同意，在职员工靠“必需”报告认为：应聘者多靠同意，员工在“人力资源管理所必需”范围内无需同意，超出部分要同意（p16）。“必需”没有国家按字段规定（p17）。
对中小企业：先管三件事判断先把出境路径签下来（标准合同或协议），再把招聘同意和留存期限做成固定流程，最后限制数据导出（p22，p30，p32）。白皮书没有给任何罚款和费用数字。
1适用对象：有海外员工或在海外招人的中国企业
- 谁适用白皮书针对在国际市场运营的中国企业，对象包括高管、人力、法务、IT和合作伙伴（p39）。以“员工当地化”模式为模型，即海外员工以本地招聘为主（p9）。
- 哪些数据包括简历、银行账户、社保账户、病假证明、打卡信息、绩效薪酬（p10）。敏感信息包括健康、生物识别、宗教等（p12）。
- 哪些动作算出境总部参与海外招聘决策、统一管薪酬、使用同一套HR软件、邮件和即时通讯录，都会产生跨境传输（p9）。
- 覆盖范围白皮书汇总七大经济体共20个国家及地区的框架，但正文只摘了部分，另有国别摘要未随文发布（p45）。
这意味着这意味着：不是只有在海外设厂的企业才有问题，只要海外有员工、总部能看到他们的数据，就在适用范围内。
对你的生意先列出海外员工和应聘者的数据流向：谁在哪个系统录入，谁在中国能看到。
2具体要求：收集、出境、留存、权利响应、安全五件事
- 收集依据应聘者一般要取得同意；在职员工在最小必要前提下，履行劳动合同、法定义务所必需的信息无需同意（p14–16）。新加坡收集身份证号码有严格必要性限制（p14）。
- 出境路径欧盟的出境可走白名单、标准合同条款、BCR等，中国不在白名单（p18–19）。俄罗斯必须本地存储，出境前须通知监管机构（p22）。哈萨克斯坦须在境内数据库保留一份（p21）。
- 留存与删除德国商业记录和账目保留10年，含薪资信息的员工数据一并保存（p23）。德国招聘后通常可留落选应聘者数据6个月（p23）。
- 权利响应美国45日内响应请求，最多延长至90天，记录至少保存24个月（p26）。巴西查阅权15日内响应（p26）。
- 安全保障白皮书建议设立集团层面的个人信息保护组织、制度流程，并在规定场景任命数据保护官、做影响评估（p26）。
这意味着这意味着：同一员工信息在不同国家的依据、期限、响应时间都不同，不能靠一份通用政策覆盖。
对你的生意按市场建一张“国家—收集依据—出境路径—留存期—响应期”的对照表，由人力和法务共同维护。
3流程、费用、时限：时限有、费用原文没有
- 时限德国招聘后保留6个月（p23），肯尼亚雇佣终止后留5年（p23），南非至少留3年（p23）。新加坡在职员工留近两年记录，离职后再留一年（p23）。
- 响应期限表中给出的响应期限有30天和21天，国别对应在文本中错位（p25）。美国45日（p26）。
- 出境签约白皮书称实践中多选标准合同条款或跨境协议，签不下来再取得充分知情同意（p22）。BCR需监管批准，较少使用（p22）。
- 费用原文未给出律师费、系统费或备案费用。
这意味着这意味着：时限可以直接放进系统做提醒，但预算只能自己向律所和软件商询价。
对你的生意预算要单列“出境协议起草”和“系统改造”两项，先向2–3家律所和软件商要报价。
4罚则和执法情况：原文未覆盖
这意味着原文未覆盖。白皮书没有罚款金额、执法案例或处罚统计。
对你的生意不能用本白皮书估算违规成本，需要查各国监管机构公布的处罚和指南。
5企业该怎么做：按先后顺序的五步
- 1 画数据地图先把招聘、用工、离职各环节的数据拆成收集、使用、存储、出境、响应动作（p9）。
- 2 定收集依据应聘者发隐私政策并勾选同意，员工按“必需”与“非必需”分开处理（p16–17，p30）。
- 3 选出境路径首选标准合同条款或跨境协议，难签时用知情同意（p22）。俄罗斯先本地存储（p22）。
- 4 定留存、删除与响应有法定期限依期限，没有则按必要性，离职后需继续保存的要告知并取得同意（p24）。设查询、更正、删除、撤回同意的功能，或公布专门邮箱和专人（p26）。
- 5 管导出与敏感数据系统记录数据导出并设阈值，外勤打卡默认不采集定位和照片（p32，p34）。
这意味着这意味着：前三步决定能不能合法用，后两步决定能不能持续合规。
对你的生意从第1步开始，最慢的是梳理数据流，要预留给人力和IT共同完成的时间。
6分企业类型的建议
- 海外员工很少、分散在多国的中小出口企业1）列出每个国家的员工数量、使用的系统和总部可见的数据；2）对应聘者发统一隐私政策并保留勾选记录（p30）；3）与每家海外子公司签标准合同条款或跨境协议（p22）；4）外勤打卡关闭定位和照片（p34）。
- 投入与周期
- 原文未给出
- 做成的信号
- 每个国家有一页对照表，出境协议已签，应聘者同意有记录。
- 该止损的信号
- 收到当地监管问询，或发现总部管理者能无限制导出海外员工数据时，暂停导出权限并找当地律师。
- 已在俄罗斯、哈萨克斯坦设点的企业先把当地员工数据存在当地服务器，再按规则通知或审批后传回总部（p21–22）。
- 投入与周期
- 原文未给出
- 做成的信号
- 当地有存储副本，出境有通知或审批记录。
- 该止损的信号
- 监管要求超出白皮书所述范围，或无法完成审批时，暂停传回总部。
- 准备采购多国HR系统的成长型企业逐项核对系统是否支持分国采集模板、同意留痕、数据导出监控、到期删除提醒和权利响应（p30，p32，p34）。
- 投入与周期
- 原文未给出
- 做成的信号
- 演示环境能完成一次完整的同意、导出、删除流程。
- 该止损的信号
- 厂商只强调数据中心位置、无法演示上述功能时，重新评估（p36）。
7风险与应对
| 风险 | 触发条件 | 影响 | 应对 | 提前能看到的信号 |
|---|---|---|---|---|
| 员工数据出境没有合法路径 | 总部直接访问海外系统，未签协议、未取得同意 | 高 | 补签标准合同条款或跨境协议；无法签署时取得充分知情同意（p22）。 | 海外子公司或客户询问数据如何传回中国。 |
| 同意被认定无效 | 强迫员工同意，或捆绑授权 | 中 | 告知充分，提供便捷的撤回方式（p30）。 | 员工提出撤回或投诉。 |
| 数据导出失控 | 拥有导出权限的人员变动，没有监控 | 中 | 记录导出的人、时间、内容，设置每日数量阈值（p32）。 | 出现异常大批量导出。 |
| 本地存储要求未满足 | 在俄罗斯、哈萨克斯坦把数据直接存回中国 | 高 | 先境内存储，再按要求通知或审批（p22）。 | 当地监管发出通知或检查。 |
8哪里存疑
实践中企业通常选择签标准合同条款（p19）
为什么存疑 没有样本或统计，是服务商经验判断；也没有说明各国对标准合同条款的格式要求。
不成立的条件 若目的国要求使用官方文本或额外备案，只签自拟协议不一定有效。
在职员工在“必需”范围内无需同意（p16）
为什么存疑 “必需”没有国家按字段规定（p17），边界靠作者自拟的检验标准判断，且各国对同意的效力要求不同。
不成立的条件 若当地监管对必需范围做窄解释，或欧盟路径要求证明员工不同意也无不利（p14），员工同意的路径可能不稳。
新加坡原则上禁止个人数据跨境传输（p19）
为什么存疑 随后列出多个例外条件，而p22又称多数法域不强制本地化，措辞偏重。
不成立的条件 以新加坡监管机构公布的跨境传输规则为准。
全球一张表是人力资源数字化的原则（p29）
为什么存疑 作者是HR软件厂商，这一架构建议同时是产品卖点。
不成立的条件 员工很少、国家很多的企业，用分国系统加定期汇总也可能更容易合规。
9这份报告回答不了的
白皮书不给罚则、费用和案例，条文也没有出处。逐国要求要回各国监管机构官网和当地律师；2024年之后的修订（如马来西亚修正案、美国对华数据规则）要另查。
逻辑链：为什么 → 怎么传导 → 所以怎么做
驱动因素
多国立法收紧 p.9GDPR后多国加快数据立法
总部要管控 p.29薪酬、编制、绩效需统一数据
数据天然流动 p.9通讯录、邮件、系统都涉及出境
传导机制
收集依据分流 p.16应聘者靠同意，员工靠必需
出境要选路径 p.22SCC、同意、BCR、白名单
访问也算出境 p.36本地建系统不能免责
结论/打法
按国别配置 p.33采集模板、同意、留存分国设置
设删除机制 p.34到期提醒、归档、删除
俄哈先本地存 p.22再按要求通知或审批出境
核心观点
- 数据合规不等于禁止出境：多数法域给出明确的合法出境路径，企业应选路径而不是切断总部与海外的数据流。 p.36依据GDPR与中国《个人信息保护法》都没有禁止出境；通讯录、邮件审批、查看绩效薪酬都属于跨境传输。推理总部与海外公司的信息交互无法杜绝，所以合规方向是选对出境机制。前提仅限人力资源场景（履行劳动合同、管理所必需）；各国路径细节不同。
- 出境路径有四条：标准合同条款/跨境协议、知情同意、BCR、白名单，实践中前两条最常用。 p.22依据BCR需监管机构批准，白名单国家名单公布得少，所以较少使用。推理可行性取决于审批难度和名单是否存在。前提白皮书称实践中常用，未给统计数据。
- 本地部署不等于合规：境外数据被中国总部访问、下载、使用，同样构成数据出境。 p.36依据出境不仅指存储出境，也包括访问出境、使用出境。推理从数据流向而不是服务器位置判断出境。前提白皮书引用的是中国法与GDPR的一般原理，未注明条文。
- 新加坡数据中心不能自动满足全球合规。 p.36依据对非新加坡法域的用户，数据放在新加坡或中国都是传到境外；总部访问新加坡数据仍属向中国出境。推理合规动作取决于数据主体所在法域，而不是数据中心所在地。前提论证对象是中国出海企业使用HR系统。
- 应聘者与在职员工适用不同的收集依据：应聘者一般靠同意，员工在必需范围内无需同意。 p.16依据表二对泰国、马来西亚、新加坡、欧盟、阿联酋、沙特、肯尼亚、哈萨克斯坦、巴西等的对照。推理在职员工的合同和法定义务需要某些信息才能履行。前提“必需”的范围没有哪国按字段规定，须按劳动法限缩解释。
- 判断某项信息是否“必需”可用一个检验：不收集，依法或依合同必须做的管理动作能否进行。 p.17依据举例：在职员工银行账号是发薪所必需；招聘阶段收银行账号违反最小必要原则，即使应聘者同意也不应收。推理必要性以管理动作能否完成为标准。前提这是作者提出的判断标准，不是法条。
- 数据留存要看两类期限：法定留存期，以及无规定时按“目的实现”原则删除。 p.23依据德国商业记录10年；肯尼亚雇佣终止后5年；南非至少3年；德国招聘后通常可留6个月。推理法定留存优先，其余按必要性。前提仅列举德、爱、匈、肯、南非、新、印尼等，非全部国家。
- 俄罗斯和哈萨克斯坦有本地化硬要求，出境另需审批或通知。 p.22依据俄罗斯必须本地存储，出境需通知或审批；哈萨克斯坦须在境内数据库保留一份。推理这两国的法律把本地存储作为前置条件。前提仅限人力资源个人数据。
- 人力资源系统应按“全球一张表”设计，同时按国别设置采集模板、同意、留存和权利响应功能。 p.29依据欧美跨国集团遵循全球一张表；法国、德国、意大利可用一套采集模板，泰国、新加坡、越南另设。推理总部管控编制、薪酬、绩效需要统一数据，合规靠系统内的差异化配置。前提这一节是软件厂商推荐自家架构，带推广性质。
可落地的做法
- 按“是否必需”给员工数据分两类：必需信息直接收集，其余信息单独取得同意。 p.17条件：用“不收集，依法或依合同必须做的管理动作能否进行”做检验；必需信息也要符合最小必要。
- 对应聘者统一用隐私政策加勾选同意，并按国别提供多语种版本，记录同意留痕。 p.30条件：需提供大陆中文、繁体、英文、泰语等版本；需自定义能力和同意记录。
- 人才库另行授权：进入人才库不是招聘所必需，要在充分告知后获得单独同意。 p.32条件：否则落选后应删除；到期要再次授权。
- 出境机制先选标准合同条款或跨境协议，难以签署时再取得充分知情同意。 p.22条件：BCR需监管批准，白名单名单少，实践中较少使用。
- 俄罗斯收集的数据先存在俄罗斯境内，通知监管机构后再传回中国总部或开放访问权限。 p.22条件：白皮书称出境须通知俄罗斯通信监管部门；非白名单国家需审批并取得书面同意。
- 对系统的数据导出行为设阈值和日志，记录导出的人、时间、内容。 p.32条件：限制每次或每日导出数量，拦截高风险导出。
- 对境外员工的外勤打卡，默认不采集经纬度和照片。 p.34条件：定位和照片属于个人敏感信息，白皮书不建议采集。
- 建立到期提醒和删除机制：落选应聘者、离职员工的数据到期自动提醒管理员。 p.34条件：先查当地是否有强制留存期，期内归档冻结，期满删除。
论证成立
- 数据出境包括访问出境、使用出境，本地建系统不等于合规 p.36论证清楚：总部境内访问境外数据即构成出境，与p37“新加坡数据中心”的论证一致。
- 应聘者靠同意、员工靠必需的分类 p.16表一至表三对多个法域逐一列举后归纳，前后一致。
存疑之处
- 各国要求缺条文编号和官方出处 p.25全文是概述，没有法条号和官方链接，读者无法回查；表格在文本中错位，国别与内容对应不清。
- “实践中企业通常选择标准合同条款” p.19没有统计或样本，是服务商经验判断。
- 新加坡“原则上禁止个人数据跨境传输” p.19随后列出多条可传输条件，且p22称多数法域没有强制本地化，措辞偏重，易被误读为严格禁止。
- 后半的架构建议（全球一张表、多语言、考勤方式） p.29出自HR软件厂商，是自家产品架构的推荐，带销售目的。
- 员工同意作为出境路径 p.14报告自己承认企业与员工权力不平衡（p30），欧盟路径又要求证明“不同意也无不利后果”（p14），同意的效力可能被质疑，但白皮书仍把它列为实践路径。
反方意见
- 只要签标准合同条款或取得同意就能合规出境若目的地法域对员工同意效力有限制，或监管要求额外的影响评估、备案、审批，仅有合同或同意不够；中国方面的出境要求白皮书基本没写。
- 多数法域不要求人力资源数据本地化一旦业务落入俄罗斯、哈萨克斯坦、沙特、阿联酋的特定数据类别，或美国对华传输的行政令范围，本地存储或限制传输会成为硬约束。
需要用官方数据核实
| 关键数字或判断 | 核实来源 |
|---|---|
| 欧盟对中国是否有充分性认定、标准合同条款的现行版本 | 欧盟委员会、欧洲数据保护委员会（EDPB）官网 |
| 新加坡个人数据跨境传输规定 | 新加坡个人数据保护委员会（PDPC）官网 |
| 俄罗斯个人数据本地化与出境通知、审批规定 | 俄罗斯联邦通信监督局及联邦法律官方公布文本 |
| 德国、爱尔兰、匈牙利等国员工数据留存期限 | 各国法律官方公报；欧盟成员国数据保护机构（如德国联邦数据保护专员） |
| 马来西亚PDPA修正案生效时间与跨境条款 | 马来西亚个人数据保护专员公署官网 |
| 美国对华数据传输限制的行政令和规则 | 美国司法部、商务部官网及联邦公报 |
关键数据
7894.5亿元人民币，同比增长12.5%我国全行业对外直接投资 p.5 官方或公告全行业对外直接投资额 · 2024年1–8月 · 商务部、外汇局
我国全行业对外直接投资7894.5 亿元人民币，同比增长12.5%
6692.4亿元人民币，增长14.3%非金融类对外直接投资 p.5 官方或公告非金融类累计 · 2024年1–8月 · 商务部、外汇局
非金融类直接投资累计6692.4 亿元人民币，增长14.3%
3.83万亿元，同比增长12.84%上市公司海外业务收入 p.5 第三方机构上市公司海外业务收入 · 2024年上半年 · 白皮书未注明（出处不全）
上市公司实现海外业务收入3.83 万亿元，同比增长12.84%
近30%北森客户中已出海企业占比 p.39 宣传口径北森客户 · 2024年 · 北森自述
在北森服务的客户里已经有近30% 的企业踏上了出海之旅
10年德国商业记录与账目保留期 p.23 作者测算《德国商法典》《德国税法》；含薪资信息的员工数据一并保存 · 白皮书2024版 · 德国商法典、德国税法（白皮书转述）
《德国商法典》规定，企业的商业记录、财务报表等文件应保留10 年
6个月德国等国落选应聘者数据保留期 p.23 作者测算德国、爱尔兰通常允许招聘结束后保留，用于处理就业歧视申诉 · 白皮书2024版 · 白皮书转述
通常允许企业在招聘结束后保留未成功应聘者的数据6 个月
12个月爱沙尼亚应聘者数据保留期 p.23 作者测算应聘者索赔诉讼时效12个月 · 白皮书2024版 · 白皮书转述
企业将应聘者数据保留12 个月后删除符合GDPR 存储限制原则
雇佣终止后5年肯尼亚员工劳动合同等材料留存期 p.23 作者测算《就业法》 · 白皮书2024版 · 肯尼亚《就业法》（白皮书转述）
企业应当在雇佣关系终止后的5 年内留存雇员劳动合同
至少3年南非员工基本记录留存期 p.23 作者测算《就业基本条件法》 · 白皮书2024版 · 南非《就业基本条件法》（白皮书转述）
薪酬、未满十八岁员工的出生日期等记录至少三年
8年（税务记录6年，工资记录3年）爱尔兰产假等记录保存期 p.23 作者测算爱尔兰相关法律 · 白皮书2024版 · 白皮书转述
应保存八年，税务记录应保存六年
在职近两年；离职前两年，离职后保存一年新加坡雇佣与薪水记录留存 p.23 作者测算《雇佣法》及人力资源部说明 · 白皮书2024版 · 新加坡《雇佣法》（白皮书转述）
针对在职员工应当留存近两年的记录，针对离职员工应当保留其离职前两年的记录
45日（最多延长至90天）美国隐私权请求响应期限 p.26 作者测算收到可验证请求起；请求与回应记录至少保存24个月 · 白皮书2024版 · 白皮书转述（未注明州法）
企业应在收到可经验证的个人信息主体要求起的45 日内( 最多延长至90 天)
15日巴西查阅权响应期限 p.26 作者测算数据控制者响应信息主体查阅权请求 · 白皮书2024版 · 白皮书转述
数据控制者应当在15 日内响应信息主体的查阅权请求
30天或21天员工访问权请求响应期限（部分法域） p.25 作者测算表中不同法域的访问、更正请求 · 白皮书2024版 · 白皮书转述（表格错位，国别对应不清）
收到请求后至多21 天的响应期限
16周岁以下禁止，16–18周岁谨慎建议禁止招聘的年龄线 p.31 作者测算白皮书建议 · 白皮书2024版 · 白皮书（无条文出处）
企业应禁止招聘16 周岁以下应聘者
七大经济体共20个国家及地区白皮书覆盖法域 p.45 宣传口径白皮书范围 · 2024版 · 白皮书
七大经济体共20 个国家及地区的数据合规法律框架
300多家客户，20多个国家和地区北森HR SaaS海外服务范围 p.42 宣传口径北森自述 · 2024年 · 北森自述
已经为300多家客户提供了覆盖香港、台湾、泰国
风险与门槛
- 员工数据出境缺合法路径，被当地监管查处 p.22
- 同意不具备有效性：企业与员工权力不平衡，强迫或捆绑同意 p.30
- 数据导出失控导致简历和员工信息外流 p.32
- 俄罗斯、哈萨克斯坦的本地存储要求未满足 p.22
- 16–18岁应聘者的用工合规风险 p.31
预测
- 白皮书将每年更新一版，并整理20个国别的数据合规要求，先发布新加坡、欧盟、阿联酋、南非、哈萨克斯坦、美国六个法域 p.452024年后
时效提醒
成文于2024年下半年；马来西亚《PDPA修正案》当时尚未生效，各国法规和美国对华数据传输规则可能已变，使用前需逐国复核。
读书笔记
最值得记住的是“出境不等于存储出境”，访问出境和使用出境同样算。表格在文本中错位，部分国别与响应期限的对应无法确认，因此只摘录能确定的。后半是产品和律所服务介绍，信息量低。全文不给罚则、案例和费用，不能当风险量化依据。