东南亚出海难题：企业如何保证数据安全？

作为新兴市场核心区域的东南亚，拥有庞大的年轻人口和迅速发展的数字经济。在欧美市场趋于饱和的竞争形势下，东南亚正处于增量市场阶段，拥有稳固的增长基础，出海东南亚已逐渐成为中国企业出海的重要拓展方向。东南亚各国法律法规及监管环境存在差异，数据跨境流动面临诸多不确定性和风险，企业在拓展东南亚市场过程中需关注并应对数据安全等一系列法律和合规挑战，这也都与海外人力资源管理、海外人事外包等内容相关。

影响数据跨境自由流动的要素

数据在跨国流动的过程中需要注意国家安全、数字主权和个人隐私保护三要素的制约。

图片来源：Links制图

国家安全

部分数据因其性质本身具有敏感性，如基因、地理、气象等信息，直接关联国家安全。社交媒体巨头所收集的大量数据，亦可能对“国家安全”产生影响。

数字主权

数字主权为国家主权在数字领域的延伸，体现了国家在网络空间中的权力和地位，涵盖网络安全、数据管理、信息技术应用等多个方面。在全球化和数字化背景下，数字主权对于维护国家利益和确保国家安全具有重大意义。

个人隐私保护

随着大数据技术的应用，跨境个人隐私保护问题日益凸显。各国在个人信息保护方面的法律法规不尽相同，给跨境个人隐私保护带来挑战。部分国家对数据跨境传输设有严格的审查制度，可能导致企业无法顺利开展业务。以欧盟的《通用数据保护条例》（GDPR）为例，其中有一个至关重要的规则：当欧盟境内的数据要相对安全和自由地传输到境外的时候，那么接收数据的国家或者企业要对欧盟数据提供与欧盟同等保护的法律和制度，否则欧盟的个人隐私可能会遭受侵害。

连智领域Links一直以来都将员工个人信息的隐私保护视为头等大事。以连智领域Links 搭建的Links One亚洲薪资平台为例，其强大的IT基础架构严格符合ISO27001、GDPR和PIPL等标准流程，并经过全面的渗透测试流程，为用户提供高度的信息安全保障，员工可以无忧地访问数据和更新个人信息。

出海企业在国际数据传输过程中，除应对数据本身所涉及的问题外，还需具备双边监管意识，即国内合规和国外合规。

国内合规：《个人信息保护法》

若企业在境内的合规问题未得到妥善处理，其出海发展的根本意义将大打折扣。我国在数据安全保护领域已相继颁布《数据安全法》《网络安全法》及《个人信息保护法》三部法律法规，初步确立了数据安全保护方面的法律体系。

国内法规对企业出海业务已有明确的规定，《个人信息保护法》第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：

• 依照本法第四十条的规定通过国家网信部门组织的安全评估

• 按照国家网信部门的规定经机构进行个人信息保护认证

• 按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务

• 法律、行政法规或者国家网信部门规定的其他条件

连智领域Links制定了一份全面的标准检查表，涵盖企业为实现符合我国《个人信息保护法》所需执行的所有关键步骤：

一、审慎评估企业所搜集的个人信息，核实这些数据是否为提供服务所必需。

二、识别收集到的任何个人敏感信息。

个人敏感信息是指自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等。需注意14岁以下未成年人的个人信息。

三、若需跨境转移任何个人信息，请检查组织是否需通过我国网信办（CAC）进行安全评估。

关键信息基础设施运营商（CIIO）及个人信息处理达到国家网络空间部规定数量的个人信息处理者需注意此项规定。

四、告知任何数据主体（如员工）其个人信息处理的使用情况，包括：

• 个人信息用户的姓名和联系方式

• 个人信息处理的目的和方式

• 正在收集和处理的个人信息的范围和存储时间

• 行使权利的程序

若企业需委托第三方处理员工个人信息，第三方供应商亦需满足以上四条要求。在处理敏感个人信息时，必须告知处理的必要性以及对个人利益的影响。任何境外个人信息接收者也均需满足上述四项要求。

五、确保数据主体同意使用其个人信息处理，包括收集、存储、用法、队列、传输、提供、出版、删除。若出现特定情况，需获得单独的同意，如向第三方供应商提供个人信息、处理敏感个人信息、向海外收件人提供个人信息。在个人信息处理发生变动时，企业务必告知数据主体，并征得新的同意。

六、在特定情况下，需要进行个人信息保护的影响评估：

• 向第三方供应商提供个人信息

• 处理敏感个人信息

• 向海外收件人提供个人信息

• 使用个人信息进行自动化决策

以上情况，需要对个人信息保护进行影响评估，并记录该过程，评估及其步骤应至少保存3年。

七、企业与第三方供应商之间需签订书面协议，包含其他约定的法定条款。

八、采取措施确保业务和海外收件人或个人信息符合《个人信息保护法》的保护标准，必须满足以下条件之一：

• 通过国家互联网信息办公室（以下简称为“CAC”）进行的安全评估

• 根据CAC制定的规则和规定，从相关机构获得个人信息保护证书

• 以与CAC制定的标准合同基本相同的形式与海外接收方签订合同

九、个人信息处理者通过订立标准合同的方式向境外提供个人信息的，应当符合下列情形：

• 非关键信息基础设施运营者

• 处理个人信息不满100万人

• 自上年1月1日起累计向境外提供个人信息不满10万人的

• 自上年1月1日起累计向境外提供敏感个人信息不满1万人的

十、建立机制允许数据主体撤销同意的授权、修改或删除他们的个人信息。在特定情况下，主动删除个人信息也十分必要：

• 处理个人信息的目的已经实现、无法实现，或者不再需要这些信息时

• 个人信息处理者停止提供产品或服务

• 存储期已过期

• 已撤销对个人信息处理事项的同意授权

• 违反个人信息处理的协议

合规外包解决方案的优势

中国出海东南亚的企业应高度重视数据安全的合规要求，中小企业在法律事务方面的资源相对匮乏，可能难以承受随之而来的法律责任。更对于跨国企业来说，出海东南亚，设立公司、雇佣员工不仅要面对跨境数据安全的问题，还需充分了解当地的文化背景、法律法规等相关因素。

出海可以变成企业的第二生产力，而不要让它成为公司新的风险。在中小企业加速布局东南亚的过程中，海外人事外包服务——名义雇主（EOR）已成为一种趋势。通过名义雇主（EOR）进行雇佣，可以确保整个流程中的各项手续遵循当地法律法规，将解雇员工时可能面临的法律风险降至极低。

特别是对于出海或是进入东南亚市场的企业来说，将人力资源业务委托给优质的服务商是一个更周全的选择：

• 加快出海速度，通过借助服务商在东南亚雇用海外员工，企业无需自行设立实体公司，可以显著降低出海雇用海外员工的成本、节约时间、规避风险，并确保用户以符合当地法规的方式雇用员工。

• 确保人力资源管理的合规性，海外人事外包机构凭借丰富的本地服务经验，可以为企业做好风险管理，让出海企业从初始阶段就做好全周期的合规与风险管控，及时地了解和掌握各个国家与地区当地相关的法律法规，保障海外员工隐私和数据安全，提前做好预案。

• 先进的人力资源技术，海外人事外包机构通常具备完善的外包薪酬或人力资源信息系统技术平台，旨在提升效率、精简流程，从而为您节省时间和开支。

企业在开展东南亚地区的名义雇主服务时，必须进行全面深入的调研和充分准备。连智领域Links覆盖亚洲20个国家和地区，当地团队和专属的客户经理能快速响应您的问题并及时提供全面的国内支持，为跨国企业消除异地沟通障碍和降低合规风险，得到一手信息。帮助企业实现在48小时内极速入职，提升员工入职体验，减少扩张启动时间！

在不断调整和优化业务策略的过程中，企业在东南亚地区开展名义雇主服务将更具竞争力，为客户和员工提供更优质的服务。要想获取名义雇主服务在东南亚地区的详尽解决方案，可以联系我们的团队，获取更多资讯！