某跨国公司中国分公司将员工个人数据上传至美国总部HR云系统未完成安全评估案

【案件背景】
2024年5月，某在华跨国公司在全球HR数字化转型项目中将中国分公司数千名员工的人事数据（含身份证号、家庭信息、薪酬、绩效、健康体检结果等）上传至美国总部的Workday云HR系统。该数据出境行为未进行安全评估，也未向员工告知其数据将被传输至美国。

【违法事实】
一是员工数据出境未经安全评估——根据《个人信息保护法》第38条和《数据出境安全评估办法》，处理100万人以上个人信息的数据处理者向境外提供个人信息须通过安全评估；二是员工数据中包含大量敏感个人信息——健康体检数据、家庭成员信息等属于敏感个人信息，出境需取得单独同意；三是未向员工告知数据出境的接收方、目的和风险。

【处罚决定】
国家网信办责令暂停数据出境，在通过安全评估并取得员工单独同意之前不得向美国总部传输员工数据，处以人民币500万元罚款。

【典型意义】
一是全球化的HR云系统部署与数据本地化要求存在结构性冲突——跨国企业必须为在华员工数据建立本地化的HR系统或完成出境评估；二是员工数据的跨境传输在GDPR和中国PIPL下均受到严格限制，是企业全球化合规的最大挑战之一。