新加坡企業出海上海:跨境數據合規避坑指南,本地律師實戰經驗談
新加坡老闆,想在上海落地?先別急著簽租約,跨境數據這道坎得先跨過去 老朋友,最近常有新加坡的創業夥伴私訊問我:「阿明啊,我們想在上海設立子公司,數據要傳回新加坡總部做分析,這在大陸合規嗎?會不會很麻煩?」 這問題問得好,也問得實在。2021 年《個人信息保護法》(PIPL)落地到現在,大陸的數據合規環境已經跟幾年前完全不一樣了。以前可能覺得「數據是我的,我想怎麼傳就怎麼傳」,現在不行了 —— 數據出境是有法定門檻的,踩紅線輕則整改罰款,重則業務停擺、法人被限制高消費。 作為在跨境法務領域摸爬滾打十年的 Lvga 團隊,我們見過太多新加坡企業因為「以為沒事」而栽在數據合規上。有的被網信辦約談,有的因標準合同備案不全被責令暫停傳輸,甚至有的因為員工個人信息沒做脫敏就傳回總部,觸發了《網絡安全法》第六十三條的罰款上限。 這篇文章,我就用大白話、結合我們陪伴客戶實操的經驗,給各位新加坡老闆梳理一遍:在上海開展業務,涉及跨境數據傳輸,到底要怎麼走才穩? 為什麼新加坡企業在上海最容易踩雷? 新加坡企業來上海拓展,通常有幾種典型場景: 銷售管理系統(CRM/ERP)部署在新加坡總部,上海分公司員工每天錄入客戶姓名、電話、購買記錄,數據實時同步回總部伺服器。 人力資源系統(HR SaaS)放在雲端,上海員工的身份證號、銀行卡號、薪資細節、甚至體檢報告,自動上傳到新加坡總部的 Workday 或 SAP SuccessFactors。 研發協作平台(GitLab/Jira/Confluence)託管海外,上海研發團隊提交的代碼、日誌、測試數據中夾雜用戶行為數據,直接推送到海外倉庫。 營銷分析工具(Google Analytics/Mixpanel/Amplitude),上海官網、小程序埋點收集用戶行為畫像,數據直通海外雲端。 這些場景,在《個人信息保護法》第 38 條眼裡,統統屬於「向境外提供個人信息」。 很多新加坡老闆會說:「我們只是傳回總部自己用,不賣給第三方,也沒公開,這也要管嗎?」 管,而且管得很嚴。 根據《個人信息保護法》第 38 條,關鍵信息基礎設施運營者和處理個人信息達到國家網信部門規定數量的個人信息處理者,向境外提供個人信息,必須通過「安全評估」、「專業機構認證」、「標準合同備案」三條路徑中的任意一條。哪怕你不屬於關鍵信息基礎設施運營者,只要處理個人信息量級達標(比如含 100 萬人以上個人信息,或 1 萬人以上敏感個人信息),同樣觸發安全評估強制要求。 更別提 2024 年 3 月 22 日發布的《促進和規範數據跨境流動規定》(以下簡稱《24 號令》),直接把「非關鍵信息基礎設施、不涉及國家秘密、不超過 100 萬人個人信息」的一般業務數據出境,納入了標準合同備案的免評估通道。但這不代表「隨便傳」,備案材料缺一不可,流程走錯一步都得返工。 三條合規路徑,新加坡企業該怎麼選? 大陸法律給了三條路,但不是隨便挑的,得看你的業務屬性、數據類型、數量級、風險承受力。我們幫客戶梳理過一張對照表,供參考: 路徑 適用場景 核心門檻 大約工期 適用性建議 安全評估 關鍵信息基礎設施運營者;處理 100 萬+ 個人信息或 1 萬+ 敏感個人信息;向境外提供敏感個人信息 需向省級網信辦申報,再報國家網信辦審核;需委托專業機構出具評估報告 3–6 個月(含整改) 必須走,沒得選。適合大型跨國集團、金融、醫療、車聯網等強監管行業。 專業機構認證 非關鍵信息基礎設施,數據量級未達安全評估門檻,但希望獲得更高合規公信力 需選擇獲備案資質的認證機構(如中認聯、北京認證等),通過現場審核、文檔審核 2–4 個月 適合追求國際化合規形象、有長期跨境數據流動需求的中大型企業。 標準合同備案 非關鍵信息基礎設施,不涉及國家秘密,個人信息 < 100 萬人,敏感個人信息 < 1 萬人,不向境外提供敏感個人信息 雙方簽署國家網信辦發布的標準合同文本(不可實質性更改),向市級網信辦備案 2–6 周(材料備齊前提下) 新加坡中小企業在上海最常用、性價比最高的路徑。前提是業務場景確實符合《24 號令》第 7 條免評估條款。 老阿明碎碎念:別聽中介說「花錢買個認證最快」,認證機構現場審核很硬核,資產清單、數據流圖、PIA 報告、應急預案缺一不可。對於首次落地上海、團隊精簡的新加坡公司,標準合同備案通常是落地最快、成本最可控的選擇 —— 但前提是你得先把家底查清楚。 ...