中国企业集中管理信息与跨国信息传输的冲突——以中国总部与韩国子公司为例

2026-10-10

一、问题的提出：从CH公司的全球管理模式说起

假设中国企业CH公司是一家总部位于中国的高科技企业，主要从事高端制造、技术研发及相关产品的全球销售。

随着海外投资规模扩大，CH公司先后在韩国以及其他国家设立子公司和研发中心，全球经营结构形式为：

中国总部＋海外经营子公司＋海外研发中心

为了提高集团管理效率，CH公司开始推动财务、人事、业务、IT和研发的集中管理。

韩国子公司的客户资料、合同、财务数据和员工信息定期汇总至中国总部；部分韩国员工直接使用CH公司部署在中国的企业邮箱、ERP、CRM和HR系统。

作为一家高科技企业，CH公司的数据流动还包括大量研发和技术信息。

CH公司在中国建立核心研发服务器，其中保存产品设计、技术参数、制造工艺、源代码、测试数据和研发报告。韩国研发中心工程师可以远程登录中国服务器，查询或者下载项目所需资料。

与此同时，韩国研发中心形成的实验数据、设计文件、测试结果和研发报告，又按照集团IT制度实时或者定期复制、同步或者备份至中国服务器。

因此，同一集团内部实际上同时存在多种信息跨境流动：

韩国经营数据 → 中国；

韩国研发技术 → 中国；

以及：

中国数据和技术 → 韩国。

在企业管理人员看来，这些活动都可以概括为“集团内部信息共享”。在法律上，同一集团并不意味着同一法律主体，更不意味着数据和技术可以自由跨境。

二、CH公司的五类典型跨境信息流

CH公司的全球信息系统至少包含以下五种不同的数据流动：

以下即按照这五种信息流分别分析。

三、第一类：韩国经营及人员数据汇总至中国总部

最传统的场景，是韩国子公司定期向CH公司中国总部提交经营数据。

其中可能包括：销售数据、客户资料、供应商资料、劳动合同、工资信息、绩效记录、联系人以及业务报告等。

如果传输的只是无法识别自然人的销售总额、利润、市场份额等纯粹经营统计数据，韩国《个人信息保护法》原则上并不因为数据“跨境”而当然适用。但是，只要其中包含可以识别自然人的员工、客户联系人或者供应商工作人员信息，就需要进一步适用韩国个人信息境外转移制度。

CH Korea定期将员工个人信息表格、客户联系人数据库或者HR资料传给中国总部，就是典型的：

个人信息国外转移：韩国 → 中国。

如果中国总部并非仅代韩国公司处理数据，而是为了集团人力资源、集团审计或者自己的经营管理目的使用有关个人信息，还应同时考虑韩国《个人信息保护法》第17条关于第三方提供的规则，即明确告知信息主体并取得同意。

四、第二类：韩国公司使用中国总部的邮箱及IT系统

第二种情况表面上并不存在“主动传文件”。

例如，CH公司要求全球公司统一使用部署在中国的企业邮箱、ERP、CRM、OA以及HR系统。

韩国员工每天只是在韩国正常登录系统工作，但从法律角度看，其中的数据可能自形成之时就已经在中国被存储或者处理。

韩国《个人信息保护法》第28条之8不仅管理向境外“提供”个人信息，还明确包括境外处理委托和境外保存。因此，韩国子公司使用中国总部HR系统录入韩国员工资料，即可能形成境外保存或者处理。

企业邮箱尤其值得关注。

商业邮件经常包括员工姓名、工作邮箱、电话号码、职位、客户联系人、供应商联系人和邮件签名，因此所谓“业务邮件”并不一定只是普通商业数据，其中往往包含大量个人信息。

韩国法律并没有一般性规定要求韩国公司必须采用韩国邮箱服务商，也没有普遍要求所有公司邮件服务器必须设置在韩国。核心问题是：邮件里面有什么数据、服务器在哪里、由谁管理、中国总部能否查看邮件内容。

如果中国总部为了管理目的能够获取韩国公司职员的全部电子邮件内容，则法律关系可能进一步转化为境外第三方提供问题。

因此，问题并不是：韩国子公司能不能使用中国公司邮箱？

而是：韩国公司使用中国邮箱后，哪些个人信息进入中国、依据什么法律基础进入中国，以及中国总部可以如何使用这些信息。

从风险管理角度，对于具有独立法人资格的韩国子公司，更稳妥的基本结构通常是：韩国公司自行控制业务邮箱和主要业务数据，中国总部仅取得实现集团管理所必要的权限。

五、第三类：韩国研发人员访问中国服务器取得技术资料

第三种数据流的方向与前两种完全相反：

技术信息：中国 → 韩国。

假设韩国研发中心的工程师登录CH公司中国研发服务器，从中查看或者下载：产品设计图纸、源代码、材料参数、制造工艺、算法、实验数据或者技术报告。

企业内部通常将其理解为：“同一集团的研发人员使用集团研发资料。”

但是，中国法律首先要求判断：这些资料是否属于可以自由向境外提供的技术。

中国技术出口的基本规则

《中华人民共和国技术进出口管理条例》第2条对“技术出口”采取较宽的定义：

从中国境内向境外，通过贸易、投资或者经济技术合作方式转移技术均可能属于技术出口，其中包括专利许可、技术秘密转让、技术服务以及其他技术转移方式。

因此，“没有出售技术”或者“接收方是自己的韩国子公司”，并不能当然排除技术出口问题。

中国目前对技术出口实行分级管理：自由出口技术、限制出口技术、禁止出口技术。

《技术进出口管理条例》规定：禁止或者限制出口的技术由有关目录确定；属于禁止出口的技术，不得出口；属于限制出口的技术实行许可证管理，未经许可不得出口。

因此，对于CH公司来说，韩国工程师取得中国技术资料之前，第一步不应当是：“IT部门是否批准访问。”而应当是：“该项技术在《中国禁止出口限制出口技术目录》中是否属于限制或是禁止出口技术。”

如果属于禁止出口技术，原则上不得通过集团系统向韩国提供；如果属于限制出口技术，则需要按照许可制度办理。

即使文件没有下载，只允许韩国工程师从海外远程查看，如果这种安排实质上已经使境外人员取得并能够利用有关技术，也不能仅以“服务器仍然在中国”为理由当然排除技术出口风险；应根据具体技术、访问方式和使用目的判断其是否形成技术转移。

如有关资料同时属于两用物项相关技术，还需要进一步适用《出口管制法》及《两用物项出口管制条例》。后者明确将与两用物项有关的“技术和服务，包括相关技术资料等数据”纳入管制范围。如果涉及稀土技术，还应当关注《对稀土相关技术实施出口管制的决定》相关内容。

六、第四类：韩国研发数据自动复制或备份至中国

对于CH这样的高科技公司，这可能是五种场景中风险最高的一类。

假设韩国研发中心每天产生：研发图纸、实验数据、生产参数、配方、制造工艺、源代码以及测试结果。

根据CH公司统一IT政策，韩国研发服务器每天夜间自动将全部文件复制至中国总部服务器。

从IT管理角度，这是数据备份。

从技术保护法律角度，则必须先判断：被复制的数据到底属于哪一种技术。

韩国技术保护制度至少需要区分三个层次。

（一）一般“产业技术”

韩国《产业技术流出防止及保护法》第2条规定的“产业技术（산업기술）”并不是所有企业内部技术资料的统称，而是按照法律或相关行政规范被指定、公告、认证等符合规定范围的技术。

因此，对一般产业技术而言，需要首先关注：向中国总部开放是否具有合法权限、是否违反保密义务以及是否构成产业技术泄露或侵害。

（二）国家核心技术

《产业技术保护法》第2条将“国家核心技术（국가핵심기술）”定义为技术、经济价值较高，或者具有较高产业增长潜力，一旦流出境外可能对韩国国家安全及国民经济产生重大不利影响的技术。

如果属于接受韩国国家研发经费支持开发的国家核心技术，通过出售、转移等方式向外国企业出口，原则上应当事先取得产业通商部长官批准；其他不属于上述批准范围的国家核心技术出口，原则上实行事前申报制度。

因此，如果CH Korea掌握韩国国家核心技术，中国母公司是100%股东本身不能免除出口合规程序。

韩国研发数据库整体复制至中国、向中国研发团队开放数据库、自动备份国家核心技术资料，都应在实施之前判断是否构成“国家核心技术出口”。

（三）国家尖端战略技术

对于CH这样的高科技企业，还应进一步筛查韩国《国家尖端战略产业竞争力强化及保护特别措施法》规定的国家尖端战略技术（국가첨단전략기술，以下简称“战略技术”）。

该法将战略技术定义为对供应链稳定、国家经济安全以及出口、就业等国民经济具有重大影响的技术。

根据《国家尖端战略产业法》第14条要求，战略技术持有人建立保护区域、人员管理和保密等措施；第15条则将未经批准出口战略技术本身列入禁止的战略技术泄露、侵害行为。

因此，对于CH Korea的研发资料，原则上应按以下顺序判断：

普通研发资料 → 是否属于产业技术 → 是否属于国家核心技术 → 是否属于国家尖端战略技术。

越向后，跨境管制越严格。尤其不能采用“韩国所有研发文件每天自动完整备份中国总部”这样的无差别系统设计。

七、第五类：中韩研发中心共同使用全球研发平台

最后一种模式，也是未来跨国高科技企业最常见的模式，即研发数据不再明确地“从A发送到B”，而是双方共同进入一个全球平台。

例如：中国工程师上传设计文件；韩国工程师在线修改；中国工程师继续进行测试；韩国研发中心上传实验结果；所有资料同时存储在多个服务器中。

对于CH而言，一项技术上传全球研发平台以前，至少要同时完成两个方向的判断。

如果技术形成于韩国，应当判断：是否属于韩国产业技术；是否属于韩国国家核心技术；是否属于韩国国家尖端战略技术；以及向中国总部或者中国研发人员开放是否触发出口审批、申报或技术保护要求。

如果技术形成于中国，则应当判断：是否属于《中国禁止出口限制出口技术目录》的禁止类技术；是否属于限制类技术；是否还涉及两用物项或者其他出口管制。

因此，对于全球研发平台而言，更合理的设计应当是：人员＋所属法人＋所在国家＋研发项目＋技术等级共同决定访问权限。

例如，一名CH Korea工程师虽然属于CH集团研发团队，但如果某项中国技术属于禁止出口技术，集团身份并不能使其当然取得访问权限。

反过来，如果韩国研发中心掌握国家尖端战略技术，中国总部研发负责人也不能仅凭集团高级管理人员身份当然取得全部数据。

八、五种数据流对应三套合规逻辑

将以上五种场景放在一起，可以看到CH公司真正面对的并不是一个笼统的“数据跨境问题”。

实际上存在三套不同的判断逻辑。

第一套：个人信息跨境。重点适用于韩国员工、客户联系人、邮件、HR系统等。

第二套：一般经营数据跨境。如果数据既不包含个人信息，也不属于特别监管技术，法律限制通常明显较低，可以更多通过商业秘密、合同和信息安全制度管理。

第三套，也是高科技企业最重要的一套：技术跨境。技术跨境不能只按照个人信息规则分析。

在韩国，应特别筛查：产业技术 → 国家核心技术 → 国家尖端战略技术。

在中国，则应特别筛查：自由出口技术 → 限制出口技术 → 禁止出口技术，并进一步判断是否涉及两用物项及其他出口管制。

九、解决思路：从“数据分类”进一步升级为“数据＋技术双重分类”

对于CH这样的高科技跨国集团，仅仅建立传统的个人信息分类制度还不够。至少可以形成如下四级内部管理体系：

十、结论：集中管理不等于数据和技术全部集中

CH公司的案例反映了中国高科技企业国际化以后一个越来越普遍的矛盾。

总部希望：全球信息透明、系统统一、研发协同。

但是各国法律关注的是：个人信息是否被境外取得，重要技术是否被外国主体使用，以及国家控制的技术是否在未经许可的情况下发生跨境转移。

因此，对于跨国高科技企业而言，更合理的管理逻辑不是：所有海外数据和研发资料全部集中到中国服务器。

而是：总部能够管理全球业务，但不必掌握全部原始信息；全球研发可以协同，但受管制的数据和技术必须保留国家法律所要求的边界。

需要特别说明的是，如果CH公司在欧洲、美国、日本、新加坡、越南等其他国家或地区设立子公司或者研发中心，不能直接将本文关于韩国的结论类推适用。各国在个人信息、员工隐私、通信秘密、数据本地化、技术保护及出口管制方面存在明显差异，应针对有关国家重新进行法律检索和分析。

本文作者：

声明：

本文由德恒律师事务所律师原创，仅代表作者本人观点，不得视为德恒律师事务所或其律师出具的正式法律意见或建议。如需转载或引用本文的任何内容，请注明出处。