一家业务覆盖全球多个国家的大型跨国公司在中国国内运营着总部级别的管理系统。公司的员工信息和人力资源数据统一存储在位于国内的数据中心。随着公司全球数字化转型的推进，总部决定部署一套全球统一的云人力资源管理平台，要求分布在各国的子公司和分公司将本地的员工数据全部迁移到位于境外的全球云平台上，以实现统一的人力资本管理和数据分析。
公司在推进这个项目时，项目团队的主要关注点放在了功能迁移的进度和成本控制上，对于数据出境的合规性没有投入足够的重视。项目负责人认为，既然这些数据是公司自己的员工信息，迁移到公司自己的全球系统上就像是在公司内部做了数据搬家，应该没有什么合规问题。基于这个认知，团队在项目计划中只安排了数据的格式转换和系统对接工作，没有启动数据出境的安全评估流程，也没有向相关的监管机构进行申报。
在项目执行阶段，技术团队将存储在国内服务器上的全部员工数据，包括员工的姓名、身份证号码、家庭成员信息、银行账户信息、社保和公积金缴纳记录、体检报告和薪酬福利详情等高度敏感的个人信息，一次性通过加密通道传输到了位于海外的云数据库。这批数据涉及公司在中国境内的所有正式员工、劳务派遣人员和实习生，总数达到了数万人。
事件被曝光的起因是公司内部一位法务人员在参加行业数据合规培训时，意识到公司最近的全球HR项目可能涉及数据出境的问题。他在培训后主动查阅了项目文件，发现数据出境的合规流程完全没有启动，于是向公司的合规部门报告了这个问题。合规部门随后拉响了警报，公司高层才意识到事情的严重性。
按照当时已经生效的数据安全法、个人信息保护法和数据出境安全评估的相关规定，将境内收集的大量个人信息传输到境外，特别是包含身份证号和银行账户等敏感信息的数据，需要完成数据出境安全评估，并获得相关监管部门的批准。公司在没有完成上述合规步骤的情况下就实施了数据跨境传输，存在重大的合规风险。
监管机构介入调查后确认了数据违规出境的事实。公司被要求立即停止尚未完成的数据传输，并对已经出境的数据进行盘点和管理。公司面临了行政处罚，并被要求在规定期限内完成整改。公司还需要对受影响的员工进行逐一告知，说明数据出境的情况和目的。这件事在公司内部也引发了员工对隐私保护的担忧和质疑。
这起案例在企业合规领域具有典型意义。随着越来越多的中国企业走向全球化和深度使用国际化的SaaS服务，数据跨境流动已成为一个高频场景。企业必须建立完善的内部数据出境管理制度，包括对所有数据处理活动进行梳理和分类、识别涉及个人信息和重要数据出境的数据处理场景、按照法规要求完成安全评估和合规申报、以及加强与境外数据处理方之间的数据处理协议和数据安全责任划分。在日益严格的监管环境下，数据出境合规不能心存侥幸，一次疏忽带来的法律风险和声誉损失可能远超企业做合规投入的成本。
