如何在国际集团（香港、墨西哥、中国内地、非洲）开展内部调查而不违反当地法律和数据传输规则？

更新日期：2026年11月9日

负责人：Pascal-André Gérinier（律师 - 创始人）、William Mak 麦绍荣（律师 - 创始人）

每家子公司都在其本国劳动法和数据法律下开展调查：法国的方法不能原样输出。开始之前有三个问题：谁决定、谁听取证人陈述，是当地实体还是母公司；哪些数据可以离开所在国，因为香港、墨西哥和中国内地均未获得GDPR意义上的充分性认定，且中国内地对数据传输适用其本国法律；何种保密制度保护调查工作，从法国的律师职业保密义务到香港的legal professional privilege，而在中国内地没有程序性保护。此外还有一项法国规则：在遵守适用条约和法律文本的前提下，1968年7月26日阻断法禁止向外国机关直接传输旨在用作证据的经济、商业、工业、金融或技术性质的文件，这可能涉及调查的部分材料。

要点

• 子公司是独立的法人：母公司对其员工没有直接权力，须通过子公司的机构行事。
• 访谈遵循当地劳动法；访谈记录在可以传输之前遵循当地数据法律。
• 出于审慎，原始数据留在所在国；只有假名化的综述流通，这些综述仍属于个人数据，须依据集团内部条款传输。
• 调查工作的保密程度各不相同：法国的律师职业保密义务、香港的privilege、墨西哥的有限保护、中国内地律师的保密义务但无程序性保护。
• 对于要求提供证据的外国机关，未经事先分析不得直接答复：法国方面有阻断法，中国方面须经批准。

在国际集团中开展的调查不受单一法律管辖。每家子公司都有其自己的雇主、社会义务、保密规则和个人数据方面的约束。文化差异也影响访谈以及举报敏感事实的方式。在法国设计的程序，在其他地方可能产生难以使用的证据、导致当地违法或忽视对员工的保护。不合规的数据传输会加剧这些风险。因此，法国的方法是一个需要调整的起点，而非原样复制的模板。

1. 治理：谁决定、谁调查、谁接收报告

子公司是独立的法人，有其自己的雇主、机构和法律。想要查清在香港、墨西哥城或卡萨布兰卡发生的事实的母公司，仅凭其股东身份并无权传唤其子公司的员工：母公司让子公司的机构决定调查并授权调查人员，或者从子公司获得书面委托，而调查人员始终与集团团队保持协调。每个实体一份委托函，确定由谁调查、依据何种法律、谁接收报告以及哪些内容上报母公司。当母公司受萨宾第二法（Sapin II）约束并编制合并报表时，其义务覆盖其子公司及其控制的公司，且警示机制可以共用（萨宾第二法第17条；第8条C项）。一个由集团法务部门、警示专员和协调律师组成的调查委员会，可以避免各国各自为政。

2. 各国访谈的当地法律

在香港，Employment Ordinance规范劳动关系；Sex Discrimination Ordinance和平等机会委员会（Equal Opportunities Commission）的实务守则规范性骚扰投诉，雇主可能为其员工的行为承担责任，但已采取合理预防措施的除外。Personal Data (Privacy) Ordinance保护访谈记录。

在墨西哥，Ley Federal del Trabajo第132条要求雇主制定预防性别歧视以及处理暴力和骚扰的规程。NOM-035-STPS-2018标准规定了投诉机制，其保密性必须予以安排。墨西哥批准的国际劳工组织第190号公约以及劳动法院补充了这些要点。

在中国内地，适用的劳动法、规定了自身处理依据的《个人信息保护法》以及与国家秘密相关的限制规范着每一次访谈；当局可以要求配合。本所在每一阶段都引入当地同行律师。

在非洲，没有任何OHADA统一法规范劳动法：每个国家都有其劳动法典、劳动监察部门，并且越来越多地有其个人数据法律，如摩洛哥的第09-08号法律、科特迪瓦的第2013-450号法律或塞内加尔的第2008-12号法律；本所依靠当地同行律师。在所有情形下，访谈遵循员工工作所在国的法律。

3. 数据传输：哪些数据可以离开所在国

访谈记录是一份个人数据文件。在GDPR意义上，其处理以雇主的正当利益或其保护员工健康与安全的法定义务为依据，而非以相关人员的同意为依据，因为劳动关系的不平衡原则上使同意不适宜：相关人员被告知，而非被邀请同意。从欧盟向香港、墨西哥或中国内地传输，在没有充分性认定的情况下，需要适当的保障措施，实践中为集团内部标准合同条款和传输影响评估（GDPR第五章）。反方向上，每个国家各有其条件。在中国内地，《个人信息保护法》要求数据出境须经安全评估、签订标准合同或通过认证，2024年3月引入的豁免除外，其中包括按照依法制定的内部规则为跨境人力资源管理所必需的传输；该法原则上要求就传输取得单独同意，而中国行政部门的指导文件在处理基于其他法律依据时排除了这一要求，此点须与当地同行律师确认；该法第41条还禁止未经批准向外国司法或执法机关提供存储在中国境内的数据。在香港，个人资料条例规范收集和使用，其专门针对跨境传输的限制即第33条仍未生效，而私隐专员（Privacy Commissioner）建议使用合同条款。在墨西哥，经2025年3月修订、现由反腐败与良政部监管的《私人持有个人数据保护联邦法》要求提供隐私告知，并原则上要求取得同意，视数据性质为默示或明示同意，法定例外除外，其范围须逐案核实。

实践中，出于审慎而非义务：原始数据留在所在国，存放于子公司的服务器上；只传输假名化的综述，且这些综述仍属于受同样规则约束的个人数据；告知相关人员；并以书面集团内部协议分配责任。

4. 各国对调查工作的保密

在法国，律师作为企业顾问开展调查时，其提交给客户的工作成果受律师职业保密义务保护（1971年12月31日法律第66-5条）。在香港，legal professional privilege区分与法律意见相关的legal advice privilege和与拟议或已启动的诉讼程序相关的litigation privilege。在墨西哥，职业保密义务存在，但其程序性保护可能更为有限。在中国内地，律师依据《律师法》第38条负有保密义务，但这一义务并不产生与privilege可比的程序性保护：文件可能被扣押，并可能产生与当局配合的义务。因此，必须确定在何处撰写和保存敏感分析，然后限制其在子公司之间的传播。指南《为何将内部调查委托给律师？》详细说明法国的律师职业保密义务。

5. 访谈中的语言与文化规范

由熟悉其文化规范的律师用其母语访谈的证人，与通过口译员访谈时的表达方式并不相同。在香港或中国内地，视人员和环境而定，对上下级关系的态度、顾及面子的考虑以及间接表达的习惯，使得出于礼貌的“是”并不总是表示认可，而对上级的指控往往迂回表达。在墨西哥，对团体的忠诚和对报复的恐惧影响着访谈中所说的内容。在法语非洲，访谈的语言并不总是企业的语言，公开发言的习惯也因国家而异。MOSAIK从巴黎、香港和墨西哥城出发，以法语、英语、粤语、普通话和西班牙语进行访谈，并在非洲和中国内地与当地同行律师合作。访谈记录以访谈语言撰写，并在当地法律和被访谈人允许的情况下当场签署；如果在法国或其他地方可能发生诉讼，则准备经认证的翻译件。

6. 阻断法与外国机关的请求

1968年7月26日法律第1条之二，即所谓阻断法（loi de blocage），在遵守适用条约和法律文本的前提下，禁止为在外国司法或行政程序中形成证据而索取、搜集或传递经济、商业、工业、金融或技术性质的文件或信息。因此，将属于这些类别、旨在用作外国程序证据的调查材料直接传输给外国机关或法院，即使通过子公司进行，也落入这一禁令的范围，除非有适用的条约或法律文本；并设有刑事处罚。关于骚扰的访谈记录不一定属于此类，但会计、合同或技术材料则属于：因此须逐份材料进行分析。正确途径是国际司法协助，与法国行政部门的联络点对接。中国的《个人信息保护法》则禁止未经批准向外国司法或执法机关传输存储在中国境内的数据。未经事先法律分析不要答复：请律师介入，并记录每一次往来。

7. 当调查揭示腐败或制裁风险时：第三方诚信核查

人力资源调查有时会发现其他问题：向中间人支付的佣金、与员工有关联的供应商、受制裁的客户。在员工人数达五百人及以上的公司，或属于母公司总部设在法国且员工人数达五百人及以上的集团的公司，且营业额（如适用则为合并营业额）超过一亿欧元的，管理者以及公司本身必须依据萨宾第二法第17条绘制腐败和影响力交易风险地图，并对客户、一级供应商和中间人进行评估；其他公司只要在高风险国家经营，也有此利益，因为美国《反海外腐败法》（Foreign Corrupt Practices Act）、英国《反贿赂法》（Bribery Act）以及欧盟和美国的制裁制度的适用范围远超其国界。诚信核查，针对个人通常称为KYC、针对公司称为KYB，查阅实际受益人登记册、制裁名单、当地商业登记册（例如香港的公司注册处（Companies Registry））、公开的司法判决和新闻报道。这些核查保持相称：GDPR对有关刑事定罪数据的处理有严格规定，在法国对应聘者或员工的核查只能涉及与职位有直接且必要联系的信息（法国劳动法典第L. 1221-6条），所采用的方法须事先告知本人（第L. 1221-8条）。我们的国际事务和海关法页面延伸这一方面的内容。

在进行任何诚信核查之前，精确界定其对象：实际受益人、适用的制裁、已公开的定罪或与员工的利益关联。优先使用官方登记册和可靠的公开来源。保留所查阅的来源、查询日期以及所保留数据的理由。GDPR第10条对有关刑事定罪信息的处理有严格规定：信息已公开并不足以允许收集。没有实际业务的中间人、无法解释的佣金、空壳公司或拒绝答复，需要相称的应对：补充核查、合同担保或拒绝签约。

8. 外国子公司的八点规程

1. 决定：子公司的机构决定调查并授权调查人员；委托函确定适用法律、范围和报告的接收方。
2. 任何访谈之前的当地法律分析：雇主的义务、被访谈人的权利、证据规则、代表或律师可能在场。
3. 在当地冻结和保全数据：邮箱、文件、访问日志、带时间戳的副本和有记录的保管链，此阶段不向境外传输。
4. 依照当地法律告知相关人员：目的、接收方、访问和更正的权利、保存期限。
5. 用当事人的语言、由熟悉其文化规范的调查人员进行访谈，访谈记录由其重读。
6. 报告在受保护程度最高的地方撰写和保存，区分已查实的事实、未查实的事实和法律分析。
7. 向集团传输假名化的综述，依据集团内部合同条款并经传输影响评估。
8. 利用：依据当地劳动法作出处分，经当地分析后可能提出刑事控告，对任何外国机关通过司法协助，有时间限制的归档。

因事实不同而有所变化之处

在本所设有办公室的地方，即香港和墨西哥城，调查由团队在当地进行；在其他地方，即非洲和中国内地，调查与熟悉该国劳动法和习惯的当地同行律师协调进行。围绕调查的各项行动，如举报渠道、宣传活动和管理人员培训，均根据国家和团队语言进行调整，使集团在其所有站点拥有一致的机制。海外的刑事事实在提出任何控告之前需要当地分析，因为控告可能触发企业无法再掌控的调查权力。受法国法合同约束的外派员工仍受所选法律管辖，但在法国法官面前，当其被长期派驻而非仅为短期出差时，不得剥夺其在惯常工作国强制性规定下的保护（罗马第一条例（Rome I）第8条）；无论如何，当地规则适用于访谈。受萨宾第二法约束的集团将调查与其反腐败机制衔接。外国机关的证据请求改变处理方式：原则上通过司法协助处理，绝不在未分析阻断法的情况下直接答复。关于所有调查的共同方法，参见《如何开展针对骚扰或歧视的内部调查？》；关于律师的角色和保密，参见《为何将内部调查委托给律师？》；关于总体框架，参见内部调查页面以及我们的香港和墨西哥页面。