如何在國際集團（香港、墨西哥、中國內地、非洲）中進行內部調查而不違反當地法律及數據轉移規則？

更新日期：2026年11月9日

負責人：Pascal-André Gérinier（律師 - 創辦人）、William Mak 麥紹榮（律師 - 創辦人）

每家子公司依其自身的勞動法及數據法進行調查：法國的方法不能原封不動地輸出。開始前有三個問題：由誰決定及由誰聽取證人陳述，是當地實體還是母公司；哪些數據可離開該國，因為香港、墨西哥及中國內地均未獲GDPR意義上的充分性認定，而中國內地以其自身法律規管轉移；何種保密保護調查工作，從法國的律師專業保密義務到香港的法律專業特權（legal professional privilege），而中國內地則無程序上的保護。還有一項法國規則：1968年7月26日封鎖法（loi de blocage）禁止在不違反適用條約及法規的前提下，直接向外國機關轉交用作證據的經濟、商業、工業、財務或技術性質的文件，這可能涵蓋調查的部分文件。

要點

• 子公司是獨立的法人：母公司對其僱員沒有直接權力，須透過子公司的機關行事。
• 聽證遵循當地勞動法；記錄在可轉移前須遵循當地數據法。
• 出於審慎，原始數據留在該國；流通的只有假名化的摘要，其仍屬個人數據，並依集團內部條款傳送。
• 調查工作的保密程度不一：法國的律師專業保密義務、香港的特權（privilege）、墨西哥有限的保護、中國內地律師的保密義務但無程序保護。
• 對要求提供證據的外國機關，未經事先分析不作直接答覆：法國方面有封鎖法，中國內地方面須取得批准。

在國際集團中進行的調查不屬於單一法律的範疇。每家子公司有其自身的僱主、社會義務、保密規則及個人數據方面的約束。文化差異亦影響聽證及舉報敏感事實的方式。在法國設計的程序在其他地方可能產生難以使用的證據、觸犯當地法律或忽視對僱員的保護。不合規的數據轉移會加劇這些風險。因此法國的方法是一個有待調整的起點，而非可原封不動複製的模式。

1. 治理：由誰決定、由誰調查、由誰接收報告

子公司是獨立的法人，有其自身的僱主、機關及法律。希望查明在香港、墨西哥城或卡薩布蘭卡發生的事實的母公司，僅憑其股東身份並無權傳召其子公司的僱員：母公司讓子公司的機關決定調查並委任調查員，或從子公司取得書面授權，而調查員與集團團隊保持協調。每個實體一份委託書，訂明由誰調查、依據何種法律、由誰接收報告以及哪些內容上報母公司。當母公司受薩賓第二法（Sapin II）約束並編製合併賬目時，其義務涵蓋其子公司及其控制的公司，警示機制可為共同機制（薩賓第二法第17條；第8條C項）。一個匯集集團法務部門、警示專責人員及協調律師的調查委員會，可避免各國分散行事。

2. 聽證的當地法律，逐國說明

在香港，《僱傭條例》（Employment Ordinance）規範僱傭關係；《性別歧視條例》（Sex Discrimination Ordinance）及平等機會委員會的實務守則規管性騷擾投訴，僱主可能須對其僱員的行為負責，已採取合理預防措施者除外。《個人資料（私隱）條例》（Personal Data (Privacy) Ordinance）保護聽證記錄。

在墨西哥，《聯邦勞動法》（Ley Federal del Trabajo）第132條要求僱主制定預防性別歧視及處理暴力與騷擾的規程。NOM-035-STPS-2018標準規定投訴機制，其保密須予以安排。墨西哥已批准的國際勞工組織第190號公約以及勞動法庭補充了這些準則。

在中國內地，適用的勞動法、設有自身處理依據的個人信息保護法以及與國家秘密相關的限制規範每一次聽證；當局可要求合作。本所在每一步驟均聯同當地同業參與。

在非洲，沒有任何OHADA統一法規範勞動法：每個國家有其勞動法典、勞工監察，以及日益普遍的個人數據法，例如摩洛哥的第09-08號法律、科特迪瓦的第2013-450號法律或塞內加爾的第2008-12號法律；本所依靠當地同業。在任何情況下，聽證均遵循僱員工作所在國的法律。

3. 數據轉移：哪些可離開該國

聽證記錄是一份個人數據檔案。在GDPR意義上，其處理依據是僱主的正當利益或其保護僱員健康與安全的法定義務，而非當事人的同意，因為僱傭關係的不平等原則上使同意並不適當：當事人獲告知，而非被邀請同意。自歐盟向香港、墨西哥或中國內地轉移，在沒有充分性認定的情況下，須有適當的保障，實務上是集團內部的標準合同條款及轉移影響評估（GDPR第五章）。在相反方向，每個國家設有其自身條件。在中國內地，個人信息保護法規定數據出境須經安全評估、標準合同或認證，2024年3月引入的豁免除外，其中包括按依法制定的內部規章進行跨境人力資源管理所必需的轉移；該法原則上要求就轉移取得單獨同意，而中國內地行政部門的指引在處理基於其他法律依據時免除此要求，此點須與當地同業確認；該法第41條並禁止未經批准向外國司法或執法機關提供存儲於中國內地的數據。在香港，個人資料條例規範收集及使用，其專門針對跨境轉移的限制，即第33條，仍未生效，而私隱專員建議採用合同條款。在墨西哥，《私人持有個人數據保護聯邦法》於2025年3月重新修訂，現由反貪腐與良好治理部監管，要求發出私隱聲明，並原則上取得同意（視數據性質為默示或明示），法定例外情形除外，其範圍須逐案核實。

實務上，出於審慎多於義務：原始數據留在該國，存放於子公司的伺服器；只轉移假名化的摘要，而這些摘要仍屬個人數據，受相同規則約束；當事人獲告知；並以書面集團內部協議分配責任。

4. 各國的調查工作保密制度

在法國，律師以企業顧問身份調查時，其向客戶提交的工作成果受律師專業保密義務保護（1971年12月31日法律第66-5條）。在香港，法律專業特權（legal professional privilege）區分涉及法律意見的法律意見特權（legal advice privilege）與涉及擬進行或已進行的訴訟程序的訴訟特權（litigation privilege）。在墨西哥，專業保密存在，但其程序上的保護可能較為有限。在中國內地，律師依律師法第38條負有保密義務，但此義務不產生可與特權相比的程序保護：文件可被扣押，並可能產生與當局合作的義務。因此須確定在何處撰寫及保存敏感分析，然後限制其在子公司之間的傳閱。指南《為何將內部調查委託予律師？》詳述法國的律師專業保密義務。

5. 聽證中的語言與文化規範

證人以其母語、由熟悉其文化規範的律師聽取陳述，與透過傳譯員表達並不相同。在香港或中國內地，視乎個人及環境，對上級的態度、不讓人丟臉的顧慮及婉轉的表達，使得出於禮貌的「是」不一定表示同意，而對上級的指控往往迂迴提出。在墨西哥，對團隊的忠誠及對報復的恐懼影響面談中的表述。在法語非洲，聽證的語言不一定是企業的語言，公開發言的習慣亦因國而異。MOSAIK以法語、英語、粵語、普通話及西班牙語進行聽證，從巴黎、香港及墨西哥城出發，並在非洲及中國內地與當地同業合作。記錄以聽證的語言撰寫，並在當地法律及受聽證者允許時當場簽署；如在法國或其他地方可能發生訴訟，則準備經認證的翻譯。

6. 封鎖法與外國機關的請求

1968年7月26日法律第1條之二，即所謂封鎖法（loi de blocage），禁止在不違反適用條約及法規的前提下，為在外國司法或行政程序中構成證據而索取、搜尋或傳送經濟、商業、工業、財務或技術性質的文件或資料。因此，將屬於這些類別、擬在外國程序中用作證據的調查文件直接轉交外國機關或法院，即使透過子公司，亦落入此項禁止範圍，適用條約或法規除外；並設有刑事處罰。關於騷擾的聽證記錄不一定屬於此範圍，但會計、合約或技術文件則屬於：因此須逐份文件分析。途徑是國際司法互助，與法國行政部門的聯絡點聯繫。中國內地的個人信息保護法則禁止未經批准向外國司法或執法機關傳送存儲於中國內地的數據。未經事先法律分析不要答覆：請律師介入，並記錄每次交流。

7. 當調查揭示貪腐或制裁風險：第三方誠信核查

人力資源調查有時會揭示其他問題：向中介人支付的佣金、與僱員有關聯的供應商、受制裁的客戶。在僱員人數至少五百人的公司，或屬於母公司總部設於法國且僱員人數至少五百人的集團的公司，其營業額（視情況為合併營業額）超過一億歐元，依薩賓第二法第17條，高管以及公司本身須繪製貪腐及以權謀私的風險地圖，並評估客戶、一級供應商及中介人；其他公司一旦在高風險國家營運亦有此利益，因為美國《海外反腐敗法》（Foreign Corrupt Practices Act）、英國《反賄賂法》（Bribery Act）以及歐盟與美國的制裁制度的適用範圍遠超其國界。誠信核查，對個人常稱為KYC，對公司稱為KYB，查閱實益擁有人登記冊、制裁名單、當地商業登記冊（例如香港的公司註冊處（Companies Registry））、已公布的法院裁決及新聞報道。核查保持相稱：GDPR嚴格規範有關刑事定罪數據的處理，而在法國對應徵者或僱員的核查只能涉及與職位有直接且必要聯繫的資料（法國勞動法典第L. 1221-6條），所用方法須向其告知（第L. 1221-8條）。本所《國際商事》及《海關法》頁面延伸此部分。

在任何誠信核查前，精確界定其對象：實益擁有人、適用的制裁、已公開的定罪或與僱員的利益關聯。優先採用官方登記冊及可靠的公開來源。保存所查閱的來源、搜尋日期及所採納數據的理由。GDPR第10條嚴格規範有關刑事定罪資料的處理：其已公開並不足以授權收集。沒有實際業務的中介人、無法解釋的佣金、空殼公司或拒絕答覆，均要求相稱的反應：補充核查、合約保障或拒絕訂約。

8. 針對外國子公司的八點規程

1. 決定：子公司的機關決定調查並委任調查員；委託書訂明適用法律、範圍及報告的收件人。
2. 任何聽證前的當地法律分析：僱主的義務、受聽證者的權利、證據規則、代表或律師可能在場。
3. 在當地凍結及備份數據：電郵、檔案、存取日誌、附時間戳的副本及有記錄的證據保管鏈，此階段不向境外轉移。
4. 依當地法律告知當事人：目的、收件人、查閱及更正權、保存期限。
5. 以當事人的語言、由熟悉其文化規範的調查員進行聽證，記錄由其重讀。
6. 報告在受保護程度最高之處撰寫及保存，區分已確立的事實、未確立的事實及法律分析。
7. 向集團轉移假名化的摘要，依集團內部合同條款並經轉移影響評估。
8. 運用：依當地勞動法作出處分、經當地分析後可能提出告訴、對任何外國機關透過司法互助、有時限的存檔。

視乎事實而異之處

在本所設有辦公室的地方，即香港及墨西哥城，調查由團隊在當地進行；在其他地方，即非洲及中國內地，則與熟悉該國勞動法及習慣的當地同業協調進行。圍繞調查的行動，包括舉報渠道、宣傳活動及管理人員培訓，均因應國家及團隊的語言調整，使集團在其所有據點擁有一致的機制。海外的刑事事實在提出任何告訴前須經當地分析，因為告訴可能觸發企業無法再控制的調查權力。受法國法律合約約束的外派僱員仍受所選法律約束，但在法國法官面前，當其被長期派駐（而非短期出差）時，不得被剝奪其慣常工作所在國法律強制性規定的保護（羅馬第一條例第8條）；無論如何，當地規則適用於聽證。受薩賓第二法約束的集團將調查與其反貪腐機制銜接。來自外國機關的證據請求改變處理方式：原則上透過司法互助處理，絕不在未分析封鎖法的情況下直接答覆。關於所有調查的共同方法，見《如何就騷擾或歧視進行內部調查？》；關於律師的角色及保密，見《為何將內部調查委託予律師？》；關於整體框架，見《內部調查》頁面以及本所的《香港》及《墨西哥》頁面。