★导读★
随着《个人信息出境标准合同办法》自6月1日起施行及备案指南的出台，企业大都在积极地推进个人信息出境的个人信息保护影响评估（以下简称“PIA”）及标准合同签署和备案工作，截至目前各地已经有备案通过的案例。作为我国数据出境监管机制的一项基础制度，相较于数据出境安全评估，标准合同适用面广、覆盖场景多样，增加了实操层面的复杂性。我们将通过本FAQs系列栏目，基于对法律法规的理解、实践案例及多渠道的监管咨询，对标准合同备案的焦点问题进行解读和分享。
本期为标准合同备案FAQs第一期“集团公司如何进行多实体合并备案”。
需要指出，本FAQs所有内容仅是一家之言，仅供参考，企业的具体行动应当以法律规定、监管要求为准。
FAQ
问：针对集团公司，境内各关联实体是否可合并备案？
答：境内公司（通常为境内总部）可以代表集团内关联实体进行合并备案，但仅限于相同的个人信息出境场景。
解读：
对于跨国集团企业，常常会基于集团公司的统一管理要求及总部IT系统部署，在人力资源管理、办公协作、业务协同系统等场景存在个人信息出境。在此背景下，如果多家境内关联公司均就同一个人信息出境场景进行备案，将可能产生重复性工作，尤其是在境内关联实体数量较多的情况下，此等重复备案工作将更为繁重。
对此，北京网信办于2023年6月2日率先发布北京市标准合同备案工作指引，明确“如多家独立法人企业同属一家集团公司，可由集团公司作为个人信息出境标准合同备案主体。”随后，湖南、辽宁、江西、山西及河南省网信办等亦明确允许集团公司合并备案。多实体合并备案为集团企业提供了一条高效、便捷的通道，同时也引发了一些实操上的困难。结合实践案例经验和当前监管口径，我们总结了多实体合并备案涉及的若干关键问题如下：
1.多实体合并备案的适用条件
根据监管咨询意见，多实体合并备案的方式仅适用于同一个人信息出境场景。对于境内某一实体独立的差异化出境场景，建议由境内该实体单独梳理并自行开展标准合同备案工作。
2.多实体合并备案可能会触发数据出境安全评估
值得注意，如企业选择合并备案，且合并后的出境量级达到《数据出境安全评估办法》第四条所规定的门槛（例如合并后，自上一年度1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息等），此时出境合法性义务需转换为申报数据出境安全评估。
3.多实体合并备案的备案主体
目前，明确发布指引允许合并备案的地方网信办仅提及“集团公司”可作为合并备案主体，结合监管咨询意见，此处的“集团公司”一般应为集团在境内的总部。然而，跨国集团企业往往存在多种业务架构及IT部署模式，在一般实践中，如集团公司的境内总部对通用出境场景（例如HR管理、办公协同、客户/供应商管理等）所涉及的IT系统及数据享有一定管控权限，由境内总部作为个人信息处理者进行合并备案符合监管预期。
而针对境外总部“中央集成式”（业务决策权及IT管控权限均由境外总部享有）的管理模式，即境内实体之间处于独立状态，不存在实质的“境内总部”，则建议进一步向当地省级网信办确认是否可委托一家具备独立法人资格的境内实体作为备案主体，进行合并备案。
4.多实体合并备案的合同签署方式
如集团公司决定选择多实体合并备案方式并确定备案主体，需进一步考虑合同签署主体。尽管国家网信办发布的备案指南并未对合同签署主体进行明确，然而，北京、湖南、辽宁、江西、海南、广西等地的备案工作指引均明确提出备案主体应与境内合同签署方一致的要求，基于此，多实体合并备案路径下，由合并备案主体作为境内个人信息处理者与境外接收方签署标准合同为应有之义。
随着《个人信息出境标准合同办法》自6月1日起施行及备案指南的出台，企业大都在积极地推进个人信息出境的个人信息保护影响评估（以下简称“PIA”）及标准合同签署和备案工作，截至目前各地已经有备案通过的案例。作为我国数据出境监管机制的一项基础制度，相较于数据出境安全评估，标准合同适用面广、覆盖场景多样，增加了实操层面的复杂性。我们将通过本FAQs系列栏目，基于对法律法规的理解、实践案例及多渠道的监管咨询，对标准合同备案的焦点问题进行解读和分享。
本期为标准合同备案FAQs第一期“集团公司如何进行多实体合并备案”。
需要指出，本FAQs所有内容仅是一家之言，仅供参考，企业的具体行动应当以法律规定、监管要求为准。
FAQ
问：针对集团公司，境内各关联实体是否可合并备案？
答：境内公司（通常为境内总部）可以代表集团内关联实体进行合并备案，但仅限于相同的个人信息出境场景。
解读：
对于跨国集团企业，常常会基于集团公司的统一管理要求及总部IT系统部署，在人力资源管理、办公协作、业务协同系统等场景存在个人信息出境。在此背景下，如果多家境内关联公司均就同一个人信息出境场景进行备案，将可能产生重复性工作，尤其是在境内关联实体数量较多的情况下，此等重复备案工作将更为繁重。
对此，北京网信办于2023年6月2日率先发布北京市标准合同备案工作指引，明确“如多家独立法人企业同属一家集团公司，可由集团公司作为个人信息出境标准合同备案主体。”随后，湖南、辽宁、江西、山西及河南省网信办等亦明确允许集团公司合并备案。多实体合并备案为集团企业提供了一条高效、便捷的通道，同时也引发了一些实操上的困难。结合实践案例经验和当前监管口径，我们总结了多实体合并备案涉及的若干关键问题如下：
1.多实体合并备案的适用条件
根据监管咨询意见，多实体合并备案的方式仅适用于同一个人信息出境场景。对于境内某一实体独立的差异化出境场景，建议由境内该实体单独梳理并自行开展标准合同备案工作。
2.多实体合并备案可能会触发数据出境安全评估
值得注意，如企业选择合并备案，且合并后的出境量级达到《数据出境安全评估办法》第四条所规定的门槛（例如合并后，自上一年度1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息等），此时出境合法性义务需转换为申报数据出境安全评估。
3.多实体合并备案的备案主体
目前，明确发布指引允许合并备案的地方网信办仅提及“集团公司”可作为合并备案主体，结合监管咨询意见，此处的“集团公司”一般应为集团在境内的总部。然而，跨国集团企业往往存在多种业务架构及IT部署模式，在一般实践中，如集团公司的境内总部对通用出境场景（例如HR管理、办公协同、客户/供应商管理等）所涉及的IT系统及数据享有一定管控权限，由境内总部作为个人信息处理者进行合并备案符合监管预期。
而针对境外总部“中央集成式”（业务决策权及IT管控权限均由境外总部享有）的管理模式，即境内实体之间处于独立状态，不存在实质的“境内总部”，则建议进一步向当地省级网信办确认是否可委托一家具备独立法人资格的境内实体作为备案主体，进行合并备案。
4.多实体合并备案的合同签署方式
如集团公司决定选择多实体合并备案方式并确定备案主体，需进一步考虑合同签署主体。尽管国家网信办发布的备案指南并未对合同签署主体进行明确，然而，北京、湖南、辽宁、江西、海南、广西等地的备案工作指引均明确提出备案主体应与境内合同签署方一致的要求，基于此，多实体合并备案路径下，由合并备案主体作为境内个人信息处理者与境外接收方签署标准合同为应有之义。