在中资企业出海欧盟进程中，通常会搭建起包括中国母公司和欧盟境内子公司的企业集团架构。在此类架构下，欧盟个人数据出境至中国不可避免，需要在不同场景下遵守相关法律规定。例如，中资企业倾向于在总部层面建立客户资源管理（CRM）或者人力资源管理（HCM）。前者有利于实现集团内部的商机共享，精准营销，避免仅因海外员工的离职而造成客户资源流失。后者有利于企业建立统一的职级和薪酬体系，制定统一的绩效管理体系，统一选拔人才。二者涉及客户或者员工个人信息在子公司和母公司之间的传递，受到欧盟《通用数据保护条例》（ “GDPR”，以下简称《条例》）的调整。
《条例》第4条第19项对企业集团有明确的定义，是指由支配企业和从属企业组成的集团。作为数据出口人的欧盟子公司，尤其需要考虑四个问题。首先，数据传输是否具备合法性基础？其次，是否对数据主体附有告知义务？第三，集团内部责任如何划分？第四，如何保证数据合法出境？
一、数据处理的合法性基础
数据传输属于典型的数据处理行为（《条例》第4条第2项）。根据《条例》第6条第1款的规定，数据处理必须具备该款第a至f项中规定的任意一项合法性基础。根据a项规定，如果数据主体明确表示同意以特定目的对其数据进行处理的，视为满足法律要求。但是，当个人客户或者员工的数量巨大时，要一一取得他们的同意，操作起来过于繁琐。因此可以考虑第f项规定，来获得数据处理的合法性基础。
根据第f项规定，必须满足三个条件。首先，责任人或者第三人对信息处理享有合法权益。例如，《条例》立法理由（Erwägungsgründe）第47条第7句指出，企业的营销目的可以被视为合法权益；《条例》立法理由第48条指出，为了实现内部管理，从属企业对在集团内部传输客户或者员工个人信息享有合法权益。第二，为了保护该合法权益，必须对客户或者员工的个人信息进行处理。在处理时要遵循数据最小化原则，能不处理就不处理。第三，经过衡量，认定数据主体的合法权益不大于责任人或者第三人的合法权益。这是最不确定的一项标准，无法一概而论，必须结合个案中具体的数据内容和处理方式进行考量。只有同时满足这三点，欧盟子公司才能获得向中国母公司传输个人数据的合法性基础。
二、收集数据时的告知义务
《条例》第13条规定了责任人在收集个人数据时，必须向数据主体履行告知义务。这里尤其要注意三项要求。
首先，如果基于《条例》第6条第1款第f项进行数据处理，必须对责任人或者第三人的合法权益进行说明（《条例》第13条第1款第d项）。
其次，如果计划将数据传输到第三国，还要向数据主体告知以下内容：该计划本身；欧盟委员会是否对所涉第三国做出充分性决议；在根据《条例》第46条、第47条或者第49条第1款第1段所规定的极个别例外的跨境数据转移情形中，告知适当或合理的保障措施，以及如何获得其副本，或者在何处获得其副本的信息（《条例》第13条1款第f项）。
再次，在获得数据主体同意的情况下，必须告知数据主体随时有权利撤回同意（《条例》第13条第2款第c项）。
三、集团内部的责任划分
欧盟子公司和国内母公司在处理个人信息时，相互之间可能存在不同的关系。
如果二者各自决定处理个人数据的目的和方式，那么他们二者均构成责任人，分别根据《条例》规定承担相应的责任。
如果两者共同决定数据处理的目的和方式，那么他们就构成共同责任人，应当按照《条例》第26条的规定，签订一份共同责任协议，明确双方各自应当承担哪些法定责任。
如果只有一方有权决定数据处理的目的和方式，而另一方仅仅按照指示处理个人数据，那么前者构成责任人，后者构成处理人，应当按照《条例》第28条的规定，签订委托处理协议，以明确各自的责任。
四、数据合法出境
《条例》第44条及以下条款对数据出境做出了详细地规定。据此，跨国集团内部数据可以通过四种方式出境。
首先，欧盟对第三国做出充分性认定，概括地允许欧盟境内个人数据出口至该第三国（《条例》第45条）。目前，欧盟委员会尚未对中国的数据保护标准做出充分性认定。
其次，数据出口人和进口人可以签订欧盟委员会根据《条例》第93条第2款制定的格式保护条款（SCC，《条例》第46条第2款第c项）。这也是实践中最常用的一种方式。但是，根据欧盟法院第C-311/18 号（„Schrems II“ ）判决，仅仅签订协议还是不够的。出口方必须在个案中审查第三国对个人数据保护的水平是否与欧盟相当，并制定《传输影响报告》（TIA）。只有当第三国确实达到欧盟水准时，才可以出口数据。第三，如果《传输影响报告》显示，第三国的法律或者实践达不到欧盟水准，出口方必须在技术层面、合同层面和组织层面采取补充措施。总体而言，通过标准合同条款来完成个人数据出境并非易事。特别对中小企业而言，它将造成巨大的人力物力成本。
再次，如果集团制定一套内部统一的个人数据保护规则（BCR），并获得数据保护主管部门的批准，那么也可以在集团内部实现跨国信息传输（《条例》第47条）。但是，通过批准难度大，时间长，因此实践中很少使用。
最后，《条例》第49条还规定了一些极其特殊的例外情形下的个人数据出口，此处不再赘述。
综上所述，《条例》的立法者认识到了实践中企业集团内部个人信息传递的现实需求，但是并没有概括地认可其合法性，而是从不同的维度对其进行了详细规范。其中，基于《条例》第6条第1款第f项进行的数据处理，以个案中权衡不同权利为前提，造成了法律的不确定性。基于第46条第2款c项进行的个人数据出境，要求非常高，加重了企业，尤其是中小企业的合规成本。
对于中资企业跨国集团而言，个人数据跨境传输是欧盟境内实体运营合规的重要环节。无论是在客户信息管理、人力资源管理等企业管理领域，还是日常运营的核心业务领域，都需要把欧盟个人数据保护的相关规范深度嵌入企业运营流程中，符合条件的应当设置欧盟个人数据保护官（DPO），提高制度管理的专业度水平。尤其在数据出境环节，在德国的中资企业更要提高合规敏感度，预防因个人数据出境违规受到高额罚款。
