斯里兰卡PDPA：处理员工与客户数据前要做什么

在斯里兰卡处理员工与客户数据之前，要先把四件事立起来：数据处理活动记录、数据保护管理计划（DPMP）、员工与客户两套隐私告知书、跨境传输的合法依据。适用法律是《2022 年第 9 号个人数据保护法》（PDPA）及 2025 年第 22 号修正案，监管机构为斯里兰卡数据保护局（DPA），核心实体义务自 2027 年 1 月 1 日起强制实施。

如果你正在斯里兰卡搭交付团队，客户尽调问卷里大概率已经出现「数据保护」「跨境传输」「DPO」这几个词。团队才十几个人，系统还没理顺，你可能觉得这事可以往后放。麻烦在于：PDPA 的义务是按「你处理了什么数据」触发的，不是按公司规模触发的——而第一批被处理的数据，往往就是本地员工的身份证号、EPF 档案和工资记录。

处理数据前，到底要先建立哪些动作？

顺序很重要：先有记录，再有告知，最后才是系统。 多数团队是反着来的——先开通海外 HR 系统，再回头补文件，补的过程中才发现有些字段根本不该出境。

1. 做一次数据处理活动盘点。 列出你收集的每一类数据：员工侧的 NIC 身份证号、TIN 税号、EPF/ETF 账号、银行与体检记录；客户侧的联系方式、合同与交易记录。每类数据写清收集目的、法律依据、留存期限，以及谁能看到（包括境外母公司、云服务商、外包商）。

2. 把它写成一份书面制度。 记录清单是材料，DPMP 是制度：谁负责、多久复核一次、员工离职后数据怎么处理、客户要求删除时按什么流程走。DPA 已就 DPMP 指南公开征求意见，格式以 DPA 公布的最新文本为准。

3. 判断你是否必须指定数据保护官（DPO）。 PDPA 第 20 条的触发条件是企业核心业务涉及大规模特殊类别数据处理（健康、生物识别、犯罪记录等）、系统性监控，或属于法定高风险情形。DPO 可由内部员工兼任，也可外聘；一旦指定，需公开联络方式并向 DPA 报备。「大规模」不是自己拍脑袋能定的，这一步适合由持牌专业机构出结论。

4. 准备员工与客户两套告知书。 要在收集之前披露处理目的、依据、数据接收方和跨境流向。16 周岁以下的数据以及敏感个人数据需要取得明示同意——是明示，不是入职材料里夹一页默认勾选。

5. 给跨境传输找到依据。 只要本地数据被上传到境外母公司系统或海外云，就涉及 PDPA 第 26 条（2025 年修正案后）。合法路径要么采用 DPA 指令认可的安全保障机制，要么落进法定例外（例如履行雇佣合同所必需）。DPA 就跨境传输工具发布过指令草案，最终文本以 DPA 正式公布的版本为准。

6. 把响应时钟定下来。 员工或客户提出访问、纠正、删除请求，原则上应在 21 个工作日或 1 个月内答复，复杂案件最长不超过 3 个月；数据泄露按 DPA 规则草案口径需在 72 小时内向 DPA 报告。这两个时钟意味着你必须提前有台账和应急预案，而不是事发当天开始起草。

具体法律判断由持牌专业机构出具。商务支持方通常承担的是材料清单协调、专业机构对接与进度跟进这一层。

时间和费用大概花在哪？

主要三块：内部梳理工时（HR 和 IT 的投入，最容易被低估）、外部专业意见（DPMP 文本、跨境传输条款、DPO 是否必须指定的判断），以及记录与权限工具。前两块是专业服务报价，第三块是采购报价。要报价时按项目拆分，别接受「数据合规打包价」——分不清哪部分是咨询、哪部分会出具文件，后面很难验收。

哪些误解最容易让新团队返工？

误解一：抄一份总部的全球隐私政策就能交差

很多人以为：集团已有全球隐私政策，翻译一下挂到内网就够了。

实际是：PDPA 里有两处是很多辖区没有的——已故人士数据也在保护范围内，死后 10 年内法定继承人可以行使权利；16 周岁以下未成年人的数据另有合规门槛。没有本地化适配的全球模板，通常在客户尽调或审计阶段被退回。

误解的代价：不是改措辞的事。告知书要重发、同意记录要重签，历史数据要重新确认处理依据，等于把入职流程重跑一遍。

误解二：员工数据不属于数据保护法的管辖

很多人以为：PDPA 管的是客户和消费者数据，内部员工档案不算。

实际是：本地员工的 NIC、EPF 档案、银行流水、体检记录全部是受保护的个人数据，而且是最容易出问题的部分——HR 每天在收集、转发、归档。斯里兰卡雇佣关系里还有一批法定登记动作本身会产出个人数据，例如雇主在雇用首名员工后须按劳工部要求办理 EPF 登记（以斯里兰卡劳工部公布的最新要求为准：https://labourdept.gov.lk/ ），这些数据的流向同样要有记录。

误解的代价：员工投诉和 DPA 问询通常先落在 HR 环节；客户来审你时，看的恰恰是员工数据有没有同意依据和保留期限。

误解三：把员工录进海外 HR 系统只是内部操作

很多人以为：数据传到集团总部系统属于「内部使用」，不涉及跨境传输。

实际是：数据一旦离开斯里兰卡，就落进 PDPA 第 26 条的跨境传输规则。没有采用 DPA 认可的保障机制、也不符合法定例外的，这一步本身就构成违规。

误解的代价：补合同只是第一步。你还得重新界定哪些字段必须留在本地、哪些角色可以访问，涉及薪酬、税号、身份证明这类字段时往往要改系统配置。顺带提一句，TIN 与 PIN 的授权体系会决定谁能在本地系统里动这些数据（以斯里兰卡税务局公布的最新要求为准：https://www.ird.gov.lk/ ），权限设计最好和税务操作一并联通考虑。

误解四：反正 2027 年 1 月 1 日才生效，现在不用管

很多人以为：核心义务既然 2027 年 1 月 1 日才强制，还有时间。

实际是：三件事不会等到那天才发生——客户尽调现在就问、员工数据你现在就在处理、DPMP 与跨境传输文本的起草和内部审批本来就要几个月。2025 年第 22 号修正案取消了旧版固化的宽限期安排，实体义务的生效日期由公报确定，这意味着没有「自动延期」这一说。

误解的代价：把准备压到生效前半年，会撞上专业机构排期最紧、内部改流程阻力最大的时点。而且一旦被认定不遵守 DPA 的纠正指令，单次行政罚金最高 1,000 万斯里兰卡卢比，重复违规加处前次罚款的双倍金额。

开工前自查：哪些记录必须先立起来？

动作	要留下的记录	由谁承接
数据处理活动盘点	数据类别、来源、用途、留存期限、接收方清单	内部 HR/IT 梳理，专业机构复核
数据保护管理计划（DPMP）	书面制度文本、内部责任人、复核周期	持牌专业机构起草，企业签署
DPO 是否需要指定	评估结论；如指定，公开联络方式与向 DPA 的报备记录	专业机构依 PDPA 第 20 条判断
员工与客户告知书	两套文本、发放时点记录、明示同意记录	HR 与外部专业顾问
跨境传输依据	传输字段清单、保障机制文本或法定例外说明	专业机构起草，企业留存
权利请求处理台账	请求日期、答复日期、处理结果	内部指定窗口，顾问支持
泄露响应流程	发现、评估、上报的时间点记录	内部与顾问，上线前演练一次

本内容仅作一般信息分享，不构成法律、税务或移民意见。具体要求以斯里兰卡主管机关和受委托持牌专业机构的最新意见为准。