品牌客户要求披露工人薪酬与工时，供应商怎样兼顾验厂和个人信息保护？

品牌客户核查工人薪酬和工时，供应商应先确定抽样月份、核验项目及接收人员，再准备能够相互对应的工资、考勤和付款材料。保护个人信息不要求把所有金额遮住，也不允许为了验厂另做失真账表。可识别员工的资料对外提供前，应核实处理依据与必要范围；银行卡号、病假原因和境外访问等事项，要分别审查，不能随整张工资表一并放行。

一一名工人的三份记录，能否解释同一个结算月

假设佛山南海一家内衣加工企业接受品牌社会责任验厂。客户抽查旺季某月的工资与加班情况，车间按工序计件，会计在次月补发部分款项，人事系统又记录了换班。业务员准备把全年工资表和打卡明细打包发送，认为资料齐全就能减少追问。这个假设中，应先解决抽查月份如何对应，全年导出反而增加了无关资料外流。

厂内可由薪酬会计选择已确定的样本，串联计件数量、单价、工资项目、出勤记录和实发凭证。发生跨月补发时，注明款项对应的劳动期间、原结算差额及补发日期，让审核员能够理解工资表与银行金额为何不一致。只交一张月度平均工资统计，可能无法回答某名工人的具体差额；直接交全年银行流水，又可能披露其他员工和其他交易。

工时记录同样需要说明口径。考勤机的进出时间、车间排班和经确认的实际工作时间可能存在差异，企业应保留调整原因及原始记录，不能为了使三个数字相等而覆盖原始打卡。客户要求核查加班工资时，还需按适用工时制度和实际计薪规则另行判断；计件金额较高，并不能单独证明加班报酬已经依法支付。

建议先约定抽样规则、时间跨度和追加样本的条件。涉及员工信息保护时，可以协商调整查阅方式；发现工资或工时异常时，应解释差异并安排整改。不能以保护隐私为理由只挑选记录整齐的人员，掩盖已经发现的欠付或超时问题。

二哪些字段要保留，哪些内容可以换一种证明

《个人信息保护法》第六条确立目的关联与最小必要原则。具体到薪酬验厂，资料准备应保留完成核验所需的关联关系，逐项解释额外字段为什么需要。下表是一种内部整理方法，不是法定的统一验厂格式。[个人信息保护法官方全文](https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm)

处理工资单备注时尤其需要逐格查看。例如，扣款栏注明病假，后面又附上诊断名称和医院证明。客户需要核查扣款计算是否有依据，并不意味着必须复制完整病历。可以先说明天数、计薪处理及支持该处理的必要事实；确实需要进一步核实的，再判断相应健康资料的必要范围。

金融账户、医疗健康信息应按敏感个人信息规则审查。普通薪酬数字是否具有敏感性，要结合内容组合和泄露后果判断，不能只凭文件名为“工资表”就把全表一概归为普通信息。保留银行卡后几位也只是减少暴露的办法，若仍能对应个人及其账户，不能自动当作已经匿名化。

为便于跨表核对，可以使用本次验厂的随机样本编号，把姓名对应表留在受控的人事端。编号仍能借助对应表还原到具体员工时，属于去标识化处理，相关资料仍需保护。不要同时把对应表放进压缩包，也不要忽略工作表隐藏列、批注、文件属性中残留的姓名。匿名化要求无法识别且不能复原，删除姓名一列不足以证明达到该要求。

三把样本交付申请落实到本次验厂

准备资料的人可以在申请中写明：本次拟交付哪个月份、哪些编号、哪些工资项目，客户需要解释的差额是什么。审批人据此判断业务需求，不能只在“配合品牌验厂”六个字后签名。导出人员也应按获准字段生成文件，避免从全年工资总表临时删列，遗漏隐藏页。

申请还要回答资料披露的法律依据。《个人信息保护法》第十三条中的合同必要情形要求个人是合同一方，采购订单本身不能提供这个基础；主张劳动管理必要时，则须说明所依据的劳动制度和此次披露的必要联系。如果只是品牌的商业准入需要，不能用日常发工资的权限直接解释全部披露行为。

例如，品牌要求把某月十名工人的可识别明细纳入其供应链评分档案，自行决定使用和保存。这种对外提供若以员工同意为基础，第二十三条要求单独同意，并告知接收者身份、联系方式、用途、方式及资料种类。确有第十三条第二项至第七项依据的，适用其非同意规则；工资单含有敏感内容时，还应满足相应处理条件。保密承诺只能约束资料使用，不能补足缺少的处理依据。

向员工说明时，应把具体月份、查验事项和接收对象写清。需要拍摄或者上传的，应明示实际操作，不能口头说只看一眼，随后把照片附在报告里。员工对额外披露提出异议的，先核实该项是否确实必要、是否另有合法基础；依赖同意时不得以扣薪迫使其签字。

客户临时要求追加人员，可按原先商定的抽样办法办理。为了应付异议而私自换成另一个员工，会改变样本的代表性；确需调整的，留下原因和双方确认，并重新检查替补样本的资料范围。这样才能区分正常调整与刻意回避工资异常。

四境外品牌收到的究竟是结论，还是逐人工资

验厂系统的收件页面可能只显示项目名称，工厂仍应弄清工资附件会开放给谁。若境外品牌能够调阅明细，应在交付前核查出境要求。可向品牌提出一份分层交付方案：境外取得不含可识别人员的整改结论，需要复核的样本在境内安排受控核对。这是协商方案，是否满足客户审核仍需确认，不能由工厂单方认定对方必须接受。

《促进和规范数据跨境流动规定》第五条的人力资源管理豁免有其适用条件。独立品牌检查供货工厂，不会仅凭附件来自薪酬系统就成为跨境人力资源管理。具体适用何种出境机制或豁免，应核实本企业情况、全年累计出境规模和资料性质，银行卡等敏感信息尤其不能按普通信息估算。[数据跨境流动规定](https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm)

国家网信办2026年7月政策法规问答明确，出境单独同意应具体、明确，不能与其他处理活动捆绑；属于个人信息保护法第十三条第一款第二项至第七项的，不需取得个人同意，仍应履行出境告知。企业不宜让员工签一份没有接收主体和具体用途的长期授权，就向后续所有境外品牌发送资料。[数据出境告知同意政策问答](https://www.cac.gov.cn/2026-07/24/c_1786638883119336.htm)

五复验时，沿用样本编号并核对整改事实

初次审核发现补发款无法对应某个月份，复验材料应围绕该项差额补充，注明原样本、补发记录和计算说明。新建一份没有历史差异的工资表，会使审核员无法理解修改原因，也损害资料可信度。对外副本可遮挡无关字段，内部原始账表和实际整改记录应按各自适用要求保存。

本次对外提供等活动还应依《个人信息保护法》第五十五、五十六条完成事前影响评估，记录资料范围、员工所受影响和防护措施。评估及处理记录的法定最低保存期限为三年，原始工资附件的保存依据应另查。复验清单可同时登记副本还在哪些人员手中、何时清理，不能只关闭上传入口而任由已下载的文件继续流转。

六佛山孟翔律师实务提醒

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士。

南海纺织服装企业准备品牌验厂时，可先让薪酬会计完成一名抽样工人的月度核对，把计件结算与补发款对应到工资项目，并说明排班差异。发现解释不清的项目，应先查原始凭证，再决定需要展示哪些内容，避免业务人员反复发送不同版本。

资料交付负责人宜随包保留字段说明、批准样本和接收范围记录。客户要求恢复被遮挡的银行卡号或病假附件时，让其指出具体核验目的，再作追加判断。复验结束后，核对品牌最终报告留下了哪些个人资料，并关闭不再需要的访问权限，使工厂能够回答员工提出的具体询问。