上市尽调要员工和客户资料，个人信息如何处理？

员工身份资料、薪酬、客户联系方式和金融账户等可能包含个人信息；审计或尽调需要，并不意味着可以把完整原始数据开放给所有项目参与者。

个人信息处理应有明确、合理的目的并限于必要范围。需要哪些字段、是否必须识别到个人、能否使用去标识化资料，应结合具体核查工作决定。敏感个人信息还涉及特定目的、充分必要性和更严格保护，不能与普通联系方式按同一条件处理。

境外访问要另外检查

向境外提供个人信息，应依法判断出境条件以及告知、单独同意、影响评估等义务；法定无需同意的情形按法律规定判断。现行跨境规定对评估、标准合同和认证有分类及豁免，但免做其中一项程序，不等于全部保护责任免除。

企业宜明确接收方、用途、访问权限及保存方式，并检查底稿和档案的额外要求。境外司法或执法机构调取境内存储的个人信息，还有主管机关批准要求。资料在上市项目里使用，不能成为跳过这些判断的理由。