情景：法国零售集团在巴黎运营集中CRM，每夜从越南子公司同步客户与人事数据。首席安全官问：”我们这样传了3年——合法吗？”答案须看两个独立方向：法国→越南受GDPR管，越南→法国受越南法管——两套不同机制。
1. 法国→越南：GDPR第五章与三个主要机制
GDPR第五章（第44–50条）禁止无有效机制向欧盟/欧洲经济区外传输个人数据。法国集团三个实务机制：（一）充分性认定——欧盟委员会认定接收国保护相当；越南无，此路不通；（二）标准合同条款（SCCs）——欧盟委员会第2021/914号决定，按传输关系分模块（控制者—控制者、控制者—处理者等），另加对接收国法律的传输影响评估（TIA）；（三）约束性公司规则（BCRs）——数据保护机关批准的内部规则，适合内部频繁传输的大集团。实务：法国集团欧盟→越南流多用BCRs（如有）或SCCs＋TIA。
2. 越南→法国：第91/2025号法律与第356/2025号议定
反向——越南子公司把客户/人事数据发往巴黎——受第91/2025号《个人数据保护法》与第356/2025号议定（2026年1月1日生效）管辖。出境条件：数据处理影响评估、数据主体的同意（尤其敏感数据——VIP客户数据、员工健康等）及保障措施（合同、保护标准）。特别注意：第356/2025号议定第20条允许以国防、安全为由暂停传输——集团须备预案（本地存储、就地处理），以防数据流被叫停。
3. 实务瓶颈：”双头”TIA与影响评估
最费工的不是签SCCs而是“双头”影响评估：欧盟→越南须TIA评估越南法（国家机关何时可调取数据？有何补充措施？）；越南→欧盟须按越南法做影响评估。两者不能互替——做一头”共用”是错的。另一瓶颈：同意——人事数据（权力不对等）与存量客户数据（第91/2025号法律前收集），为后续传输取得有效同意是独立项目，非一封通知邮件。
4. 合规架构：法国集团四层
第一层——数据流地图：什么数据、谁的、哪个方向、存哪（巴黎、越南、第三国云？）。第二层——分方向法律机制：欧盟→越南（SCCs/BCRs＋TIA），越南→欧盟（影响评估＋同意＋第356/2025号议定下保障措施）。第三层——集团内部合同：母子公司数据处理协议、与供应商（CRM、云、发薪商）条款。第四层——运营：两国数据主体权利流程（访问、删除、反对）、事件应急（GDPR下72小时通报）及第356/2025号议定第20条下暂停传输预案。
5. 已在如开篇般传输的集团的审查清单
一，停下评估：现有每夜同步有无法律机制——若”一直在传所以传”，那就是风险。二，为欧盟→越南部署SCCs/BCRs＋TIA。三，按第356/2025号议定为越南→欧盟做影响评估＋同意审查。四，签集团内部与供应商数据处理协议。五，建暂停传输预案（本地存储）。六，培训两国IT与法务——跨境数据合规多败于IT不知法务要什么，而非无法。
常见问题
越南有欧盟充分性认定吗？
无。欧盟委员会未给越南充分性认定，法国集团不能靠它——欧盟→越南须用SCCs或BCRs（加传输影响评估）。
SCCs是什么、用哪个模块？
欧盟委员会标准合同条款（第2021/914号决定），按关系分模块：控制者—控制者、控制者—处理者等。按母子公司在数据流中的实际角色选对模块，加传输影响评估（TIA）。
越南数据传回法国要什么？
按第91/2025号法律＋第356/2025号议定（2026年1月1日生效）：数据处理影响评估、数据主体同意（尤其敏感数据）及保障措施。注意第356/2025号议定第20条允许以国防、安全暂停传输。
现有每夜CRM同步有何风险？
若无法律机制（欧盟→越南的SCCs/BCRs；越南→欧盟的影响评估＋同意），数据流违反两边框架——GDPR罚款高达全球营业额4%及越南法下制裁。须先停下评估再续传。
本文已通过 FLAW AI Legal Council 质量审核