一家在越南设有子公司的中国集团，每天至少运行两条跨境数据流：员工、客户和运营数据从越南流向母公司系统，治理和技术数据又流回来。两条流同时受两国法律调整，而两套机制并不是为彼此衔接而设计的。合规管理者的任务是，在集团技术架构自行作出决定之前，先将每条数据流对照两套法律体系绘制成图。
中国一侧：母公司的两层义务
第一层来自中国2021年数据安全法（数据安全法，下称DSL），该法建立按重要程度分类的数据体系，其中重要数据和涉及国家安全的数据受到严格管控，包括在法定情形下向境外提供时的风险评估。对母公司而言，实际问题是，从越南子公司接收的数据一旦在中国与从其他子公司接收的数据汇总处理，就可能触及被分类的数据组，尤其是在具有基础设施要素或大规模个人数据的行业。
第二层来自中国个人信息保护法（个人信息保护法，下称PIPL）。该法第38条规定，向境外提供个人信息必须通过三项机制之一：由网信部门组织的安全评估（安全评估，下称评估）、订立个人信息出境标准合同（标准合同，下称SCC），或取得个人信息保护认证。2024年促进和规范数据跨境流动的规定为每项机制补充了适用门槛和豁免情形；本文在机制层面记录这一门槛体系的存在，企业应在传输时对照现行规定核对具体门槛，而不是依赖往年记忆的数字。
一个常被忽略的点是适用方向：越南子公司将员工数据发送给母公司进行集中人力资源管理时，该交易在发送端同时构成越南法下的数据出境，在中国一端构成接收和存储活动；当母公司随后将这些数据再分享给中国以外的另一单位时，PIPL的出境机制又在中国一端被触发。一条看似简单的人力资源数据流，可能经过两个国家的三个法律控制点。
越南一侧：新法下的传输档案
在越南，第91/2025/QH15号个人信息保护法（个人信息保护法，下称越南个保法）连同自2026年1月1日起替代第13/2023/ND-CP号议定的第356/2025/ND-CP号议定，将个人信息保护框架提升为法律，并设有个人信息出境的专门制度。传输方必须编制跨境个人信息传输影响评估档案，说明数据类型、数据主体、境外接收方、保护措施和风险评估，并按规定报送公安部下属的个人信息保护专门机关，传输活动变化时更新档案。
对越南子公司而言，这一义务适用于集团最熟悉的内部流向：将员工档案同步到母公司的管理系统，将客户数据转入服务器设在中国的客户关系平台，以及为境外技术团队开放对越南境内含个人信息系统的远程访问。接收方是母公司并不会减轻义务；越南法将该交易视为向独立接收方的数据出境，不论双方之间的股权关系如何。
子公司还必须在越南收集环节取得处理的合法基础，包括新法规定的情形下的告知和数据主体同意、可在越南行使的数据主体权利，以及发生违规时在法定期限内向专门机关通报数据事件的义务。若收集环节缺乏基础，传输影响评估档案写得再完善，也建立在一个既有的法律弱点之上。
典型冲突点与共同政策的设计方法
第一个冲突在两端评估：同一条数据流可能需要在越南传输前做影响评估，并按所选机制在中国再传输时做安全评估或订立标准合同，标准和接收机关各不相同。第二个冲突在某些特殊管理数据组的存储和本地化要求，使完全集中于一国的系统架构难以维持。第三个冲突在事件报告义务：两国的期限、内容和接收机关并不一致，子公司的一次事件可能同时触发两端的义务。
因此，集团的共同数据政策应按一个框架、两个国家附件的结构建设：共同框架统一数据分类、最小化原则和访问控制；越南附件处理越南法下的传输影响评估档案、同意机制和事件报告；中国附件处理重要数据分类和PIPL传输机制的选择。集团员工数据这一最常引发争论的流向，应有单独流程，写明流向、每个国家的责任联系人以及两端事件应对预案。
常见问题
中国数据安全法与PIPL适用于母公司，对与越南子公司共享数据有何影响？
最直接的影响是，从中国流向越南子公司的每条个人数据流都是PIPL下个人信息出境活动，必须依托一项合法机制，而母公司从多家子公司汇总的数据可能触及DSL下的重要数据组并受到额外管控。在反方向上，母公司从越南接收数据并不会仅因属于集团内部交易就在中国法下获得豁免。集团应将每条数据流按两个方向绘图，而不是将内部网络视为法律中立空间。
越南子公司的数据转回中国时，是否必须经过中国方面的数据安全评估？
必须区分交易的两个端点。在越南一端，将个人数据传给母公司需要按越南个保法编制跨境传输影响评估档案并按规定报送专门机关。在中国一端，网信部门的安全评估是PIPL第38条三项机制之一，仅在达到门槛或属于法定类别的情形下强制适用；其他情形可使用标准合同或认证，2024年的放宽规定另有豁免。因此答案取决于数据类型、规模和中国一端所选机制，不能说每次传输都要经过安全评估。
越中双向数据传输合规在哪些点上冲突？
三个典型冲突点是：同一条数据流必须在两端通过标准和机关不同的评估程序；各国对某些特殊管理数据组的存储和本地处理要求，使集中式系统架构承压；事件报告义务在期限、内容和接收方上不同，子公司的一次事件会同时触发两个不同步的程序。此外，两国的同意机制和数据主体权利范围不同，一份全集团通用的告知模板通常至少在一端达不到标准。
集团如何设计同时满足越南91/2025号法律与PIPL的共同数据政策？
稳固的设计是一个共同政策框架加每个国家单独的附件。共同框架统一数据分类、收集最小化、访问控制和安全标准。越南附件规定传输影响评估档案、向专门机关报送、同意机制和越南法下的事件报告。中国附件规定重要数据分类、为每条出中国数据流在PIPL三项机制中作出选择，以及适用的豁免。每条跨境数据流都需要在集团数据图中占一行，写明技术系统对接之前两端的合法机制。
致设有越南子公司的集团的专属交流邀请
如果贵集团正在母公司与越南子公司之间以共享系统同步员工、客户或运营数据，FLAT Law Firm（越南律师事务所）可以与贵集团合规团队按实际运行的系统绘制双向数据流图：哪些流向需要在越南准备影响评估档案，哪些需要在中国一端选择传输机制，现行共同政策在哪一点上未达到其中一国的标准。首次工作会议从集团真实的系统图开始，而不是从一份通用政策模板开始。
本文已通过 FLAW AI Legal Council 质量审核