越南公司把英国客户数据存在越南的服务器上——违法吗？脱欧后，英国实行独立的UK GDPR（与欧盟GDPR相似但不相同），越南则适用2025年第356号议定书（取代第13号议定书，2026年1月1日生效）收紧个人数据出境。越英数据流必须两头合规。
1. UK GDPR：像欧盟GDPR但是独立法律
UK GDPR（配合2018年《数据保护法》）框架与欧盟GDPR相似，但是英国独立法律——英国自行决定哪些国家“保护充分”，ICO的解释未来可能与欧盟EDPB分化。实际后果：为欧盟做的合规评估不自动适用于英国；与英国伙伴的数据处理协议（DPA）须援引UK GDPR而非欧盟GDPR。从英国接收个人数据的越南企业（如电商客户、求职者）成为UK GDPR下的控制者/处理者，承担完整义务。
2. 越南一端：第356号议定书收紧数据出境
第356号议定书（2026年1月1日起取代第13号议定书）对把越南公民个人数据传输出境设定义务：出境影响评估、保护机制、传输条件。越南→英国的数据流（如英国母公司访问越南人事/客户数据）必须过这一“关”——“集团内部”不是例外理由。现实：不少英越集团通过全球HR/CRM系统传数据，从未做过出境评估——这是等着被发现的违法。
3. 设计两头合规的越英数据流
（一）绘制数据地图：哪些个人数据跨境、哪个方向、谁是控制者；（二）英国→越南：按UK GDPR签DPA并采取适当保障；（三）越南→英国：做传输影响评估并满足第356号议定书的条件；（四）统一适用数据主体权利（访问、删除、反对）——通常按更高的标准执行。跨境数据不是IT的事——而是两头的法律义务，错一头即违法。
结论
脱欧把数据保护地图一分为二，如同把关税地图一分为二：欧盟一套，英国一套。越英数据流只有经过两道门——UK GDPR和第356号议定书——才安全。
常见问题
UK GDPR和欧盟GDPR一样吗？
相似但不相同：UK GDPR是英国独立法律（配合2018年《数据保护法》）；英国自行决定充分性，ICO的解释未来可能与欧盟EDPB分化。
第13号个人数据保护议定书还有效吗？
无效。第13号议定书于2026年1月1日失效，由2025年第356号议定书取代——进一步收紧个人数据出境。
英国母公司访问越南人事数据须评估吗？
须。越南→英国的数据流须做传输影响评估并满足第356号议定书的条件；集团内部理由不免责。
与英国伙伴的数据处理协议援引哪部法律？
援引UK GDPR，而非欧盟GDPR。为欧盟做的合规评估不自动适用于英国。
