ODI境外并购中的数据安全风险：如何防范信息泄露与确保合规

企业出海做境外并购，尤其是通过ODI路径设立或收购海外实体时，数据安全这条线比想象中绷得更紧。不是所有人在签完股权交割协议后才想起查一查GDPR是否适用，也不是每家律所都会主动提醒客户：目标公司服务器里存着三年前某次用户测试的原始日志，而这些数据正躺在欧盟境内的云服务商机房里。

跨境并购中的数据风险，早已不局限于“有没有加密”这种基础层面。它嵌在尽职调查盲区里，藏在员工权限迁移过程中，甚至潜伏于ERP系统对接的API接口设计里。2025年一季度，某华东制造业集团收购德国一家工业软件公司，在交割后第三周接到当地监管问询函问题焦点并非财务造假，而是目标公司未就历史数据跨境传输完成充分的合法性评估，且缺乏数据主体撤回同意的自动化处理机制。这不是孤例。据中国信通院《2025跨境数据流动合规实践报告》显示，近六成ODI并购项目在交割后12个月内遭遇至少一次境外数据监管问询，其中超四成与并购前的数据治理状态直接相关。

尽职调查阶段的数据穿透式核查

1. 要求目标公司提供完整数据地图（Data Map），明确标注每类数据的来源、类型、存储位置、处理目的及共享方；

2. 核查其是否完成所在司法辖区的数据影响评估（DPIA），特别是涉及生物识别、员工考勤、客户行为轨迹等高敏感字段；

3. 调取过去两年内全部数据泄露事件记录及响应报告，包括未公开的内部通报；

4. 审阅其与云服务商、CDN、分析平台等第三方的数据处理协议（DPA），确认责任边界与审计权条款是否可执行。

交割前必须落地的三项动作

1. 启动主数据资产分类分级，依据《信息安全技术 重要数据识别指南》（GB/T 43697-2025）完成本地化适配；

2. 完成新设境外主体的数据本地化部署方案，如确需将中国境内用户数据传至海外系统，须同步取得个人信息保护影响评估（PIA）报告及单独同意文本；

3. 对接目标公司IT团队，冻结非必要数据访问权限，关闭测试环境中的生产数据镜像功能。

实务中容易被忽略的是员工数据。很多并购方默认“员工信息属于内部管理范畴”，但欧盟法院在2025年Schrems II后续判例中已明确：员工数据同样适用充分性认定规则。这意味着，即便目标公司仅雇用5名德国籍工程师，只要其人事系统中存在薪酬、病假、绩效评估等结构化数据，就必须验证跨境传输机制是否合法有效标准合同条款（SCCs）不能简单套用模板，需根据实际数据流补充附件并完成内部审批留痕。

另一个现实难点在于系统整合节奏。不少企业计划在交割后三个月内完成OA与HR系统的统一，却未预估旧系统中沉淀的十年考勤记录如何迁移。这类操作一旦触发数据主体权利请求（如删除权、可携带权），极易暴露历史合规缺口。建议在交割协议中单列数据治理附录，明确过渡期数据使用边界、留存期限及销毁节点，并由双方CISO签署技术确认书。

以上是ODI境外并购中数据安全风险的关键防控要点，希望对你有所帮助。