数据出境合规与红筹架构设计
对内地企业而言，香港常被用作两条平行的战略支点：一头承接境外融资，另一头处理跨境数据流转。前者涉及红筹架构（VIE 或 H 股直接持股），后者涉及数据出境监管。两者并非互不相干——一旦数据无法合规出境，再精巧的上市架构也无法运作。本文从实操层面拆解这两条主线，帮助企业理清「先合规、再搭建」的逻辑顺序。
一、数据出境三条路径：怎么选？
自《数据安全法》（DSL）与《个人信息保护法》（PIPL）生效以来，内地数据出境形成三条并行通道，企业须按数据类型与体量选择对应路径。
路径 A：安全评估（强制路径）
适用情形（任一即触发）：
- 关键信息基础设施运营者（CIITO）传输任何个人信息或重要数据
- 处理 100 万人以上 个人信息的处理者向境外提供个人信息
- 累计向境外提供 10 万人个人信息 或 1 万人敏感个人信息
审批机关：国家网信办。评估周期通常较长，建议以官方最新公布为准。
路径 B：标准合同（SCCs）
适用情形：非 CIIO、处理量未达安全评估门槛，且拟向境外提供个人信息。
操作要点：
- 须使用网信办发布的标准合同模板（现行 2023 版）
- 与境外接收方签订后 10 个工作日内 向所在地省级网信办备案
- 备案非「实质审批」，但需提交 PIA（个人信息保护影响评估）报告
路径 C：个人信息保护认证
适用情形：跨国集团内部、跨境处理活动，或处理量较大但未达评估门槛的企业。
特点：
- 由经认证的第三方机构出具认证证书
- 周期与成本通常高于标准合同
- 适合集团统一跨境管理场景
三条路径对比
| 维度 | 安全评估 | 标准合同（SCCs） | 保护认证 |
|---|---|---|---|
| 适用门槛 | 100 万人 / CIIO / 大量敏感 | 非 CIIO 且未达评估门槛 | 跨国集团 / 大型处理者 |
| 主管机关 | 国家网信办 | 省级网信办（备案） | 认证机构 |
| 周期 | 较长 | 较短 | 中等 |
| 输出文件 | 评估结论 | 备案回执 | 认证证书 |
| 核心准备 | 详细 PIA + 法务论证 | PIA 报告 + 合同 | 集团合规体系文件 |
实务建议：以香港为境外接收方的企业，绝大多数情形适用标准合同路径；若企业体量逼近 100 万人门槛，须提前规划路径 A。
二、红筹架构两条主流模式：VIE 与直接持股
红筹指境内运营公司股东在境外（多为开曼/BVI）设立上市主体，并以股权或协议方式控制境内运营实体，从而实现境外上市的两类经典架构。
模式 1：协议控制（VIE）
结构：境外上市主体通过一系列协议（独家服务、借款、股权质押、认沽期权等）控制境内运营公司，获取 经济利益 与 投票权，但 不直接持有股权。
适用场景：
- 境内业务属于外资准入限制或禁止类（典型如互联网、教育、传媒、增值电信）
- WFOE（外商独资企业）与境内运营公司之间须搭建「协议控制」链条
核心风险：
- 境内运营公司股东须配合签署全部协议，股东变动需重新签署
- 境内外政策变化（如《外商投资法》对协议效力的认定）需动态跟踪
模式 2：直接持股（H 股模式 / 红筹直持）
结构：境内运营公司直接进行股权重组，由境外上市主体通过香港中间层公司持有境内运营公司 100% 股权。
适用场景：
- 境内业务属于外资准入鼓励类或允许类
- 不存在外资限制牌照问题
优势：股权清晰、无协议控制引发的稳定性风险，且适合 A 股 + H 股双重上市布局。
VIE 与直接持股对比
| 维度 | VIE（协议控制） | 直接持股 |
|---|---|---|
| 外资限制适用 | 限制/禁止类行业 | 鼓励/允许类行业 |
| 控股权性质 | 协议控制（合同） | 股权控制 |
| 搭建周期 | 较长（10 号文登记等） | 较短 |
| 政策稳定性 | 受境内外监管动态影响 | 较为稳定 |
| 适用上市地 | 美股 / 港股 | 港股（双重上市） |
| 重组税务影响 | 较高 | 中等 |
三、香港节点：数据中转与上市平台的协同设计
在合规框架下，香港可同时承担「数据接收方」与「境外上市主体注册地」双重角色，关键在于合理设计中间层。
1. 数据接收方设置
- 在香港设立 数据处理子公司，作为标准合同 / 认证的境外接收主体
- 香港子公司须配置独立的数据保护负责人（DPO），履行 PIPL 项下的同等义务
- 数据仅在香港子公司内部流转，不主动再传输至第三地
2. 上市主体设置
典型「开曼公司 → BVI 公司 → 香港中间层 → 境内运营公司」链条中，香港中间层承担双重职能：
- 持有境内运营公司股权（直接持股模式），或与境内运营公司搭建 VIE 协议
- 作为数据出境接收方，承接 PIPL 合规链条
3. 跨境资金流配套
- 香港中间层公司开立银行账户，承接境外上市募集资金
- 资金回流境内需走 外商直接投资（FDI） 通道或 境外放款 通道，须符合外汇管理规定
四、实操落地清单
企业在「数据出境 + 红筹搭建」并行推进时，建议按以下顺序操作：
- 业务定性：梳理境内业务是否涉及外资准入限制，确定 VIE 或直接持股路径
- 数据盘点：绘制「数据流图谱」，识别个人信息与重要数据流向
- 路径选择：按数据类型与体量匹配安全评估 / 标准合同 / 认证三条通道
- 架构搭建：境内运营公司股权重组，设立境外上市主体与香港中间层
- 合规文件：完成 PIA 报告、签订标准合同 / 启动认证申请
- 持续治理：建立数据保护负责人制度、定期合规审计、员工培训
五、常见误区与避坑提示
- 「先上市后合规」：若数据出境未合规即开展跨境业务，事后补救成本极高，且可能被监管追溯
- 「VIE 万能」：并非所有业务都需要 VIE，外资鼓励类业务直接持股反而更稳健
- 「香港接收方等于合规」：PIPL 要求境外接收方承担同等保护义务，并非签署合同即免责
- 「数据量小不用申报」：累计出境量（而非单次）是判定门槛，须建立台账持续监控
数据出境合规与红筹架构搭建，是内地企业以香港为跳板出海的两条平行轨道。架构是骨架，合规是血脉——两者缺一不可。建议企业在专业律师、咨询机构支持下尽早规划，避免在融资关键节点因合规缺位而延误上市进程。
具体审批周期、申报材料清单及最新外资准入政策，以官方最新公布为准。
香港大全 提供更多香港公司注册、签证、税务及跨境架构设计指南，欢迎前往查阅。
常见问答
内地的 App 公司想用香港做数据中转，再去港股上市，应该先做数据出境合规还是先搭红筹架构？
建议按文章所述「先合规、再搭建」的顺序推进。先对境内业务做外资准入定性、梳理数据流图谱并匹配出境路径，再启动境外上市主体与香港中间层的股权重组。若数据出境通道未打通便急于搭建架构，可能在融资或上市节点因合规缺位而被迫返工。
我们公司处理个人信息不到 100 万人，是不是就不用走安全评估，可以直接用标准合同出境到香港？
不一定。安全评估的触发条件除「处理 100 万人以上个人信息」外，还包括「CIITO 传输任何个人信息或重要数据」，以及累计向境外提供 10 万人个人信息或 1 万人敏感个人信息。任一条件满足即触发路径 A，未达门槛且非 CIIO 的企业才可走标准合同，具体以官方最新公布为准。
VIE 架构和直接持股到底怎么选？做互联网业务是不是只能用 VIE？
VIE 主要适用于境内业务属于外资准入限制或禁止类的行业，例如互联网、增值电信、教育、传媒等。若企业业务属于鼓励类或允许类，且不涉及外资限制牌照，直接持股结构更稳健，股权清晰且政策稳定性更高。建议先对照《外商投资准入特别管理措施》对自身业务做定性，再决定路径。
标准合同（SCCs）签完之后，是不是就可以直接把数据传到香港了？
签署只是合规链条的一环。依据文章要求，企业须使用网信办发布的现行版本标准合同模板，与境外接收方签订后 10 个工作日内向所在地省级网信办备案，并提交 PIA（个人信息保护影响评估）报告。备案属于「形式备案」而非实质审批，但材料不齐可能导致退回或被要求补充，影响出境节奏。
香港子公司作为数据接收方，需要专门设立一个公司吗？能不能直接用境外上市主体接收数据？
文章建议在香港单独设立「数据处理子公司」作为标准合同或认证项下的境外接收主体，并由其配置独立的数据保护负责人（DPO），履行 PIPL 项下的同等保护义务。境外上市主体（通常设在开曼或 BVI）不宜直接作为数据接收方，原因在于其数据保护制度、人员配置与监管衔接均不如香港本地公司完善，且数据再传第三地会增加合规风险。