将人事数据同步至境外总部、使用服务器设在越南境外的企业邮箱、CRM或ERP系统、委托境外IT服务商处理客户数据——对于在越南的外商投资企业而言，这些都是日常运营，常常被当作纯粹的技术问题看待。自2026年1月1日起，这种观念不再成立：个人数据出境是一项独立的受监管法律行为，直接受越南《个人数据保护法》（91/2025/QH15号）第20条和356/2025/ND-CP号议定第18条调整，核心义务是编制个人数据跨境传输影响评估档案并向个人数据保护专门机构申报。
本文全面介绍自2026年1月1日起适用的条件、档案构成、申报程序、豁免情形与处罚标准，重点结合外商投资企业在越南的实际场景。
目录
- 一、为什么外资企业必须从2026年初就优先处理此事
- 二、个人数据出境的法律框架
- 三、哪些情形属于"个人数据跨境传输"？
- 四、个人数据合法出境的四个条件
- 五、个人数据跨境传输影响评估档案的构成
- 六、申报程序：在哪里申报、多久、有何结果
- 七、免于编制影响评估档案的情形
- 八、出境后的义务：存档、更新、接受检查
- 九、处罚：年营收的5%与30亿越南盾
- 十、外资企业五种典型的数据出境场景
- 十一、外资企业10步落地检查清单
- 十二、常见问题（FAQ）
- 十三、本系列相关文章
- 十四、何时应当寻求律师帮助
- 语言版本
- 参考文件
一、为什么外资企业必须从2026年初就优先处理此事
有三个理由，让个人数据出境义务应当排在每家外资企业2026年合规议程的首位。
第一，普遍性。几乎没有任何一家外资企业不存在至少一条数据出境链路：定期向总部报送人事报表、全球人力资源系统（HRIS）、设在境外的企业邮箱与云存储、国际化运营的ERP/CRM平台，或来自集团境外IT团队的技术支持。很多企业仍认为"集团内部流转"不需要办什么手续——现行法律中不存在这种理解。
第二，处罚最重。根据2025年《个人数据保护法》第8条第4款，组织违反个人数据跨境传输规定的最高行政罚款为上一年度营收的5%——明显高于适用于其他个人数据违法行为的30亿越南盾上限。对于年营收数千亿越南盾的外资企业而言，这个数字远超以往任何与" paperwork"义务相关的行政罚款想象。
第三，从"事后备案"转向"事前审查"。在13/2023/ND-CP号议定时期，企业可以先传输、再在处理之日起60日内补交档案。自2026年1月1日起，356/2025/ND-CP号议定要求档案必须经专门机构评估，并在收到完整合规档案之日起15日内通知"达标"或"不达标"。换言之，在档案尚未被评为"达标"的情况下就传输数据，企业已自行置身于法律风险区——尽管法律仍保留了"首次出境之日起60日内"申报的窗口。
二、个人数据出境的法律框架
现行框架由两份基础性文件构成，均自2026年1月1日起生效：
- 《个人数据保护法》（91/2025/QH15号），第十五届国会于2025年6月26日通过，共5章39条。第20条是调整个人数据跨境传输的核心条款，规定出境情形、影响评估档案义务、申报期限、检查机制、责令停止传输的权力以及豁免情形。第20条第7款授权政府就第1、5、6款以及评估档案的构成、条件、顺序和程序作出细化规定。
- 356/2025/ND-CP号议定（2025年12月31日颁布），就《个人数据保护法》若干条款作出细则规定和实施措施，自2026年1月1日起生效并取代13/2023/ND-CP号议定（356号议定第42条第2款）。第18条具体规定了个人数据跨境传输影响评估的条件、顺序、程序和档案构成。
有一个过渡衔接问题值得注意：根据91/2025号法律第39条，在法律生效前已按13/2023号议定被专门机构接收的影响评估档案可继续使用，但企业须在2026年1月1日后按新法予以更新。实践中，由于356号议定在档案的形式和实质内容上都作了根本性调整（新增了内部政策与流程、数据流图、对境外接收方评估等要求），已按旧表格编制档案的企业应当全面复核，而不是默认"旧档案还能用"。
三、哪些情形属于"个人数据跨境传输"？
2025年《个人数据保护法》第20条第1款列举了构成个人数据跨境传输的三种情形。外资企业应当把每一条数据链路都对照这三种情形逐一核验，因为许多日常运营中"看不见"的链路仍在调整范围内。
情形一：将存储在越南的个人数据传输至设在越南境外的存储系统。最直接的场景：将人事、客户数据库从越南服务器备份或同步到境外服务器，或迁移至集团区域数据中心。
情形二：越南的机关、组织、个人将个人数据传输给境外的组织、个人。外资企业的典型场景：越南子公司向境外总部报送人事名单、工资数据、绩效评估以供全球管理；向境外经销商提供客户、合作伙伴名单；向全球招聘职能部门共享候选人或员工档案。关键提示：法律没有为集团内部传输设立单独豁免——越南子公司是独立法人，向境外母公司传输个人数据仍然是个人数据跨境传输。
情形三：越南或境外的机关、组织、个人使用设在越南境外的平台处理在越南收集的个人数据。这是最容易被忽略的情形：使用服务器或处理平台设在境外的邮箱、云存储、管理软件（HRIS、ERP、CRM）处理在越南收集的员工或客户数据。企业并没有主动把数据"发"到哪里，但数据在境外平台上被处理即构成跨境传输。
四、个人数据合法出境的四个条件
综合法律第20条与356号议定第18条，可归纳出企业必须满足的四个条件（第七节豁免情形除外）：
条件一——编制个人数据跨境传输影响评估档案。这是核心义务。356/2025号议定第18条第1款规定：开展法律第20条第1款所指个人数据跨境传输活动的机关、组织、个人必须编制个人数据跨境传输影响评估档案。这不是一份形式文件——其必备内容（见第五节）要求企业真正梳理数据链路、评估风险并制定保护措施。
条件二——在首次出境之日起60日内向专门机构提交1份正本。法律第20条第2款规定：开展个人数据跨境传输的机关、组织、个人须编制影响评估档案，并在首次个人数据跨境传输之日起60日内向个人数据保护专门机构提交1份正本。"首次出境之日"是关键时点：对于经常性链路（如每日向母公司同步数据），60日期限自该链路首次传输之日起算，而不是自企业"意识到"有义务之日起算。
条件三——具备数据处理的合法性基础，首先是数据主体的同意。个人数据出境是个人数据处理的一种形式，因此仍须满足法律关于处理的一般条件——包括第9条关于同意的规定。同意必须基于自愿，且数据主体"充分知情"最低限度信息（数据类型、处理目的、数据控制者身份等），法律明确规定"沉默或不作回应不视为同意"。实践中，影响评估报告（356号议定第18条第3款d项）必须描述和论证征得数据主体同意的情况——专门机构会重点审查这一点。外资企业因此应当复核现有的隐私通知和同意文本：是否已明确说明数据将出境、接收方是谁、前往哪个国家、出于什么目的。
条件四——通过专门机构的评估（15日事前审查）。这是356号议定相较于13/2023号议定的转折性变化。专门机构须对档案进行评估，并在收到完整合规档案之日起15日内通知"达标"或"不达标"；档案不完整、不合规的，企业有30日补正期。实践后果：尽管法律允许在首次出境之日起60日内申报，审慎的企业应当在首次出境前完成档案编制并申报，避免出现"数据已出境、档案却被评为不达标"的局面。两个期限如何衔接的正式解释，有待专门机构在执法中进一步明确——有实质性出境链路的企业应当与律师共同设计合适的时间表。
五、个人数据跨境传输影响评估档案的构成
5.1. 三类必备文件（356/2025号议定第18条第2款）
个人数据跨境传输影响评估档案包括：
a) 按356号议定附录09号表格编制的个人数据跨境传输影响评估报告；
b) 体现跨境传输与接收个人数据的组织、个人之间约束关系与责任划分的数据传输合同或文件的复印件；
c) 开展个人数据跨境传输的机关、组织、个人的个人数据保护政策、流程、规章、表格及其他相关文件。
其中（b）是外资企业通常最需要补课的部分：与境外数据接收方（母公司、服务商、合作伙伴）的合同必须清楚体现约束关系和数据保护责任划分——框架协议中的笼统条款是不够的。（c）要求企业已建有内部个人数据保护政策与流程体系；如果还没有，必须同步建设，不可能几天之内"为归档而写"。
5.2. 影响评估报告的九项内容（第18条第3款）
09号表格报告必须包括以下内容：
a) 转出方、接收方、数据处理方及其他与个人数据跨境传输活动相关的各方的信息与联系方式；
b) 转出方与接收方的个人数据保护部门、人员的联系方式，以及个人数据保护服务机构、个人（如有）的联系方式；
c) 个人数据跨境传输目的的描述与论证、所传输个人数据的类型、跨境传输与处理活动的详细情况，并附个人数据处理流程图；
d) 征得个人数据主体同意情况的描述与论证，以及数据留存、删除、销毁政策；
đ) 个人数据跨境传输后的安全保障方案、所采取的个人数据保护措施和适用的数据保护标准；
e) 接收个人数据跨境传输后的存储、处理系统的系统架构图与功能描述；
g) 境外接收方向第三方转交、提供个人数据的流程；
h) 开展个人数据跨境传输的机关、组织、个人对个人数据保护规定的合规自评结果；
i) 对接收方个人数据保护水平的评估；个人数据跨境传输与处理的影响程度与风险；可能发生的非预期后果与损失；降低或消除风险的措施。
实践中，（c）、（đ）、（e）、（i）是报告的骨架，也是专门机构审查最严的部分。外资企业应当在详细的数据流图（什么数据——从哪里来——经过哪些系统——到谁手里——存在哪里——何时删除）、对境外接收方数据保护能力的实质性评估（而非合同中的笼统承诺）、以及附具体缓释措施的风险分析（加密、匿名化、访问控制、目的限制）上下功夫。照抄模板、不反映实际运营的报告，不仅会被评为"不达标"，还会在突击检查时带来风险。
六、申报程序：在哪里申报、多久、有何结果
对应的行政程序名称为"个人数据跨境传输影响评估档案申报通知"，步骤如下：
第一步——准备档案。申报材料包括：《档案申报通知书》01a号表格（组织用）或01b号表格（个人用）——正本1份；09号表格影响评估报告——正本1份；申报主体的法律文件（企业注册证书或同等文件复印件）；个人数据保护部门/人员分工决定（复印件）；与相关方的数据传输合同或文件复印件；以及证明能力、政策、流程的其他文件。
第二步——提交档案。经公安部政务服务门户提交，或直接寄送公安部网络安全与高科技犯罪防范局（A05）——该局在实践中履行个人数据保护专门机构职能。从成文法角度，356/2025号议定第39条明确了专门机构的职责；准备申报时，企业应直接对照届时公布的行政程序清单，确认受理渠道与提交方式。
第三步——评估并通知结果。专门机构在收到完整合规档案之日起15日内（不含法定节假日）完成评估，并向申报组织或个人发送档案"达标"或"不达标"的通知。档案不完整、不合规的，申报主体自收到通知之日起有30日补正期。
第四步——存档备查。356/2025号议定第18条第4款规定，个人数据跨境传输影响评估档案必须随时可供个人数据保护专门机构检查、评估。这不是"交完就了事"的程序：企业必须保持档案处于随时可出示的状态，包括日后的更新版本。
七、免于编制影响评估档案的情形
2025年《个人数据保护法》第20条第6款规定了四种免于执行个人数据跨境传输影响评估规定的情形：
a) 有权限国家机关的个人数据跨境传输；
b) 机关、组织在云计算服务上存储本机关、本组织员工的个人数据；
c) 数据主体自行将其个人数据跨境传输；
d) 政府规定的其他情形。
其中（b）是对企业最有实际意义的豁免：如果企业只是在云服务上存储本企业员工的数据（即使云服务器在境外），该存储活动无需编制影响评估档案。但范围必须从严解读：豁免仅覆盖本机关、本组织的员工数据，且仅限于云上存储这一活动。如果同一云系统还处理客户、候选人数据，或企业出于其他目的将员工数据传输给境外第三方（例如提供给母公司作人事决策），超出豁免范围的部分仍须编制档案。
对于（d）项，政府已细化了其他免于编制档案的情形，包括：依法开展的新闻、媒体活动；依法已公开的个人数据的传输；为保护个人生命、健康、财产安全或履行法定义务确有必要的紧急情形；按内部规则、劳动规章和集体劳动合同开展的跨境人事管理数据传输；以及为签订合同或办理跨境运输、物流、汇款、支付、酒店预订、签证申请、奖学金申请等手续而提供数据。援引这些豁免时，企业应直接对照356/2025号议定原文相应条款，确认范围与具体条件。
一个原则性提示：免于编制影响评估档案不等于免除一切义务。企业仍须履行法律的一般义务——取得有效同意、采取安全措施、保障数据主体权利、按规定报告违规。豁免免除的只是档案编制与申报义务，不是"自由传输许可证"。
八、出境后的义务：存档、更新、接受检查
完成申报程序不是终点。法律与议定在数据出境后仍设有多项持续义务：
存档并随时可供出示。如前所述，影响评估档案必须随时可供专门机构检查、评估（356号议定第18条第4款）。
情形变化时更新档案。法律第20条第3款规定，个人数据跨境传输影响评估在机关、组织、个人的整个运营期间进行一次，并按规定更新。根据对356号议定的实务解读，出现新的传输或处理目的、数据控制者、共同控制处理者、数据处理方或第三方变更时，应每6个月更新一次；机构重组、停止运营、解散或破产，更换个人数据保护服务机构，或档案中登记的与个人数据处理相关的经营范围、服务发生新增或变更时，应在10日内及时更新。企业在制定内部更新日历时应直接对照议定条款——无论如何，每次更换云服务商、变更处理系统或扩大出境数据范围，都是复核档案的时点。
接受定期与突击检查。法律第20条第4款规定，专门机构决定开展每年不超过一次的定期检查，或在发现违反个人数据保护法规行为、发生个人数据泄露、丢失事件时开展突击检查。对外资企业而言，处理链条上任何一环——包括境外接收方——发生数据泄露，都可能触发在越南的突击检查。
被责令停止传输的风险。法律第20条第5款授权专门机构在发现所传输的个人数据被用于可能损害国防、国家安全的活动时，决定责令机关、组织、个人停止个人数据跨境传输。这是力度很强的措施，主要针对国家安全风险情形，但企业应当意识到，其传输活动始终处于监管部门的持续监督之下。
九、处罚：年营收的5%与30亿越南盾
违反个人数据跨境传输规定的处罚框架见2025年《个人数据保护法》第8条：
- 第8条第4款：组织违反个人数据跨境传输规定的，最高行政罚款为该组织上一年度营收的5%。无上一年度营收，或按营收计算的罚款低于第5款最高限额的，适用第5款的罚款——即30亿越南盾。
- 第8条第6款：上述最高罚款适用于组织；个人实施同一违法行为的，最高罚款为组织的一半。
- 第8条第1款：除行政处罚外，违法者根据违法行为的性质、情节、后果还可能被追究刑事责任；造成损害的，须依法赔偿。
需要注意的是，第8条规定的是法定最高限额；每项具体行为（未编制档案、逾期申报、在被责令停止后仍传输等）的具体罚款金额，由政府行政处罚细则规定。企业不应推断"细则没出就不处罚"——法定最高限额自2026年1月1日起已经生效，监管部门现在就可以采取责令停止传输、突击检查等其他措施。
十、外资企业五种典型的数据出境场景
以下是在越南外资企业最常见的五种场景，附义务速评：
场景一——定期向母公司报送人事报表。越南子公司向境外总部发送人事名单、工资数据、绩效评估以供全球管理。这是第20条第1款第2种情形（向境外组织传输）。须编制档案，除非链路仅停留在第20条第6款b项的"员工数据云存储"层面——而本场景通常不符合，因为数据是传输给母公司用于处理（人事决策），而非单纯存储。
场景二——使用服务器在境外的云/SaaS系统。企业邮箱、HRIS、ERP、CRM运行在服务器设在越南境外的平台上，处理在越南收集的员工与客户数据。这是第1款第3种情形。须编制档案（客户数据及其他数据）；员工数据云存储部分可能适用第6款b项豁免——但企业必须能在报告中划清范围。
场景三——委托境外IT服务商。集团或服务商的境外技术支持、系统运维团队为排障、维护而访问个人数据（客户、员工）。这是向境外组织传输（第2种情形），接收方担任数据处理方角色。须编制档案，服务合同必须清楚体现服务商有约束力的数据保护承诺与责任。
场景四——向境外经销伙伴共享客户数据。企业向境外经销商、代理商提供客户名单、交易数据用于销售、营销。须编制档案；最敏感的往往是同意基础——客户是否同意将其数据共享给境外第三方（第9条）。
场景五——并购交易中提供数据。境外买方或顾问在尽职调查中接触越南目标公司的员工、客户数据。如果该接触构成跨境传输，须编制档案；实践中各方通常从一开始就设计带匿名化、访问范围限制的数据室机制以降低风险。
十一、外资企业10步落地检查清单
- 绘制数据流图：列出所有流出越南境外的个人数据链路——什么数据、谁的数据、去哪里、经哪些系统、为什么目的。
- 对照第20条第1款三种情形：判定哪些链路构成个人数据跨境传输。
- 核查豁免：每条链路是否属于第20条第6款四种情形或政府规定的其他情形；书面记录豁免依据。
- 复核同意基础：更新隐私通知与同意文本——明确说明数据出境、接收方、目的国、传输目的（第9条）。
- 完善传输合同：与境外接收方新签或修订合同，清楚体现有约束力的承诺与数据保护责任划分。
- 按09号表格编制影响评估报告：覆盖356号议定第18条第3款全部九项内容，重点打磨数据流图、接收方评估与风险分析。
- 准备并提交申报通知（01a号表格）及档案：建议在首次传输前提交，以契合15日事前审查机制。
- 跟进评估结果：15日内收到"达标/不达标"通知；被要求补正的，30日内完成。
- 建立持续治理：指定个人数据保护部门/人员，档案保持随时可供出示，建立档案更新日历。
- 嵌入运营流程：每次更换服务商、变更系统、扩大数据范围或发生并购交易，都必须经过数据出境审查环节。
十二、常见问题（FAQ）
问：公司使用国际服务商的邮箱和云存储（服务器在境外），算个人数据出境吗？ 答：算。这正是第20条第1款第3种情形：使用设在越南境外的平台处理在越南收集的个人数据。即使企业没有主动把数据"发"出去，在境外基础设施上处理即构成跨境传输并触发档案义务——第20条第6款b项豁免的员工数据云存储部分除外。
问：在云上存储员工数据需要编制影响评估档案吗？ 答：如果活动仅限于机关、组织在云计算服务上存储本机关、本组织员工的个人数据（第20条第6款b项），不需要。但如果企业同时把员工数据传输给母公司作决策，或同一系统还处理客户、候选人数据——超出豁免范围的部分仍须编制档案。
问：向专门机构申报的期限是多久？ 答：首次个人数据跨境传输之日起60日内（第20条第2款）。但鉴于356号议定的事前审查机制（15日内通知达标/不达标），企业应当在首次传输前完成档案编制并申报，以规避法律风险。
问：影响评估档案每年都要重做吗？ 答：不需要。第20条第3款规定，评估在整个运营期间进行一次，并随情形变化更新。企业需要建立更新机制：出现新的传输目的、接收方/处理方变更、系统变更或服务商变更时即复核档案。
问：集团内部传输（母子公司之间）需要编制档案吗？ 答：需要。法律没有为集团内部传输设立单独豁免。越南子公司是独立法人，向境外母公司或姐妹公司传输个人数据仍是个人数据跨境传输，须履行全部义务。
问：未编制影响评估档案罚多少？ 答：组织违反个人数据跨境传输规定的最高罚款为上一年度营收的5%；无营收或按营收计算低于30亿越南盾的，适用30亿越南盾（第8条第4、5款）。每项行为的具体罚款有待政府行政处罚细则。
十三、本系列相关文章
- 越南2025年《个人数据保护法》：外资企业自2026年1月1日起的合规义务（T-521）：全面介绍外资企业在91/2025号法律下的八组义务——从同意、处理影响评估到72小时违规通报。本文（T-523）深入其中一项义务：个人数据出境。
- 外商企业越南《个人数据保护法》合规检查清单（T-529）：总体14步合规清单——可与本文第十一节10步出境专项清单配合使用。
- T-543与T-545（同DAT系列）：本系列后续深度文章——完成后将补加链接。
十四、何时应当寻求律师帮助
外资企业在以下情形应当寻求律师帮助：传输链路复杂（跨国集团、多系统、多法域接收方）；需要评估某条链路是否适用豁免——特别是"员工数据云存储"豁免的边界；需要起草或重新谈判与境外接收方的数据传输合同；收到档案"不达标"通知而只有30日补正期；或发生涉跨境的数据泄露、丢失事件并面临突击检查风险。
FLAT律师事务所为外资企业提供个人数据保护合规全流程服务：数据链路梳理、豁免评估、按09号表格编制个人数据跨境传输影响评估档案、申报程序准备，以及与专门机构沟通的全程陪伴。欢迎联系我们，就贵企业的具体情况获取建议。
参考文件
- 《个人数据保护法》（91/2025/QH15号，2025年6月26日通过，2026年1月1日生效）——第8、9、20条。
- 356/2025/ND-CP号议定（2025年12月31日颁布，2026年1月1日生效）——第18、39、42条。
—