2026年7月1日起，《网络安全法》第116/2025/QH15号正式生效，取代2018年《网络安全法》和2015年《网络信息安全法》。配套的第333/2026/ND-CP号实施议定，确立了具体义务和极短的回应时限——在越南网络空间经营的外资企业不可忽视。本文根据截至2026年10月有效的规定，更新2026年外资企业网络安全新规定。
新法律框架
- 《网络安全法》第116/2025/QH15号——2026年7月1日生效（全面取代2018年《网络安全法》与2015年《网络信息安全法》）。
- 第333/2026/ND-CP号议定——《第116/2025号法律》实施细则。
外国企业何时须在越南境内存储数据并设立机构？——三要件（第333/2026号议定第19条）
在越南境内存储数据和设立分公司或代表处的义务，仅在外国企业同时满足三个要件时产生：
要件1——行业：在越南从事以下11个领域之一：电信；网络空间数据存储、共享；域名提供；电子商务；在线支付；支付中介；网络空间运输对接服务；社交网络与社交媒体；网络游戏；在线应用；其他在网络空间提供、管理或运营信息的服务（消息、语音通话、视频通话、电子邮件、在线聊天）。
要件2——违法：企业提供的服务被用于实施违反网络安全法的行为。
要件3——经通知未整改：公安部网络安全与高科技犯罪防范局已书面通知3次、最长6个月，要求配合、阻止、调查、处理——而企业未整改、不执行、执行不完全，或阻挠网络安全保护措施。
重要提示：并非所有外国科技公司都自动须设代表处——必须三要件齐备。不要误读为绝对义务。
须境内存储的数据类别（第19条第1款）
- 服务用户的个人信息数据。
- 越南服务用户创建的数据：服务账号名、使用时长、信用卡信息、电子邮箱、最近登录/登出IP、与账号或数据绑定的电话号码。
企业一般义务（第116/2025号法律第25条）
| 义务 | 时限 |
|---|---|
| 用户注册数字账号时核验信息；保护用户信息与账号 | 持续 |
| 向专门网络安全力量（公安部）提供用户信息以供核查、调查 | 要求后24小时内；紧急情况（危害国家安全、生命）：3小时 |
| 阻止分享、删除违规信息/下架违规服务或应用；保存系统日志 | 24小时内；紧急情况：6小时 |
| 用户结束使用后继续存储个人信息及用户创建数据 | 法律规定的期限内 |
外资企业需知的其他新点
- 第38条：国有企业数字化转型/信息化项目——至少15%总经费用于网络安全解决方案。
- 第7条：AI与深度伪造管控——禁止制作、传播违规深度伪造内容（伪造图像、声音、视频）。
- 第41条第5款：网络空间服务商须识别用户IP地址并向专门力量提供IP识别信息。
- 信息系统定级（第8、10条）：1–5级；3级以上须部署完整技术防护措施。
外资企业合规清单
- 核查经营领域是否属于第333/2026号议定第19条的11个领域。
- 建立24小时/3小时/6小时主管机关要求回应流程（对接人、模板、日志）。
- 评估越南用户数据存储架构；如属适用范围，规划在越机构设置。
- 按第7条复核内部AI/深度伪造政策。
常见问题
1. 外资公司仅通过网站销售，须在越南存数据吗？
电子商务属11个领域（要件1），但义务须三要件齐备才产生——即须有违法且经3次通知未整改。但第25条一般义务（24小时/3小时/6小时）适用于所有在越南网络空间提供服务的企业。
2. 第116/2025号法律适用于内资企业吗？
适用。第25条适用于在越南通过电信网、互联网提供服务的内资与外资企业。
法律依据
- 《网络安全法》第116/2025/QH15号（2026年7月1日生效）：第7条（AI/深度伪造）、第25条（企业义务）、第38条（网络安全经费）、第41条第5款（IP识别）。取代2018年《网络安全法》与2015年《网络信息安全法》。
- 第333/2026/ND-CP号议定——第116/2025号法律实施细则：第19条（数据存储/设机构三要件；数据类别）。
透明度声明：本文由AI在FLAW AI法律委员会流程下编写，并非真人律师的法律意见，不能替代针对具体案件的法律咨询。
FLAT律师事务所为外资企业提供网络安全与数据保护合规咨询——从数据存储义务评估、回应流程设计到内部政策复核。请联系我们，获取针对您具体案件的咨询。
本文正在等待质量审核委员会审核。
