您的企业是否使用Google Workspace、Microsoft 365或国际云存储来处理在越南收集的数据？根据新规定，这可能已构成个人信息出境——一项适用专门程序和处罚的活动。本文依据91/2025/QH15号《个人信息保护法》第20条和356/2025/ND-CP号法令进行分析。
1. 构成个人信息出境的三种情形
根据91/2025/QH15号法律第20条第1款，个人信息出境包括三种情形：
- 在越南境外存储个人信息；
- 向国外组织、个人转移个人信息；
- 使用越南境外平台处理在越南收集的个人信息。
关键点：第三种情形范围非常广泛。实务中，企业使用Google Workspace、Microsoft 365或国际云处理在越南收集的数据=个人信息出境，无论物理服务器位于何处。许多企业在不知情的情况下已落入调整范围。
2. 办理程序：影响评估材料+60天内报送公安部
进行个人信息出境时，组织必须：
- 依据356/2025/ND-CP号法令第17、18条（2026年1月1日生效）编制个人信息出境影响评估材料；
- 取得数据主体的同意；
- 在首次出境之日起60天内向公安部报送材料。
相关的行政手续是778/QD-BCA-A05号决定项下的“个人信息出境影响评估材料报送通知”，由A05局在15天内办理。
3. 四项豁免
根据91/2025/QH15号法律第20条第6款，以下四种情形免于出境程序：
- 有权国家机关依法履职进行数据转移；
- 在云平台存储内部员工个人信息——即国外云存储内部员工数据可豁免；
- 数据主体自行将其个人信息转移出境；
- 政府规定的其他情形。
实务中须明确区分：国外云存储内部员工数据可豁免；但在同一平台处理客户数据则不可豁免——仍须编制影响评估材料并向公安部报送。
4. 处罚
330/2026/ND-CP号法令（2026年8月19日生效）对违规个人信息出境规定了处罚：最高处营业额5%罚款，下限为30亿越南盾。这一处罚力度足以让所有存在跨境数据处理的企业立即开展审查。
5. 企业应立即采取的行动
- 梳理全部数据流：哪些个人信息正在越南境外平台存储或处理；
- 分类：云端内部员工数据（豁免）与客户/合作伙伴数据（不豁免）；
- 对不豁免部分：编制影响评估材料，取得数据主体同意，在首次出境之日起60天内向公安部报送；
- 更新与国外云服务商的合同中的数据保护责任条款。
常见问题
使用Google Workspace/Microsoft 365算个人信息出境吗？
算。使用越南境外平台处理在越南收集的个人信息构成出境（91/2025号法律第20条第1款）。
国外云存储员工数据需要办理手续吗？
不需要，如果是内部员工数据——属于豁免情形（第20条第6款）。
向公安部报送的时限是多久？
首次出境之日起60天内。
违规个人数据处分的罚款标准是多少？
最高营业额5%，下限30亿越南盾（330/2026/ND-CP号法令）。
引用来源
- 91/2025/QH15号《个人信息保护法》第20条（2026年1月1日生效）——个人信息出境；
- 356/2025/ND-CP号法令第17、18条（2026年1月1日生效）——出境影响评估材料；
- 330/2026/ND-CP号法令（2026年8月19日生效）——处罚：最高营业额5%，下限30亿越南盾；
- 778/QD-BCA-A05号决定——”个人信息出境影响评估材料报送通知”手续（15天）。
结论
91/2025号法律第20条下的个人信息出境范围比许多企业想象的更广：使用国际云处理在越南收集的数据已构成出境，必须编制影响评估材料（356/2025号法令第17、18条），取得数据主体同意，并在60天内向公安部报送。日常经营中唯一值得注意的例外是云端内部员工数据可豁免——客户数据则不可。面对最高营业额5%的处罚，审查跨境数据流刻不容缓。
您的企业需要评估个人信息出境义务吗？联系FLAT律师事务所获取咨询。
仅供参考，不构成法律意见。本内容由AI起草，在考虑发布前将接受FLAT律师事务所AI法律委员会的质量审查；并非执业律师的法律意见。法律法规可能发生变化，适用前请核对现行文本。