集团人事系统设在新加坡、CRM架在美国云上——这套外资企业的标准IT架构，恰恰构成第91/2025/QH15号《个人信息保护法》第20条第一款所称的个人信息跨境传输。自2026年起，企业须按有序的合规路线推进，而最关键的一点是：这两套系统并不适用同一档案制度。
法律依据
第91/2025号法律第20条：同一义务，人事与CRM两种命运
第91/2025号法律第20条第一款界定三种跨境传输情形：将存储于越南的数据转移至境外存储系统；向境外组织、个人传输数据；以及使用境外平台处理在越南收集的数据。人事系统与云端CRM均落入第三种情形。第2款要求传输方编制跨境传输影响评估档案，并自首次传输之日起60天内向专门机关提交一份正本；档案在整个经营期间只做一次，并依第22条更新（第3款）。
但第20条第6款豁免了组织将本组织员工个人信息存储于云计算服务的传输档案义务。集团人事系统——员工数据存于云端——因此免于传输影响评估档案。存有客户数据的CRM不符合第6款任何免除情形：第20条档案为强制。须强调，免除仅去掉传输档案；第21条处理影响评估、数据保护原则与事件责任对两套系统仍完整适用。
适用分析
正确的合规路线有四步。第一步，绘制数据流图：哪套系统存谁的数据、服务器与备份在哪里、供应商是否在第三国使用次级处理者——答案决定哪套系统需要第20条档案。第二步，完善处理依据与供应商文件：数据处理协议（DPA）须承诺供应商仅按企业指示处理、落实安全措施、通报事件、协助数据主体权利，并在终止时返还或删除数据。第三步，对未获免除的流量在新法下首次传输起60天内编制并提交第20条档案，并与第21条档案保持一致。第四步，将其作为活机制运行：专门机关得依第20条第4款每年不超过一次定期检查或突击检查，并可在发现数据被用于可能危害国防、国家安全的活动时责令停止传输（第5款）——企业须备有被责令时将数据撤回的技术方案。
关于员工同意：在劳动关系内处理员工数据主要依据劳动合同与雇主的法定义务，并非每条流量都需要单独同意。但三种情形须分开：敏感数据（生物识别考勤、定期体检数据）需要相应的明确依据与同意；将员工数据传回集团用于越南日常人事管理之外的目的（如全球人力分析、跨境绩效评分）超出通常劳动关系范围，须向员工透明告知；员工始终有权知道哪些系统在处理其数据、数据存储在哪里。
行动建议
- 为每套系统（人事、CRM、ERP、邮件）绘制数据图：数据类型、服务器位置、次级处理者——分清哪些流量依第6款免第20条档案、哪些不免。
- 与每个云/SaaS供应商签署数据处理附录（DPA）：按指示处理、安全、事件通报、数据主体权利协助、终止时返还/删除。
- 为CRM客户数据在首次传输起60天内编制并提交传输影响评估（第20条）；与第21条档案保持同步。
- 向员工发布专门的数据处理告知（所用系统、存储地点、目的），并就劳动合同范围之外的敏感数据取得单独同意。
- 预备在专门机关依第20条第5款责令停止传输时将数据撤回越南或更换供应商的方案。
常见问题
使用境外人事、CRM系统的外资企业，自2026年起须遵守哪些跨境传输规定？
主要框架是第91/2025/QH15号《个人信息保护法》第20条：使用境外平台处理在越南收集的数据属于跨境传输（第1款第c项），传输方须编制传输影响评估档案并自首次传输之日起60天内向专门机关提交一份正本（第2款），并依第22条更新。第6款的关键例外：将员工个人信息存储于云服务的，免于传输档案——故人事系统免此档，而存有客户数据的CRM不免，须完整建档。两套系统仍均受第21条处理影响评估约束。
合规路线在影响评估、告知与供应商合同条款上包括什么？
四个相续步骤：（1）绘制数据流并依第20条第6款分类，确认哪套系统需要传输档案；（2）影响评估——两套系统做第21条处理档案，未获免除的流量做第20条传输档案，均在法定的60天节点内提交；（3）向数据主体（员工、客户）透明告知系统、存储地点与目的；（4）与供应商的数据处理协议，包括按指示处理、安全标准、及时事件通报、数据主体权利协助、禁止未经批准的次级处理者，以及合同终止时返还或删除数据。
将员工数据传回集团系统需要员工的单独同意吗？
并非每条流量都需要：为履行劳动合同与雇主法定义务而处理员工数据，有独立于同意的依据。单独同意在两个区域变得必要：敏感数据（生物识别、健康）在所依赖的处理依据为同意时；以及越南日常人事管理之外的目的，如集团层面的分析与全球人力评分。即使不需要同意，企业仍须告知员工其数据在集团境外系统上处理——透明义务不因劳动合同而免除。
外国云供应商拒绝越南合规条款时，企业怎么办？
逐级推进。先谈标准附录：多数大型SaaS供应商备有GDPR数据处理附录，可良好映射第91/2025号法律的要求；通常需补入的是支持第20条档案与事件通报承诺。若供应商仍拒绝核心条款（按指示处理、事件通报、返还/删除），企业不应继续向该系统传输客户数据——法律责任在越南传输方，无法转嫁给供应商。替代方案包括：选择承诺等同的供应商；混合模式（个人信息存于越南、仅匿名化数据出境）；或由企业自持密钥加密，使供应商无法接触明文数据。
