在越南的外资企业如今同时受两层数据义务叠加约束：一层是《网络安全法》第24/2018/QH14号和第53/2022/ND-CP号议定下的网络安全层；另一层是刚被《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定全面升级的个人数据层，两部文件均自2026年1月1日起生效，并取代第13/2023/ND-CP号议定的旧框架。最常见的错误，是企业只按一层自查就以为已经合规。本文为外资企业重新绘制这张两层地图：谁必须把数据存放在越南、数据出境要办什么、违规要付出什么代价。
简要回答
外资企业必须同时履行两层义务：网络安全层关于数据在越南存储、以及第53/2022/ND-CP号议定范围内部分跨境服务提供者须设分支机构或代表处的规定；以及《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定下的全部个人数据义务，包括合法处理依据、告知与同意、指定数据保护职能、编制影响评估档案，以及数据出境时编制个人数据跨境传输评估档案。第13/2023/ND-CP号议定已被取代，仍引用它的内部流程都必须更新。
第一层：网络安全与有条件的数据本地化
《网络安全法》第24/2018/QH14号对越南用户个人信息、用户关系和用户生成内容的数据规定了在越南存储的义务，但该义务挂钩于在电信网络、互联网和网络空间增值服务领域提供服务、且属于政府细化范围的企业。第53/2022/ND-CP号议定具体列明服务清单和触发条件，并对范围内的外国服务提供者提出在越南设分支机构或代表处的要求。实务后果非常重要：使用普通内部系统的制造型外资企业并不自动落入该本地化义务；而向越南用户提供服务的技术企业，则必须认真对照第53/2022/ND-CP号议定的清单。除本地化外，网络安全层还包括在收到合法要求时与专责机关配合、按等级保障信息系统安全以及处置安全事件等义务。
第二层：《个人数据保护法》与第356/2025号议定的新框架
《个人数据保护法》第91/2025/QH15号首次把个人数据保护从议定层级提升到法律层级，自2026年1月1日起生效；第356/2025/ND-CP号议定负责实施，并同时取代第13/2023/ND-CP号议定。新框架系统整理了外资企业最常遇到的义务：正确区分控制者、处理者以及兼具两种身份的角色；为每一处理目的具备合法依据，其中数据主体的同意必须有效、明确且可撤回；在处理前完整履行告知义务；区分一般个人数据与敏感个人数据，并对后者采取更高保护；保护儿童数据；指定负责数据保护的部门和人员；事件发生时在法定期限内向专责机关和数据主体通报。
对跨国集团而言，第二层中最重的一环是个人数据跨境传输。把越南公民的个人数据传到境外，无论是传到母公司服务器还是云服务提供者，企业都必须编制传输影响评估档案，说明目的、数据类型、接收方和保护措施，并依《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定送交专责机关；境内的处理影响评估档案也要为范围内的活动编制并持续更新。最容易被漏掉的情形，是工厂把员工数据传回集团全球人力资源系统：这仍属个人数据的处理和跨境传输，不是内部例外。
| 内容 | 网络安全层 | 个人数据层 |
|---|---|---|
| 核心文件 | 《网络安全法》第24/2018/QH14号、第53/2022/ND-CP号议定 | 《个人数据保护法》第91/2025/QH15号、第356/2025/ND-CP号议定（取代第13/2023/ND-CP号议定，2026年1月1日生效） |
| 义务最重的主体 | 名列第53/2022/ND-CP号议定清单的跨境服务提供者 | 在越南处理个人数据的全部组织，包括员工和客户数据 |
| 标志性义务 | 范围内主体的数据在越存储和本地设点、安全配合 | 合法依据、影响评估、跨境传输档案、数据保护职能 |
| 常见盲区 | 以为所有外资企业都要本地化，或以为谁都不用 | 把员工数据传给母公司却没有传输评估档案 |
风险与实务提示
第一，不要把母公司的全球合规方案原样搬到越南：许多集团用一套以欧洲框架为蓝本的全球规则运行，而越南的影响评估档案和通报有其自身的表格、受理机关和期限，见第356/2025/ND-CP号议定。第二，薪酬外包、招聘平台和云服务商等外部提供者必须受明确的数据处理条款约束；数据放在承包商系统里，并不免除企业的责任。第三，数据事件需要双轨预案：一边做技术处置，一边在法定期限内完成通报义务，因为迟报本身就是一项独立违法。第四，在项目收购中，卖方的客户和员工数据是独立的尽调事项：没有合法依据就移交数据，可能让一笔已交割的交易在第一天就构成违法。
行动清单
- 绘制数据地图：个人数据类型、目的、存储系统、境内外接收方，员工数据和客户数据都要覆盖。
- 对照第53/2022/ND-CP号议定的服务清单，判断数据在越南存储和本地设点义务是否被触发。
- 把全部政策、同意书和内部流程从第13/2023/ND-CP号议定框架迁移到《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定。
- 指定负责个人数据保护的部门和人员，并公布数据主体联系渠道。
- 为流向母公司和外国服务商的每一条数据流编制处理影响评估和跨境传输评估档案。
- 与薪酬、招聘、云计算和信息技术服务商签订或补充数据处理条款。
- 演练数据事件预案，包含在法定期限内通报专责机关和数据主体的步骤。
常见问题
外资企业要遵守哪些网络安全和个人数据规定？
是并行的两层。网络安全层依据《网络安全法》第24/2018/QH14号和第53/2022/ND-CP号议定，重心是清单内服务提供者的有条件本地化、信息系统安全和与专责机关的配合。个人数据层依据《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定，覆盖全部个人数据处理：合法依据、告知与同意、数据主体权利、数据保护职能、影响评估和跨境传输档案。企业必须按两层分别自查，二者不能互相替代。
我的数据必须存放在越南境内吗？
并非所有外资企业都必须把全部数据存放在越南。依据《网络安全法》第24/2018/QH14号和第53/2022/ND-CP号议定，存储义务挂钩于提供清单内服务、且满足越南用户数据相关条件的企业。使用内部系统的制造企业通常不在此列，但依据《个人数据保护法》第91/2025/QH15号，把个人数据传出境外时仍必须编制评估档案。对某一家企业的正确结论，只能在把其实际服务模式与第53/2022/ND-CP号议定清单逐项对照后得出。
违规会被罚多少？
处理后果取决于行为和被违反的是哪一层：包括依相关领域处罚框架以及《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定规则给予的罚款，并附带责令停止或调整数据处理、删除违法处理的数据、依民法向数据主体赔偿等补救措施；非法买卖个人数据、攻击信息系统等严重行为还可能被追究刑事责任。由于罚额与具体行为挂钩，企业应请律师把自身的实际风险行为与现行处罚框架逐项对照，而不是采用一个笼统数字。
FLAT律师事务所与投资者同行
FLAT律师事务所按两层框架为外资企业审查数据合规：依第53/2022/ND-CP号议定核查本地化义务，并依《个人数据保护法》第91/2025/QH15号和第356/2025/ND-CP号议定建立个人数据档案体系，包括影响评估和流向母公司的跨境传输档案。请把您现有的系统地图和数据流发给我们，在监管机关问起之前，先把您的确切义务确认清楚。
本文已通过 FLAW AI Legal Council 质量审核
