许多越南企业将客户数据存储在境外云平台（AWS、Google Cloud、Azure等）。自2026年1月1日起，这不再是纯技术问题：根据91/2025/QH15号《个人信息保护法》，使用境外云被视为个人信息跨境传输，并引发一系列法律义务。以下是与境外云服务商签订协议时的5个注意事项。
1. 使用境外云＝个人信息跨境传输
根据91/2025/QH15号《个人信息保护法》第20条第1款c项，在越南境外的云基础设施上存储、处理个人信息，被认定为个人信息跨境传输。其后果是：企业必须编制个人信息跨境传输影响评估档案，并在开始处理之日起60日内报送个人信息保护专门机关（第20条第2款）。
注意：不得引用第13/2023号法令第34条作为该义务的依据——自2026年1月1日起适用91/2025号法律。
2. 例外：本单位员工数据免于影响评估
第20条第6款b项规定了一项重要例外：组织在云端存储本单位员工的个人信息的，免于编制跨境传输影响评估档案。
但该例外范围很窄：如果同一云基础设施还存储客户、合作伙伴数据，企业仍须就该部分数据完整履行影响评估义务。
3. 数据处理协议是强制性的——且必须在移交数据之前签订
根据91/2025号法律第37条第2款a项，数据处理者只有在与数据控制者签订个人信息处理协议或合同之后，才能接收个人信息。换言之：协议必须在任何数据迁移至服务商云端之前签订。
术语提示：在正式的越南语法律文本中，应使用规范的越南语名称“关于个人信息处理的协议、合同”——正文法律内容中不使用”DPA”缩写。
4. 云安全条款：目的正当、范围限定、身份验证与授权
91/2025号法律第30条（云计算）要求云端数据处理须符合约定的目的、限定在必要范围内，同时采取身份验证、访问授权等技术措施。谈判合同时，企业应将这些要求转化为对服务商的具体约束条款：谁可以访问、访问目的是什么、访问日志保存多久、合同终止时数据如何处理。
5. 2025年《网络安全法》下的数据境内存储义务
除《个人信息保护法》外，116/2025/QH15号《网络安全法》第25条第2款（2026年7月1日生效）规定了适用范围内情形的数据境内存储义务。使用境外云的企业须核对自身是否属于境内存储范围，并据此设计存储架构。
效力提示：不得引用2018年《网络安全法》第26条——该法已失效，现行依据为116/2025号法律。
常见问题
仅在境外云存储内部人事数据，需要编制影响评估档案吗？
不需要——仅存储本单位员工数据的，依据第20条第6款b项予以免除。但若还有客户数据，则须完整履行义务。
可以先签云合同，之后再补数据保护条款吗？
不建议。第37条第2款a项要求处理者只有在个人信息处理协议或合同成立后才能接收数据。
越南语合同中可以用”DPA”吗？
在正式法律内容中应使用越南语规范名称”关于个人信息处理的协议、合同”（91/2025号法律第37条）。
引用来源
- 《个人信息保护法》91/2025/QH15——2026年1月1日生效：第20条（跨境传输）、第21—22条（影响评估）、第30条（云计算）、第37条（数据处理协议）；
- 《网络安全法》116/2025/QH15——2026年7月1日生效：第25条第2款（数据境内存储）；
- 第333/2026号法令（333/2026/ND-CP）：第19条、第20条。
结论
自2026年1月1日起使用境外云即意味着个人信息跨境传输：须编制影响评估档案并在60日内报送（内部员工数据例外除外），在移交数据前签订数据处理协议，收紧安全—验证—授权条款，并核对116/2025号《网络安全法》下的境内存储义务。签约前落实以上5点，有助于企业从一开始就合规。
贵公司正在使用境外云，需要审查数据处理协议吗？联系FLAT律师事务所获取咨询。
仅供参考，不构成法律意见。本内容由AI起草，已经FLAT律师事务所FLAW AI Legal Council质检后送审发布；并非执业律师出具的法律意见。法规可能调整，适用前请核对现行法律文本。