作者：张斌
研究核验基准日：2026年10月12日
内容更新：2026年10月12日
越南子公司把工资、考勤和员工档案放到集团人事系统，可能同时涉及个人数据处理、跨境传输和网络安全。项目最初应形成一张真实数据地图：谁决定处理目的，谁托管系统，谁能从境外访问，哪些资料属于员工、应聘者或客户，以及资料保留多久。只有这些事实明确，豁免和申报判断才有基础。
本篇以2026年10月12日的研究文本为界。越南《个人数据保护法》已于2026年1月1日施行，356/2025实施法令明确使13/2023整体停止效力；同年7月1日施行的新《网络安全法》，以及8月19日起施行的相关法令，也已改变沿用旧合规清单的前提。〔法源1〕〔法源2〕〔法源4〕
两类影响评估应分别判断
《个人数据保护法》第20条将使用境外服务器、向境外主体转移数据，以及利用境外平台处理在越南收集的数据等纳入跨境活动。原则上应建立跨境影响评估档案，并在首次传输后六十日内提交。总部只是远程查看，未让员工主动上传，也不能因此直接排除跨境问题。〔法源1〕
第21条另设一般处理影响评估。控制者及兼有控制与处理角色的主体应按法定要求建立并提交；纯受托处理者按其与控制方的协议承担建立保存等义务，不能把所有角色写成完全相同。第22条又区分六个月更新与须立即更新的事项。集团应根据实际决策和服务分工确定角色，合同上的称呼不足以替代事实。〔法源1〕
这两类评估应在合规清单中分列。某条数据流免于跨境档案要求，并不当然免除境内一般处理评估、合法处理依据、权限限制或个人权利保障。外包给服务商，也应明确资料提供、评估协作、事件通知与删除返还责任。
人事管理豁免不能包住所有人员资料
第20条第6款及356/2025第17条规定特定豁免，其中涉及仅用于雇员数据的境外云存储，以及按合法劳动规则、集体协议等进行相应跨境人事管理的情形。企业需要证明资料用途和必要性，不能只把系统名称改为“HR”就完成适用判断。〔法源1〕〔法源2〕
工资计算、健康体检、生物识别考勤、招聘简历和客户营销的数据范围、目的及风险并不相同。应聘者筛选与在职人员必要管理也应分开。项目应先明确每个模块的具体用途，再判断哪一种豁免确实覆盖，不能从合法工资管理外推招聘分析、广告投放或其他用途全部免评估。
中国也有必要跨境人事管理免于特定出境机制的规定，但仍须符合合法劳动规则、集体合同等条件，并履行其他个人信息保护义务。中国安全评估、标准合同、认证与豁免的制度结构，不等于越南六十日档案提交机制。数据双向流动时，两端须各自作判断。〔法源6〕
七十二小时报告有主体和事件条件
越南法第23条第1款针对控制者、兼控制与处理者及第三方规定特定违规事件报告：当事件可能损害国防、国家安全、社会秩序与安全，或个人生命、健康、名誉、人格、财产等权益时，应在发现后最迟七十二小时通知专责机关。受托处理者发现事件时，应及时通知控制方。〔法源1〕
因此，事件响应方案应列明发现时间、初步危害判断、负责通知的主体和内部升级路径。不能把所有轻微技术异常都机械套成每一参与方直接向机关报告，也不能等到完全查清事故才开始判断期限。第33条有关保护部门、人员或专业服务的安排，也应落实到具体职责。
小微、初创主体的缓冲同样有经营类型、敏感数据、累计人数等排除条件。营业额较小或人员较少本身，不能支持“全面不用做数据合规”的结论；应按第38条和356号第41条逐项检查。〔法源1〕〔法源2〕
百分之五和三十亿越南盾怎样理解
《个人数据保护法》第8条是罚款最高限度框架。违法买卖、违规跨境和其他行为分别适用不同规则；三十亿越南盾涉及特定情形的上限回退机制，绝非所有违法的最低罚款。〔法源1〕
330/2026法令第56条进一步规定具体档次。其中第3款对特定重大跨境泄露等行为，将比例计算基数明确为上一财年越南市场总收入，并结合受影响人数等节点分档；第4款处理无相关收入或计算数额符合特定条件的定额情形。未及时建立或提交档案，与造成大规模泄露，不能一概按照百分之五估罚。〔法源3〕
中国《个人信息保护法》第66条严重违法的罚款规则，与越南上述收入范围、触发条件和具体档次不同。风险测算应先写清行为、责任主体和适用条款，再计算金额，避免用最醒目的数字替代法律分析。〔法源6〕
外国服务商在地化有专门触发条件
越南新《网络安全法》第25条及333/2026第19条，应结合服务范围和具体事实读取。特定领域外国服务商在服务被用于违法活动、公安专责力量已有三次书面协作要求，且在最长六个月内未采取相应纠正等法定条件下，可被要求在越南存储特定数据并设分支或代表处；公安部长决定后，原则上十二个月完成。〔法源4〕
新网络安全法第45条为旧系统等级、许可证和产品等设置过渡，不能视为旧许可在新法生效时一律失效。333号第31条对已依53/2022受理的特定审查、评估档案保留旧规则；这也不等于全部新申请继续只按53号处理。〔法源4〕
相应数据最少存储二十四个月、特定日志十二个月的要求，也须结合第19—20条的对象适用。这不是所有外国企业、全部数据一律本地化的规则；境内企业的义务同样要对应服务和数据活动，不能笼统套给每家制造企业的所有生产数据。〔法源4〕
为越南客户提供SaaS、电商或在线应用，应另审服务提供者身份、法定机关请求及响应安排。中国对关键信息基础设施运营者的数据存储要求采用不同结构，中国等级保护测评报告也不当然替代越南审查。人事系统上线前，业务、法务与技术人员应共同确认数据流、角色、评估结论、访问权限和事故响应；新功能改变处理目的时，再触发复核。〔法源5〕
主要法源与延伸阅读
法源1 越南91/2025/QH15《个人数据保护法》，第8、20—23、33、38—39条：官方公报全文。
https://congbao.cdnchinhphu.vn/CongBaoCP/VanBan/2025/6/45578/57730-1-2025971-97291-2025-qh15.pdf
法源2 越南356/2025/NĐ-CP，第17—18、41—42条：官方公报全文。
https://congbaocdn.chinhphu.vn/180507251028987904/2026/1/17/356signed-1768638052103952849513.pdf
法源3 越南330/2026/NĐ-CP，重点第56条：官方公报第498号入口。
https://congbao.chinhphu.vn/cong-bao/cong-bao-so-498-ngay-04-09-2026-47437.htm
法源4 越南116/2025/QH15《网络安全法》，第25、44—45条：官方全文；333/2026/NĐ-CP，第19—20、30—31条：官方实施法令。
https://congbaocdn.chinhphu.vn/180507251028987904/2026/1/23/116signed-1769163678477753319408.pdf
https://congbaocdn.chinhphu.vn/180507251028987904/2026/9/4/470335-1787890927_v1_1788486330_signed.pdf
法源5 中国《网络安全法》2025修正版，第23、33—40条等：国家网信办全文。
https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm
法源6 中国《个人信息保护法》，第21、38—40、55—56、59、66条：工信部全文；2024年《促进和规范数据跨境流动规定》：国家网信办正文。
https://www.miit.gov.cn/jgsj/zfs/fl/art/2022/art_515a4b20c12f430eab54bb4f56d89f56.html
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
本文为比较法研究与一般实务讨论，不构成针对具体项目的法律意见。研究核验基准日为2026年10月12日；交易实施时应核对适用版本、过渡规定和地方要求。
原创声明与版权保护
本文原创论述与编排版权归张斌所有。未经授权，不得全文转载、改编或用于商业传播；合理引用请注明作者和原文链接。所引法律文本及第三方资料的权利归属不变。
© 2026 张斌｜张斌律师 · joint-win.org