Новости и советы

Трансграничная передача кадровых данных: EOR, PEO, зарплата

Автор Nguyễn Quốc Trung — заместитель генерального директора · Обновлено 2026-09-23

Когда данные работников во Вьетнаме — зарплата, табель, кадровые досье — отправляются или предоставляются компании за рубежом, это трансграничная передача персональных данных по части 1 статьи 20 Закона о защите персональных данных № 91/2025/QH15. Передающая сторона обязана подготовить досье оценки воздействия и подать его в специализированный орган по защите персональных данных при Министерстве общественной безопасности в течение 60 дней с первой передачи, если не действует исключение. В EOR, PEO и аутсорсинге расчёта зарплаты решающий вопрос — кто является передающей стороной: поставщик услуг или ваша собственная компания.

Статья адресована иностранным компаниям, которые нанимают сотрудников во Вьетнаме через поставщика, и вьетнамским дочерним компаниям, передающим кадровые данные в группу. Каждое цитируемое положение взято из оригинального текста Закона 91/2025/QH15 и Постановления 356/2025/NĐ-CP, которые одновременно вступили в силу 1 января 2026 года.

Когда кадровые данные считаются переданными за рубеж?

Закон 91/2025/QH15 относит к трансграничной передаче персональных данных три вида действий, и все три типичны для кадровой работы с иностранным участием:

• Хранение за рубежом: данные, хранящиеся во Вьетнаме, переносятся в систему за пределами страны, например в общую кадровую платформу группы.
• Передача иностранной организации: организация во Вьетнаме передаёт данные организации или физическому лицу за рубежом, например подробную ведомость зарплаты клиенту или материнской компании.
• Обработка на зарубежной платформе: данные, собранные во Вьетнаме, обрабатываются на платформе за пределами страны, например в программе расчёта зарплаты с зарубежными серверами.

Статья 17 Постановления 356/2025/NĐ-CP повторяет эти три случая и прямо указывает, что они распространяются на все роли — контролёра, обработчика и третью сторону. Иначе говоря, поставщик услуг, отправляющий данные за рубеж по просьбе клиента, сам осуществляет трансграничную передачу.

Если иностранный клиент только просматривает данные на портале, это всё равно передача?

Осторожное толкование — да. Закон не содержит исключения для «только просмотра», а часть 6 статьи 2 Закона 91/2025/QH15 относит «предоставление» данных к видам обработки. Когда человек за рубежом открывает экран с зарплатой, данные поступают на его устройство, поэтому их можно считать предоставленными иностранной организации.

Это не обесценивает подход «только просмотр» — скорее наоборот. Досье оценки воздействия должно описывать меры защиты данных после передачи и порядок, в котором получатель передаёт данные третьим лицам (часть 3 статьи 18 Постановления 356/2025/NĐ-CP). Если клиент может лишь просматривать данные внутри системы передающей стороны, копий меньше, точек утечки меньше, а передающая сторона может доказать, что контролирует данные до конца. «Только просмотр» не отменяет обязанность, но это самый надёжный способ её исполнить.

Кто подаёт досье при EOR, PEO или аутсорсинге расчёта зарплаты?

Досье подаёт сторона, которая фактически передаёт данные за рубеж, и это зависит от того, кто является работодателем. При EOR работодатель — поставщик, и именно он предоставляет данные иностранному клиенту, поэтому досье подаёт поставщик. При PEO и аутсорсинге расчёта зарплаты работодатель — ваше вьетнамское юрлицо; когда оно делится данными с материнской компанией, обязанность лежит на нём.

Самое чёткое распределение ролей для PEO и расчёта зарплаты: поставщик передаёт отчёты вашему вьетнамскому юрлицу, а пересылка в группу — решение работодателя и часть его досье. Если вы попросите поставщика отправлять отчёты напрямую материнской компании, поставщик тоже станет передающей стороной и должен быть указан в досье. Полное сравнение двух моделей — в статье EOR или PEO во Вьетнаме.

Освобождается ли передача данных материнской компании от оценки воздействия?

Может освобождаться, если передача служит трансграничному управлению персоналом в соответствии с правилами трудового распорядка, трудовыми положениями и коллективным договором. Это новое исключение, введённое пунктом d части 3 статьи 17 Постановления 356/2025/NĐ-CP для групп, управляющих персоналом в нескольких странах.

Условие заложено в самой формулировке: обмен данными должен осуществляться в соответствии с правилами трудового распорядка, трудовыми положениями и коллективным договором работодателя. Компании, не закрепившей в этих документах отчётность по персоналу перед группой, будет трудно сослаться на исключение. В законе есть ещё одно исключение, но узкое: организация хранит данные своих работников в облачном сервисе (пункт b части 6 статьи 20 Закона 91/2025/QH15). Оно распространяется только на хранение; отправка или предоставление тех же данных материнской компании за рубежом остаётся передачей, для которой нужно досье.

Почему EOR трудно опереться на исключение для управления персоналом?

При EOR иностранный клиент не является работодателем: он не подписывает трудовых договоров, не утверждает правил внутреннего распорядка и не входит в одну группу с поставщиком. Данные переходят от работодателя к другому юрлицу за рубежом — это именно случай «передачи иностранной организации», на который исключение для управления персоналом не рассчитано. Разъяснений по этому вопросу пока нет, поэтому осторожный путь — считать это обычной трансграничной передачей и подать досье.

Освобождение от досье — не освобождение от закона. Все прочие обязанности сохраняются: законное основание обработки, безопасность, договор, обязывающий получателя, и удаление данных работника при прекращении трудового договора, если иное не предусмотрено соглашением или законом (часть 2 статьи 25 Закона 91/2025/QH15). Кроме того, оценка воздействия обработки персональных данных — отдельное досье, которое контролёр обязан подать в течение 60 дней с первого дня обработки (статья 21 Закона 91/2025/QH15): освобождение от досье о передаче не освобождает от этого досье.

Какие обязательства должен закреплять договор с иностранным клиентом?

Договор должен возлагать на зарубежного получателя конкретную ответственность, поскольку копия этого договора — обязательная часть досье оценки воздействия (пункт b части 2 статьи 18 Постановления 356/2025/NĐ-CP). Принцип такой: клиент может только просматривать данные, чтобы руководить работой, а все остальные виды обработки исключены:

• Только просмотр, строго по цели: табель, зарплата и досье — в объёме, нужном для постановки задач и приёмки работ.
• Никакого собственного сбора и хранения: персональные данные не копируются в системы клиента.
• Никакого анализа и агрегирования для иных целей: отдельные профили работников не создаются.
• Никаких изменений: любые правки проходят через работодателя.
• Никакого предоставления и дальнейшей передачи: данные не передаются дочерним компаниям, партнёрам или иным третьим лицам.
• Уведомление об инцидентах и отзыв доступа: немедленно сообщать о компрометации учётной записи; по окончании договора об оказании услуг закрывать учётные записи и удалять все имеющиеся копии.

Этот перечень повторяет действия, которые часть 6 статьи 2 Закона 91/2025/QH15 определяет как «обработку персональных данных»: сбор, анализ, агрегирование, изменение, предоставление, передача. Исключение каждого из них из полномочий клиента и даёт условию «только просмотр, без обработки» правовую опору, а не делает его просто обещанием. Выбирая поставщика, спросите, готово ли у него такое условие — полный перечень вопросов в статье как выбрать Employer of Record во Вьетнаме.

Какие кадровые данные относятся к «чувствительным» по Постановлению 356?

Согласно статье 4 Постановления 356/2025/NĐ-CP, в кадровой работе чаще всего встречаются четыре вида чувствительных данных: изображения удостоверения личности, местоположение, определённое через службы геолокации, биометрические данные и состояние здоровья. При этом номер удостоверения и номер телефона относятся лишь к базовым данным (статья 3).

Эта граница определяет, что отправлять за рубеж:

• Изображения удостоверения личности в документах найма: иностранному клиенту они не нужны, чтобы руководить работой.
• Геолокация из приложений учёта времени: достаточно времени прихода и ухода, координаты не нужны.
• Отпечатки пальцев и данные лица с терминалов учёта: биометрические данные должны оставаться в исходной системе.
• Медицинские справки и больничные: отправлять только то, что нужно для работы, например число дней отсутствия, но не медицинскую документацию.

Общее правило: по возможности отправлять сводные или обезличенные отчёты. Обезличенные данные — это данные, которые не позволяют определить конкретного человека и не помогают его определить (часть 11 статьи 2 Закона 91/2025/QH15). Осторожно с малыми группами: сводка зарплаты «по отделам» для отдела из одного человека остаётся данными этого человека.

Чем грозит несоблюдение требований?

Максимальный штраф для организации за нарушение правил трансграничной передачи — 5% выручки за предыдущий год; если выручки за предыдущий год нет или 5% составляют меньше 3 млрд донгов, максимум равен 3 млрд донгов (части 4 и 5 статьи 8 Закона 91/2025/QH15).

Помимо штрафа, важны три процедурных срока:

• 60 дней: срок подачи досье, считая с первого дня передачи данных за рубеж (часть 2 статьи 20 Закона 91/2025/QH15).
• Составляется один раз, всегда под рукой: досье составляется один раз на весь период деятельности, но должно быть готово к проверке уполномоченным органом в любой момент.
• 6 месяцев: периодическое обновление при появлении новой цели или смене контролёра, обработчика, третьей стороны (статья 20 Постановления 356/2025/NĐ-CP).

Обновление раз в полгода особенно важно для EOR: каждый новый иностранный клиент — это новый получатель данных. Выбирая поставщика, вы вправе прямо спросить, подано ли его досье оценки воздействия и внесён ли в него поток данных к вашей компании.

Как Nhan Kiet работает с данными иностранных клиентов?

Nhan Kiet разделяет роли по моделям. При EOR Nhan Kiet — работодатель и передающая сторона, поэтому обязанность по досье оценки воздействия лежит на Nhan Kiet и не перекладывается на клиента; иностранный клиент подписывает обязательства получателя по принципу «только просмотр, без обработки». При PEO и расчёте зарплаты Nhan Kiet выступает обработчиком по договору и передаёт отчёты вьетнамскому юрлицу клиента.

Такое разделение позволяет клиенту точно понимать свою часть работы. С услугами EOR во Вьетнаме вы подписываете обязательства получателя. С аутсорсингом расчёта зарплаты или PEO дальнейший обмен данными с группой регулируется трудовыми положениями и досье вашей собственной компании.

Nhan Kiet Manpower Supply Company Limited (налоговый код 0308022768) основана в апреле 2009 года и работает 17-й год. Компания действует по лицензии на предоставление персонала № 15/2019/SHCM, сертифицирована по ISO 9001:2015, ISO 45001 и ISO 14001 и обслуживает более 500 клиентов и более 40 000 работников в 34 провинциях и городах.

Источники

• Закон о защите персональных данных № 91/2025/QH15 — статьи 2, 8, 20, 25; вступил в силу 1 января 2026 года
• Постановление 356/2025/NĐ-CP — статьи 3, 4, 17, 18, 20; вступило в силу 1 января 2026 года, заменило Постановление 13/2023/NĐ-CP

Статья обобщает нормы для общей ориентации; конкретные ситуации требуют индивидуальной консультации.

Связаться с нами

Компании, которым нужно выстроить передачу кадровых данных за рубеж при EOR, PEO или аутсорсинге расчёта зарплаты, могут обратиться:

• Нгуен Куок Чунг — заместитель генерального директора
• Телефон: 0908 636 108 — [email protected]
• Коммутатор: 028 3505 4224
• Головной офис: офис 202, здание 57, 57 Le Thi Hong Gam, район Бен Тхань, Хошимин

← Все статьи