ข่าวสารและความรู้

การโอนข้อมูลพนักงานออกนอกเวียดนาม: EOR, PEO และเงินเดือน

ผู้เขียน Nguyễn Quốc Trung — รองกรรมการผู้จัดการ · อัปเดตเมื่อ 2026-09-23

เมื่อข้อมูลของพนักงานในเวียดนาม — เงินเดือน การลงเวลา แฟ้มบุคลากร — ถูกส่งหรือเปิดให้บริษัทในต่างประเทศ นั่นคือการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามมาตรา 20 วรรค 1 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลเลขที่ 91/2025/QH15 ฝ่ายผู้โอนต้องจัดทำแฟ้มประเมินผลกระทบและยื่นต่อหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลสังกัดกระทรวงความมั่นคงสาธารณะภายใน 60 วันนับจากการโอนครั้งแรก เว้นแต่เข้าข่ายได้รับยกเว้น สำหรับ EOR, PEO และการจ้างทำเงินเดือนภายนอก คำถามชี้ขาดคือใครเป็นผู้โอน: ผู้ให้บริการ หรือบริษัทของคุณเอง

บทความนี้เขียนสำหรับบริษัทต่างชาติที่จ้างพนักงานในเวียดนามผ่านผู้ให้บริการ และสำหรับบริษัทลูกในเวียดนามที่ต้องรายงานข้อมูลบุคลากรไปยังกลุ่มบริษัท บทบัญญัติทุกข้อที่อ้างถึงมาจากตัวบทของกฎหมายเลขที่ 91/2025/QH15 และกฤษฎีกาเลขที่ 356/2025/NĐ-CP ซึ่งมีผลบังคับใช้พร้อมกันตั้งแต่ 1 มกราคม 2026

ข้อมูลบุคลากรถือว่าถูกโอนออกนอกประเทศเมื่อใด?

กฎหมายเลขที่ 91/2025/QH15 ถือว่ากิจกรรมสามประเภทเป็นการโอนข้อมูลส่วนบุคคลข้ามพรมแดน และทั้งสามประเภทพบบ่อยในงานบุคคลที่มีองค์ประกอบต่างประเทศ:

• จัดเก็บในต่างประเทศ: ย้ายข้อมูลที่เก็บในเวียดนามไปยังระบบที่ตั้งอยู่นอกประเทศ เช่น แพลตฟอร์มบุคลากรกลางของกลุ่มบริษัท
• ส่งให้องค์กรในต่างประเทศ: องค์กรในเวียดนามส่งข้อมูลให้องค์กรหรือบุคคลในต่างประเทศ เช่น ส่งรายงานเงินเดือนแบบละเอียดให้ลูกค้าหรือบริษัทแม่
• ประมวลผลบนแพลตฟอร์มในต่างประเทศ: ใช้แพลตฟอร์มที่ตั้งอยู่นอกเวียดนามประมวลผลข้อมูลที่เก็บรวบรวมในเวียดนาม เช่น ซอฟต์แวร์เงินเดือนที่มีเซิร์ฟเวอร์ในต่างประเทศ

มาตรา 17 ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP ย้ำทั้งสามกรณีนี้ และระบุชัดว่าใช้กับทุกบทบาท ทั้งผู้ควบคุมข้อมูล ผู้ประมวลผลข้อมูล และบุคคลที่สาม กล่าวคือ ผู้ให้บริการที่ส่งข้อมูลออกนอกประเทศตามคำขอของลูกค้าก็กำลังโอนข้อมูลข้ามพรมแดนด้วยตนเอง

หากลูกค้าต่างประเทศเพียงดูข้อมูลบนพอร์ทัล ยังถือเป็นการโอนข้อมูลหรือไม่?

การตีความอย่างระมัดระวังคือ "ถือเป็นการโอน" กฎหมายไม่มีข้อยกเว้นสำหรับการ "ดูอย่างเดียว" และมาตรา 2 วรรค 6 ของกฎหมายเลขที่ 91/2025/QH15 ระบุว่าการ "ให้" ข้อมูลเป็นกิจกรรมประมวลผลอย่างหนึ่ง เมื่อบุคคลในต่างประเทศเปิดหน้าจอเงินเดือน ข้อมูลจะถูกส่งไปยังอุปกรณ์ของเขา จึงอาจถือได้ว่าข้อมูลได้ถูกให้แก่องค์กรในต่างประเทศแล้ว

แต่ไม่ได้หมายความว่าแนวทาง "ดูอย่างเดียว" ไร้ค่า — ตรงกันข้าม แฟ้มประเมินผลกระทบต้องอธิบายมาตรการรักษาความปลอดภัยของข้อมูลหลังการโอน และขั้นตอนที่ผู้รับข้อมูลส่งต่อข้อมูลให้บุคคลที่สาม (มาตรา 18 วรรค 3 ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP) เมื่อลูกค้าดูได้เฉพาะภายในระบบของผู้โอน สำเนาข้อมูลจะน้อยลง จุดรั่วไหลน้อยลง และผู้โอนพิสูจน์ได้ว่ายังควบคุมข้อมูลได้ตลอดทาง "ดูอย่างเดียว" ไม่ได้ลบล้างหน้าที่ แต่เป็นวิธีที่แข็งแรงที่สุดในการปฏิบัติตามหน้าที่นั้น

ใช้ EOR, PEO หรือการจ้างทำเงินเดือน ใครเป็นผู้ยื่นแฟ้ม?

ผู้ยื่นแฟ้มคือฝ่ายที่โอนข้อมูลออกนอกประเทศ ซึ่งขึ้นอยู่กับว่าใครเป็นนายจ้าง ใน EOR ผู้ให้บริการเป็นนายจ้างและเป็นฝ่ายที่ให้ข้อมูลแก่ลูกค้าต่างประเทศ จึงเป็นผู้ยื่น ใน PEO และการจ้างทำเงินเดือน นิติบุคคลเวียดนามของคุณเป็นนายจ้าง เมื่อนิติบุคคลนั้นแบ่งปันข้อมูลกับบริษัทแม่ หน้าที่จึงอยู่ที่นิติบุคคลนั้น

การแบ่งบทบาทที่ชัดเจนที่สุดสำหรับ PEO และการจ้างทำเงินเดือนคือ ผู้ให้บริการส่งรายงานให้นิติบุคคลเวียดนามของคุณ ส่วนการส่งต่อไปยังกลุ่มบริษัทเป็นการตัดสินใจ — และแฟ้ม — ของนายจ้าง หากคุณขอให้ผู้ให้บริการส่งตรงถึงบริษัทแม่ ผู้ให้บริการก็จะกลายเป็นผู้โอนอีกรายหนึ่งและต้องมีชื่ออยู่ในแฟ้ม ความแตกต่างทั้งหมดของสองรูปแบบอยู่ในบทความ EOR กับ PEO ต่างกันอย่างไร

การโอนข้อมูลให้บริษัทแม่ได้รับยกเว้นการประเมินผลกระทบหรือไม่?

อาจได้รับยกเว้น หากการโอนมีเพื่อการบริหารบุคลากรข้ามพรมแดนตามข้อบังคับการทำงาน ระเบียบแรงงาน และข้อตกลงร่วมเจรจาแรงงาน นี่คือข้อยกเว้นใหม่ในมาตรา 17 วรรค 3 อนุ d ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP ซึ่งเขียนขึ้นสำหรับกลุ่มบริษัทที่บริหารพนักงานในหลายประเทศ

เงื่อนไขอยู่ในถ้อยคำเอง: การแบ่งปันข้อมูลต้องเป็นไปตามข้อบังคับการทำงาน ระเบียบแรงงาน และข้อตกลงร่วมเจรจาแรงงานของนายจ้าง บริษัทที่ยังไม่ได้เขียนเรื่องการรายงานข้อมูลบุคลากรไปยังกลุ่มบริษัทไว้ในเอกสารเหล่านี้จะอ้างข้อยกเว้นได้ยาก กฎหมายยังมีข้อยกเว้นอีกข้อหนึ่งแต่มีขอบเขตแคบ คือองค์กรที่จัดเก็บข้อมูลของพนักงานของตนเองบนบริการคลาวด์คอมพิวติ้ง (มาตรา 20 วรรค 6 อนุ b ของกฎหมายเลขที่ 91/2025/QH15) ข้อยกเว้นนี้ครอบคลุมเฉพาะการจัดเก็บ การส่งหรือแบ่งปันข้อมูลเดียวกันนั้นให้บริษัทแม่ในต่างประเทศยังคงเป็นการโอนที่ต้องยื่นแฟ้ม

ทำไม EOR จึงพึ่งข้อยกเว้นด้านการบริหารบุคลากรได้ยาก?

ใน EOR ลูกค้าต่างประเทศไม่ใช่นายจ้าง: ไม่ได้ลงนามสัญญาจ้างแรงงาน ไม่ได้ออกข้อบังคับการทำงาน และไม่ได้อยู่ในกลุ่มบริษัทเดียวกับผู้ให้บริการ ข้อมูลเคลื่อนจากนายจ้างไปยังนิติบุคคลอื่นในต่างประเทศ ซึ่งตรงกับกรณี "โอนให้องค์กรในต่างประเทศ" ที่ข้อยกเว้นด้านการบริหารบุคลากรไม่ได้มุ่งหมาย ยังไม่มีแนวปฏิบัติใดชี้ชัดประเด็นนี้ วิธีที่ระมัดระวังจึงเป็นการถือว่าเป็นการโอนข้ามพรมแดนตามปกติและยื่นแฟ้ม

การได้รับยกเว้นแฟ้มไม่ได้แปลว่าได้รับยกเว้นกฎหมาย หน้าที่อื่นยังคงอยู่ครบ: ฐานทางกฎหมายในการประมวลผล ความปลอดภัย สัญญาที่ผูกพันผู้รับข้อมูล และการลบข้อมูลพนักงานเมื่อสัญญาจ้างสิ้นสุด เว้นแต่มีข้อตกลงหรือกฎหมายกำหนดไว้เป็นอย่างอื่น (มาตรา 25 วรรค 2 ของกฎหมายเลขที่ 91/2025/QH15) นอกจากนี้ แฟ้มประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลเป็นแฟ้มแยกต่างหาก ซึ่งผู้ควบคุมข้อมูลต้องยื่นภายใน 60 วันนับจากวันแรกที่ประมวลผลข้อมูล (มาตรา 21 ของกฎหมายเลขที่ 91/2025/QH15) การได้รับยกเว้นแฟ้มการโอนไม่ได้แปลว่าได้รับยกเว้นแฟ้มนี้

สัญญากับลูกค้าต่างประเทศต้องผูกพันเรื่องใดบ้าง?

สัญญาต้องกำหนดความรับผิดชอบที่ชัดเจนแก่ผู้รับข้อมูลในต่างประเทศ เพราะสำเนาสัญญานี้เป็นองค์ประกอบบังคับของแฟ้มประเมินผลกระทบ (มาตรา 18 วรรค 2 อนุ b ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP) หลักที่ควรใช้คือ ลูกค้าดูข้อมูลได้เพื่อสั่งการงานเท่านั้น และกิจกรรมประมวลผลอื่นทั้งหมดถูกตัดออก:

• ดูอย่างเดียว ตามวัตถุประสงค์: ดูการลงเวลา เงินเดือน และแฟ้มบุคลากรเท่าที่จำเป็นต่อการมอบหมายและตรวจรับงาน
• ห้ามเก็บรวบรวมหรือจัดเก็บเอง: ไม่คัดลอกข้อมูลส่วนบุคคลไปไว้ในระบบของลูกค้า
• ห้ามวิเคราะห์หรือรวบรวมเพื่อวัตถุประสงค์อื่น: ไม่สร้างแฟ้มประวัติของพนักงานแยกต่างหาก
• ห้ามแก้ไข: การเปลี่ยนแปลงทุกอย่างต้องผ่านนายจ้าง
• ห้ามให้หรือส่งต่อ: ไม่ส่งให้บริษัทในเครือ คู่ค้า หรือบุคคลที่สามใด
• แจ้งเหตุและเพิกถอนสิทธิ์: แจ้งทันทีหากบัญชีที่ใช้ดูข้อมูลรั่วไหล และปิดบัญชีพร้อมลบสำเนาทั้งหมดเมื่อสัญญาบริการสิ้นสุด

รายการนี้สอดคล้องกับกิจกรรมที่มาตรา 2 วรรค 6 ของกฎหมายเลขที่ 91/2025/QH15 นิยามว่าเป็น "การประมวลผลข้อมูลส่วนบุคคล" ได้แก่ การเก็บรวบรวม วิเคราะห์ รวบรวม แก้ไข ให้ และโอน การตัดกิจกรรมแต่ละอย่างออกจากขอบเขตของลูกค้าคือวิธีทำให้ข้อสัญญา "ดูอย่างเดียว ไม่ประมวลผล" มีฐานทางกฎหมาย แทนที่จะเป็นเพียงคำสัญญา เมื่อคัดเลือกผู้ให้บริการ ให้ถามว่ามีข้อสัญญานี้พร้อมหรือไม่ — รายการคำถามทั้งหมดอยู่ในบทความ วิธีเลือก Employer of Record ในเวียดนาม

ข้อมูลบุคลากรใดเป็น "ข้อมูลอ่อนไหว" ตามกฤษฎีกา 356?

ตามมาตรา 4 ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP ข้อมูลอ่อนไหวที่พบบ่อยในงานบุคคลมีสี่ประเภท คือ ภาพบัตรประจำตัว ตำแหน่งที่ระบุผ่านบริการระบุตำแหน่ง ข้อมูลชีวมิติ และสภาวะสุขภาพ ขณะที่เลขบัตรประจำตัวและหมายเลขโทรศัพท์เป็นเพียงข้อมูลพื้นฐาน (มาตรา 3)

เส้นแบ่งนี้เป็นตัวกำหนดว่าควรส่งอะไรออกนอกประเทศ:

• ภาพบัตรประจำตัวในแฟ้มสรรหา: ลูกค้าต่างประเทศไม่จำเป็นต้องใช้ในการสั่งการงาน
• ข้อมูลตำแหน่งจากแอปลงเวลา: เวลาเข้าและออกงานก็เพียงพอ ไม่ต้องใช้พิกัด
• ลายนิ้วมือและข้อมูลใบหน้าจากเครื่องลงเวลา: ข้อมูลชีวมิติควรอยู่ในระบบต้นทาง
• ใบรับรองแพทย์และใบลาป่วย: ส่งเฉพาะข้อมูลที่งานต้องใช้ เช่น จำนวนวันลา ไม่ส่งประวัติการรักษา

หลักทั่วไป: ส่งรายงานแบบสรุปรวมหรือที่ทำให้ไม่สามารถระบุตัวตนได้ทุกครั้งที่ทำได้ ข้อมูลที่ถูกทำให้ไม่สามารถระบุตัวตนได้คือข้อมูลที่ไม่อาจระบุหรือช่วยระบุบุคคลใดบุคคลหนึ่งได้ (มาตรา 2 วรรค 11 ของกฎหมายเลขที่ 91/2025/QH15) ระวังกลุ่มขนาดเล็ก: สรุปเงินเดือน "ตามแผนก" ของแผนกที่มีพนักงานคนเดียวก็ยังเป็นข้อมูลของบุคคลนั้น

หากไม่ปฏิบัติตามจะมีความเสี่ยงอะไร?

ค่าปรับสูงสุดสำหรับองค์กรที่ฝ่าฝืนบทบัญญัติการโอนข้อมูลข้ามพรมแดนคือ 5% ของรายได้ในปีก่อนหน้า หากไม่มีรายได้ในปีก่อนหน้า หรือ 5% ต่ำกว่า 3 พันล้านดอง ค่าปรับสูงสุดคือ 3 พันล้านดอง (มาตรา 8 วรรค 4 และวรรค 5 ของกฎหมายเลขที่ 91/2025/QH15)

นอกจากค่าปรับ ยังมีกำหนดเวลาด้านขั้นตอนสามข้อที่ต้องจำ:

• 60 วัน: กำหนดยื่นแฟ้ม นับจากวันแรกที่โอนข้อมูลออกนอกประเทศ (มาตรา 20 วรรค 2 ของกฎหมายเลขที่ 91/2025/QH15)
• จัดทำครั้งเดียว พร้อมเสมอ: แฟ้มจัดทำครั้งเดียวสำหรับตลอดระยะเวลาดำเนินงาน แต่ต้องพร้อมให้หน่วยงานเฉพาะด้านตรวจสอบได้ทุกเมื่อ
• 6 เดือน: ปรับปรุงเป็นระยะเมื่อเกิดวัตถุประสงค์ใหม่ หรือเมื่อผู้ควบคุม ผู้ประมวลผล หรือบุคคลที่สามเปลี่ยนแปลง (มาตรา 20 ของกฤษฎีกาเลขที่ 356/2025/NĐ-CP)

การปรับปรุงทุก 6 เดือนสำคัญเป็นพิเศษสำหรับ EOR เพราะลูกค้าต่างประเทศรายใหม่ทุกรายคือผู้รับข้อมูลรายใหม่ เมื่อเลือกผู้ให้บริการ คุณมีสิทธิ์ถามตรง ๆ ว่าได้ยื่นแฟ้มประเมินผลกระทบแล้วหรือยัง และกระแสข้อมูลที่ส่งถึงบริษัทของคุณได้ถูกปรับปรุงเข้าไปในแฟ้มแล้วหรือไม่

เญิน เกียต จัดการข้อมูลของลูกค้าต่างประเทศอย่างไร?

เญิน เกียต แยกบทบาทตามรูปแบบบริการ ใน EOR เญิน เกียต เป็นนายจ้างและเป็นผู้โอน หน้าที่จัดทำแฟ้มประเมินผลกระทบจึงอยู่ที่เญิน เกียต ไม่ผลักไปให้ลูกค้า ส่วนลูกค้าต่างประเทศลงนามในคำมั่นของผู้รับข้อมูลตามหลัก "ดูอย่างเดียว ไม่ประมวลผล" ใน PEO และการจ้างทำเงินเดือน เญิน เกียต เป็นผู้ประมวลผลตามสัญญา และส่งรายงานให้นิติบุคคลเวียดนามของลูกค้า

การแบ่งเช่นนี้ทำให้ลูกค้ารู้ชัดว่าส่วนของตนคืออะไร สำหรับบริการ EOR ในเวียดนาม คุณลงนามคำมั่นของผู้รับข้อมูล สำหรับบริการจ้างทำเงินเดือนหรือ PEO การแบ่งปันต่อกับกลุ่มบริษัทอยู่ในระเบียบแรงงานและแฟ้มของบริษัทคุณเอง

Nhan Kiet Manpower Supply Company Limited (รหัสภาษี 0308022768) ก่อตั้งเมื่อเมษายน 2009 ปัจจุบันเป็นปีที่ 17 ดำเนินงานภายใต้ใบอนุญาตให้เช่าช่วงแรงงานเลขที่ 15/2019/SHCM ได้รับการรับรอง ISO 9001:2015, ISO 45001 และ ISO 14001 และดูแลแรงงานกว่า 40,000 คนให้ลูกค้ากว่า 500 รายใน 34 จังหวัดและเมือง

แหล่งอ้างอิง

• กฎหมายคุ้มครองข้อมูลส่วนบุคคลเลขที่ 91/2025/QH15 — มาตรา 2, 8, 20, 25 มีผล 1 มกราคม 2026
• กฤษฎีกาเลขที่ 356/2025/NĐ-CP — มาตรา 3, 4, 17, 18, 20 มีผล 1 มกราคม 2026 แทนกฤษฎีกาเลขที่ 13/2023/NĐ-CP

บทความนี้สรุปกฎระเบียบเพื่อใช้เป็นแนวทาง กรณีเฉพาะต้องขอคำปรึกษาเป็นรายกรณี

ติดต่อปรึกษา

บริษัทที่ต้องการจัดระเบียบการไหลของข้อมูลบุคลากรออกนอกประเทศเมื่อใช้ EOR, PEO หรือการจ้างทำเงินเดือน ติดต่อได้ที่:

• เหงียน ก๊วก จุง — รองกรรมการผู้จัดการใหญ่
• โทร: 0908 636 108 — [email protected]
• สายกลาง: 028 3505 4224
• สำนักงานใหญ่: ห้อง 202 อาคาร 57 เลขที่ 57 ถนน Le Thi Hong Gam แขวง Ben Thanh นครโฮจิมินห์

← บทความทั้งหมด