资讯与指南
EOR、PEO与薪资外包：越南员工数据出境规则
作者 Nguyễn Quốc Trung — 副总经理 · 更新于
越南员工的数据——工资、考勤、人事档案——一旦发送或提供给境外公司,即构成《个人数据保护法》第91/2025/QH15号第20条第1款所规定的个人数据跨境传输。传输方必须编制影响评估档案,并在首次传输之日起60日内提交公安部下属的个人数据保护专责机构,享有豁免的情形除外。在EOR、PEO和薪资外包中,关键问题是谁是传输方:服务商,还是贵公司自己。
本文面向通过服务商在越南雇用员工的外国企业,以及需要向集团总部报告人事数据的越南子公司。文中引用的每一条规定都出自2026年1月1日同时生效的第91/2025/QH15号法律和第356/2025/NĐ-CP号法令原文。
人事数据在什么情况下被视为"出境"?
第91/2025/QH15号法律将三类活动视为个人数据跨境传输,而这三类在带有涉外因素的人事管理中都很常见:
- 境外存储:把存储在越南的数据转移到位于境外的系统,例如集团统一的人事平台。
- 发送给境外组织:越南境内组织把数据交给境外的组织或个人,例如向客户或母公司发送详细的工资报告。
- 在境外平台处理:使用位于境外的平台处理在越南收集的数据,例如使用服务器在境外的薪资软件。
第356/2025/NĐ-CP号法令第17条重申了这三种情形,并明确适用于所有角色——控制者、处理者和第三方。换言之,应客户要求把数据发往境外的服务商,本身也在进行跨境传输。
境外客户只在门户网站上查看数据,也算跨境传输吗?
审慎的理解是"算"。法律没有为"仅查看"设定任何例外,而第91/2025/QH15号法律第2条第6款把"提供"数据列为一种处理活动。境外人员打开工资页面时,数据会传到其设备上,因此可以视为已经提供给了境外组织。
但这并不意味着"仅查看"的做法没有价值——恰恰相反。影响评估档案必须说明数据传输后的安全保障方案,以及接收方向第三方再转移数据的流程(第356/2025/NĐ-CP号法令第18条第3款)。如果客户只能在传输方的系统内查看,数据副本更少、泄露点更少,传输方也能证明自己始终掌控数据。"仅查看"不能免除义务,却是履行义务最有力的方式。
使用EOR、PEO或薪资外包时,由谁提交档案?
档案由实际向境外传输数据的一方提交,这取决于谁是用人单位。在EOR中,服务商是用人单位,也是向境外客户提供数据的一方,因此由服务商提交。在PEO和薪资外包中,贵公司的越南法人是用人单位;当该法人与母公司共享数据时,义务在该法人。
| 模式 | 用人单位 | 服务商的数据角色 | 谁向境外传输数据 |
|---|---|---|---|
| EOR | EOR服务商 | 控制兼处理者 | 服务商——向境外客户提供数据时 |
| PEO | 客户的越南法人 | 处理者 | 越南法人——与母公司共享时 |
| 薪资外包 | 客户企业 | 处理者 | 客户企业——与母公司共享时 |
PEO和薪资外包最清晰的分工是:服务商把报告交给贵公司的越南法人,是否再转给集团,由用人单位决定,也列入用人单位自己的档案。如果您要求服务商直接发给母公司,服务商也会成为传输方,必须在档案中列名。两种模式的完整区别见EOR与PEO的区别。
向母公司传输数据可以免于影响评估吗?
如果是为了依照劳动规则、劳动规章和集体劳动协议进行跨境人事管理,可以豁免。这是第356/2025/NĐ-CP号法令第17条第3款d项新增的豁免情形,专为在多国管理员工的集团而设。
条件就写在条文里:数据共享必须依照用人单位的劳动规则、劳动规章和集体劳动协议进行。尚未把向集团报告人事数据写入这些文件的企业,很难援引这项豁免。法律还有另一项豁免,但范围很窄:组织把本单位员工的数据存储在云计算服务上(第91/2025/QH15号法律第20条第6款b项)。这项豁免只涵盖存储;把同样的数据发送或共享给境外母公司,仍属于需要提交档案的传输。
为什么EOR难以依靠人事管理豁免?
在EOR中,境外客户不是用人单位:它不签劳动合同、不制定劳动纪律,也与服务商不属于同一集团。数据从用人单位流向境外另一家法人,正是人事管理豁免并未针对的"向境外组织传输"情形。目前尚无指引明确这一点,因此审慎做法是将其视为普通跨境传输并提交档案。
免于提交档案不等于免于守法。其他义务依然存在:合法的处理依据、安全保障、约束接收方的合同,以及在劳动合同终止时删除员工数据,除非另有约定或法律另有规定(第91/2025/QH15号法律第25条第2款)。此外,个人数据处理影响评估是另一份独立档案,控制者须在首次处理数据之日起60日内提交(第91/2025/QH15号法律第21条)——免于提交传输档案,并不等于免于提交这份档案。
与境外客户的合同必须约束哪些内容?
合同必须为境外接收方设定具体责任,因为该合同副本是影响评估档案的必备组成部分(第356/2025/NĐ-CP号法令第18条第2款b项)。应采用的原则是:客户只能为指挥工作而查看数据,其他一切处理活动均被排除:
- 仅限查看,用途明确:在分派任务和验收所需范围内查看考勤、工资和人事档案。
- 不得自行收集、存储:不把个人数据复制到客户自己的系统。
- 不得为其他目的分析、汇总:不为员工另建档案。
- 不得修改:一切更改都须经由用人单位。
- 不得提供或再转移:不交给子公司、合作伙伴或任何第三方。
- 报告事故并收回权限:查看账户泄露时立即报告;服务合同终止时关闭账户并删除所有已有副本。
这份清单逐项对应第91/2025/QH15号法律第2条第6款所定义的"个人数据处理"活动:收集、分析、汇总、修改、提供、转移。把这些活动逐一排除在客户权限之外,才能让"仅查看、不处理"条款有法律依据,而不只是一句承诺。选择服务商时,请询问对方是否已备好这一条款——完整的问题清单见如何在越南选择EOR服务商。
按照第356号法令,哪些人事数据属于"敏感数据"?
根据第356/2025/NĐ-CP号法令第4条,人事工作中最常见的敏感数据有四类:身份证图像、通过定位服务确定的位置、生物识别数据以及健康状况。相比之下,身份证号码和电话号码只属于基本数据(第3条)。
这条界线决定了哪些数据应当出境:
- 招聘档案中的身份证图像:境外客户指挥工作时并不需要。
- 考勤应用中的位置信息:上下班时间就已足够,无需坐标。
- 考勤机中的指纹和人脸数据:生物识别数据应留在原系统中。
- 体检证明、病假条:只发送工作所需的信息,例如请假天数,不发送病历。
总原则:尽可能发送汇总或去标识化的报告。去标识化数据是指无法识别、也无法帮助识别特定个人的数据(第91/2025/QH15号法律第2条第11款)。小群体要特别注意:只有一名员工的部门,其"按部门"工资汇总仍然是这个人的数据。
不合规会面临哪些风险?
组织违反跨境传输规定的罚款上限为上一年度营业收入的5%;如上一年度没有收入,或5%低于30亿越南盾,则上限为30亿越南盾(第91/2025/QH15号法律第8条第4款、第5款)。
除罚款外,还有三个程序节点需要记住:
- 60日:提交档案的期限,自首次向境外传输数据之日起计算(第91/2025/QH15号法律第20条第2款)。
- 一次编制,随时备查:档案针对整个经营期间编制一次,但必须随时可供专责机构检查。
- 6个月:出现新目的,或控制者、处理者、第三方发生变化时,定期更新(第356/2025/NĐ-CP号法令第20条)。
6个月更新对EOR尤其重要:每一个新的境外客户都是新的数据接收方。选择服务商时,您完全可以直接询问:对方的影响评估档案是否已提交,流向贵公司的数据是否已更新到档案中。
仁杰如何处理境外客户的数据?
仁杰按模式划分角色。在EOR中,仁杰是用人单位,也是传输方,因此影响评估档案的义务由仁杰承担,不转嫁给客户;境外客户按"仅查看、不处理"的原则签署接收方承诺。在PEO和薪资外包中,仁杰是依合同行事的处理者,把报告交给客户的越南法人。
这样的分工让客户清楚知道自己的职责。使用越南EOR服务时,您签署接收方承诺;使用薪资外包或PEO时,与集团的进一步共享纳入贵公司自己的劳动规章和档案。
Nhan Kiet Manpower Supply Company Limited(税号0308022768)成立于2009年4月,今年是第17年,依据第15/2019/SHCM号劳务再派遣许可证经营,持有ISO 9001:2015、ISO 45001和ISO 14001认证,在34个省市为500多家客户管理40,000多名劳动者。
参考来源
- 《个人数据保护法》第91/2025/QH15号——第2、8、20、25条;2026年1月1日生效
- 第356/2025/NĐ-CP号法令——第3、4、17、18、20条;2026年1月1日生效,取代第13/2023/NĐ-CP号法令
本文整理相关规定供企业参考方向,具体情况需要个别咨询。
联系咨询
在使用EOR、PEO或薪资外包时需要理顺人事数据出境流程的企业,可联系:
- 阮国忠 — 副总经理
- 电话:0908 636 108 — [email protected]
- 总机:028 3505 4224
- 总部:胡志明市滨城坊黎氏红锦街57号57大厦202室
Call +84 908 636 108 or see labour compliance, payroll outsourcing, EOR Vietnam.