对向海外转移客户数据的严厉制裁

在数字时代，使用基于云的服务和与外国营销合作伙伴的互动已成为不可或缺的业务运营。然而，许多企业没有意识到，发送给外国合作伙伴的每一封包含客户数据的电子邮件，或海外服务器上的每一次客户信息存储，都可能使他们面临重大的法律风险。第13/2023/ND-CP号法令正式规定了更严格的海外客户数据传输规定。以下文章是帮助企业遵守法律法规的全面法律指南。

I、客户数据海外转移现状

将客户数据转移到海外已成为许多企业业务运营中不可或缺的一个方面。从跨国公司到新兴技术初创公司，都经常参与此类活动，包括将数据存储在位于海外的服务器上的云计算平台上，利用全球数据分析工具，或与外国合作伙伴合作处理客户信息。

这种日益增长的做法既带来了机遇，也带来了挑战。一方面，它使企业能够优化运营效率，获得先进技术，并扩展到国际市场。另一方面，最大的挑战往往是不同司法管辖区的个人数据保护法规之间的差异。许多企业仍然不确定将客户数据转移到国外的适用法律要求、程序义务和潜在风险，从而使自己面临重大的行政制裁、声誉损害，甚至客户提出的法律索赔。

II、了解将客户数据转移到海外

1.什么是向海外转移客户数据？

将客户数据转移到海外是指将客户的个人数据从越南境内转移、复制、传输、存储、披露或允许访问到另一个国家或地区，或通过位于越南境外的服务器的信息系统或云服务处理此类数据的行为。

根据关于个人数据保护的第13/2023/ND-CP号法令，特别是第25条，此类活动被明确规定为向海外转移个人数据，并受到严格的法律条件的约束，以维护数据主体的权利和合法权益。

2.哪些类别的数据在对外转移时受到限制或有特殊要求？

越南法律并没有绝对禁止将客户数据转移到海外。相反，它建立了严格的法律条件，特别是在基本个人数据和敏感个人数据方面。

根据第13/2023/ND-CP号法令第2条第3款和第4款：

基本个人数据包括基本的识别信息，如个人的全名、出生日期、性别、居住地址、电话号码、公民身份证（CID）号码和类似的识别信息。
敏感个人数据是指如果被非法披露或侵犯，可能会直接影响个人合法权益的数据，包括政治观点、宗教信仰、健康信息、财务信息、地理位置数据、犯罪记录和其他敏感类别的个人数据。

将这两类个人数据转移到海外必须遵守第13/2023/ND-CP号法令第25条规定的严格要求。尽管越南法律并不完全禁止向海外转移任何特定类别的个人数据，但涉及敏感个人数据的转移必须遵守更严格的安全和保护要求。

3.将客户数据转移到海外的常见形式是什么？

在现代商业运营中，将客户数据转移到海外可能会以各种形式发生，包括：

云数据存储：企业利用亚马逊网络服务（AWS）、微软Azure或谷歌云平台等云计算服务将客户数据存储在越南境外的服务器上。
使用外国软件或应用程序：如果客户数据必须转移到海外进行处理，企业使用客户关系管理（CRM）系统、人力资源管理（HRM）软件或外国服务提供商运营的营销分析平台。
与海外合作伙伴的合作：出于合法的商业目的，客户数据与位于海外的母公司、子公司、附属公司、分支机构、服务提供商、分销商或广告合作伙伴共享。
国际客户支持：如果越南客户在海外访问公司的产品或服务，他们的个人数据可能会在国际上传输，以方便客户支持或服务交付。

如果相关企业未能遵守第13/2023/ND-CP号法令和其他适用的个人数据保护法律文书规定的要求，每种方法都可能导致法律风险。

III、管理向海外转移客户数据的法律框架

1.将客户数据转移到海外的法律条件是什么？

要合法地将客户数据转移到越南境外，企业（数据转移人）必须同时满足关于将个人数据转移到海外的第13/2023/ND-CP号法令第25条第2款规定的以下四（04）个核心条件：

准备跨境个人数据传输影响评估档案：这是一份关键的法律文件，评估与个人数据海外传输相关的潜在风险，并规定了为保护此类数据而采取的措施。
完成转移后通知程序：数据转移完成后，企业必须将转移情况通知公安部网络安全和高科技犯罪预防司（A05），并提供负责转移数据的实体的联系信息。
获得数据主体（客户）的同意：客户必须充分了解他们的个人数据将被转移到海外，并且必须明确同意此类转移。
在数据传输方和数据接收方之间执行具有法律约束力的协议：通常以合同或协议的形式，明确规定接收方在保护个人数据方面的义务和责任。

2.越南现行法律如何规范向海外转移客户数据？

越南法律，特别是第13/2023/ND-CP号法令，为向海外转移客户数据提供了全面的法律框架。主要要求包括：

跨境数据传输影响评估档案（第13/2023/ND-CP号法令第25条第2款和第3款）：数据传输方必须准备并保留此类档案，其中必须包含有关传输目的、所涉及的个人数据类别、海外接收方身份、安全措施和风险评估的信息。档案必须定期审查和更新。
通知公安部（第13/2023/ND-CP号法令第25条第4款和第5款）：在将个人数据转移到海外之前，数据转移人必须通知公安部并提交跨境数据转移影响评估档案。
确保充分的个人数据保护（第13/2023/ND-CP号法令第25条第7款）：根据具体情况，公安部可以每年对外国个人数据传输进行一次检查，除非有迹象表明违反了该法令规定的个人数据防护条例，或发生了涉及越南公民个人数据泄露或丢失的事件。

此外，2018年《网络安全法》包含了几项相关规定，对在越南提供网络空间服务并从越南用户那里收集个人数据的企业在越南存储和处理用户数据进行了管理。其中包括关于预防和应对网络攻击的第19条、关于预防和处理网络安全突发事件的第21条、关于确保网络空间信息安全的第26条以及其他相关规定。

3.企业将客户数据转移到海外是否需要政府批准？

打算将客户数据转移到海外的企业必须向国家主管部门完成强制性程序。

具体而言，根据第13/2023/ND-CP号法令第25条第1款和第2款，在将客户数据转移到越南境外之前，数据转移人必须准备一份跨境个人数据转移影响评估档案，并履行其通知公安部的义务。

虽然该法令没有明确使用“获得批准”一词，但通知要求和提交影响评估档案构成强制性法律程序，使主管当局能够监督和核实个人数据保护条例的遵守情况。

不遵守这些通知要求违反了越南的个人数据保护法，并可能导致重大的行政制裁。

4.在国际数据传输过程中发生个人数据泄露时，企业有哪些义务？

如果在向海外传输客户数据的过程中发生个人数据泄露，数据传输人必须履行第13/2023/ND-CP号法令第23条规定的义务，包括：

通知公安部A05部门：企业必须及时通知公安部数据泄露事件，提供有关泄露数据类别、事件原因、发生时间、受影响数据主体以及已实施或拟议补救措施的详细信息。此类通知必须在违约发生后七十二（72）小时内发出。
通知受影响的数据主体：如果违规行为可能对客户的合法权益产生不利影响，必须尽快通知客户。
与主管部门合作：企业在调查、处理事件以及实施预防和补救措施时，必须与公安部和其他有关部门协调。
赔偿损失（如适用）：如果数据泄露对数据主体造成损害，企业可能需要根据适用法律对受影响的个人进行赔偿。