越南公安部对某外资电商平台未将越南用户数据本地化存储处以行政处罚案（2023年）

【案件背景】
越南《网络安全法》（Law on Cybersecurity, Law No. 24/2018/QH14）于2019年1月1日正式生效，其中第26条第3款明确规定：'在越南提供电信网络服务、互联网服务和网络增值服务的国内外企业，在收集、利用、分析和处理越南用户的个人数据、服务用户关系数据和由服务用户产生的数据时，必须在政府规定的期限内将这些数据存储在越南境内。'该条款于2022年10月1日起正式进入强制执行阶段。2023年，越南公安部网络安全局（A05）开始对在越运营的大型外国数字平台展开数据本地化合规检查。

【违法事实】
越南公安部A05对某外资跨境电商平台（在越南拥有超过2000万注册用户）的调查发现：1）该平台越南用户的个人注册信息、交易记录、收货地址、支付数据等，全部存储于该企业在新加坡和美国的全球数据中心，在越南境内未设置任何本地存储节点；2）该平台在《网络安全法》数据本地化条款生效后超过14个月仍未启动本地数据中心建设或数据迁移，无视越南法律规定的过渡期要求；3）该平台在越南运营实体仅设有少量客服人员，核心数据管理和处理均在境外完成，越南数据保护执法机关无法实际触达和控制相关数据；4）平台在用户注册协议中未以越南语充分告知数据存储在境外的事实，越南用户普遍不知道其个人数据（含家庭地址、联系方式等核心信息）存放于境外服务器。

【处罚决定】
越南公安部A05依据《网络安全法》第26条及政府第15/2020/ND-CP号法令（关于邮政、电信、信息技术领域的行政处罚），对该外资电商平台的越南运营实体处以2.5亿越南盾（约合人民币7.5万元）的行政罚款。同时发出整改令，要求该企业在12个月内：1）在越南境内建立数据存储基础设施；2）将越南用户数据的首次记录和主要存储迁移至越南境内；3）每季度向A05提交数据本地化整改进度报告；4）在用户注册和隐私政策中以越南语明确告知数据存储地点。若逾期未完成整改，将面临最高可达10亿越南盾的加重处罚及暂停在越南的运营许可。

【典型意义】
本案是越南《网络安全法》数据本地化条款进入强制执法阶段后的标志性案例。越南作为东南亚数字经济增长最快的市场之一，其数据本地化要求对跨境电商、社交平台、云服务等行业产生深远影响。本案揭示的核心合规要点包括：第一，数据本地化义务不以数据是否'敏感'为区分——所有在越南服务中收集的用户个人数据、服务关系数据及用户生成数据均须本地存储；第二，'本地化'要求的是在越南物理领土内建立可用的数据存储设施，而非简单的法律或合同承诺；第三，越南的数据本地化执法以公安部（而非通信部或工信部）为主导，体现了数据本地化在越南不仅是合规议题，更被纳入国家安全范畴，这意味着违规不仅面临行政罚款，还可能触发刑事调查（尤其在涉及国家安全或重大公共利益时）。