越南信息与通信部对某社交平台未按网络安全法要求设立越南本地数据存储处分案（2024年）

【案件背景】
越南《网络安全法》第26条和越南政府第53/2022/ND-CP号法令（《网络安全法》实施细则）进一步细化了数据本地化的具体要求：在越南提供服务的国内外企业必须将越南用户的个人数据、服务关系数据和用户生成数据存储在越南境内，本地存储期限自数据产生之日起不少于24个月。2024年初，越南信息与通信部（MIC）将社交网络、即时通讯、视频分享等高用户量境外平台列为数据本地化合规模查的重点对象，要求各平台提交本地存储合规证明。

【违法事实】
MIC检查发现某国际社交媒体平台存在以下违规：1）该平台在越南拥有超过5000万月活用户，但未在越南设立任何形式的数据存储设施，所有用户的帖子内容、私信记录、好友关系等社交数据全部存储于美国数据中心；2）该平台于2023年1月收到MIC发出的数据本地化合规自查通知后，仅回复称'正在内部评估合规方案'，但此后12个月内未提供任何实质性合规进展；3）根据第53/2022/ND-CP号法令要求，数据本地化义务的合规期限为法律生效后12个月（即2023年10月前），而截至2024年5月该平台仍未完成本地化，已逾期19个月；4）该平台在越南的法律实体仅为广告销售分公司，未配备技术人员和数据处理基础设施，无法证明其具备履行数据本地化义务的组织和技术能力。

【处罚决定】
越南信息与通信部（MIC）依据第15/2020/ND-CP号法令及第14/2022/ND-CP号法令修正案，对该社交平台越南子公司处以3.5亿越南盾（约合人民币10万元）的行政罚款。同时：1）要求平台限期6个月内在越南部署数据存储基础设施并完成用户数据迁移；2）要求平台在越南任命一名数据保护负责人，直接对越南数据安全和本地化义务的履行负责；3）若逾期未完成，除加重罚款（最高达1亿越南盾每次违规）外，将可能触发'暂停在越南提供部分或全部服务'的处罚措施；4）将本案违规情况记入该企业信用档案并通报相关执法部门。

【典型意义】
本案进一步凸显了越南数据本地化执法的深化趋势。第一，越南的数据本地化框架已从原则性立法转向可操作的执行细则，53/2022/ND-CP号法令为执法机关提供了清晰的法律依据和量化标准（如24个月的本地存储最低期限）；第二，执法协同正在加强——MIC与公安部A05根据违规性质和严重程度分工协作，形成多部门监管合力；第三，对于在越南拥有大量用户的全球社交平台，'在当地没有技术团队'不再成为拖延合规的有效理由，监管机关可直接认定企业缺乏合规能力本身即为加重处罚的情节。越南的数据本地化执法路径正在为其他东南亚国家（如印尼、马来西亚、泰国）提供参考范本。