越南第333号法令明确网络安全法数据本地化与本地存在要求：11类境外企业被触发时须在越存储数据并设立分支机构

在数据本地化方面，须在越南境内存储的数据包括两类：一是越南境内服务用户的个人信息；二是用户在越南境内产生的数据，涵盖账户名、服务使用时间、信用卡信息、邮箱地址、最近登录与登出IP地址、账户或数据对应的注册电话号码等。从事2025年《网络安全法》第25.3条所列业务的本地企业，须将上述数据存储于越南境内。

对境外企业，适用范围明确列举11类业务：电信服务；网络空间数据存储与共享；为越南境内用户注册与维护域名；电子商务；在线支付；中介支付；通过网络空间的运输连接；社交网络与社交媒体；在线游戏；在线应用；以及以消息、语音通话、视频通话、电子邮件或在线聊天形式提供、管理或运营其他网络空间信息服务的业务。

触发条件为两项同时满足：其提供的服务已被用于实施违反网络安全法的行为；且公安部网络安全保护专业力量在最长六个月内三次书面通知要求配合，企业仍未采取必要措施整改、未遵守要求，或阻碍、使相关安全措施失效。满足后由公安部部长作出决定，要求境外企业存储数据并在越南设立分支机构或代表处。数据存储期限不少于24个月，境外企业须在越南持续维持分支机构或代表处，直至其终止在越经营或不再提供相关服务。

该法令还涉及网络安全经营许可：主管机关为公安部，许可有效期为十年，可续期一次且续期期不超过三年，申请主体须具备与拟提供的网络安全产品服务相适应的法律合规、技术能力与基础设施条件。对中国出海企业而言，越南当前的制度组合——第330号法令的跨境违规处罚、《数据安全法》草案的四级风险分级与2035年抗量子密码要求，以及本法令的本地化与本地存在——意味着面向越南市场的互联网、电商、支付与游戏类业务，需在业务设计阶段即完成数据落地方案与本地实体安排的可行性评估。