（一）外资准入条件

根据第61/2020/QH14号《投资法》，越南采取负面清单的形式对外国投资者进行限制，除负面清单上的行业外，外国投资者享有与国内投资者相同的待遇。

越南通过第31/2021/ND-CP号《投资法指引和实施细则》附件1颁布了具体的外商投资负面清单，其中包括25个禁止外商投资的行业和59个允许外商附条件投资的行业。越南计划经济部将会同各个部门收集和审查附件1中所列行业的外资准入条件，并在国家投资门户网站上进行公告，具体公告内容包括：附录1规定的限制外国投资者准入的行业目录、外国投资者准入条件的依据、外国投资者的在各行业的具体投资准入条件。例如“邮政与电信服务”中的增值电信服务，会根据投资主体是否属于CPTPP、AFAS、WTO成员而有不同的外资比例限制。而有些行业虽然不存在外资比例限制，但需要事先取得投资政策性批准（IPA）。

（二）外资投资方式

根据《投资法》，外国投资者在越南进行投资的形式包括直接投资和间接投资两种，其中直接投资包括新设法律实体、收购当地企业股权以及依BCC合约形式投资。间接投资的形式主要是通过证券交易所购买有价证券、通过证券投资基金或其他金融机构进行投资。

1.新设法律实体

就新设法律实体而言，常见形式主要为代表处、分公司、有限责任公司、股份公司。根据越南法律，代表处属于外国企业实体的附属单位，在越南从事市场调查和商业推广活动，不得参与任何具有直接营利性质的活动。另外，只有在涉及特定领域时，外国投资者才可以采取分公司的形式设立实体，比如银行金融业、建筑服务业。企业可根据自身情况选择合适的商业实体形式。

2.依BCC合约形式投资

BCC合约，又称合作经营合约，是指各投资者之间按照法律规定为了合作经营、分配利润、分配产品却不成立法律实体所签订的合约（可发生于国内投资者之间、国内和外国投资者之间、外国投资者之间）。

（三）公司设立方式

首先，新设公司的外国投资者必须向各省、直辖市的计划投资厅或园区的管理委员会（投资项目位于工业区、出口加工区、高新区和经济区内）申请获得《投资登记证》（Investment Registration Certificate, IRC）。一般法定审查时间是收到完整材料之日起15个工作日。

其次，在获得IRC后，外国投资者登记成立企业，并领取《企业登记证》（Enterprise Registration Certificate, ERC)。一般法定审查时间是收到完整材料之日起3个工作日。

（四）本地员工要求

一般而言，越南对外商直接投资的员工本地化（例如当地雇员的最低比例）没有统一的限制，仅在部分法律中，对部分行业（例如社交平台）有特殊要求。

越南《投资法》分别规定了禁止和限制投资经营的项目清单（不区分内外资）。其中“禁止投资经营”的项目共包含8项，“限制投资经营”的具体项目清单规定在《投资法》附录4中，共包含227项。这里所谓的市场准入条件，一般规定于国会的法律、决议，国会常委会的法令、决议，政府的议定书及越南加入的国际条约中。

因此，想要在越南投资的企业需要根据自己行业属性，辨别涉及的业务是否属于附录4中的限制行业。如果属于，则需进一步检索适用的行业法律规范，确定经营此类业务是否需要满足特定的条件，是否需要特定的运营牌照等。需要注意的是，有些企业的业务可能综合了两个以上的行业属性，此时企业需要分别满足不同行业的准入门槛，不能单独以主营业务进行判断。

2021年2月，越南发布了《个人数据保护法》草案（Personal Data Protection Decree，下称“PDPD草案”）并公开征求意见。2022年3月，越南政府通过了关于该草案的第27/NQCP号决议，虽然该草案距离通过又推进了一步，但在正式法令出台前，企业需要对草案的变化予以时刻关注。

根据PDPD草案，数据处理者不得将个人数据传输到越南以外的国家或地区，除非同时满足下列条件：（1）当数据主体同意传输时；（2）原始数据存储在越南；（3）有文件证明其所传输的国家、地区已颁布个人数据保护条例并达到或高于PDPD草案规定的水平；（4）获得个人数据保护委员会的书面同意。同时，PDPD草案又规定，在下列情况下，不符合本条第1款规定条件的个人数据也可以转移出越南领土：（1）获得数据主体的同意；（2）获得个人数据保护委员会的书面同意；（3）数据处理者承诺保护个人数据；（4）数据处理者承诺采取个人数据保护措施。

（二）数据出境的程序

PDPD草案规定了个人数据跨境传输注册的文件及程序，要求数据处理者向监管部门提交“个人数据跨境传输申请”以及“个人数据跨境传输影响评估报告”。如果涉及处理敏感个人数据的，还需要提供与“处理敏感个人数据申请”与“处理敏感个人数据影响评估报告”中提及内容相关的文件。另外，个人数据保护委员会每年会定期评估个人数据处理者在越南境外的个人数据传输情况。

（三）数据本地化及存储要求

为了加强数据管理，越南第24/2018/QH14号《网络安全法》中纳入了数据本地化储存条款，规定“在越南提供电信网络、互联网和网络增值服务的国内外企业，其收集、挖掘、分析和处理有关个人信息的数据、服务用户关系数据、服务用户生成的数据必须在政府规定的时间内储存在越南。本款规定的外国企业必须在越南设有分支机构或代表处。”第53/2022/ND-CP号法令《网络安全法若干条款的详细规定》又对此规定进行了细化，特别强调了对于在越南开展特定行业的外国企业，必须将上述类型数据储存在本地，并在企业提供的服务被使用的情况下在越南设置分支机构或代表处。另外，本法令规定的数据储存期限最低为24个月，用于调查和处理违反网络安全法的系统日志至少保存12个月。

PDPD草案规定，个人数据处理者向境外传输数据，需建立系统存储3年的数据传输历史，具体包括：a) 向外界提供个人数据的时间；b) 接收方的身份，包括姓名、地址、联系方式；c) 传输到境外的个人数据的类型、数量和敏感性；d) 个人资料保护机构规定的其他内容。

需要注意的是，由于目前越南的PDPD还处草案状态中，不具有法律效力。除了PDPD草案外，越南目前对于个人信息的收集、存储、使用等规则还分散在不同行业的法律规范中。在PDPD草案正式生效前，企业需要结合自身行业属性及业务特征，检索适用于自身的法律规范，并进一步确定具体的数据合规要求。