越南个人数据保护法：外国企业合规检查表

越南已经走完从轻度规范到全面体系的这段路。2025 年通过、2026 年初生效的个人数据保护法（PDPL），把 2023 年个人数据保护法令最初带进来的规则，提升成一部完整的法律：适用范围更广、义务更重，而且有真正的罚则。如果贵公司处理位于越南之人的数据，包括客户、员工、应用程序用户与营销名单，那么无论您有没有越南公司，这部法律都适用。以下是我们陪外国客户逐项走过的合规检查表。

先确认自己在不在适用范围内

PDPL 触及的范围，比许多外国高级主管想像的更远。它涵盖越南的组织、在越南的外资公司，以及处理位于越南之个人数据的境外公司。一家出货到越南的电商卖家、一个有越南用户的 SaaS 产品、一个处理越南薪资的区域人资共享服务中心，都可能落在范围之内。并没有一个有意义的营收门槛可以豁免小型业务，不过在初期一段期间内，小型企业与新创的部分义务有所放宽。由于实施指引仍在陆续出台，请与顾问确认现行的例外。

咬得最痛的几项义务

一、要用越南的方式取得同意

越南的制度以同意为内核。同意必须是明示的、在充分知悉下作成的、按目的具体化的，而且可以举证。沉默与预先勾选的字段都不算。实务上，这代表要盘点每一个收集个人数据的接触点，包括网页表单、应用程序、业务电话与人资到职流程，并确认您能举证这个人在什么时候同意了什么。把多个目的绑成一包的概括同意，是我们在审核中发现最常见的缺失。

二、敏感数据要再上一档

健康、财务、生物特征、位置等类别被视为敏感个人数据，需要对当事人额外告知，处理上也更严格。雇主日常就持有敏感数据，例如诊断证明、银行帐号、工会身分，却往往没有意识到那会触发加重的义务。

三、影响评估卷宗

处理个人数据的组织必须制作并维持处理影响评估卷宗；把数据传出越南的组织，还需要跨境传输卷宗，并保持在公安部个资保护主管部门可随时调阅的状态。这不是送一次就结束的文档，处理内容变动时就要更新。卷宗的制作与提交，有自处理开始起算的具体期限，请向律师确认现行的时间窗。

四、跨境传输

把越南的个人数据送到区域总部、全球 CRM 或云端服务商，是被允许的，但受到规范。您需要传输卷宗、适当的告知，以及一张说明数据实际流向何处的清楚地图。IT 架构高度集中的跨国企业，对这项义务感受最深。

五、权利回应与外泄处理

个人享有查阅、更正、删除与撤回同意的权利，企业必须能在规定期间内回应。数据外泄必须迅速通报主管部门，法定时窗很短，因此一条事先讲好的内部呈报路径是必要的。

六、被禁止的行为

这部法律明文禁止买卖个人数据。向数据掮客购买「名单」的营销团队，就是这里典型的陷阱，那样的做法必须停止。

外国企业的优先级表

与 GDPR 的比较，以及为什么这件事重要

拥有成熟 GDPR 制度的公司起步较前，但并没有做完。重叠的部分很大：合法处理、目的限制、当事人权利、外泄通报。差异之处，正是风险藏身的地方。越南对同意的倚重，远大于「正当利益」那一类的依据；卷宗制度是一套自成一格的行政机制，有自己的格式与自己的主管部门；而在面对主管部门时，越南文的文档在实务上是有份量的。把 GDPR 的成果对应到 PDPL 的要求很有效率，但把欧盟那一套原封不动贴过来，一定会留下缺口。

罚则与执法姿态

行政罚锾可能相当可观：对某些违规行为，制裁架构曾设想按营收比例计算的罚则，并可并同暂停处理活动。初期执法通常集中在恶性案件，例如买卖数据、大规模外泄、拒绝配合。但外资企业不该赌自己不起眼：处理大量消费者数据的行业，例如电商、金融科技、零售与旅宿，本来就是稽查最自然的第一批对象。请向顾问确认现行的罚则级距，不要依赖二手摘要。

务实的九十天计划

1. 第 1 至 30 天：数据清册与流向盘点；辨识跨境传输；指定内部负责人。
2. 第 31 至 60 天：修补同意机制；起草影响评估与传输卷宗；更新越南文与英文的隐私告知。
3. 第 61 至 90 天：修订受托方合同；外泄应变手册与教育训练；管理阶层签核，并把卷宗定期更新排进行事历。

一季之内做不到完美，但有文档佐证、出于善意的进展，会实质改变主管部门对待您的方式。

需要协助做好 PDPL 准备吗？我们在越南的法遵团队替外资企业创建个资保护卷宗、同意架构与持续性的合规行事历。请在第一封稽查通知寄到之前谈，而不是之后。