越南個人資料保護法：外國企業合規檢查表

越南已經走完從輕度規範到全面體系的這段路。2025 年通過、2026 年初生效的個人資料保護法（PDPL），把 2023 年個人資料保護法令最初帶進來的規則，提升成一部完整的法律：適用範圍更廣、義務更重，而且有真正的罰則。如果貴公司處理位於越南之人的資料，包括客戶、員工、應用程式使用者與行銷名單，那麼無論您有沒有越南法人，這部法律都適用。以下是我們陪外國客戶逐項走過的合規檢查表。

先確認自己在不在適用範圍內

PDPL 觸及的範圍，比許多外國高階主管想像的更遠。它涵蓋越南的組織、在越南的外資法人，以及處理位於越南之個人資料的境外公司。一家出貨到越南的電商賣家、一個有越南使用者的 SaaS 產品、一個處理越南薪資的區域人資共享服務中心，都可能落在範圍之內。並沒有一個有意義的營收門檻可以豁免小型業務，不過在初期一段期間內，小型企業與新創的部分義務有所放寬。由於實施指引仍在陸續出台，請與顧問確認現行的例外。

咬得最痛的幾項義務

一、要用越南的方式取得同意

越南的制度以同意為核心。同意必須是明示的、在充分知悉下作成的、按目的具體化的，而且可以舉證。沉默與預先勾選的欄位都不算。實務上，這代表要盤點每一個收集個人資料的接觸點，包括網頁表單、應用程式、業務電話與人資到職流程，並確認您能舉證這個人在什麼時候同意了什麼。把多個目的綁成一包的概括同意，是我們在稽核中發現最常見的缺失。

二、敏感資料要再上一檔

健康、財務、生物特徵、位置等類別被視為敏感個人資料，需要對當事人額外告知，處理上也更嚴格。雇主日常就持有敏感資料，例如診斷證明、銀行帳號、工會身分，卻往往沒有意識到那會觸發加重的義務。

三、影響評估卷宗

處理個人資料的組織必須製作並維持處理影響評估卷宗；把資料傳出越南的組織，還需要跨境傳輸卷宗，並保持在公安部個資保護主管機關可隨時調閱的狀態。這不是送一次就結束的文件，處理內容變動時就要更新。卷宗的製作與提交，有自處理開始起算的具體期限，請向律師確認現行的時間窗。

四、跨境傳輸

把越南的個人資料送到區域總部、全球 CRM 或雲端服務商，是被允許的，但受到規範。您需要傳輸卷宗、適當的告知，以及一張說明資料實際流向何處的清楚地圖。IT 架構高度集中的跨國企業，對這項義務感受最深。

五、權利回應與外洩處理

個人享有查閱、更正、刪除與撤回同意的權利，企業必須能在規定期間內回應。資料外洩必須迅速通報主管機關，法定時窗很短，因此一條事先講好的內部呈報路徑是必要的。

六、被禁止的行為

這部法律明文禁止買賣個人資料。向資料掮客購買「名單」的行銷團隊，就是這裡典型的陷阱，那樣的做法必須停止。

外國企業的優先順序表

與 GDPR 的比較，以及為什麼這件事重要

擁有成熟 GDPR 制度的公司起步較前，但並沒有做完。重疊的部分很大：合法處理、目的限制、當事人權利、外洩通報。差異之處，正是風險藏身的地方。越南對同意的倚重，遠大於「正當利益」那一類的依據；卷宗制度是一套自成一格的行政機制，有自己的格式與自己的主管機關；而在面對主管機關時，越南文的文件在實務上是有份量的。把 GDPR 的成果對應到 PDPL 的要求很有效率，但把歐盟那一套原封不動貼過來，一定會留下缺口。

罰則與執法姿態

行政罰鍰可能相當可觀：對某些違規行為，制裁架構曾設想按營收比例計算的罰則，並可併同暫停處理活動。初期執法通常集中在惡性案件，例如買賣資料、大規模外洩、拒絕配合。但外資企業不該賭自己不起眼：處理大量消費者資料的行業，例如電商、金融科技、零售與旅宿，本來就是稽查最自然的第一批對象。請向顧問確認現行的罰則級距，不要依賴二手摘要。

務實的九十天計畫

1. 第 1 至 30 天：資料清冊與流向盤點；辨識跨境傳輸；指定內部負責人。
2. 第 31 至 60 天：修補同意機制；起草影響評估與傳輸卷宗；更新越南文與英文的隱私告知。
3. 第 61 至 90 天：修訂受託方合約；外洩應變手冊與教育訓練；管理階層簽核，並把卷宗定期更新排進行事曆。

一季之內做不到完美，但有文件佐證、出於善意的進展，會實質改變主管機關對待您的方式。

需要協助做好 PDPL 準備嗎？我們在越南的法遵團隊替外資企業建立個資保護卷宗、同意架構與持續性的合規行事曆。請在第一封稽查通知寄到之前談，而不是之後。