越南数据合规指南：个人数据保护法（PDPD）落地要点
中资企业在越南谈数据合规时，往往第一反应是“我们又不做互联网业务”。但越南的个人数据保护规则不以行业划线，而以“是否处理越南境内个人数据”划线——工厂的越南员工花名册、客户联系人名单、门禁与监控影像、招聘简历，全部属于个人数据。以 2026 年的法律环境看，越南已完成从法令到法律的升级，配套罚则也已落地，靠“当地没人查”来规划风险已经不成立。
一、2026 年的变化：从法令到法律，从有法到有罚
越南此前适用的是第 13/2023/ND-CP 号议定（通常简称为 PDPD），属于政府法令层级。2025 年 6 月 26 日，越南国会通过《个人数据保护法》（第 91/2025/QH15 号），自 2026 年 1 月 1 日起生效并取代原法令，将数据保护制度提升到法律层级。配套的细化规则由第 356/2025/ND-CP 号议定承接，该议定于 2025 年 12 月 31 日颁布并与法律同日生效。
第二个变化是罚则落地。第 330/2026/ND-CP 号议定自 2026 年 8 月 19 日起生效，规定了网络安全与个人数据保护领域的行政处罚细则，对未经同意处理已收集的个人数据、非法使用他人个人数据、在数据主体沉默或未回应时收集处理数据等行为设定了多层级罚款机制。这标志着越南的数据保护从“有法可依”进入“有罚可执”阶段。
第三个变化是监管架构。个人数据保护的主管机关是公安部，国防部负责涉国防领域的数据保护事项。与以隐私保护或市场秩序为导向的监管不同，越南把个人数据保护放在国家安全框架下，执法重点天然向危害国家安全与社会秩序的行为倾斜，非法买卖与窃取个人数据可能直接进入刑事程序。
| 文件 | 层级 | 生效时间 |
|---|---|---|
| 第 13/2023/ND-CP 号议定 | 法令 | 已被取代 |
| 第 91/2025/QH15 号法律 | 法律 | 2026 年 1 月 1 日 |
| 第 356/2025/ND-CP 号议定 | 配套法令 | 2026 年 1 月 1 日 |
| 第 330/2026/ND-CP 号议定 | 处罚细则 | 2026 年 8 月 19 日 |
二、谁受管辖：域外效力是最大盲区
《个人数据保护法》设有明确的域外管辖条款。无论企业是否在越南设立实体，只要处理越南公民或越南境内个人的个人数据，就可能落入管辖范围。这意味着境外总部、区域共享服务中心、以及为越南业务提供支持的境外系统，都可能同时受约束。
对中资企业而言，最常见的受管辖场景有三类：越南子公司在本地收集员工与客户数据；集团总部或香港、新加坡的区域平台远程处理这些数据；境外 SaaS 系统（人力系统、客户关系系统、云盘）被越南团队实际使用。第三类最容易被忽略——系统虽在境外，但数据主体在越南。
适用主体还有规模上的分层安排。据公开解读，微型企业可豁免部分义务，小型企业与初创企业享有一定年限的缓冲期。但缓冲不等于豁免，且适用条件需逐条核对。制造业企业即使规模不小，也常常被误认为“不属于个人信息密集型行业”而不做评估，这是判断上的偏差。
三、DPIA 与 CTIA：两份评估的触发与窗口
《个人数据保护法》与第 356/2025/ND-CP 号议定设置了两份核心评估文件：数据处理影响评估（DPIA）与跨境传输影响评估（CTIA，也有表述为 TIA）。前者针对处理活动本身，后者针对数据出境。两者都不是事前审批机制，而是“先备妥、后报送”——企业须自处理或首次传输开始就备好文件，再在规定期限内提交。
时间窗口是 60 日：DPIA 自首次处理之日起 60 日内提交，CTIA 自首次跨境传输之日起 60 日内提交。主管机关自收到完整有效的卷宗之日起 15 日内出具评估结论，材料不完备的可要求补正，补正期一般为 30 日。跨境传输影响评估报告按第 356/2025/ND-CP 号议定附录的 Form No.09 编制，并需附传输合同副本与内部数据保护制度文件。
这两份文件不是一次性动作。传输目的、数据类别或接收方发生变化时须及时更新，议定还规定了特定情形下的定期更新义务。企业应当指定明确的归口人，把更新纳入变更管理流程，而不是报完一次就归档了事。集团内部安排也需逐条核对豁免条件，不能默认适用。
| 文件 | 触发时点 | 提交窗口 |
|---|---|---|
| 数据处理影响评估 | 首次处理个人数据 | 60 日内 |
| 跨境传输影响评估 | 首次跨境传输 | 60 日内 |
| 主管机关评估 | 收到完整卷宗 | 15 日内出结论 |
| 补正 | 材料不完备 | 一般 30 日内 |
四、同意机制与数据主体权利
同意仍是处理的合法性基础之一，但要求明显收紧。同意必须自愿、知情，并以可验证的形式作出；不同处理目的需要分别取得同意。默认勾选、以沉默推定同意、以继续使用网站或服务视为同意、把不相关的条款捆绑在同一个授权动作里，都不是稳妥的做法。
这一要求会直接影响产品设计。为交付电商订单而收集的收货地址，不应自动用于营销推送或用户画像分析；为人事管理收集的员工信息，不应自动用于集团内部的其他用途。每一次目的扩展，都对应一次新的告知与同意取得，并需要留存可追溯的记录。
- 按处理目的分别取得同意，不做一揽子授权
- 留存同意的取得时间、版本与证据
- 提供撤回、限制与反对的便捷通道
- 为营销、分析等二次用途单独设计授权界面
- 敏感数据（如身份证件影像、账户凭证）单独管控
五、跨境传输与本地化：与《数据法》叠加
越南的数据治理不是单一法律。《数据法》自 2025 年 7 月 1 日起生效，从“数据作为资源”的角度确立数据权与治理框架，并按第 20/2025/QD-TTg 号决定识别重要数据与核心数据；《个人数据保护法》从人格权益角度规范个人数据。两者在跨境传输问题上形成叠加义务，同一批数据可能同时触发两套规则的通知或评估要求。
跨境传输的合法条件包括：传输属于法律允许或不禁止的情形；已按第 356/2025/ND-CP 号议定第 18 条编制并提交跨境传输影响评估卷宗；传输目的、范围、数据类别与保护措施符合个人数据保护原则。若传输的数据被发现危害国家安全或网络安全，主管机关有权要求中止传输。
本地化则是另一条线。《网络安全法》要求特定行业的境内外企业将越南用户数据副本存储在境内服务器并设立本地实体，适用行业涵盖电商、社交平台、OTT 服务、游戏、支付等。制造业企业通常不在强制本地化清单内，但若自建面向越南用户的线上渠道，仍可能被纳入。三层架构下的数据路径安排，可与香港公司注册一并统筹设计。
六、员工数据与客户数据：边界在哪里
员工数据是中资越南公司最先接触到、也最先出问题的一类。招聘环节收集的简历与身份证件、入职后的健康与家庭信息、考勤与门禁记录、绩效与薪酬数据，都属于个人数据，其中身份证件影像与账户登录凭证被归入敏感个人数据，需要更高强度的保护措施。
客户数据的风险点在于二次使用。展会上收集的名片、询盘表单里的联系方式、售后系统中的设备与联系人信息，若被用于与收集目的不符的用途，需要先补齐告知与同意。企业客户联系人同样属于个人数据，不能因为“是公司信息”就按普通商业信息处理。
| 数据类别 | 典型场景 | 主要风险 |
|---|---|---|
| 员工身份数据 | 招聘与入职 | 敏感数据未单独管控 |
| 员工行为数据 | 门禁、监控、考勤 | 超出必要范围收集 |
| 客户联系数据 | 展会名片、询盘表单 | 二次使用未取得同意 |
| 系统账号数据 | 登录凭证与权限 | 归入敏感数据管理 |
七、落地动作清单：六步建立基本盘
数据合规不需要一步到位，但需要有明确的起点。第一步是数据盘点：梳理越南实体处理的全部个人数据类别、来源、存放位置与流向，形成数据清单。第二步是角色界定：明确在每类处理活动中是控制者、处理者还是共同控制者，并据此分配责任。第三步是指定归口人：设置数据保护岗位或指定负责人，并把联系方式纳入告知文本。
第四步是编制两份评估卷宗，按第 356/2025/ND-CP 号议定的格式要求完成 DPIA 与 CTIA，并在 60 日窗口内提交。第五步是改造同意与告知：把产品界面、入职文件、客户表单中的授权动作逐项拆开，确保目的一致。第六步是纳入变更管理：系统上线、供应商更换、跨境传输路径调整时，同步触发数据合规复核。
这六步的共同前提是“有人负责”。数据合规最常见的失败不是技术不达标，而是没有明确的归口人，导致评估逾期、同意机制无人维护、供应商更换时未重新核验。把责任落到具体岗位，比先买一套系统更有用。
| 步骤 | 产出物 | 责任岗位 |
|---|---|---|
| 数据盘点 | 数据清单与流向图 | 信息化或行政 |
| 角色界定 | 角色矩阵 | 法务或合规 |
| 指定归口 | 岗位与联系方式 | 管理层 |
| 评估卷宗 | DPIA 与 CTIA | 合规牵头 |
| 同意改造 | 新版告知与授权 | 业务与人力 |
| 变更复核 | 复核流程 | 合规牵头 |
越南公司专业服务商——金兔国际
金兔国际成立于 2014 年，深耕东南亚企业服务 12 年。
累计服务 12000+ 企业，累计帮助 3500+ 中企落地越南。
在越南胡志明、河内、北宁等地设有办公室，配备越南当地执业律师与会计师团队，提供中越双语服务。
在香港设有全资持牌秘书公司——香港恒辉商务有限公司（牌照编号：TC006798）。
擅长搭建“国内企业 → 香港/新加坡公司 → 越南公司设立及建厂”三层架构。
专业提供去越南开公司、境外投资备案办理流程、海外公司税务合规、海外公司年审全套越南落地解决方案。
构建了标准化的企业出海服务体系，为计划新设或并购越南公司的企业提供一站式解决方案，团队与资质详见关于金兔国际。
越南公司服务案例一：深圳智能科技经香港公司落地越南，7.5 万美元
客户是深圳一家智能科技企业，先在香港设立中间层公司，再由香港公司投资设立越南公司。三层架构下，集团的人力、客户与财务系统往往部署在不同层级，越南实体的员工与客户数据很容易被境外系统处理。项目在设立阶段就同步梳理了数据流向，为后续的影响评估与传输安排预留了接口。
| 投资路径 | 深圳 → 香港 → 越南 |
| 投资总额 | 7.5 万美元 |
| 出资构成 / 关键难点 | 三层架构下的数据流向与系统部署 |
| 审批结果 / 服务周期 | 不到 1 个月完成备案与设立 |
越南公司服务案例二：深圳科技公司越南增资并购，600 万元受让 92% 股权
客户是深圳一家科技公司，通过增资加股权转让取得越南公司 92% 的股权。并购交易中，目标公司的员工名册与客户数据库会随交易一并承接，这类数据在控制权变更后涉及处理目的与主体的变化，需要在交割前完成数据盘点与告知安排，避免承接后才发现合规缺口。
| 投资路径 | 深圳 → 越南（增资并购） |
| 投资总额 | 600 万元人民币 |
| 出资构成 / 关键难点 | 受让 92% 股权，员工与客户数据承接 |
| 审批结果 / 服务周期 | 完成股权变更与合规交割 |
常见问题 FAQ
1. 我们是制造业工厂，也受个人数据保护法约束吗？
受约束。该法不以行业划线，而以是否处理越南境内个人数据划线。员工花名册、身份证件、考勤与门禁记录、客户联系人信息均属个人数据。敏感类别还包括身份证件影像与账户登录凭证，需要更高强度的保护措施。
2. 数据存在境外服务器上就不归越南管吗？
不是。该法设有域外管辖条款，境外主体处理越南境内个人数据同样受管辖。使用境外云平台处理在越南收集的数据，本身就可能构成跨境传输，需要完成跨境传输影响评估并在规定期限内提交。
3. 影响评估必须在做之前批下来吗？
不是事前审批。企业须自首次处理或首次跨境传输开始就备妥卷宗，再在 60 日内提交。主管机关自收到完整有效卷宗之日起 15 日内出具结论，材料不完备的可要求补正。实务上建议在传输开始前就完成编制。
4. 集团内部把员工数据存到境外云平台，需要评估吗？
多数情形需要，但存在法定豁免情形。豁免的适用条件须逐条核对，不能默认适用。判断要点在于数据类型、传输目的与接收方所在法域，建议先做数据流向盘点再确定是否触发。
5. 同意可以用默认勾选的方式取得吗？
不可以。同意必须自愿、知情并以可验证的形式作出。默认勾选、沉默、继续使用服务视为同意、把不相关条款捆绑授权，都不是稳妥的做法。不同处理目的需分别取得同意，并留存证据。
6. 违反跨境传输规定的后果有多重？
据公开解读，违反跨境传输规定的罚款上限可达上一财政年度收入的一定比例，在东南亚地区属于较严格的标准；非法买卖个人数据的罚款上限可与违法所得挂钩。第 330/2026/ND-CP 号议定的生效进一步细化了处罚层级。
