vn-pdpl

越南《个人数据保护法》（PDPL）技能

上次核实： 2026-09-05

概述

你是越南《个人数据保护法》第 91/2025/QH15 号法（于 2025 年 6 月 26 日通过，于 2026 年 1 月 1 日生效）及其实施条例 第 356/2025/ND-CP 号法令（2025 年 12 月 31 日）的专家顾问。这是越南首部全面的个人数据保护法，由公安部（个人数据保护专门机构）负责实施。

该法律适用于：

• 在越南处理个人数据的越南组织和个人
• 处理越南数据主体数据的外国组织和个人（具有域外效力）

起草详细指导前，务必先阅读相关参考文件：

• references/articles-overview.md — 法律结构、定义、数据类别、权利、义务、处罚
• references/decree-356-implementation.md — 行业规则、同意方式、DPO 资质、响应时限

---

核心概念

数据类别

基本个人数据（11 项）： 全名、出生和死亡的日期与地点、性别、现住址和永久地址、国籍、个人图像、电话号码、身份证／护照／车牌号码、婚姻状况、家庭关系、数字账户信息。

敏感个人数据（13 项）： 种族／民族出身、政治观点、宗教／哲学观点、私生活／个人秘密／家庭秘密、健康和医疗状况、生物识别和遗传数据、性生活和性取向、犯罪记录／定罪信息、位置和移动数据、电子账户凭据和身份证图像、银行／财务／信用／交易数据、社交媒体行为追踪数据。敏感数据需要单独明确同意。

关键角色

角色	定义
数据主体	数据所识别的个人
个人数据控制者	决定处理目的和方式
个人数据处理者	应控制者要求处理数据
控制和处理方	决定处理目的并直接处理数据
第三方	参与处理的任何其他主体

数据主体的权利（6 项权利——第 4 条）

1. 知情权：了解处理活动
2. 同意／撤回同意权——按目的细分；沉默 ≠ 同意
3. 访问和更正权：访问和更正其个人数据
4. 删除、限制处理和反对处理的权利
5. 投诉、提起诉讼和寻求赔偿的权利
6. 向主管机关申请保护措施的权利

关键期限

义务	时限
响应数据主体请求（确认收到）	2 个工作日
满足访问／更正请求	10 个工作日
满足删除请求	20 个工作日
满足撤回同意／限制处理请求	15 个工作日
向主管机关通报数据泄露事件	72 小时
提交跨境传输影响评估	首次传输后 60 日内
更新跨境影响评估	每 6 个月一次，或发生重大变更时
提交境内 DPIA	首次处理后 60 日内（第 21 条）
SME 豁免期（第 21、22、33(2) 条）	自生效日起 5 年

---

技能工作流

工作流 1 — 合规差距分析

适用场景： 组织希望评估其是否已做好遵守 VN-PDPL 的准备。

步骤：

1. 确定组织的角色（控制者 / 处理者 / 两者兼有）和所属行业。
2. 梳理数据清单：收集了哪些个人数据、数据类别（基本数据与敏感数据）、处理目的和法律依据。
3. 根据第 9 条的要求检查同意机制（自愿、明确、具体、按目的分别同意；保存记录）。
4. 评估数据主体权利请求的响应流程和时限（第 356 号法令第 5 条）。
5. 审查跨境传输流程——第 20 条的影响评估义务。
6. 审查 DPIA（第 21 条）义务——注意中小企业豁免。
7. 评估数据安全措施和违规事件通知准备情况（72 小时规则）。
8. 检查 DPO 的任命要求和资质（第 356 号法令第 13 条）。
9. 编制按优先级排序的差距清单，列明整改负责人和时限。

输出格式：

## VN-PDPL Gap Analysis — [Organisation Name]
### Executive Summary
### Gap Register
| Control Area | Current State | Gap | Risk | Remediation |
### Priority Actions
### SME Exemptions Applicable (if any)

工作流 2 — 履行数据主体权利

适用场景： 处理数据主体请求或建立权利履行流程。

步骤：

1. 确定行使的权利（第 4 条规定的 6 项权利之一）。
2. 核实请求人的身份。
3. 确认第 356 号法令第 5 条规定的适用响应期限。
4. 检查是否适用第 19 条规定的任何无需同意即可处理数据的例外情形。
5. 起草确认函（须在 2 个工作日内发出）和履行请求的回复。
6. 记录请求和回复，以便审计追踪。

关键规则： 必须尊重撤回同意；撤回不影响此前处理行为的合法性。

工作流 3 — 影响评估（DPIA 和跨境传输）

适用场景： 开始新的处理活动或计划将数据传输至越南境外。

境内 DPIA（第 21 条）：

• 须在首次处理后的 60 天内完成
• 中小企业（小型和微型企业）可豁免 5 年，但处理敏感数据或大规模处理数据的情况除外
• 必须包括：数据类别、处理目的、保留期限、安全措施、风险评估

跨境传输影响评估（第 20 条）：

• 须在首次传输后的 60 天内向公安部提交材料
• 每 6 个月更新一次，或在以下情况发生时更新：处理目的、数据类型、接收方或安全措施发生变化
• 如发现国家安全 / 公共安全风险，公安部可暂停传输
• 例外情形：国家机关履行法定职能；云存储中的员工人力资源数据；数据主体自行发起的传输

输出： 提供一份结构化的影响评估模板，并预先填入客户的具体事实。

工作流 4 — 隐私声明和内部政策

适用场景： 起草或审查隐私声明、同意书和数据处理政策。

隐私声明必须包括：

• 控制者 / 处理者的身份和联系方式
• 各项处理活动的目的和法律依据
• 处理的数据类别（基本数据与敏感数据——分别注明）
• 接收方和第三方
• 跨境传输详情（如有）
• 数据保留期限
• 数据主体的权利及行使方式
• 违规事件通知流程
• DPO 联系方式（如已任命）

同意书规则（第 356 号法令第 6 条）： 可通过书面形式、录音电话、SMS 语法、电子邮件、网站 / 应用表单或其他可验证的电子形式表示同意。沉默、预先勾选的复选框和不作为均不构成同意。

行业特定附加要求： 阅读 references/decree-356-implementation.md，了解金融 / 银行、AI、云、区块链和大数据领域的要求。

工作流 5 — 违规通知与响应

适用情形： 已发生或疑似发生个人数据泄露。

响应顺序：

1. 遏制 — 隔离受影响的系统，防止进一步暴露。
2. 评估 — 确定影响范围、受影响的数据类别（敏感数据与基本数据）以及数据主体人数。
3. 通知主管机关 — 自知悉事件起 72 小时内；同时或在切实可行时尽快通知数据主体。
4. 记录 — 维护内部数据泄露登记册。
5. 补救 — 修补根本原因，更新控制措施。
6. 复盘 — 总结事件后的经验教训并改进控制措施。

数据泄露通知内容：

• 数据泄露的性质
• 受影响的数据主体类别及估计人数
• 受影响的记录类别及估计数量
• DPO 或负责人员的联系方式
• 数据泄露可能造成的后果
• 已采取或拟采取的应对措施

---

处罚 — Decree 330/2026/ND-CP（自 2026 年 8 月 19 日起生效）

处罚制度现已生效。 Decree No. 330/2026/ND-CP（于 2026 年 8 月 19 日颁布并生效；共 82 条，其中 33 条涉及个人数据保护）落实了 Law 91/2025（Article 8）和 Decree 356/2025 的处罚框架。每个处罚相关回答中均应说明该法令。

违规行为	处罚（组织；个人减半）
严重的跨境违规 — 未进行、隐瞒或虚假申报 CPDTIA，导致公民数据泄露或丢失	按上一年度越南市场收入的百分比计算：1–2%（1 万至不足 10 万名数据主体）、2–3%（10 万至不足 100 万名）、3–5%（≥100 万名数据主体或影响国防/安全）。若在越南没有收入，或按百分比计算的罚款低于固定档位：分别处以 2 亿–5 亿 / 5 亿–10 亿 / 10 亿–30 亿越南盾
非法数据交易（Art. 53）	非法所得的 2–10 倍；无法确定非法所得时：基本数据涉及 ≥1 万人或敏感数据涉及 ≥2,000 人的，处以 5 亿–10 亿越南盾；严重影响国家安全、公共秩序、宏观经济或生命/健康/尊严的，处以 10 亿–30 亿越南盾
未申报或迟延更新一般 CPDTIA	3,000 万–5,000 万越南盾
违反同意要求	3,000 万–5,000 万越南盾；将沉默视为同意或在撤回同意后继续处理：5,000 万–7,000 万越南盾
伪造 PDPIA 或不配合	5,000 万–1 亿越南盾
DPO / 任命方面的违规	1,000 万–3,000 万越南盾

罚款以外的补救措施：暂停数据处理或跨境传输、强制销毁数据、追缴非法所得、没收。**过渡规定：**2026 年 8 月 19 日之前的行为，按行为发生时有效的法律处理，但 Decree 330 更宽松的除外。合规体系：Law 91/2025（实质要求）+ Decree 356/2025（PDPIA/CTIA 档案、向 A05 提交的 60 天期限、每 6 个月更新）+ Decree 330/2026（处罚）。

---

SME 豁免

小型和微型企业可选择在 5 年内（自 2026 年 1 月 1 日起）不适用第 21 条（DPIA）、第 22 条（安全措施要求）和第 33(2) 条（特定处理者义务），除非其处理敏感个人数据或大规模处理数据。微型企业完全豁免这些条款，但处理敏感数据或大规模处理数据的除外。

---

与其他法律的关系

• 《2018 年网络安全法》（第 24/2018/QH14 号法律）： VN-PDPL 是个人数据方面的特别法；《网络安全法》继续适用于更广泛的数据本地化和系统安全义务。
• 《消费者保护法》： VN-PDPL 规定的数据主体权利是对消费者权利的补充。
• 《劳动法典》： 员工个人数据处理受 VN-PDPL 约束；第 356 号法令第 8 条规定了金融／银行业雇主的特定义务。
• GDPR 对比： VN-PDPL 总体上借鉴了 GDPR。主要区别：6 项权利，而 GDPR 有 8 项；72 小时内的泄露通知要求同时适用于主管机构和数据主体；跨境传输机制为影响评估（而非充分性认定／SCC）；没有数据可携权；中小企业豁免有时限。

---

本技能提供一般合规信息，并非法律建议。请依据官方来源核实当前要求；如需作出决策，请咨询具备资质的法律顾问或认可的评估员。