个人数据处理影响评估——国际上称DPIA——是企业必须自行编制并在《个人数据保护法》91/2025下于开始处理后六十天内提交专门机关的档案。外资企业的实际问题不是“要不要做”，而是“我们哪些活动在范围内、档案包括什么、一份报送是否覆盖全部系统”——这三个问题决定企业整个数据合规计划。本文逐一回答。
何时须做影响评估：默认原则是要做
依《个人数据保护法》91/2025与第356/2025/ND-CP号议定，个人数据控制者与控制—处理者必须为其处理活动编制处理影响评估档案，并在开始处理后六十天内送交公安部个人数据保护专门机关。与某些只对高风险处理要求DPIA的国际制度不同，越南制度把影响评估档案建成组织个人数据处理的基础义务，因此企业应从每个主要处理系统一份档案的假定出发，只在有明确依据时才收窄。
外资企业的典型活动都在此范围内：数百名员工数据的人力资源管理、客户数据的CRM与销售、人脸或指纹考勤系统——生物数据属敏感数据类——监控摄像头、以及电商平台。把每个系统按普通数据、敏感数据与对主体的影响程度分类，是档案本身的第一步。
评估包括什么：一份档案的结构
按规定表格的影响评估档案包括：控制者、处理者及负责数据保护的部门与个人信息；每个处理目的及其法律依据；所处理的个人数据类别与主体群体；数据接收方，包括如有的出境传输流；保存期限与删除安排；已实施的技术与组织保护措施；以及企业对数据主体可能损害的概率与严重程度的自我评估及缓释措施。
档案的真正价值在最后两部分——保护措施与风险自评——因为那是专门机关用来判断企业准备程度的部分。一份行政信息齐全但保护措施写得笼统的档案，会被评为尚未构成评估。企业还须注意，有出境数据流时跨境传输影响评估是单独一份档案，不能并入境内处理档案。
必须向国家报送吗，不做会被怎样处罚
必须：档案一份须在六十天期限内送交个人数据保护专门机关，该机关可对未达要求的档案要求补充完善；企业在本部保存全套以备检查。当处理发生重大变化——新目的、新数据类别、新处理者——档案必须更新并补交，因此真正的义务是与系统生命周期同行的循环，而不是设立时的一次报送。
不编制档案、内容不对或逾期报送，属个人数据保护领域的行政违规，按第356/2025/ND-CP号议定处罚，其水平明显高于此前的第13/2023/ND-CP号议定，并被责令补齐档案。比罚款更大的战略风险是：缺失的DPIA恰在企业最弱时被发现——当数据事件或主体投诉引来专门机关检查整个数据计划之时。
常见问题
外资何时须做个人数据处理影响评估？
越南制度的原则是，按《个人数据保护法》91/2025与第356/2025/ND-CP号议定，控制者与控制—处理者为其处理活动编制影响评估档案：人事、客户、营销、摄像头、生物考勤与每个其他有组织的数据处理系统。从每个主要处理系统一份档案的假定出发，并在档案内做普通与敏感数据分类。
影响评估包括什么内容？
控制者、处理者与数据保护对接信息；处理目的与法律依据；数据类别与主体群体；数据接收方，包括如有的出境流；保存期限与删除安排；技术与组织保护措施；以及对数据主体损害概率与严重程度的自评及缓释——最后两部分决定档案质量。
影响评估档案必须向国家机关报送吗？
必须：企业在开始处理后六十天内向公安部个人数据保护专门机关送交一份，在企业保存全套以备检查，并在处理重大变化时更新补交。专门机关可要求完善未达标的档案。
不做影响评估会被怎样处罚？
企业将按第356/2025/ND-CP号议定在个人数据保护领域受行政处罚——水平明显高于第13/2023号议定——并被责令补齐档案。更重的后果是，在数据事件或投诉时，缺失的影响评估会把事件检查变成对企业整个数据合规计划的审查。
一份影响评估档案能覆盖全部系统吗？
不应：每个处理系统的目的、数据类别、接收方与保护措施都不同，档案必须反映每个处理活动或每个同类活动组。一份全企业通用的笼统档案，通常在保护措施与风险自评部分是空的——恰是专门机关读得最细的两部分。有出境数据流的系统还需要其单独的跨境传输评估档案。
联系FLAT律师事务所
FLAT律师事务所可为外资企业建立个人数据影响评估计划：带敏感数据分类的处理系统地图、按规定表格的逐系统档案、单独的跨境档案，以及处理变化时的更新机制。
本文已通过 FLAW AI Legal Council 质量审核
