向越南买家销售的外国电商平台，是第91/2025/QH15号《个人数据保护法》下这些买家的个人数据控制者——负有完整的影响评估、保护和事件通知义务。但有一点常被误解，必须说对：现行越南法律默认不要求平台把买家数据存储在越南；本地存储义务仅在主管机关依网络安全法的单独机制作出决定时产生。
外国平台必须把买家数据存储在越南吗？
在默认制度下，不必。第91/2025/QH15号《个人数据保护法》和第356/2025/ND-CP号议定没有给所有个人数据处理活动设定数据本地化义务：买家数据可以在平台的全球基础设施上处理和存储，同时附有个人数据出境的义务——依第91/2025/QH15号法律第20条编制个人数据出境影响评估档案，提交个人数据保护专门机关，并在变化时更新。
越南存储义务属于另一个法律层面——网络安全法：当主管机关依第116/2025/QH15号《网络安全法》和第333/2026/ND-CP号议定的机制，对属于调整范围、存在被认定违规且经书面要求后不改正的企业作出决定时，可要求企业在越南存储数据并设立分支机构或代表处。这是由行政决定有条件触发的机制，适用于一组确定的企业——不是每个外国平台的默认经营条件；任何声称“外国平台必须在越南存储数据”而不说明这一触发机制的文章或咨询都是不准确的。
买家数据泄露时平台承担什么责任？
责任有三个层面。第一层是事件响应义务：发生个人数据侵害时，数据控制者必须采取处理措施，并按第91/2025/QH15号《个人数据保护法》和第356/2025/ND-CP号议定的程序和期限，向个人数据保护专门机关和受影响的数据主体通知事件——隐瞒事件或迟延通知是独立的违规。第二层是民事责任：因泄露遭受实际损害的买家——资金损失、被用泄露数据诈骗——可依民事法律要求赔偿。
第三层是第330/2026/ND-CP号议定下的行政处罚——其中个人数据保护部分在议定第7条有其自身的罚款约定——并结合第91/2025/QH15号法律第8条的处罚上限：非法买卖个人数据最高可罚非法所得的十倍；非法跨境传输个人数据最高可罚上一年度营业额的百分之五；其他个人数据保护违规最高三十亿越南盾。因此，对一个大平台而言，最重的风险层不是罚款，而是整改要求、暂停数据处理活动和事件公开后用户信任的损失。
平台对越南买家数据的基本义务
即使没有事件，收集越南买家数据的外国平台也必须运行第91/2025/QH15号《个人数据保护法》下数据控制者的完整义务组合：有合法的处理依据和面向越南用户的透明数据保护政策；依第21条编制个人数据处理影响评估档案，数据转移到越南境外系统时依第20条编制出境影响评估档案；依第33条安排个人数据保护人员；并落实数据主体的权利——知情、访问、更正、限制处理、反对和要求删除。
运营者常低估的一点是适用范围：第91/2025/QH15号法律也适用于直接处理或涉及处理越南人个人数据的外国组织和个人——在越南没有法人实体的平台不在这一范围之外。影响评估档案义务的设计是编制一次、变化时更新，但那“一次”必须真实存在并提交给正确的专门机关；全球平台通常必须在其全球数据合规计划中增加越南附件，而不是假设母国的GDPR或PDPA框架自动满足越南法律。
客户有权要求删除自己的数据吗？
有权。要求删除个人数据是第91/2025/QH15号《个人数据保护法》下数据主体的权利之一：买家可要求平台删除其个人数据，数据控制者必须受理、执行该要求并在第356/2025/ND-CP号议定规定的期限内回应，除非数据必须依其他法定义务继续存储。实际例外包括必须保留在服务于税务、会计义务的记录和单证中的交易数据，以及解决正在进行的争议和投诉所需的数据。
在实务中，删除权通过平台的账户渠道行使效果最好——删除账户并要求随同删除数据——用户应区分三件不同的事：删除可见账户、从处理系统中删除个人数据，以及平台仍必须依法定义务保留某些最低限度的交易记录。一个合规的平台会逐层清楚答复，而不是不准确地承诺“全部删除”。如果平台拒绝或不回应有效要求，买家可向个人数据保护专门机关投诉——数据主体的投诉是触发对数据控制者合规检查的渠道之一。
常见问题
境外平台是否必须把越南客户数据存放在越南？
默认不强制。第91/2025/QH15号《个人数据保护法》和第356/2025/ND-CP号议定没有给每个平台设定在越南存储数据的义务；买家数据可存储在平台的全球基础设施上，同时负有依第91/2025/QH15号法律第20条编制个人数据出境影响评估档案的义务。本地存储仅在主管机关依第116/2025/QH15号《网络安全法》和第333/2026/ND-CP号议定的机制，对违规且不改正的受调整企业作出决定时产生——那是有条件触发的机制，不是每个外国平台的默认条件。
客户数据泄露平台承担什么责任？
平台承担三个层面的责任。一，事件响应义务：依第91/2025/QH15号法律和第356/2025/ND-CP号议定向专门机关和受影响买家处理并通知个人数据侵害——隐瞒或迟延通知是独立违规。二，对买家实际损失的民事赔偿。三，第330/2026/ND-CP号议定下的行政处罚和第91/2025/QH15号法律第8条的上限——非法买卖个人数据最高十倍非法所得；非法跨境传输最高上一年度营业额的百分之五；其他违规最高三十亿越南盾。
客户是否有权要求删除数据？
有权。要求删除个人数据是第91/2025/QH15号《个人数据保护法》下数据主体的权利，平台必须受理、执行并在第356/2025/ND-CP号议定规定的期限内回应。例外是必须依其他法定义务保留的数据——服务于税务、会计单证存储的交易记录和正在进行的争议所需的数据。如果平台拒绝或对有效要求保持沉默，客户可向个人数据保护专门机关投诉，以触发对平台的合规检查。
本文已通过 FLAW AI Legal Council 质量审核