与第13/2023号议定时期检查分散不同，《个人信息保护法》91/2025设立了专门机关与个人数据保护专项检查制度。对外资企业——尤其是向母公司传输数据的企业——实际问题是：哪个机关来检查、案头须备齐哪些档案、新框架下的处罚如何。本文以可直接套用的档案准备结构作答。
法律依据
检查机关：公安部下属专门机关
按91/2025框架，个人数据保护专门机关是公安部网络安全与打击高科技犯罪局——国家个人数据保护对接点：接收影响评估档案、数据跨境传输档案与违规通报，并主持或协调数据保护专项检查。此外，行业监管机关（银行、医疗、教育、电信）与部级监察在本行业范围内仍有权限。对企业的实际后果是：数据检查的对接方是公安专门机关——而非一般市场监管单位——检查深入技术与法律合规档案，而非仅查许可证。
处罚框架：法律设定按营收的上限，议定细化
91/2025第8条按行为组设定个人数据违规的责任框架：非法买卖个人数据最高处违法所得10倍的罚款（第3款）；违反个人数据跨境传输规定，对组织最高处上一个财政年度营收5%的罚款（第4款）；其他违规最高处30亿越南盾罚款（第5款）；个人为组织的一半（第6款）——较第13/2023时期与旧处罚议定的固定罚款是量级跃升。各具体行为（无依据收集、未做影响评估、非法传输、未通报违规）的罚款数额由该领域政府处罚议定细化；企业应以检查时有效的处罚文书为准。除罚款外，框架还包括纠正措施（强制删除数据、暂停处理、公开违规）与对受损数据主体的民事赔偿责任。
适用分析
企业须备齐的档案
专项检查组通常要求五组档案：（1）处理合法性档案——数据保护政策、对数据主体的处理告知、同意证据、各目的的法律依据；（2）已报送专门机关的个人数据处理影响评估与跨境传输影响评估（附接收确认）；（3）组织档案——指定数据保护部门/人员的决定、响应数据主体权利与事件处置的内部流程；（4）技术档案——访问日志、安全措施、与数据处理者及云服务商的合同；（5）事件档案——已报送的违规通报与处置记录。外资企业最常见的两个缺口是缺影响评估与缺传输档案，因为向母公司的数据流多在91/2025生效前建立且从未合规化。
企业的陈述与申诉权
在检查期间与之后，企业有权：就检查组提出事项书面陈述并补充文件；对记录与检查结论草案发表意见；若认为结论无依据，依申诉与行政诉讼法对检查结论或处罚决定提出申诉。有效做法分两层：技术层——立即补正可合法补齐的档案缺口（绝不可用事后制作的文件”倒签补齐”，该行为本身即风险）；法律层——书面陈述将检查组每项认定与法律条款及企业合规证据逐项对照，律师自始参与，而非等处罚决定下达后才介入。
行动建议
- 按本文清单审查五组检查档案；建立可随时出示的合规档案室。
- 优先为向母公司的数据流补齐影响评估与跨境传输档案。
- 指定检查对接人及文件提供审批流程（限于要求范围）。
- 准备将各类认定与条款、证据对应的书面陈述模板。
- 每年为法务、信息技术与人事团队进行一次模拟检查。
常见问题
哪个机关进行个人数据保护专项检查？
91/2025下的个人数据保护专门机关是公安部网络安全与打击高科技犯罪局——接收影响评估档案、跨境传输档案与违规通报，并主持或协调专项检查。行业监管机关（银行、医疗、教育、电信）在各自行业内仍有检查权。
企业被进行个人数据保护检查时应准备哪些档案？
五组：政策与法律依据证据（同意、数据主体告知）；已报送专门机关的处理影响评估与跨境传输档案；数据保护人员/部门的指定文件与内部流程；技术档案（访问日志、安全、处理者合同）；事件与违规通报档案。外资企业最常见的两个缺口是缺影响评估与缺传输档案。
新框架下个人数据违规的处罚是多少？
依91/2025第8条，罚款依行为组确定：非法买卖个人数据最高为违法所得10倍（第3款）；跨境传输违规对组织最高为上年度营收5%（第4款）；其他违规最高30亿越南盾（第5款）——并伴随强制删除、暂停处理、公开违规等纠正措施。各行为的具体罚款由该领域政府处罚议定规定——应以检查时有效的文书为准，而非按第13/2023时期的旧水平推断。
企业对数据检查结果有哪些陈述与申诉权？
企业可在检查期间书面陈述并补充文件，对记录与结论草案发表意见，并依申诉与行政诉讼法对检查结论或处罚决定提出申诉。稳健做法：立即补正可合法补齐的档案缺口（绝不倒签造档），并准备将每项认定与条款及企业合规证据对照的书面陈述。