外商企业越南《个人数据保护法》合规检查清单

越南91/2025/QH15号《个人数据保护法》（第十五届国会2025年6月26日通过，2026年1月1日起施行）为在越南处理个人数据的所有组织建立了全新的合规框架——而外商投资企业是受影响最深的群体之一：既持有本地人事与客户数据，又与境外母公司系统相连。本份越南个人数据保护合规检查清单列出14项具体行动，帮助企业检查并完善合规状态，涵盖数据盘点、同意机制规范、影响评估档案编制，直至72小时事件通报。本文是实务行动清单；如需了解各项规定的法律义务详解，请参阅我们的专题指南外商投资企业在91/2025号《个人数据保护法》下的义务。

一、本清单的适用对象与使用方法
二、详细检查清单
A. 范围界定与数据分类
B. 同意机制与数据主体权利
C. 法定合规档案
D. 人员、技术与留存
E. 监督与事件应急
三、自行执行本清单时的常见错误
四、完成清单之后
五、常见问题
六、语言版本
七、参考资料

一、本清单的适用对象与使用方法

本清单适用于在越南经营的外商投资企业的管理层、法务部、人事部、IT部与合规部——包括跨国集团子公司、合资企业、分支机构及处理越南个人数据的代表处。适用场景包括：（一）该法2026年1月1日生效后的首次合规自查；（二）监管部门检查前的准备；（三）发生第22条第2款规定的三种即时更新情形前（改制/终止/解散/破产；个人数据保护服务提供者信息变更；档案中已登记的数据相关经营范围新增或变更）——常规的更换ERP、更换供应商仅产生06个月定期复查时的更新义务。

标记方法：☐ 未完成 · ☑ 已完成且有证据 · ⚠ 已完成但需律师复核。基本原则：每一项都需要证据（文件、档案、系统日志）——接受检查时，企业必须证明自己已经合规，而不是由监管部门证明企业违规。

二、详细检查清单

A. 范围界定与数据分类

事项1：盘点正在收集、处理、存储的全部个人数据 ☐

做什么： 建立数据盘点表（data inventory），列出企业持有的各类个人数据：人事数据（招聘档案、劳动合同、工资、社保、考勤）、客户数据（CRM、订单、合同）、供应商数据、网站/App采集的数据（Cookie、日志）、监控摄像头数据。每类数据注明：采集来源、处理目的、存储位置（哪台服务器、哪个国家）、谁有权访问、留存期限。
为什么： 不知道自己有什么，就谈不上合规。从取得同意（第9条）、编制影响评估档案（第21条），到访问权限管控，该法的一切义务都始于“知道自己在处理什么数据”。盘点不全是后续大多数违规的根源，也是检查机关首先索要的文件。
怎么做： 逐个访谈各部门（人事、销售、市场、IT、行政），并与系统（ERP、HRM、CRM、邮件、文件服务器）交叉核对。对于跨国集团，还要盘点母公司/区域总部通过集团系统远程访问的数据。
注意： 不要遗漏“隐形”数据：网站访问日志、摄像头数据、员工个人Excel表格、包含客户信息的邮件——这些是最常见的盲区。

事项2：按356/2025/ND-CP号议定第3条、第4条区分基础数据与敏感数据 ☐

做什么： 将盘点表中的每一类数据与政府公布的两份目录逐一对照：基础个人数据（356/2025/ND-CP号议定第3条：姓名、出生日期、性别、地址、国籍、肖像、电话号码、个人身份号码、护照号码、婚姻状况、家庭信息、数字账户等）与敏感个人数据（第4条：种族/民族来源、政治/宗教观点、私人生活、健康状况、生物识别与遗传数据、性生活、犯罪记录、地理位置、登录账号密码、身份证件影像、银行账户信息及交易记录、网络行为追踪数据等）。
为什么： 分类错误就等于适用了错误的保护等级，本身就是违规。敏感数据的管控要严格得多：必须建立访问权限限制规则、处理流程和专门的安全措施（356/2025/ND-CP号议定第4条第2款）。很多外商企业没有意识到，配送员的GPS定位数据、指纹考勤数据、客户交易记录都属于敏感数据。
怎么做： 对照356/2025/ND-CP号议定第4条所列13类，在盘点表上为每个字段标注“敏感”；存疑时默认适用更高的保护等级，并注明理由供律师复核。
注意： 身份证件影像和生物识别数据（指纹、人脸）是外商企业采集最多、保护最松的两类敏感数据——尤其是存放在人事部邮箱和聊天软件里的身份证照片。

事项3：明确每个处理流程中的法律角色：数据控制方、数据处理方，还是兼具 ☐

做什么： 针对每条数据流，依据91/2025/QH15号法律第2条确定企业所处的角色：个人数据控制方（决定处理目的和方式——第7款）、个人数据处理方（按控制方要求、依合同处理——第8款），还是控制与处理兼具方（既决定又直接处理——第9款）。将角色记入盘点表，并体现在与各供应商的合同中。
为什么： 不同角色的法律责任完全不同（第37条）：控制方必须在协议/合同中明确各方责任、权利和义务，在与数据主体的文件/协议中确定处理目的，并就处理造成的损害对数据主体承担责任；处理方只能在达成协议/合同后接收数据，必须严格按合同处理，并就损害对控制方承担责任。角色定错，就签错合同、出事时担错责任。
怎么做： 为3–5个核心流程（招聘、人事管理、销售/CRM、市场推广、IT外包）绘制数据流图。每条向外部（IT供应商、薪酬外包商、营销公司、母公司）传输数据的箭头，都标注各方角色，并核对合同条款是否对应。
注意： 境外母公司调取越南子公司的数据，常被误认为“集团内部，无需合同”——这是错的。在法律上它们是独立法人，相互关系必须有书面文件规范。

事项4：排查所有个人数据跨境传输 ☐

做什么： 列出个人数据离开越南领土的全部情形，对照91/2025/QH15号法律第20条第1款规定的三种情形：（a）将存储在越南的数据转移到越南境外的存储系统；（b）将数据传输给境外的组织或个人；（c）使用境外平台处理在越南收集的数据。外商企业的典型场景：集团ERP/HRM/CRM服务器设在新加坡、美国或欧盟；使用境外云（AWS、Azure、谷歌云越南境外区域）；母公司远程调取人事报表；IT外包给境外供应商。
为什么： 未经评估的跨境传输适用该法最重的处罚档：对组织最高可处前一年度营业收入的5%（第8条第4款）。而且这类违规在技术上很容易被核实（IP地址、云合同、访问日志）。
怎么做： 检查云/ERP/SaaS合同（看数据区域条款），询问IT部门服务器位置及母公司远程访问权限，审计系统上的境外管理员账号。每条确认的传输流都对应事项9。
注意： 有一项重要豁免：机关、组织将本单位员工个人数据存放在云计算服务上，免做影响评估程序（第20条第6款b项）。但免程序不等于免保护——数据仍须加密，云服务商须达到相当的安全标准。

B. 同意机制与数据主体权利

事项5：按第9条规范同意取得机制 ☐

做什么： 全面审查数据采集表单（劳动合同、求职申请表、客户注册表、网站/App条款），确保同意符合91/2025/QH15号法律第9条：（一）基于自愿且数据主体知悉三项信息——被处理的数据类型、处理目的、数据控制方/控制与处理兼具方，以及自身权利义务（第2款）；（二）以明确、具体、可打印/复制的书面形式表达，包括电子形式或可验证格式（第3款）；（三）遵守四项原则——每个目的单独同意、不得以同意其他目的为条件、同意持续有效直至数据主体变更或法律另有规定，特别注意：沉默或不回应不构成同意（第4款）。
为什么： 这是最基础的义务，也是最常见的违规点。默认勾选的“我同意全部条款”、把营销同意捆绑进主合同、或推定“客户不反对即同意”——按第9条第4款一律无效。接受检查时，企业必须证明数据主体已经同意，而不是反过来。
怎么做： 每个目的拆成独立勾选框（例如：订单处理 / 接收促销信息 / 分享给合作方——三个独立选项，默认不勾选）。保存同意证据（扫描件、带时间戳的系统日志、确认邮件），确保可检索。
注意： 在该法生效前已按13/2023/ND-CP号议定取得的同意，第39条第1款允许继续有效、无需重新取得——但仅限于已同意的目的范围。新增目的必须重新取得同意。另外，法律列举了无需数据主体同意即可处理个人数据的情形（91/2025/QH15号法律第19条）——企业应逐一核对，避免在豁免情形下多此一举，或在非豁免情形下漏取同意。

事项6：建立数据主体请求受理与处理流程 ☐

做什么： 设立受理渠道（专职邮箱、网站表单）和内部处理流程，覆盖第4条第1款规定的数据主体六项权利：知悉处理活动；同意、不同意及撤回同意；查阅、更正或要求更正；要求提供、删除、限制处理、反对处理；投诉、举报、起诉、索赔；要求采取保护措施。流程须明确受理人、内部处理时限，以及向处理方/供应商转办请求的机制。
为什么： 第4条第5款要求控制方对数据主体请求“及时”办理，且“在法律规定的期限内”完成——政府受托细化具体期限。没有流程，企业在收到删除或撤回同意请求时会手忙脚乱、超期违规。撤回同意/限制处理请求须以书面形式（包括电子形式）向控制方提出（第10条第2款）。
怎么做： 发布1–2页SOP：谁受理请求 → 核验请求人身份（避免删错他人数据） → 分类（查阅/更正/删除/撤回/反对） → 在各系统执行 → 向数据主体反馈结果。对前台、客服和人事进行培训——他们通常是第一受理人。
注意： 撤回同意不溯及撤回之前的处理活动（第10条第4款）。因正当理由无法删除时，必须告知数据主体（第14条第5款）——不能沉默。

事项7：制定并公示个人数据保护政策 ☐

做什么： 起草并公示个人数据保护政策（privacy policy），发布于官网、办公场所并纳入内部劳动规章：采集的数据类型、每类数据的目的、留存期限、数据主体权利及行使方式、负责部门联系方式、投诉机制。涉及市场推广的，补充明确的广告拒收机制：为广告经营处理客户数据须经客户同意，且客户须知悉产品推介的内容、方式、形式、频率，并提供拒收广告的方式（第28条第3款）；客户要求停止接收时，必须提供机制并立即停止（第28条第5款）。
为什么： 公示的政策是透明度义务的第一证据——检查人员总是先读它。没有政策，或政策是与实际处理不符的通用模板，都是检查中的重扣分项。
怎么做： 依据实际盘点表（事项1）起草政策，不用通用模板。翻译成英文（如有中国客户/合作方则加中文），内容保持一致。在网站页脚和每个数据采集表单放置政策链接。
注意： 政策必须与实际相符——承诺“不向第三方分享数据”，实际却把数据发给营销供应商，等于自制违规证据。

C. 法定合规档案

事项8：在60日内编制、存档并报送个人数据处理影响评估档案 ☐

做什么： 个人数据控制方（或控制与处理兼具方）编制个人数据处理影响评估档案（DPIA——分析、评估处理过程中可能发生的风险，以采取风险缓释措施，定义见第2条第12款），在企业存档，并自首次处理个人数据之日起60日内向个人数据保护主管部门报送正本一份（第21条第1款）。数据处理方按与控制方的约定编制并存档（第21条第3款）。
为什么： 这是该法的核心档案义务——最接近“数据经营许可证”的文件。未编制或逾期报送是独立的行政违法；发生事件时，没有DPIA的企业无法证明自己事前评估过风险。注意：在2026年1月1日前已在处理数据的企业，60日期限自该法生效日起算——该期限早已届满。
怎么做： 档案内容包括：处理活动描述、数据类型、风险评估、已采取和拟采取的缓释措施。档案构成、条件、顺序、程序与模板由356/2025/ND-CP号议定第19条细化（2026年1月1日起施行）——编制前须核对该议定附录中的对应模板。将正本报送主管部门（公安部下属——第33条第1款a项）并保存回执。
注意： 影响评估在企业整个经营期内只做一次，但发生变化时必须更新（第21条第2款，见事项14）。在该法生效前已被主管部门接收的DPIA档案继续有效，无需重新编制（第39条第2款）。

事项9：编制个人数据跨境传输影响评估档案 ☐

做什么： 对事项4中确认的每条跨境传输（第20条第6款豁免情形除外），编制个人数据跨境传输影响评估档案，并自首次传输之日起60日内向个人数据保护主管部门报送正本一份（第20条第2款）。该评估在企业经营期内做一次，并按第22条更新。
为什么： 如事项4所述，违反跨境传输规定的罚款上限为前一年度营业收入的5%（第8条第4款）——是该法处罚体系中的最高档。此外，主管部门可定期检查（每年不超过一次），或在发现违法、发生数据泄露/丢失事件时突击检查（第20条第4款）；发现传输的数据被用于可能损害国防、国家安全的活动时，可要求停止传输（第20条第5款）。
怎么做： 档案应分析：传输什么数据、传给谁、接收国保护水平是否相当、保障措施（加密、合同、权限管控）。档案构成、条件、顺序、程序与模板由356/2025/ND-CP号议定第20条细化（2026年1月1日起施行）——编制前须核对该议定附录中的对应模板。跨国集团宜就全部流向母公司的数据编制一份框架档案，而不是按系统零散编制。
注意： 准确区分第20条第6款的豁免：（a）有权国家机关的传输；（b）本单位员工数据存放在云服务；（c）数据主体自行跨境传输；（d）政府规定的其他情形。员工因公司业务自行把工作文件发到境外，不属于（c）——不要混淆。

事项10：审查并规范与数据处理方、服务供应商的合同 ☐

做什么： 全面审查与代企业处理数据的各方（IT供应商、薪酬/人事外包商、营销公司、云存储商、提供共享服务的母公司）的合同，补充符合第37条的个人数据处理条款：控制方必须在相关协议/合同中明确各方的责任、权利和义务（第1款a项），并选择合适的数据处理方（第1款đ项）；处理方只能在达成协议/合同后接收数据，必须严格按合同处理，并就损害对控制方承担责任（第2款）。
为什么： 供应商泄露数据时，控制方仍须就处理造成的损害对数据主体承担责任（第37条第1款g项）——不能把责任推给供应商。严密的合同是分配风险、要求供应商落实保护措施、及时通报事件、违约赔偿的唯一工具。
怎么做： 在现有合同中增加数据处理附录（DPA）：可处理的数据范围、目的、最低安全措施、24小时内通报事件、合同终止时删除/返还数据、控制方的检查权、赔偿条款。
注意： 特别注意与母公司/集团的共享服务协议——通常是笼统的框架合同，完全没有数据条款，这是外商企业最普遍的漏洞。

D. 人员、技术与留存

事项11：指定个人数据保护部门/人员，或聘请专业服务 ☐

做什么： 落实第33条第2款：在内部指定具备个人数据保护能力的人员/部门（DPO），或聘请提供个人数据保护服务的组织、个人。建议（非法律强制要求）在隐私政策中公示被指定人的姓名、职务和联系方式，作为数据主体请求的对接人和与监管部门的工作联系人。
为什么： 法律不允许“人人负责等于无人负责”。发生事件或监管部门上门时，企业必须有明确的责任对接人。对于敏感数据，356/2025/ND-CP号议定还要求建立访问权限限制规则（第4条第2款）——没有负责人，这项工作无法落实。
怎么做： 中大型企业：任命DPO（可由法务/IT兼任，但须经培训并有书面任命决定）。小型企业：按第33条第2款外聘有资质的咨询机构——服务合同须明确范围。在官网和政策中公示DPO联系方式。
注意： 可参阅我们关于个人数据保护人员与职能的分析，确定适合企业规模的模式。小型企业/初创企业可在05年内选择不履行该义务（第38条第2款），但有例外——而外商企业因处理敏感数据或累计处理总量达到100,000名数据主体以上（356/2025/ND-CP号议定第41条），通常落入例外。

事项12：落实技术保护措施，规定留存期限与安全删除 ☐

做什么： 同步落实制度、技术、人员三方面的个人数据保护措施（第3条第4款）：敏感数据加密、最小必要权限管控、存有个人数据的系统启用多因素认证、访问日志、备份与恢复计划。同时，按“留存期限与处理目的相适应”原则（第3条第3款）发布各类数据的留存期限规定，以及在目的实现、期限届满或数据主体要求时的安全删除、销毁流程（第14条）。
为什么： 违反保护原则（超目的处理、数据不准确、超期留存、未主动防范）对组织可处2000万–4000万越南盾罚款（330/2026/ND-CP号议定第39条）。删除、销毁必须采取安全措施，防止非法恢复（第14条第3款）——在表格里点一下“删除”不算数。
怎么做： IT与法务共同制定留存矩阵：数据类型——留存期限——依据（如人事档案按劳动/税收法，客户数据按合同诉讼时效）。设置超期自动提醒。对敏感数据适用第34条更高的技术标准，并按356/2025/ND-CP号议定限制访问权限。
注意： 两个最容易被遗忘的删除节点：（一）未录用求职者的数据必须删除、销毁，除非另有约定（第25条第1款c项）；（二）劳动合同终止时必须删除、销毁员工个人数据，除非有约定或法律另有规定（第25条第2款c项）。“留着备用”是违法的。

E. 监督与事件应急

事项13：制定围绕72小时通报的事件应急计划 ☐

做什么： 以书面形式发布事件应急预案：发现 → 定级 → 隔离处置 → 通报 → 形成纪要 → 复盘。核心是第23条义务：发现可能损害国防、国家安全、社会秩序安全，或侵犯数据主体生命、健康、名誉、尊严、财产的个人数据保护违规时，控制方/控制与处理兼具方/第三方须自发现之日起72小时内向个人数据保护主管部门通报；处理方发现的，须及时通知控制方。同时须就违规事实形成确认纪要，并配合主管部门处理（第23条第2款）。
为什么： 72小时自“发现”起算，而非事件发生时——但没有流程的企业，往往要花数周才能确定“何时发现”，之后的一切解释都很无力。预案还须考虑在专门法律要求时通知受影响的数据主体（例如：银行账户、金融、信用信息泄露、丢失须通知数据主体——第27条第1款d项）。
怎么做： 成立应急小组（法务、IT、公关、管理层），每年至少开展一次桌面推演，场景设为勒索软件/客户数据库泄露。预先准备主管部门通报模板（通报内容由政府细化——第23条第5款）和数据主体通知模板。在供应商合同中约定：发现事件须在24小时内通知企业。
注意： 可参阅我们关于个人数据违规事件应急的详细指南，按事件类型准备预案。不要等到真实事件发生才写预案——那是最贵的错误。

事项14：建立定期检查日历，更新档案并跟踪处罚动态 ☐

做什么： 把数据合规纳入公司治理日历：（一）有变化时每06个月更新一次影响评估档案（境内处理与跨境传输），并在第22条第2款规定的三种情形下即时更新——改制/终止/解散/破产；个人数据保护服务提供者的信息变更；档案中已登记的数据相关经营范围新增或变更；（二）每年至少重跑一遍本清单，或在重大变更时重跑；（三）跟踪政府/公安部新的指引文件。
为什么： 数据合规不是一次性项目。过时的DPIA档案（例如已更换云供应商但档案仍写旧供应商）既违反更新义务，又在需要举证时毫无价值。处罚方面，330/2026/ND-CP号议定（2026年8月19日生效）已量化：其他违法最高30亿越南盾，跨境违规最高为前一年度营业收入的5%，买卖个人数据最高为违法所得的10倍（91/2025/QH15号法律第8条；330/2026/ND-CP号议定第7条明确第二章第六节的罚款数额适用于组织，个人减半）。
怎么做： 交由DPO（事项11）设置提醒：档案更新、风险再评估、权限复查、事件演练。每次档案更新通过国家个人数据保护门户网站或在主管部门办理（第22条第3款），并保存回执。
注意： 改制/并购/解散、个人数据保护服务提供者信息变更、新增或变更数据相关经营范围——正是第22条第2款规定的三种即时更新情形。常规的更换ERP、更换供应商在06个月定期复查时更新。把本清单嵌入公司的变更管理审批流程，避免遗漏。

三、自行执行本清单时的常见错误

1. 同意框默认勾选、多个目的并作一框。 直接违反第9条第4款（沉默/不回应不构成同意；同意须按目的分别作出）。整改：每个目的独立设框、默认不勾选，保存带时间戳的同意日志。

2. 影响评估档案做一次就“束之高阁”。 更换ERP、更换云供应商未在06个月复查周期内更新，或新增数据相关经营范围未即时更新，违反第22条。整改：把档案更新义务嵌入公司变更审批流程；DPO每06个月复查。

3. 用境外云/ERP处理客户数据却不做跨境传输档案。 很多外商企业默认“集团系统算内部”——但第20条第1款c项明确，使用境外平台处理在越南收集的数据属于跨境传输，罚款上限达营业收入的5%。整改：盘点传输流（事项4）并按事项9建档；只有员工数据存云才免程序（第20条第6款b项）。

4. 无限期保留求职者档案和离职员工数据。 违反第25条（删除未录用求职者数据；劳动合同终止时删除员工数据，除非有约定或法律另有规定）。整改：规定具体留存期限和定期删除流程；例外须与个人达成书面约定。

5. 没有事件应急预案和责任对接人。 发生泄露时，企业花数天才理清谁向谁报告，错过第23条的72小时期限。整改：发布应急预案，指定DPO/对接人（第33条第2款），每年至少演练一次。

四、完成清单之后

14个事项全部达到☑（证据齐全）后，企业即达到91/2025/QH15号法律下的基本合规状态。后续步骤：（一）按事项14维持定期检查日历；（二）每年至少开展一次全员数据保护意识培训——人为失误是大多数事件的成因；（三）在系统、关键人员发生重大变化，或政府发布新的指引文件时，全面重新评估。

必须请律师复核的情形包括：发现复杂的跨境传输（多国、敏感数据）；发生真实的数据泄露事件；收到监管部门约谈/检查要求；或企业处于特殊监管行业（金融银行、医疗、保险、电信），适用91/2025/QH15号法律第26条、第27条的附加义务。

FLAT律师事务所为外商投资企业提供《个人数据保护法》合规全包审查：数据盘点与分类、影响评估档案编制、同意机制与政策规范、72小时事件应急预案。欢迎致电 0988424851 咨询。

五、常见问题

《个人数据保护法》是否适用于在越南没有法人实体的外国母公司/集团？ 适用。根据91/2025/QH15号法律第1条第2款c项，该法同样适用于直接参与或涉及处理越南公民个人数据的外国机关、组织和个人，即使其在越南没有机构。通过集团ERP调取越南人事、客户数据的母公司也在适用范围内。

已按13/2023号议定取得同意的企业，是否需要按新法重新取得同意？ 不需要。第39条第1款规定，在该法生效前已按13/2023/ND-CP号议定取得数据主体同意（或达成协议）且正在进行的个人数据处理活动，可继续进行，无需重新取得同意。但范围仅限于已同意的目的——新增目的须重新取得同意。

小型外商企业或初创企业是否可以免做影响评估档案？ 有严格限制。第38条第2款允许小型企业、初创企业在该法生效之日起05年内选择不执行第21条、第22条和第33条第2款。但该优惠不适用于从事个人数据处理服务、直接处理敏感个人数据，或累计处理总量达到100,000名数据主体以上（356/2025/ND-CP号议定第41条）——多数外商企业都落入此类。

将员工数据存放在集团境外云/ERP上，是否需要做跨境传输影响评估？ 不需要，但须符合第20条第6款b项的豁免情形（机关、组织将本单位员工个人数据存放在云计算服务上）。但如果使用境外平台处理在越南收集的客户数据，则必须编制影响评估档案并在60日内报送主管部门（第20条第2款）。

违反《个人数据保护法》的最高罚款是多少？ 根据91/2025/QH15号法律第8条：其他违法行为最高30亿越南盾；违反个人数据跨境传输规定的，最高为前一年度营业收入的5%；买卖个人数据的，最高为违法所得的10倍。上述上限适用于组织；个人违法的，减半执行（第8条第6款；330/2026/ND-CP号议定第7条）。

六、语言版本

七、参考资料

91/2025/QH15号《个人数据保护法》——第十五届国会第九次会议2025年6月26日通过；2026年1月1日起施行。
政府356/2025/ND-CP号议定（2025年12月31日）《个人数据保护法》若干条款实施细则（取代13/2023/ND-CP号议定），2026年1月1日起施行——第3条（基础数据目录）、第4条（敏感数据目录）。
政府330/2026/ND-CP号议定（2026年8月19日）网络安全与个人数据保护行政处罚规定——2026年8月19日起施行。
政府13/2023/ND-CP号议定（2023年4月17日）个人数据保护规定——在356/2025/ND-CP号议定生效时废止；过渡条款适用91/2025/QH15号法律第39条。