图片：带数据安全图标的笔记本电脑 — 来源：Pexels，作者：Dan Nelson（Pexels许可）。
人事档案不再是HR部门的”私产”
一家拥有800名工人的制造企业，把全部人事档案放在一个共享Excel里：姓名、身份证号、住址、银行账号、婚姻状况、入职体检结果，甚至违纪记录。这个文件通过内部邮件流转，存在HR员工的个人电脑上，没有密码。人力资源总监不以为然：”这是内部数据，有什么好担心的。”
自2026年1月1日起，这种想法就是法律风险。越南国会2025年6月26日通过的第91/2025/QH15号《个人数据保护法》（共5章39条）已正式生效，这是越南第一部全面的个人数据保护法律。与之配套的第356/2025/ND-CP号议定（同样自2026年1月1日生效）作出了详细的实施指引。作为处理成百上千劳动者个人数据的处理者，企业正处在监管的聚光灯下。
劳动者数据：哪些算”敏感”？
法律将个人数据分为一般数据和敏感数据。对人事数据而言，很多类型属于敏感数据，受到更高标准的保护：
- 健康数据：入职体检结果、职业病档案、病假条；
- 生物识别数据：考勤用的指纹、人脸；
- 社会政治组织数据：团员、党员身份（如有）；
- 金融数据：工资银行账号、交易记录（按新指引）；
- 家庭生活数据：婚姻状况、配偶子女信息（用于产假、赡养扣除）。
值得注意的是，个人数据的概念相比原来的第13/2023/ND-CP号议定（已在新数据保护法律体系下被取代）有所扩大。企业不能默认”过去一直这么做就没问题”。
企业必须立即履行的五项义务
1. 每次处理都要有法律依据——首先是同意。 一切个人数据处理都必须基于数据主体清楚、透明、可验证的同意。藏在内部劳动规章里几十页的格式条款，或入职时的”默示同意”，已远远不够。企业需要重新设计同意流程：分别、明确、针对具体处理目的（招聘、发薪、考核、生物识别考勤……）。
2. 透明告知。 收集数据时，企业必须告知：收集什么、用于什么目的、保存多久、劳动者的权利、联系方式。对新员工，这份告知应成为入职流程的一部分。
3. 保障数据主体权利。 劳动者享有知情权、同意与撤回同意权、查阅更正删除权、反对处理权、投诉及索赔权。企业必须建立受理和处理这些请求的流程，在法定期限内办结——不能”收了申请就搁置”。
4. 相称的安全措施。 从访问权限控制（不是HR部门每个人都能看全部档案）、敏感数据加密，到数据泄露事件的应对流程（评估、补救、按规定通知主管机关和受影响个人）。开头例子里那个无密码的共享Excel，是最先要消灭的东西。
5. 配备数据保护人员。 按实施指引，企业必须明确负责个人数据保护的部门或人员及其职责权限。对大企业而言，这应是一个专职的对接点，而不是”挂名兼职”。
HR常踩的”坑”
- 指纹/人脸考勤：生物识别数据是敏感数据——需要单独同意，并评估必要性与相称性。
- 背景调查：只收集职位真正需要的范围，并事先告知。
- 向境外母公司共享人事数据：个人数据出境适用专门条件——需要做影响评估并履行法定程序。
- 离职员工档案保存：不能无限期”以防万一”地存着；应按目的（税务决算、潜在争议……）确定保存期限，到期删除。
结语
第91/2025/QH15号《个人数据保护法》把劳动者数据从”内部财产”变成了受法律保护的资产，配套了一整套义务：同意、告知、安全、尊重数据主体权利和问责。企业应从一次”人事数据盘点”开始：正在收集什么、存在哪里、谁能访问、依据什么法律基础——然后逐个堵住漏洞。今天的合规成本，永远比明天的事故成本便宜。
常见问题
《个人数据保护法》何时生效？
第91/2025/QH15号法律2025年6月26日通过，2026年1月1日生效。配套的第356/2025/ND-CP号议定同日生效。
2026年前签的劳动合同需要补充数据同意条款吗？
建议复核并补充。新法下的同意必须清楚、具体、针对每个处理目的；旧合同里的笼统条款很难达标。
指纹考勤数据算敏感数据吗？
算。生物识别数据属于敏感个人数据，受更高标准保护，需要劳动者的单独同意。
劳动者有权要求删除自己的数据吗？
在法定情形下有权，例如撤回同意、数据对收集目的已无必要。企业必须有受理和处理这类请求的流程。
向境外母公司传输人事数据需要什么条件？
个人数据出境须满足法律规定的专门条件，包括影响评估和法定程序。外资企业应特别注意这一点。
本文已通过 FLAW AI Legal Council 质量审核
