个人信息保护：在越中资企业需要遵守什么？

开篇警示：如果贵公司在越南仍按第13/2023/ND-CP号议定做个人信息保护合规——您遵循的是一部已于2026年1月1日失效的文件。自该日起，第91/2025/QH15号《个人信息保护法》与第356/2025/ND-CP号议定构成全新框架——新的处罚规定自2026年8月19日起生效。

本文为在越中资企业提供六项核心合规清单——数据主体同意、DPIA备案、向中国母公司跨境传输数据、指定数据保护人员——以及中资企业三大常见误区。

1. 为什么中资企业正处风险区？

• 第13/2023/ND-CP号议定已于2026年1月1日失效（第356/2025/ND-CP号议定第42.2条）——这是头号”旧法引用陷阱”：多数中资企业仍在按旧框架运转。
• 第91/2025/QH15号法律（2026年1月1日生效）：第2条将适用范围扩大至在越南的外国组织和个人——中资企业当然在调整范围内。
• 2026年8月19日起的新处罚：第330/2026/ND-CP号议定规定个人信息保护行政处罚，罚款大幅提高（见第4节）。

2. 六项核心合规清单

（一）重新审查数据主体同意

根据第91/2025号法律第9、11条，同意须在处理之前作出、自愿、按具体目的分别作出——且沉默不构成同意。打包式”同意”表单、默认勾选框、”继续使用即视为同意”条款均不符合新标准。须审查所有数据收集表单（招聘、客户、内部企业微信/钉钉等）。

（二）编制并报备DPIA

根据第91/2025号法律第21条及第356/2025号议定第19条：组织须编制数据保护影响评估（DPIA）档案、留存总部，并在开始处理个人信息之日起60日内向主管部门报送正本一份（按第10号表格）；有变更时每6个月更新。这是最容易被遗漏的义务。

（三）向中国母公司跨境传输数据的档案

这是中资企业的特有”痛点”：向总部报送人事/财务数据、使用企业微信、钉钉、中国境内云。根据第91/2025号法律第20条及第356/2025号议定第17–18条，将个人信息传输出越南境外属以下3种情形，须编制单独的影响评估档案并在60日内报送：

• 在越南境外存储个人信息；
• 向境外组织、个人传输个人信息；
• 使用境外平台处理在越南收集的个人信息。

豁免（第20条第6款）：国家机关履行职能；在云平台存储员工个人信息；数据主体自行将其个人数据传输出境的情形。

（四）指定数据保护部门/人员

根据第356/2025号议定第13–14条，数据保护人员须具有大专以上学历、2年以上相关经验，并接受过数据保护专业培训。不能随意指定一名行政人员兼任而达不到标准。

（五）违规通报与数据主体权利行使流程

建立内部流程：受理、处理数据主体请求（查阅、更正、删除、撤回同意、反对处理等）；在法定期限内向主管部门和受影响主体通报违规事件。

（六）定期更新

DPIA档案和跨境传输档案在目的、处理方式或接收方变更时，须每6个月审查更新。

3. 中资企业三大常见误区

1. “我们按第13/2023号议定合规”：该文件已于2026年1月1日失效。所有基于第13号议定建立的内部流程都须按第91/2025号法律+第356/2025号议定重新审查。
2. 未建档案就向母公司同步数据：将人事、客户数据推送至中国境内系统（企业微信、钉钉、中国云）属于跨境传输——须编制单独的影响评估档案，不能”悄悄”进行。
3. 总部派来的数据保护人员不达标：从总部派驻的人员不符合第356/2025号议定第13–14条的资质/经验/培训标准，或不了解越南法律。

速览对比：第13/2023号议定 vs 第91/2025号法律

4. 新处罚规定（2026年8月19日起）

第330/2026/ND-CP号议定（2026年8月19日生效）——第55条值得注意的罚款：

• 2000–3000万越盾：违反DPIA档案规定；
• 5000万–1亿越盾：伪造档案数据、文件；
• 严重违规责令停止数据处理；
• 其他违规：最高30亿越盾/组织；
• 买卖个人信息：最高10倍非法所得。

5. 小企业5年豁免提示

第356/2025号议定允许小企业、初创企业选择5年内免于适用法律第21、22条及第33条第2款——除非企业经营数据处理服务、直接处理敏感个人信息，或处理10万以上数据主体的数据。中型中资企业应自评是否属于豁免范围。

6. 90天路线图建议

1. 第1–30天：盘点全部数据流（哪里收集、哪里存储、传向哪里——特别注意流向中国的）；审查现有同意表单。
2. 第31–60天：编制DPIA档案；编制跨境传输影响评估；指定/培训数据保护人员。
3. 第61–90天：向主管部门报送档案（在开始处理起60日期限内）；发布内部流程；全员培训。

7. 常见问题

第13/2023号议定还有效吗？

无效。已于2026年1月1日失效（第356/2025/ND-CP号议定第42.2条）。现行框架为第91/2025号法律+第356/2025号议定。

中国母公司要求报送员工数据——可以吗？

可以，但须编制个人信息跨境传输影响评估档案并在60日内报送主管部门（第91/2025号法律第20条；第356/2025号议定第17–18条），同时确保已取得员工的有效同意。

使用企业微信/钉钉违规吗？

使用平台本身不被禁止，但如在越南收集的个人信息在境外平台处理，则属于跨境传输——须履行相应程序。

8. 法律依据（截至2026年10月14日）

• 第91/2025/QH15号《个人信息保护法》——2026年1月1日生效：第2条（适用范围）、第9、11条（同意）、第20条（跨境传输）、第21条（DPIA）。
• 第356/2025/ND-CP号议定——2026年1月1日生效：第13–14条（数据保护人员）、第17–19条（传输、DPIA）、第42.2条（废止第13/2023号议定）。
• 第330/2026/ND-CP号议定——2026年8月19日生效：数据保护行政处罚（第55条）。

本文为一般信息，非针对具体案件的法律咨询；企业部署跨境数据流前应与律师复核。

联系咨询

FLAT律师事务所（中国业务部）协助在越中资企业做个人信息保护合规审查、编制DPIA及跨境传输档案。请通过联系页面与我们联系。