企业隐私通知（越南）

大多数企业已在网站发布隐私通知（privacy notice）——但很少企业自问该文件是否符合越南法律。根据《个人数据保护法》第91/2025/QH15号（2026年1月1日生效），隐私通知是履行透明义务的工具：帮助数据主体在同意前”清楚知晓”数据类型、处理目的、控制方及自身权利（第9条）。本文指导按91/2025号法律和第356/2025/ND-CP号议定建设隐私通知。

企业为什么必须有隐私通知

91/2025号法律未将”隐私通知”作为单独法定术语，但透明义务贯穿法律各项规定。第9条第2款要求同意仅在主体清楚知晓数据类型、处理目的、控制方及自身权利义务时有效。若不通过隐私通知清楚、系统地提供这些信息，所获得的同意难被视为有效，基于其的处理面临被视为违规处理的法律风险（第7条第4款）。

第4条第1款a项将知晓处理活动的权利列为数据主体第一项权利；第4条第4款要求各方创造便利条件，不得给该权利的行使制造困难、障碍。第29条第6款要求提供社交网络、在线通信服务的组织公开隐私政策，清楚说明数据收集、使用和共享方式。

隐私通知与同意：同一机制的两面

隐私通知与同意是同一机制中相互补充的两个部分：通知履行透明义务——提供第9条第2款要求须”清楚知晓”的信息；同意是主体在这些信息基础上的法律行为。因此两个文件须同步建设：每个处理目的须有对应的同意机制（按目的分别、不合并、可按第10条撤回）；更新其中一个须审查另一个。见数据主体同意管理指南。

达标隐私通知的最低内容

符合91/2025号法律的隐私通知须包括以下内容组。第一，控制方身份：名称、地址、联系信息——对应主体须”清楚知晓”的信息（第9条第2款b项）。第二，收集的数据类型：具体列举，区分第3条和第356/2025号议定第3–4条下的基本数据与敏感数据——不用”其他个人信息”之类笼统表述。第三，处理目的：逐个列明具体目的（第9条第4款要求同意按每个目的分别表达）；

第四，处理依据：同意，或第19条下不需同意的情形（如履行合同、遵守法定义务）。第五，保存期限：按仅在与处理目的相称的时间内保存的原则（第3条第3款）。第六，主体权利：完整列举第4条第1款各项权利并指导行使方式——附第356/2025号议定第5条时限（2个工作日内回应；按请求类型10–20日内执行）。第七，安全措施和数据保护部门的联系信息。第八，投诉机制及通知变更时的更新。

网站和应用的隐私通知

第28条规定广告业务中的数据保护：通过跟踪网站、应用收集数据仅在主体同意时方可进行；须有允许拒绝共享数据的方式、明确保存时间，不再需要时删除、销毁数据（第28条第8款）。第29条要求社交网络平台、在线通信服务提供拒绝收集、共享cookie的选项、”不跟踪”选项，以及访问、修改、删除数据和隐私设置的机制。

网站、应用应将通知分为两层——收集点的摘要（如cookie横幅、注册页面），含核心信息和清楚的同意/拒绝按钮；以及易访问的完整版（通常在页脚）。按第9条第4款：不得将多个不相关目的的同意合并为一个”同意”按钮；沉默不视为同意。对行为广告，还须注意反垃圾短信、垃圾电话规定（第28条第4款）。

面向劳动者的隐私通知

劳动关系产生大量个人数据：招聘档案、合同、考勤（含生物识别）、健康数据、发薪银行账户。第25条规定特殊义务：招聘中只能要求、使用服务于招聘目的及约定其他目的的信息；删除、销毁未录用候选人信息，另有约定的除外。在管理、使用劳动者中，合同终止时删除、销毁数据，另有约定或法律另有规定的除外。

第25条第3款有特别之处：以技术、技术手段（监控摄像头、指纹/人脸考勤、监控软件）收集的劳动者数据的处理，仅在劳动者清楚知晓该手段且符合法律规定的基础上方可进行。面向劳动者的隐私通知应为单独文件（或劳动规章、员工手册的附件），覆盖从招聘到合同终止的数据生命周期。

金融、银行领域客户的通知

第27条对金融、银行、征信领域活动组织、个人规定特殊责任——处理大量敏感数据的领域。除全面适用敏感数据规定外，这些组织未经同意不得用主体信用信息进行信用评分、信用评级、信用评估；仅从适当来源收集必要数据；并须在银行、金融、信用账户信息泄露、丢失时通知主体。

对这类组织，隐私通知（通常是开户、使用服务合同中的保密条款）须说明：特殊处理目的（信用评分、评级如有）；收集来源及收集、共享方；保存时间；撤回同意机制；删除、销毁政策。金融科技、电子钱包、证券、保险——虽非传统银行——在处理客户金融数据时均属调整范围。

处理目的变更时更新通知

隐私通知不是发布一次就束之高阁。每次变更处理目的、数据类型、数据接收方或保存期限，通知须相应更新——因为主体同意时”清楚知晓”的内容（第9条第2款）已不再准确；新目的须在更新信息基础上取得新同意（第9条第4款a项）。良好实务：凡影响个人数据的系统、流程变更都经过法务审查——类似按第22条更新影响评估档案——并按时间存档通知版本及生效时点。

FDI企业的多语言隐私通知

91/2025号法律未规定强制语言，但对数据主体为越南人的FDI企业，越南语通知是满足”主体清楚知晓”条件（第9条第2款）的实际要求——普通读者看不懂的纯英文文件难证明已透明。建议：以越南语版为正本——准确反映在越南的实际处理，正确援引91/2025号法律和第356/2025号议定；英文、中文版为参考译本，约定有差异时以越南语版为准。

起草隐私通知的常见错误

错误一：照抄国外模板。GDPR或美国法模板援引越南法不存在的概念、权利、机制（如”被遗忘权”），同时遗漏91/2025号法律的特殊义务如请求处理时限（第356/2025号议定第5条）、72小时违规通报（第23条）。错误二：内容与实际不符。通知写”不与第三方共享数据”而实际用三家服务提供商处理——既违反透明，又是事件发生时的不利证据。

错误三：为所有目的合并同意——一个复选框”我同意隐私政策和使用条款”覆盖营销、行为分析、分享给合作伙伴，违反按目的分别同意的原则（第9条第4款a项）；错误四：无撤回同意机制（第10条确认撤回同意、限制处理的权利）；错误五：不更新——2023年的通知仍援引第13/2023号议定，而91/2025号法律已生效。

与FLAT一起审查完善隐私通知

完整的审查项目通常包括：对照实际处理核对通知内容（数据盘点结果）；按上述最低内容组评估完整性；检查版本间一致性；按91/2025号法律和第356/2025号议定更新法律依据；规范同意收集机制、证据保存。对敏感数据，见敏感个人数据处理指南。

FLAT律所协助新建或审查、完善隐私通知体系——从网站、应用到面向劳动者和特定领域客户的通知——确保符合现行个人数据保护法律框架，准确反映实际运营。企业可联系我们咨询与规模、领域相适应的审查范围。

常见问题