外资企业是否必须编制个人信息处理影响评估（DPIA）？根据91/2025号《个人信息保护法》（2026年1月1日生效）及356/2025号议定，答案是：几乎肯定需要——源于外资模式特有的五个触发情形。本文提供五个自查问题矩阵，区分两种易混淆的备案，说明60天时限及处罚规定。
法律依据
- 91/2025号法律（2026年1月1日生效）：第21条（个人信息处理影响评估——DPIA）；第20条（个人信息出境）。
- 356/2025号议定（2026年1月1日生效）：第19条（DPIA材料——编制、留存、60日内报送正本1份，10号表格）；第17–18条（数据出境）。
- 处罚：330/2026号议定第55条（2026年8月19日颁布）。
五个自查问题：贵司是否需要DPIA？
以下任一问题回答“是”，即几乎肯定须编制DPIA：
| # | 自查问题 | 说明 |
|---|---|---|
| 1 | 是否向境外母公司/总部传输个人信息？ | 最常见的外资触发情形：人事报表、客户数据、经营数据发往总部。 |
| 2 | 是否使用境外平台处理在越南收集的个人信息（全球HR/ERP系统、境外云）？ | 91/2025号法律第20条第3款：在境外平台处理在越收集的数据。 |
| 3 | 是否处理敏感个人信息？ | 按356/2025号议定第4条（如生物识别、健康、金融数据等）。 |
| 4 | 处理规模是否达到10万个人信息主体以上？ | 丧失小企业豁免的门槛。 |
| 5 | 数据处理活动较上次评估有无变化（范围扩大、新增目的、更换系统）？ | 有变化时须每6个月更新。 |
两种备案辨析：DPIA与个人信息出境影响评估
| 标准 | DPIA（第21条） | 个人信息出境影响评估（第20条） |
|---|---|---|
| 范围 | 企业全部个人信息处理活动 | 仅个人信息出境活动 |
| 编制频次 | 全部处理活动编制1次；有变化时更新 | 开始出境时编制；并非每次出境编制1份 |
| 报送时限 | 60日内报送正本1份（356/2025号议定第19条，10号表格） | 首次出境之日起60日内报送 |
| 留存 | 企业留存，检查时出示 | 企业留存 |
60天时限：关键节点
- 处理前/出境前：编制影响评估材料。
- 60日内：向主管机关报送DPIA正本1份（356/2025号议定10号表格）。
- 每6个月：处理活动有变化时更新材料。
- 检查时：出示企业留存的材料。
豁免与两种常见误解
豁免情形（第20条第6款）
- 国家机关依法履职；
- 在云端存储劳动者个人信息——免于出境影响评估，但仍须编制DPIA；
- 个人信息主体自行将数据传输出境。
误解1：”人事数据存云端就全免了”
错误。豁免仅针对出境评估；数据处理活动的DPIA义务依然存在。
误解2：”每次传输数据都要新编1份材料”
错误。DPIA针对全部处理活动编制1次，有变化时更新——并非每批传输都重编。
处罚（330/2026号议定第55条）
- 2000–3000万越盾：未按规定编制或报送影响评估材料。
- 5000万–1亿越盾：伪造评估材料。
- 整改措施：责令停止违规数据处理活动。
外资企业行动清单
- ☐ 回答五个自查问题——确定是否须编制DPIA。
- ☐ 明确区分两种备案（DPIA第21条与出境第20条）。
- ☐ 按10号表格编制DPIA（356/2025号议定）；60日内报送正本1份。
- ☐ 梳理向母公司/全球HR-ERP系统/境外云的数据流。
- ☐ 安排有变化时每6个月更新。
免责声明：本文为一般信息，依据91/2025号法律、356/2025号议定及330/2026号议定，为发布之日的信息。各企业实际数据流须单独审查后再编制材料；适用前请核对原文并咨询专业人士。
内容经FLAW AI Legal Council审核——具有资深律师思维的AI委员会。本文并非真人律师意见，不能替代直接法律咨询。
本文已经QA委员会审核。
如需个人信息合规审查或DPIA编制支持，请联系FLAT律师事务所。