自2026年1月1日起，越南《个人信息保护法》（第91/2025/QH15号）正式生效，取代此前的第13/2023/ND-CP号议定。越南首次以法律形式全面规范个人信息的全生命周期——从收集、处理、存储到删除、销毁，凡处理客户、员工、合作伙伴数据的企业均在适用范围内。
本文系统梳理企业须立即履行的10项核心义务，依据第91/2025/QH15号法律、第356/2025/ND-CP号议定（实施细则，同日生效）及第330/2026/ND-CP号议定（行政处罚，2026年8月19日生效）。
1. 2026年1月1日以来的新法律框架
- 第91/2025/QH15号《个人信息保护法》（2025年6月26日通过，2026年1月1日生效）：规定数据主体的权利、处理各方的义务及禁止行为（第7条：买卖个人信息、侵占、故意泄露或丢失数据等）；
- 第356/2025/ND-CP号议定（2025年12月31日颁布，2026年1月1日生效）：实施细则，全面取代第13/2023/ND-CP号议定；
- 第330/2026/ND-CP号议定（2026年8月19日颁布并生效）：网络安全与个人信息保护领域的行政处罚。
注意：凡仍援引第13/2023/ND-CP号议定作为现行依据的合规文件、合同或隐私政策均已过时，须及时更新。
2. 企业须立即履行的十项义务
义务1——取得有效同意并能举证：同意须明确、自愿，并针对每一具体处理目的。企业须保存同意记录，在发生争议或检查时承担举证责任。禁止预设同意选项或使用易混淆的同意界面（第356/2025/ND-CP号议定第6条）。
义务2——告知数据主体：在收集前或收集时告知处理目的、数据类型、数据接收方、主体权利及联系方式。
义务3——按时处理主体请求：2个工作日内答复请求；撤回同意、限制处理或反对处理的请求在15日内执行；查阅、更正、提供数据的请求在10日内执行；删除请求在20日内执行（第356/2025/ND-CP号议定第5条）。
义务4——编制数据处理影响评估档案：编制、保存并更新影响评估档案（第91/2025/QH15号法律第21条）；每6个月更新一次，目的、处理方或第三方变更时立即更新。
义务5——跨境传输须评估：每一次个人信息出境都须编制专门的影响评估档案，并在首次传输之日起60日内报网络安全局（A05）（第91/2025/QH15号法律第20条、第22条）。
义务6——指定数据保护人员或聘请服务：指定具备任职资格的人员（大专以上学历，法务、信息技术或网络安全领域至少2年经验），或聘请外部数据保护服务机构（第91/2025/QH15号法律第33条第2款；第356/2025/ND-CP号议定第13条）。
义务7——72小时内通报违规：发生个人信息保护违规时，须在违规发生后72小时内通报公安部网络安全与高科技犯罪防范局（A05），制作书面记录，并通知受影响的数据主体（第91/2025/QH15号法律第23条）。逾期通报可处4000万至6000万越盾罚款（第330/2026/ND-CP号议定第54条）。
义务8——采取技术保护措施：访问权限控制、敏感数据加密、系统日志；大规模数据处理须强制多因素认证。
义务9——目的实现后删除数据：未录用求职者的数据须删除、销毁；劳动合同终止后删除员工数据；不得超期保存。
义务10——配合检查：保存完整档案，随时接受数据保护专责机关（A05）的定期或突击检查。
3. 小微企业的宽限安排
为减轻合规负担，第356/2025/ND-CP号议定第41条允许小企业、初创企业在5年内（2026年1月1日至2030年12月31日）自主选择是否履行义务4、义务5（档案部分）及义务6；个体工商户、微型企业无限期免除。但从事数据处理服务经营、直接处理敏感数据或处理10万名以上数据主体数据的企业不适用该宽限。
4. 常见问题
问：公司仅保存客户通讯录用于邮件营销，是否适用本法？
答：适用。收集、存储、使用客户邮箱或电话均属”个人信息处理”，须取得有效同意并提供撤回机制。
问：可以不设内部数据保护人员吗？
答：可以，前提是聘请符合任职资格的外部数据保护服务机构——法律允许两种模式（第3节所述宽限情形除外）。
问：违规罚款是多少？
答：视行为而定，如逾期72小时未通报：4000万至6000万越盾；工作场所安装摄像头未告知员工：5000万至7000万越盾（第330/2026/ND-CP号议定）。还可并处删除数据、暂停经营等补救措施。
需要在主管部门检查前全面审查个人信息保护合规义务？联系我们获取咨询。
本文由FLAW AI Legal Council编写。内容正待QA委员会审查后呈批；信息仅供参考，不能替代针对您具体情况的法律咨询。