遵守越南个人数据保护法 的要求

越南的个人数据保护框架

越南现行的个人数据保护框架以《个人数据保护法》（第91/2025/QH15号法律）、细化该法实施的第356/2025/ND-CP号法令，以及在适用情况下的其他规定和行业要求为基础。

• 《个人数据保护法》（第91/2025/QH15号法律）
• 细化该法实施的第356/2025/ND-CP号法令
• 在适用情况下的其他规定和行业要求

该法承认同意是处理活动的重要合法依据，但同意并非处理个人数据的唯一依据。组织应在处理数据前确定适用的合法依据，并满足相应的法定要求。

在需要同意或以同意为依据时，组织应确保同意获取方式适当并可以证明。第356/2025/ND-CP号法令规定了可复现的同意形式，包括书面和电子方式。

越南法律下的个人数据是什么？

越南《个人数据保护法》对个人数据作了宽泛定义，即能够识别或有助于识别特定个人的数字数据或其他形式的信息。

该框架区分基本个人数据和敏感个人数据，两者的详细分类由政府规定确定。

因此，组织应维护数据清单，既标明所处理个人数据的类型，也标明这些数据是否属于特别保护的类别。

基本个人数据

基本个人数据涵盖在交易和社会关系中使用的一般个人信息与背景信息，且属于政府确定的类别范围。

依适用的分类，可能包括用于识别个人或与其联系的信息。

敏感个人数据

敏感个人数据是与个人隐私权相关的个人数据，一旦受到侵害可能直接影响相关方的合法权益。

敏感个人数据的详细分类由政府规定确定。

处理个人数据的合法依据

在越南现行法律下，同意并非对每一项处理活动都一律要求。

该法将同意定义为个人数据主体对处理其个人数据的许可，法律另有规定的除外。

因此，组织应确定：

• 处理哪些个人数据；
• 为何处理这些数据；
• 哪一合法依据允许此项处理；
• 是否需要同意；
• 必须提供哪些告知；
• 适用哪些保障措施；以及
• 是否需要影响评估或其他文件。

与把越南框架简单描述为“所有处理都需要同意”相比，这是一项重要变化。

同意要求

当同意是适用的合法依据时，企业应将同意机制设计得清晰、可证明并有适当记录。

在现行框架下：

• 同意是数据主体就处理活动给予的许可；
• 适用的法律要求决定何时需要同意；
• 组织应能够证明处理的依据；
• 在需要同意时，应通过适当且可复现的机制获取；以及
• 组织应保留支持该处理活动的证据。

第356/2025/ND-CP号法令认可的方式包括书面同意、通话录音、短信、电子邮件、网站、平台、应用程序，以及其他可复现或可验证的方式。

同意不能替代隐私治理

仅靠同意横幅并不足以构成完整合规。

企业应将同意管理与以下方面衔接：

• 隐私告知；
• 数据清单；
• 处理记录；
• 数据主体权利响应流程；
• 留存政策；
• 安全控制；
• 供应商管理；
• 跨境传输控制；以及
• 在适用情况下的影响评估文件。

隐私告知与透明度

组织应就其个人数据的处理向个人提供适当信息。

一份实用的隐私告知应在相关范围内说明：

• 收集哪些个人数据；
• 处理目的；
• 数据的使用方式；
• 适用的合法依据；
• 相关接收方或接收方类别；
• 数据留存方面的考虑；
• 国际或跨境传输；
• 个人的权利；
• 行使权利的方式；
• 隐私相关请求的联系方式；以及
• 适用法律要求的其他信息。

对于网站和应用程序，只要涉及个人数据，透明度还应覆盖 Cookie、分析工具、广告技术、追踪技术以及其他在线标识符。

数据主体权利

越南《个人数据保护法》规定了个人数据主体的权利，并为处理个人数据的组织设定了相应责任。

视具体情形，组织应做好准备处理涉及以下事项的请求：

• 访问个人数据；
• 更正或更新不准确的数据；
• 在处理以同意为依据时撤回同意；
• 在法律适用的情况下删除数据；
• 在适用情况下限制处理；
• 反对或法律认可的其他权利；以及
• 《个人数据保护法》及实施规定所赋予的其他权利。

组织应建立内部流程，用于接收、核验身份、跟踪并在适用法定期限内答复数据主体请求。

儿童个人数据

在越南个人数据保护框架下，处理与儿童相关的个人数据需要额外的保障措施。

面向儿童提供服务或明知处理儿童个人数据的企业应评估：

• 与年龄相关的要求；
• 同意要求；
• 在需要时父母或法定代理人的参与；
• 适当的隐私告知；
• 数据最小化；
• 安全保障措施；以及
• 留存与删除要求。

面向儿童的服务应在产品设计阶段纳入这些要求，而不是事后再补。

敏感个人数据的处理

在越南框架下，敏感个人数据受到更高程度的保护。

处理敏感个人数据的企业应确定相关类别，并评估在以下方面是否适用额外义务：

• 合法依据；
• 透明度；
• 安全；
• 治理；
• 影响评估；
• 访问控制；
• 留存；
• 数据传输；以及
• 事件管理。

隐私体系应维护清晰的清单，说明敏感个人数据在何处收集、处理、存储或传输。

个人数据处理影响评估

越南现行框架对特定处理活动设有影响评估要求。

组织应评估其处理活动是否需要个人数据处理影响评估档案，并确保按适用规则留存并提交所需文件。

一项有效的评估应考虑：

• 个人数据的类别；
• 处理目的；
• 处理方式；
• 对数据主体的风险；
• 安全保障措施；
• 留存期限；
• 数据共享安排；
• 受托处理方与第三方；
• 跨境处理；以及
• 为降低已识别风险而采取的措施。

跨境数据传输

在越南现行法律下，跨境处理是一个重要的合规领域。

第356/2025/ND-CP号法令对跨境传输活动作了宽泛界定，包括通过境外基础设施、外国云服务或境外接收方转移或处理在越南收集或存储的个人数据的情形。

使用以下服务的企业：

• 国际云服务提供商；
• 全球 CRM 系统；
• 境外分析平台；
• 国际广告平台；
• 外国 SaaS 应用；
• 全球客户支持工具；或
• 境外数据处理供应商

应评估其活动是否构成受规制的跨境处理。

视具体情形，组织可能需要编制或留存个人数据跨境传输影响评估档案，或遵守其他适用的法定机制。

数据安全要求

处理个人数据的组织应落实适当的组织、技术和人员保障措施。

安全措施可包括：

• 访问控制；
• 身份认证；
• 在适当情况下的加密；
• 网络与应用安全；
• 日志记录与监控；
• 漏洞管理；
• 备份与恢复；
• 员工培训；
• 供应商安全控制；
• 事件响应程序；以及
• 数据最小化与留存控制。

安全水平应与所处理数据的性质及相关风险相称。

个人数据违规通报

越南现行《个人数据保护法》规定，对于符合条件的个人数据违规行为，组织应在发现违规后72小时内通报。

该要求适用于在法定条件下可能损害国防或国家安全、社会秩序与安全、生命或健康、名誉与尊严，或财产等事项的违规行为。

因此，组织应维持能够完成以下工作的事件响应流程：

• 发现可能的违规；
• 评估事件；
• 判断是否达到法定门槛；
• 在内部逐级上报；
• 准备所需通报材料；
• 记录处置过程；以及
• 采取补救措施。

隐私事件管理流程应与组织更广泛的网络安全事件响应体系相衔接。

控制者与处理者

企业在处理个人数据时应清晰界定自身角色。

视活动内容，组织可能作为：

• 个人数据控制者；
• 个人数据处理者；
• 同时履行控制和处理职能的一方；或
• 处理链条中的其他受规制参与者。

与处理者和供应商签订的合同应明确约定：

• 处理目的；
• 数据类别；
• 安全义务；
• 保密义务；
• 再委托处理；
• 数据留存；
• 数据的删除或返还；
• 事件通报；
• 对数据主体请求的支持；以及
• 跨境处理方面的责任。

数据留存与删除

越南框架要求个人数据的存储期限与处理目的相适应，除其他法律另有规定外。

因此，组织应维护书面的留存期限安排，涵盖：

• 客户信息；
• 员工数据；
• 营销数据库；
• 账户信息；
• 同意记录；
• Cookie 与追踪数据；
• 客服记录；
• 数据主体请求；
• 安全日志；以及
• 供应商持有的个人数据。

不应仅因为存储在技术上成本很低，就让数据无限期留存。

Cookie 与在线追踪

在越南运营网站的企业，应将自身的 Cookie 和追踪技术纳入个人数据合规体系加以评估。

这包括：

• 分析类 Cookie；
• 广告类 Cookie；
• 再营销技术；
• 社交媒体像素；
• 转化追踪；
• 会话技术；
• 设备标识符；
• SDK；以及
• 其他可收集能够识别个人或与个人相关联信息的技术。

是否需要同意取决于适用的合法依据和具体情形。组织不应默认每一个 Cookie 都需要同意，但同样应避免在未确立适当合法依据和保障措施的情况下开展个人数据处理。

ConsentX 可以帮助企业将这一流程落地：

• 扫描网站以发现 Cookie 和追踪器；
• 对追踪技术进行分类；
• 在取得适用许可之前拦截所选技术；
• 记录同意选择；
• 管理面向不同地区的同意体验；以及
• 保存可审计的同意证据。

直接营销与广告

营销活动经常涉及个人数据，因此应纳入组织的隐私合规体系。

企业应评估：

• 营销数据的来源；
• 处理的合法依据；
• 是否需要同意；
• 营销偏好的记录方式；
• 退订与撤回机制；
• 第三方广告平台；
• 数据共享；
• 用户画像；
• 留存期限；以及
• 国际传输。

在需要同意的场景下，营销同意应与无关条款明确区分开来。

自动化处理、用户画像与人工智能

使用人工智能、自动化决策、用户画像或行为分析的企业，应评估这些活动是否涉及个人数据，以及是否适用额外要求。

隐私评估应考虑：

• 向系统输入哪些数据；
• 处理目的；
• 是否涉及敏感个人数据；
• 数据是否传输给境外提供商；
• 决策是否对个人产生重大影响；
• 个人是否获得适当信息；
• 安全与访问控制；
• 留存期限；
• 供应商的处理活动；以及
• 在适当情况下的人工监督。

组织应将人工智能和自动化处理的应用场景作为更广泛个人数据治理的一部分予以记录。

小微企业与初创企业

越南《个人数据保护法》为部分小型企业和初创企业设置了过渡性合规规定。

根据该法，符合条件的小型企业和初创企业可在法律生效之日起五年内自行选择是否实施特定条款，但须遵守法定例外。如果企业提供个人数据处理服务、直接处理敏感个人数据，或处理涉及大量数据主体的个人数据，则通常不适用该豁免。

第356/2025/ND-CP号法令就相关门槛和豁免作出了更详细的规定。

因此，企业应确认自身是否符合条件，而不应假定所有初创企业或小型企业都自动免于越南的隐私要求。

从第13/2023号法令的过渡

越南的隐私框架在2026年1月1日发生了重大变化。

新的《个人数据保护法》明确规定，对于在新法生效前已依据第13/2023/ND-CP号法令取得的同意或协议开展的部分处理活动，给予过渡性安排。部分此前已提交的影响评估档案也可依过渡规则继续有效。

同时，第356/2025/ND-CP号法令规定，第13/2023/ND-CP号法令自2026年1月1日起失效。

因此，企业应更新自身的合规体系，而不应继续仅依赖为原第13号法令体制编写的指引。

越南个人数据保护法合规清单

可使用此清单检查贵组织在越南的隐私合规工作：

• 识别所收集和处理的个人数据
• 区分基本个人数据与敏感个人数据
• 梳理处理目的
• 确定适用的合法依据
• 检查需要同意场景下的同意机制
• 保存同意证据
• 更新隐私告知
• 建立数据主体请求处理流程
• 落实适当的安全保障措施
• 检查数据留存期限
• 梳理受托处理方与第三方
• 检查国际与跨境传输
• 评估影响评估要求
• 建立违规响应流程
• 为适用的72小时通报做好准备
• 检查营销与广告技术
• 扫描 Cookie 与网站追踪器
• 在取得适用许可前拦截所选非必要技术
• 定期检查并更新隐私控制措施

越南合规对数字业务为何重要

对在越南运营网站、应用和数字平台的组织而言，个人数据合规越来越需要隐私、安全、法务、市场和技术团队之间的协同。

因此，现代合规体系应把合法依据、透明度、同意管理、数据治理、安全、权利响应、传输控制和审计证据结合起来。

ConsentX 可以支撑同意管理与网站隐私层，而越南框架所要求的更广泛法律和组织控制仍由组织自身维持。

《个人数据保护法》在越南法律体系内适用，同时也包含影响部分参与所涵盖个人数据处理的外国组织和个人的条款。