第356/2025/ND-CP号法令（下称"第356号法令"）已于2026年1月1日正式生效，该法令为《个人数据保护法》（PDPL）的具体实施提供了全面的操作指引。相较于第13/2023/ND-CP号法令，第356号法令已从原则性框架转变为具体可执行的合规要求。
本文旨在梳理第356号法令的核心规定，相关组织应立即着手落实合规要求。
一、第356号法令的核心要点
1. 敏感个人数据处理义务强化
和此前的法规相比，第356号法令采用非穷尽清单形式，显著扩展了敏感个人数据的界定范围。1值得注意的是：
- 银行业敏感个人数据现包括：账户登录凭证、银行卡信息、交易记录，以及授权机构持有的客户金融、证券和保险信息。
- 个人电子身份账户的登录凭证（含身份证件及公民身份证图像）首次被纳入敏感数据清单。
- 第356号法令还将与电信服务、社交网络、在线媒体及其他网络服务使用相关的行为追踪数据列入敏感个人数据。
处理敏感个人数据需制定严格的访问控制规则、处理流程及安全措施（例如存储传输设备的物理安全、数据加密和匿名化等）。此外，在获取数据主体同意时，必须明确告知其涉及的是敏感数据。2
与之相关，第356号法令对涉及以下两类敏感数据的安全事件增设了专门通报义务：个人位置数据与生物识别数据。数据控制者或处理者必须在发现事件后72小时内，同时向公安部及受影响用户发出通知。如因技术或紧急情况无法逐一通知，需通过官方网络渠道发布公告，待条件允许时补发个别通知。相关事件记录须在整改完成后至少保存五年。3
2. 提高同意获取标准
第356号法令明确和加强了有效同意的要求，要求企业重新评估其同意机制的设计方案：
