越南新《个人数据保护法》：企业需知

越南已正式通过《个人数据保护法》（第91/2025/QH15号，简称"PDPL"），标志着越南从法规层面的规则迈向了全面的立法框架。该法自2026年1月1日起生效，提高了合规要求，尤其对在越南开展经营及/或处理越南个人数据的外国企业而言。

下文将分述主要变化、合规风险及企业须采取的准备措施。

I. 关键修改条款

1. 新增禁止性规定与严厉制裁措施（第7 条、第8条）

该法增设了多项禁止性规定，对在越南处理个人数据的主体具有相应后果：

• 利用他人个人数据，或允许他人使用本人个人数据，实施违法行为。 
• 买卖个人数据，除非法律另有明确规定。 
• 窃取、故意泄露或销毁个人数据。

国会常务委员会认为，全面禁止个人数据交易具有必要性，此举旨在打击网上普遍存在的个人数据售卖行为并防止内部滥用。该委员会主张，个人数据与个人隐私及身份相关，并非商品。

为执行上述禁止性规定，该法规定了严厉的处罚机制：

• 违规跨境传输个人数据：罚款范围为30亿越南盾（约合11.5万美元）至上一财政年度总收入的5%。 
• 非法买卖个人数据：最低罚款为30亿越南盾，最高为 违法所得的10 倍。 
• 其他违规行为：罚款最高为30亿越南盾。

此类处罚表明，数据保护如今已成为一项严肃的合规义务，而不再是单纯的政策愿景。

2. 高风险行业的特定规则（第25-32 条）

与第13/2023/ND-CP号法令（"第13号法令"）不同，该法增加了针对敏感行业和新兴技术领域数据处理的详细规定：