越南数据隐私合规性

目前，越南第13/2023/ND-CP号法令（简称“第13号法令”）适用于所有在越南境内处理个人数据的企业和组织，无论其位于越南境内还是境外。自2026年1月1日起，《2025年个人数据保护法》（简称“PDPL”）将生效，取代第13号法令，并引入更广泛、更严格的义务。

合规性涵盖个人数据处理的整个生命周期，不仅包括收集，还包括存储、使用、传输和删除。其规定直接影响内部各方（如员工、承包商和管理层）和外部各方（如客户、供应商和在线访问者）的个人数据处理。

需要明确的是，合规范围不仅限于企业，还包括所有类型的实体，例如代表处、外商贸易机构分支机构、票务代理处、项目管理办公室，甚至包括外国政府在越南的贸易代表以及越南政府机构。此外，参与数据控制和处理活动的个人也须遵守合规要求。因此，任何不合规行为的处罚（如有适用）也可能适用于这些非商业实体和个人。

个人数据涵盖任何能够识别或可以识别个人的信息，无论其形式是书面、电子、音频、视觉或其他形式。

根据《个人数据保护法》，这包括基本个人数据（例如姓名、地址、电子邮件、电话号码）和敏感个人数据（例如生物识别或基因详情、健康、财务、政治或宗教信息）。

个人数据作为一项权利受到法律保护，而不是可以自由交易的商品。

敏感数据是指与个人隐私密切相关的信息，如果泄露可能会造成重大损害，例如，敏感个人数据，如健康记录、生物识别信息（如指纹、面部识别）、基因数据、财务详情和位置数据。

它需要更严格的保护措施，例如明确的同意、加强的安全措施以及特定行业的规则（例如，医疗保健或保险行业）。

根据《个人数据保护法》，同意必须是自愿的、知情的、针对特定目的的，并且不得与其他无关服务捆绑在一起。同意可以随时撤回，未经同意的处理仅限于特定情况，例如法律义务或紧急情况。

如果数据处理程序发生任何变更，有效的同意也必须更新并传达给数据主体或相关方，并在适用情况下获得相应的同意。

根据《个人数据保护法》，个人对其个人数据享有广泛的权利，包括以下权利：

• 了解他们的数据是如何被收集、使用和共享的。
• 访问、获取副本、请求更正或删除其个人数据。
• 在某些情况下，限制或反对处理他们的数据。
• 您可以随时撤回您的同意。
• 请求数据可移植性（将他们的数据传输到另一个系统或服务）。
• 选择退出会对其产生重大影响的自动化决策或用户画像分析。
• 就数据保护权利受到侵犯提出投诉或寻求赔偿。

这些权利可以直接向数据控制者行使，数据控制者必须在法律规定的时间内作出回应。

根据《个人数据保护法》(PDPL)，您的公司被视为个人数据控制者（鉴于其在收集和传输数据方面的作用，同时也是数据处理者），而工资服务提供商则是个人数据处理者。

作为数据控制者，贵公司最终有责任确保所有数据处理活动均符合《个人数据保护法》（PDPL）及其执行法令。您的主要职责包括：

• 获得有效的员工同意
• 审查处理者的数据保护措施
• 签署书面数据处理协议（DPA）
• 监控合规情况并处理违规行为
• 为员工提供内部培训
• 与处理方保持沟通，以便进行事件响应

处理器则必须：

• 仅可根据财务主管的书面指示处理数据。
• 实施技术和组织方面的保障措施来保护数据
• 如有任何数据泄露或未经授权的处理，请通知数据控制者和伦敦警察厅。
• 未经控制者事先同意，不得聘用分包处理者。

此外，由于员工数据也受劳动法管辖，因此协调数据共享和处理做法以避免潜在的违反劳动法的情况非常重要。

答案与上一个类似。请注意，如果您之前已获得员工的同意（通常用于一般的第三方处理目的，例如工资、医疗保健或技术），则无需再次获得同意。

但是，如果新服务供应商的目的不在先前获得的同意范围内，则需要获得员工的单独同意。

由于数据关系涉及三方，因此这在《个人数据保护法》下仍是一个灰色地带：

• 个人数据控制者兼处理者：您的越南分公司；
• 个人数据处理者：您的美国总部和云服务提供商（例如，微软）。

理论上讲，由于微软处理这些数据，因此这些数据应该列在 PDPL 报告中。

然而，实际上可能会有很多第三方处理器（例如，谷歌、亚马逊等），因此很难一一列出。

一种简化的方法是仅将美国总部列为数据处理者，并在越南分公司和美国总部之间建立数据传输/处理协议。这意味着，从形式上讲，目前只能明确识别出一个数据处理者。

也就是说，由于当局缺乏明确的指导意见，且存在持续的争论，如果第三方处理者的数量不太大，建议在报告中列出所有第三方处理者。

第三方处理者是指根据合同安排代表个人数据控制者处理个人数据的实体。
这包括薪资服务提供商、IT维护供应商、云存储运营商，或任何出于业务运营目的访问、存储或处理个人数据的外部方。

数据控制者仍负有法律责任，确保数据处理者进行的所有数据处理均符合《个人数据保护法》（PDPL）。
主要职责包括：

• 获得数据主体的有效同意；
• 对处理者的数据保护措施进行尽职调查；
• 签署数据处理协议（DPA），明确范围、期限和责任；
• 监控处理器的合规性和事件处理情况；
• 保持影响评估（DPIA）的更新，并反映任何第三方参与情况。

处理器必须：

• 仅按照控制员书面指示处理数据；
• 实施技术和组织保障措施；
• 如发现任何数据泄露或未经授权的处理，请向数据控制者和伦敦警察厅报告；
• 在聘用任何分包商之前，必须事先获得控制者的书面同意；
• 进行数据保护影响评估(DPIA)并按要求提交给 MPS。

如果现有同意已涵盖一般第三方数据处理（例如，用于工资发放、IT支持或人力资源系统），则无需新的同意。
但是，如果供应商的处理目的或范围与之前同意的内容不同，则必须在开始处理之前获得新的同意。

供应商关系必须通过书面协议（数据保护协议）或同等效力的合同正式确立，该协议或合同应明确规定：

• 数据处理的性质和目的；
• 数据类别和安全措施；
• 各方的角色和责任；
• 违规通知程序；以及
• 终止后的数据返还或删除义务。

是的。实际上，一些公司仅在主合同包含商业秘密或商业敏感条款时才提交数据保护附录。这可以作为证明数据处理的合同依据的合理方式。

然而，联邦公共安全部（MPS）在审查过程中拥有很大的自由裁量权。虽然他们最初可能接受补充协议，但一旦您的数据保护影响评估（DPIA）或相关文件正在审查中，他们可能会要求提供完整的合同或补充文件。因此，公司应做好准备，在需要时提供完整的协议。

简而言之，附加条款可能在初期有效，但你应该准备好在被要求时披露完整的合同。

尽管您的 GDPR 框架提供了坚实的基础，但越南的《个人数据保护法》(PDPL) 引入了独特的程序和操作要求，这些要求必须单独处理。主要要求包括：

• DPIA 和 TIA 报告必须在启动数据处理或传输后的 60 天内提交给 MPS。
• 除非获得豁免（例如，小型或微型企业不进行敏感数据处理），否则必须任命数据保护官 (DPO) 或设立数据保护部门。必须向 MPS 提供数据保护官的联系方式。
• 与MPS的所有官方往来函件必须使用越南语。建议聘请一位会说越南语的DPO（数据保护官），以确保及时回复，尤其考虑到法律规定的72小时整改期限以及当局的年度检查。
• 当局也可能要求数据保护官持有虚拟身份识别码 (VNeID) 或亲自到场办理某些手续。
• 根据《个人数据保护法》(PDPL)，同意和法律依据可能与《通用数据保护条例》(GDPR) 不同，其解释更严格，例外情况更窄。

为确保完全遵守越南个人数据保护法，贵公司应评估现有 GDPR 实践与当地要求之间的任何差距，或将集团层面的政策本地化，并在适用情况下履行上述义务。

当然。越省事 提供全面的端到端 PDP 合规服务——从差距评估和数据映射，到起草定制政策、准备强制性影响评估、支持监管申报以及持续咨询。

我们的交付成果是根据您的业务领域量身定制的，并且设计为符合 PDPL 标准，因此您现在即可合规，并且能够为 2026 年做好准备。

每家公司都需要完成强制性数据保护影响评估 (DPIA) 的 A 部分（如果您将数据传输到海外，则还需要完成传输影响评估 (TIA)）。首先，您可以获取我们根据您的业务运营定制的《个人数据保护手册》，以便快速了解合规性对您意味着什么。

如果您尚未制定数据保护政策，或者需要完善现有政策，则必须填写 B 部分。C 部分是强制性的，用于每 6 个月或在发生重大变更时更新申报文件。D 部分是可选的，如果您希望在初始设置之后获得持续的专家支持，则非常适合填写 D 部分。

这是您了解产品披露计划 (PDP) 的第一步。本手册是一份简明易懂的快速指南，针对您的业务领域量身定制，将复杂的法规转化为简单实用的见解。虽然本手册并非法律强制要求，但我们强烈建议您阅读，因为它重点介绍了您的核心义务、常见风险和后续步骤，帮助您的团队在深入开展合规工作之前快速了解 PDP 对您的意义。

我们的方法取决于您目前的状况：

• 如果您没有现有的政策：我们将从头开始设计并实施完整的 PDP 合规框架，涵盖数据映射、合同、政策和内部程序。
• 如果您已经制定了一些政策：我们将审查并本地化这些政策，弥补合规性差距，并提供一套完整的、综合的PDP合规方案，以满足您在越南的业务需求。

您需要按照法律规定正式任命一名数据保护官 (DPO) 和一名数据保护总监 (DPD)，并指定一名联络人与我们协调。您的主要职责是提供必要的文件（例如人力资源表格、合同、现有政策等）。我们将负责合规性分析、文件起草以及与监管机构的沟通协调，从而确保合规流程顺畅，最大程度地减少对您日常运营的干扰。

我们可以为您提供持续的合规支持。根据即将实施的《个人数据保护法》(PDPL)，对于细微的变更，申报文件必须每六个月更新一次；对于重大的变更，则必须立即更新。此外，我们的D部分咨询顾问服务可让您直接联系我们的专家，持续处理任何个人数据保护相关问题。