核心摘要：作者：高级合伙人 Tung Ngo、高级律师 Esko Cate 和律师 Viet Nguyen
越南国会最近在压倒性支持下通过了《个人数据保护法》（“LPDP”）。这项具有里程碑意义的立法由 39 条组成，将于 2026 年 1 月 1 日生效，并将补充和取代现有的关于个人数据保护的第 13/2023/ND-CP 号法令（“第 13 号法令”）。
LPDP 引入了比第 13 号法令更详细的框架来管理个人数据的收集、处理、存储、传输、披露和删除。它实质上澄清和定义了数据控制者、处理者、第三方和执法机构的角色和责任，以及实施急需的例外情况。
越南个人和实体；
在越南经营的外国个人和实体；和
外国实体处理居住在越南并具有有效身份证明的越南公民或越南裔个人的个人数据。
LPDP 还简化和更新了个人数据的定义，政府将发布进一步的分类和指南。
具体处罚措施介绍
LPDP 引入了重要的执法机制，包括行政罚款和刑事责任，具体取决于违法行为的严重程度。实体还必须赔偿受影响个人因违反 LPDP 行为而造成的任何损失。
对于实体来说，行政违法行为的最高罚款包括最高可达出售个人数据收入十倍的罚款、跨境数据传输违规行为最高可达上一年收入的5%、其他违规行为最高可达30亿越南盾。对于个人来说，最高罚款额是对组织适用的罚款额的一半。政府将发布关于如何计算违规收入的指南。
异同
LPDP 最重要的变化之一是纳入了数据主体先前绝对权利的例外情况。根据 LPDP，增加了数据处理同意要求的几项例外情况，并澄清了其他几项。 LPDP采用了更为平衡的做法，要求个人在行使权利时不得阻挠或妨碍个人数据控制者和/或处理者合法的权利和义务，也不得侵犯组织或其他个人的合法权益。这些澄清有助于防止针对数据控制者和/或处理者的数据隐私权武器化，并创建更有利于开展业务的数据处理环境。
也就是说，LPDP 保留了第 13 号法令中的关键合规义务，特别是在数据处理、跨境数据传输以及数据保护部门和人员的任命方面：
1. 影响评估（“DPIA”）
