核心摘要：越南 2025 年个人数据保护法 (PDPL) 及其第 356/2025/ND-CP 号指导令均于 2026 年 1 月 1 日生效，建立了管理越南个人数据收集、使用、披露、存储和跨境传输的全面法律框架。该立法显着增加了处理越南公民个人数据的组织的合规义务，特别是在跨境数据处理方面。
这些发展与越南的国际特许经营尤其相关。 Both franchisors and franchisees are responsible for complying with Vietnam’s data protection laws and may face significant legal exposure if their respective obligations are not properly allocated and managed. While many of the obligations discussed below apply to both parties, this article focuses primarily on issues that foreign franchisors should consider when establishing and managing franchise networks in Vietnam.
适用于特许经营
PDPL 具有明确的域外效力。处理越南公民个人数据的结构化外国组织即使在越南没有实体存在，也可能受到越南数据保护要求的约束。
特许经营的本质在于维持系统范围内的一致性、质量控制和共享运营基础设施。这些功能经常需要将个人数据从越南的特许经营商传输到海外特许经营商，以用于运营管理、绩效监控和遵守特许经营标准等目的。客户信息可以上传到集中式忠诚度平台，员工信息可以共享用于培训，供应商信息可以出于采购目的而交换，而其他运营数据可以通过区域报告系统进行分析。因此，特许经营的运作方式将特许人和被特许人都置于 PDPL 的范围内。
在典型的特许经营安排下，数据保护角色的分配取决于特定的关系处理活动，而不是特许经营本身。在实践中，加盟商通常在经营当地业务的过程中收集和处理个人数据，而特许人则建立系统范围的标准、操作程序和技术平台来管理如何在整个特许经营网络中处理此类数据。
当特许人确定处理的目的和基本手段时（例如，通过运营集中式客户关系管理 (CRM) 系统、管理集团范围内的忠诚度计划或在整个特许经营网络中进行客户分析），它很可能充当数据控制者。相比之下，如果任何一方仅根据另一方书面指示处理个人数据，而不对处理行使决策权，则它可以充当数据处理者。数据控制者和数据处理者须遵守 PDPL 下的不同要求。
因此，特许人和被特许人各自的角色应逐个处理地进行评估。合同描述本身并不是决定性的；对处理目的和方式的决策权的实际分配将最终决定各方在越南数据保护法下的角色。
特许经营方的主要义务和考虑因素
处理个人数据的合法依据
同意仍然是 PDPL 下大多数商业处理活动的主要法律依据。尽管存在某些法定例外情况，但特许经营系统内通常开展的面向客户的活动（包括促销活动和营销传播）通常需要有效的同意。
数据传输和处理协议
每当特许人和特许人之间转移个人数据时，越南法律要求双方签订适当的书面协议来管理此类转移和处理。具体来说，越南在数据传输协议/附录中规定了需要商定的具体内容，这可能要求特许人再次审查其模板，以确保模板包含所有强制性条款。
跨境个人数据传输
