核心摘要：随着第 356/2025/ND-CP号法令（以下 简 称 “第356号法令”）的 颁 布，越南的个人数据保 护 要求 进 入了一个新 阶 段。企 业 目前面 临 着法 规 域外适用范 围 的 扩 大、强制性影响 评 估的 实 施，以及在 获 取同意和跨境数据 传输 方面更 为严 格的新 标 准， 这 要求企 业 必 须 立即更新合 规 措施。
第356号法令于2026年1月1日生效，取代了原有的第13/2023/ND-CP号法令，成为《个人数据保护法》的主要实施细则。它将法律原则转化为可强制执行的操作性义务，填补了之前的合规漏洞，并在同意机制、数据主体权利、跨境传输和影响评估等方面提供了清晰的程序性指引。
本文将从法令扩大的域外适用范围和更严格的操作责任入手，剖析其核心条款，并着重指出在越运营企业的初步合规重点。
越南更新后的数据保护制度显著扩大了其适用范围，明确纳入了处理越南公民个人数据的外国实体，无论其处理行为发生在何处。
该制度还进一步明确了基本个人数据与敏感个人数据的法律区分，并对后者进行了扩展和细化。具体而言：
敏感数据 现包括财务信息、生物识别标识、精确位置数据、行为跟踪数据、健康记录和账户凭证。
处理敏感个人数据 将触发关于同意、访问控制、安全措施和内部治理的更严格要求。
数据映射与分类 已成为强制性合规任务，而不再仅是最佳实践。不完整的数据清单会立即暴露企业的合规缺口，尤其是在跨境传输、自动化处理和第三方数据共享方面。
第356号法令规定的合规义务标志着向可证明、经得起审计的合规实践的转变，而非非正式或临时的隐私做法。
对小规模实体的豁免 第356号法令在法定规则与实际操作性之间取得了平衡，提供了关键豁免，包括：
微型企业和个体工商户豁免 ：无需任命数据保护官或执行影响评估；以及
小型企业和初创企业豁免 ：自2026年1月1日起，享有为期五年的宽限期，在此期间无需满足数据保护官任命或操作标准，前提是它们：
不直接处理敏感个人数据； 不大规模处理个人数据（不超过10万个个体）；且 不作为数据处理服务提供商。
第356号法令将越南的个人数据保护框架转化为一套针对数据控制者和处理者的可强制执行的操作性职责。一个核心变化在于强化了同意要求。
