核心摘要：近年来网络攻击和数据泄露的激增促使监管机构收紧个人数据保护规则。尽管企业普遍支持这一举措，但他们仍然不确定合规性，特别是在跨境数据传输和内部数据治理方面。
公安部统计数据显示，2023年至2025年，公安机关共破获非法买卖、窃取个人数据案件30多起。在此期间，医疗、教育、银行、金融、电力、保险和电信等行业的约1.6亿个数据文件被非法获取和利用。
仅 2025 年，网络攻击在全球造成的损失就超过 10 万亿美元，而越南的损失估计约为 8 万亿越南盾（3.034 亿美元）。
在此背景下，加强个人数据保护框架已成为保护隐私、保障国家数据主权的紧迫任务。
该领域第一个值得注意的立法是第 13/2023/ND-CP 号政府法令，该法令于 2023 年 4 月颁布，并于同年 7 月生效。它被认为是越南个人数据保护的第一个法律基础。
两年后的 2025 年 6 月，《个人数据保护法》（PDP 法）获得通过，标志着在保护公民和企业隐私方面向前迈出了重要一步。该法律于今年 1 月 1 日生效，规定对跨境数据传输相关违规行为的公司处以最高上一年在越南收入 5% 的处罚。该法的指导文本第 356/2025/ND-CP 号政府法令于 2025 年 12 月发布，并于 2026 年初生效，取代了第 13 号法令。
最近，一份关于网络安全和个人数据保护违法行为行政处罚的法令草案于三月公开征求意见。草案进一步明确了PDP法的一些条款，并明确了不同类型和程度的违法行为的处罚措施。
为了帮助企业应对不断变化的法律框架，越南办公机器协会、亚洲法律律师事务所和数字解决方案咨询公司 FSI Vietnam 于近期举办了主题为“个人数据保护法律论坛 - 外商直接投资企业的合规挑战与解决方案”的会议。企业提出的最紧迫的问题是跨境员工数据传输和任命数据保护人员的要求。
跨境数据传输的影响评估
会议讨论的一个关键问题是跨境数据传输影响评估报告的编写。
根据 PDP 法，在以下三类情况下，必须在首次数据传输之日起 60 天内准备影响评估报告并提交给 MPS：存储在越南的个人数据传输到国外时；当个人数据被转移到国外的组织或个人时；或者当在越南收集的个人数据由位于该国境外的平台处理时。
然而，许多企业仍不确定他们的活动是否属于这些类别。例如，有人质疑利用云计算服务向海外母公司“报告”员工数据是否构成跨境转移，从而需要遵守影响评估报告要求。
亚洲法律公司管理合伙人 Luu Xu Vinh 表示，根据 PDP 法第 20 条，如果云存储仅用于内部管理目的，公司将无需提交报告。
“但是，如果（越南）一家公司允许外国实体访问这些文件并处理员工的个人数据，那么显然该公司将必须进行跨境数据传输影响评估，”他说。
公安部网络安全和高科技犯罪预防部门（A05）的范玉和队长表示，确定数据存储或传输的目的是企业评估是否必须准备报告的关键点。
