核心摘要：作者：合伙人 Hung Q. Nguyen 和高级律师 Minh Ha Nguyen
越南最近于 2024 年 11 月 30 日推出了新的第 60/2024/QH15 号数据法（“数据法”），该法于 2025 年 7 月 1 日生效，以完善数据和数据管理的法律框架。此外，随着新的第91/2025/QH15号个人数据保护法（自2026年1月1日起生效）（“LPDP”）的颁布，这些法律强调越南致力于保护数据作为数字时代的国家战略资产，特别注重数据的强有力保护、有效利用和安全管理。下面我们概述了适用于银行和金融领域企业的关键要求。
1. 数据跨境处理和传输的合规义务
一般来说，《数据法》管辖一般数据相关活动，而《LPDP》则专门关注个人数据的保护。他们共同创建了一个结构化的数据保护法律框架。
LPDP 下的数据处理影响评估（“DPIA”）和出站传输影响评估（“OTIA”）
根据 LPDP，DPIA 和 OTIA 是强制性的。数据控制者或数据控制者和处理者必须在开始任何个人数据处理后 60 天内准备并保留 DPIA 报告，而向国外传输个人数据的实体必须在首次传输后 60 天内提交 OTIA 报告。两份评估报告必须每六个月更新一次，或者在 LPDP 中规定的重大运营变化后立即更新。 LPDP 还对 OTIA 要求提供了一些有限的豁免，包括主管国家机构的数据传输或使用云服务存储员工数据，以及数据主体自行传输。值得注意的是，转让机构、组织或个人按照LPDP的要求对其处理的个人数据进行DPIA或OTIA的，无需按照数据法的规定对个人数据进行数据处理风险评估或OTIA。
LPDP 下有关 DPIA 和 OTIA 的要求与 2023 年 4 月 17 日关于个人数据保护的第 13/2023/ND-CP 号法令（“第 13/2023 号法令”）中规定的要求非常相似，该法令于 2023 年 7 月 1 日生效。据我们了解，大多数信贷机构或外国银行分行已准备好并向监管机构提交 DPIA 和 OTIA（如果将数据转移到境外）。根据第 13/2023 号法令，公安部网络安全和高科技犯罪预防司。 LPDP规定，在LPDP生效日期之前根据第13/2023号法令提交的DPIA和OTIA仍然有效，因此已经提交DPIA和OTIA的信贷机构或外国银行分行无需根据LPDP的要求准备和提交其他DPIA和OTIA。
根据数据法进行的出境传输影响评估
根据《数据法》，“关键数据”（越南语“dữ liệu quan trọng”）（即可能影响国防和安全、外交、宏观经济形势、社会稳定、社区健康和安全的数据）或“核心数据”（越南语“dữ liệu cốt lõi”）（即直接影响数据的数据）的跨境处理和传输（这些地区）将实行出境转移影响评估要求。关键和核心数据清单由总理根据 2025 年 7 月 1 日第 20/2025/QD-TTg 号决定（“第 20/2025/QD-TTg 号决定”）规定。银行金融领域数据分为关键数据和核心数据，具体如下：
核心数据：10万家及以上越南企业或组织的银行账户、付款历史和债务义务数据。
关键数据：10,000家或以上越南企业或组织的银行账户、付款历史和债务义务数据。
《数据法》对关键数据或核心数据的跨境处理和传输提出了更严格的要求。虽然在LPDP下，提交评估报告（即DPIA报告或OTIA报告）只是程序性的，可以在首次数据跨境传输后60天内完成，但转让方必须根据数据法提交OTIA，然后才能进行关键数据或核心数据的跨境传输。特别是：
对于核心数据：转让方须向公安部或国防部（视情况而定）提交评估报告，并获得主管部门批准后方可进行跨境转让。
对于关键数据：转让方必须在数据处理前15天向公安部或国防部（视情况而定）提交评估报告。然而，传输关键数据不需要主管当局的事先批准。