核心摘要：越南第330/2026/ND-CP号法令已生效，细化网络安全和个人数据保护行政处罚；严重跨境传输违规最高可按企业上一财年越南收入的5%罚款，外资企业应立即盘点客户、员工和云服务数据流程。
越南政府于2026年8月19日发布第330/2026/ND-CP号法令，立即生效。该法令规定了对网络安全和个人数据保护违规行为的行政处罚，为当局提供了在业务运营中履行义务的具体工具。
对于外国投资者来说，执法可能会影响支持客户服务、劳动力管理和区域运营的数据。企业需要证明他们的控制措施在实践中有效，并了解合规性失败如何会中断基本服务。
另请参阅：越南的网络安全和数据保护规则：企业合规路线图
第 91/2025/QH15 号个人数据保护法和第 356/2025/ND-CP 号法令已经规定了实质性义务。第 330 号法令规定了违规行为的处罚和补救措施。企业应检查每项基本义务何时生效。
处罚结构包括固定罚款、与非法数据交易收益挂钩的处罚以及与特定海外传输违规行为收入挂钩的处罚。组织可能面临高达十倍的非法数据交易收益。其他个人数据保护违法行为的法定上限达到 30 亿越南盾，但个别违法行为有其各自的范围。
第 56 条规定，最高可处以该组织上一财政年度在越南市场收入 5% 的罚款。该最大关注点明确了严重的转移违规行为，包括涉及至少一百万越南公民的合格事件。它不会自动适用于每个缺失的评估。该条还规定了特定情况下的替代固定处罚。
个人罚款和组织罚款之间的区别也很重要。个人数据保护部分规定了组织的金额，而网络安全部分通常规定了个人的金额，并将组织的金额加倍。公司在风险计算或向总部报告时使用公布的处罚数字之前应检查相关规定。
当局还可以命令删除非法处理的数据或停止处理和传输。
第 81 条一般适用先前行为发生时有效的制裁规则。第 330 号法令适用于免除责任或减轻责任的情况。公司应该区分已完成的行为和持续的失败。仅旧的开始日期并不能证明违规行为在该法令生效之前就已结束。
哪些企业和活动面临风险？
第 2 条涵盖越南和外国组织。其范围包括涉及处理越南公民和某些其他受保护个人的个人数据的相关外国服务提供商和海外组织。在海外注册成立或没有越南办事处并不自动排除某个组织。
曝光可以通过招聘、薪资、客户管理、数字营销和外包 IT 来增加。因此，这些义务可能会影响制造商、零售商以及技术企业。
区域人力资源平台、海外云存储以及与总部的信息共享可能涉及多个集团实体。他们的职责取决于由谁确定处理目的、处理数据并接收数据。全球隐私政策并未确定每个实体是否已履行其适用的越南义务。
服务提供商还面临一个额外的问题：他们的活动是否会触发特定的业务条件。提供个人数据处理服务的公司应将适用的认证和人员配备要求与其作为普通雇主或客户的义务分开评估。