核心摘要：本文介绍了随着《个人数据保护法》和《指导令》的生效而引入的个人数据保护新制度的值得注意的条款。
Le Tuan Anh, Vuong Son Ha, and Tran Tu Anh
本文介绍了《个人数据保护法》和《指导令》生效后推出的个人数据保护新制度的重要规定，特别是关于数据保护官员、数据分类、跨境数据传输和数据传输协议、数据处理和传输影响评估以及许可数据处理服务的规定。
1 月 1 日，随着关于个人数据保护 (PDPL) 的第 91/2025/QH15 号法律的生效以及 2025 年 12 月 31 日第 356/2025/ND-CP 号法令（第 356 号法令）的生效，越南推出了新的个人数据保护制度，该法令取代了 2023 年 4 月 17 日关于个人数据保护的第 13/2023/ND-CP 号法令。数据保护（第 13 号法令）。
PDPL 和第 356 号法令标志着越南个人数据保护制度的重大转变，建立了更全面和可执行的法律框架。这一新制度要求企业密切关注其个人数据保护义务，并主动确保其合法合规。本文重点介绍了 PDPL 和第 356 号法令与第 13 号法令相比所有公司都应注意的关键问题。
为什么个人数据保护很重要？它会对公司产生什么影响？
每家公司都会在日常业务运营中处理个人数据。个人数据是几乎所有业务交互的核心要素，从内部通信到主要商业交易。越南自2006年起就根据不同的法律文件首次建立了个人信息保护机制，2023年刚刚颁布了专门针对个人数据保护的法令，但由于缺乏强有力的执行机制和明确的制裁措施，许多公司将合规性视为低优先级，因为它不会带来直接的财务或法律风险。
新的个人数据保护法律框架建立了完全制度化和执法导向的制度，要求企业认真对待个人数据保护作为法律合规和风险管理的问题。与PDPD相比，新框架引入了实质性变化，更明确地指导公司遵守个人数据保护合规性，同时还对可能直接影响公司利益的违规行为进行处罚。
公司应该知道什么？
任命或外包个人数据保护官：公司首要且最基本的义务是任命一名个人数据保护官（或负责数据保护的单位），其具体职责在公司正式文件中载明。虽然根据 PDPD 规定需要一名数据保护官员来处理敏感个人数据，而该数据保护官员的资格并未受到监管，但现在每家处理个人数据的公司都必须任命一名数据保护官员，并满足第 356 号法令的多项要求，其中包括：(i) 拥有大学或更高学位； (ii) 具有两年法律事务、信息技术、网络安全等相关领域的工作经验。这些法规没有提及适用于数据保护官员的居住或国籍要求。
数据保护官在确保公司遵守个人数据保护法规方面发挥着关键作用，因为他负责对公司内部个人数据方面的所有人员进行培训和指导，制定内部政策和治理规定，并准备文件以确保合法的个人数据处理。公司可以任命一名内部数据保护官或聘请合格的个人或机构数据保护保护服务提供商来满足这些要求。
个人数据的分类：公司在处理个人数据时必须采取的首要步骤之一是确定该数据是否被列为基本个人数据或敏感个人数据，因为敏感个人数据受到更严格的保护要求。
此外，在处理10,000名或更多越南数据主体的个人数据时，企业应评估这些数据是否符合2024年《数据法》和指导文本规定的核心数据或重要数据，这可能会引发公安部（MOPS）和国防部（MOND）加强监管。
同意：公司必须标准化同意收集程序和收集后存储，以遵守日益严格的法规，包括在发生争议时，数据主体的同意证明责任由数据控制者和数据控制者兼处理者承担。 PDPL 和第 356 号法令显然不允许默认同意。或者，必须在数据主体完全理解法律要求的信息后获得同意，并且所有同意记录必须完全可追溯。换句话说，数据主体必须获得包含所需信息的隐私通知/声明，然后公司必须事先获得数据主体的明确同意。
个人数据传输：重要的是，PDPL 和第 356 号法令规定，为依法处理（例如，为向数据主体提供服务或服务于此类数据主体的合法利益）而进行的个人数据传输（无论是否收费）不会被视为个人数据出售（这通常是法律禁止的）。这有助于在公司有偿参与个人数据处理的许多情况下区分个人数据传输和个人数据销售。但相关各方应注意，数据导出方向数据导入方首次传输个人数据，必须根据第356号令规定的具有法定内容的个人数据传输协议进行，且最好以书面形式进行，并附在下述个人数据处理影响评估卷宗（DPIA卷宗）和个人数据传输影响评估卷宗（DTIA卷宗）中。