越南个人数据保护法（PDPL）

什么是越南《个人数据保护法》（PDPL）？

越南《个人数据保护法》（PDPL），即第 91/2025/QH15 号法律，是该国首部全面的个人数据保护法规。该法由国会于 2025 年 6 月 26 日通过，2026 年 1 月 1 日起生效，取代了自 2023 年 7 月 1 日起施行、此前作为主要个人数据框架的第 13/2023/ND-CP 号法令。PDPL 引入了可强制执行的数据主体权利、强制性数据保护官制度、正式的影响评估要求，以及与行政罚款并行的刑事处罚。

执法工作由公安部网络安全和高科技犯罪防范厅（A05）负责，而非由独立的数据保护机构负责。

越南 PDPL 适用于哪些主体？

该法律适用于在越南境内收集、存储、使用、披露或转移个人数据的任何组织或个人。其适用范围涵盖在越南境内处理个人数据或参与个人数据处理活动的境内外实体，无论其注册地在何处。

在越南没有实体存在的组织，若大规模处理越南境内个人的数据，仍必须指定当地代表或联络人。

处理个人数据的合法依据

同意是 PDPL 下处理个人数据的主要合法依据。与 GDPR 不同，PDPL 并不存在宽泛的"合法利益"依据：第 19.1(a) 条引入了一项狭义的合法利益依据，但仅限于与保护控制者或第三方权利免受侵害相关的防御性情形。它不支持 GDPR 第 6.1(f) 条所允许的一般利益平衡测试，仅凭商业利益并不能作为处理数据的正当理由。

除同意外，其他被认可的合法依据包括合同必要性、法律义务、切身利益以及法律规定的公共利益。对于敏感个人数据，无论是否存在其他依据，均须获得明确同意。目前依赖 GDPR 下合法利益依据的组织，需要重新审视其处理记录，并在大多数情况下转向以同意为基础的数据收集方式。

同意要求

PDPL 下的同意必须是自由给予的、针对既定目的的、知情的，并通过明确的肯定性行为表达。同意必须以清晰、具体的方式展示，并以可打印或可复制成书面形式（包括电子形式）呈现。同意必须可随时撤回，且不得因撤回而对个人造成不利影响。禁止将服务的提供与对无关目的的同意相挂钩。

预先勾选的选项框、与服务条款捆绑的笼统同意，以及通过暗黑模式（dark patterns）获取的同意均属无效。同意记录必须予以保存，并可应 A05 的要求进行调取。

敏感个人数据

敏感个人数据类别列于第 356/2025/ND-CP 号法令中。以下所有类别均要求获得明确同意，并给予更高级别的保护：

民族或种族出身
政治观点或政党成员身份
宗教或哲学信仰
私生活、个人秘密或家庭秘密
健康数据，包括病历
用于唯一身份识别的生物识别数据和基因特征
性生活或性取向
通过定位服务确定的个人位置数据
家庭关系，包括与父母、子女及配偶的关系
在线账户凭证，包括用于电子身份识别账户的用户名和密码；身份证件图像
财务数据，包括银行账号、银行卡信息及交易记录
来自电信服务、社交网络、在线媒体平台及网络空间服务的行为和使用数据
犯罪记录或违法历史

第 356 号法令相较于此前的第 13 号法令扩大了敏感数据的范围。在线账户凭证、身份证件图像，以及数字平台上的行为和使用追踪数据被新增为敏感数据类别。此前被归类为基本个人数据的网络空间活动及活动历史，如今被重新归类为敏感数据。

数据主体权利

PDPL 确立了 11 项权利：

知情权，了解哪些组织持有其数据及处理依据
给予同意的权利，以及要求该同意得到尊重的权利
访问权，请求获取所持个人数据的副本
随时撤回同意的权利
删除个人数据的权利
限制处理的权利
数据提供权
基于任何依据反对处理的权利
向执法机关或法院提出投诉、举报或诉讼的权利
就非法处理造成的损害要求赔偿的权利
针对非法处理进行自我防卫的权利

拒绝满足数据主体请求时必须书面说明理由。处理请求的时限包括：在两个工作日内作出初步确认，并在七至十个工作日内作出实质性答复。

数据保护官（DPO）要求

所有数据控制者和处理者均须指定一名数据保护官。与 GDPR 不同，该要求不设基于处理规模或类型的门槛。

豁免和宽限期取决于企业规模。微型企业和家庭经营户完全豁免。小型企业和初创企业自 2026 年 1 月 1 日起享有五年宽限期，但前提是它们不作为数据处理服务提供商，且不处理敏感个人数据或大量数据。若从事上述活动，则必须立即指定 DPO。所有其他组织必须自法律生效之日起遵守该要求。

数据保护影响评估（DPIA）

处理具有较高风险的个人数据的组织，必须开展数据保护影响评估，并在首次处理个人数据之日起 60 天内提交给 A05。评估须记录所处理数据的类别、处理目的、处理的必要性和相称性、对数据主体的风险、缓解措施，以及所采取的技术和组织保障措施。当处理活动发生重大变化时，DPIA 须相应更新。

跨境数据传输

个人数据只有在满足特定条件的情况下才可传输至越南境外。组织必须开展传输影响评估（TIA），并在首次跨境传输之日起 60 天内提交给 A05。自提交之日起 15 天内，A05 将对 TIA 进行审查，若材料不完整则要求补正。若发生受监管的变化，TIA 须每六个月更新一次。

接收国须提供充分的数据保护水平，或须通过具有约束力的合同条款建立适当的保障措施。越南尚未公布正式的充分性国家名单，因此大多数国际传输都需要同时具备合同保护措施和向 A05 进行的 TIA 备案。

数据泄露通知

组织必须在获悉个人数据泄露事件后 72 小时内通知 A05。通知内容须包括泄露事件的描述、受影响数据的类别和大致数量、可能造成的后果、已采取或拟采取的措施，以及 DPO 或负责官员的联系方式。若泄露涉及敏感个人数据，还须在发现后 72 小时内通知受影响个人。

违规处罚

PDPL 下的行政罚款采用分级结构：

跨境数据传输违规：最高可处以该组织上一年度在越南境内收入 5% 的罚款，或 30 亿越南盾（约合 115,000 美元），以较高者为准
非法交易或出售个人数据：最高可处以非法活动所获收入 10 倍的罚款，或 30 亿越南盾，以较高者为准
其他违规行为：最高可处以 30 亿越南盾的罚款

罚款可与暂停处理活动、强制审计或要求删除非法处理数据等措施并处。根据越南刑法典，故意非法收集、传输或使用个人数据者可被判处最高 7 年监禁，并处以 3,000 万至 10 亿越南盾不等的罚金。

对数字广告和营销的影响

PDPL 以同意为先的方针直接影响基于 Cookie 的追踪、行为广告以及第三方数据共享。若组织未能正确获取同意，将面临失去广告数据合法依据的风险，这意味着广告平台将无法将该数据用于定向投放或效果衡量。

主要广告平台已开始针对越南实施同意要求：

Microsoft Advertising 将于 2026 年 6 月 30 日起把越南列为强制执行同意要求的市场。此日期之后，若没有通过 IAB TCF 2.3 传递的有效同意信号，Microsoft 将不会针对越南流量投放个性化广告。未经适当同意，不得在终端用户设备上放置 Microsoft 设备标识符（例如 Cookie）。
Google Ads 要求受监管市场的用户提供通过 Google Consent Mode v2 传递的合规同意信号。若缺乏有效同意，广告请求将被视为未获同意，从而禁用个性化广告并降低千次展示费用（CPM）。

若缺乏合规的同意收集机制，组织将面临广告收入下降、广告投放效果变差，以及 A05 潜在监管行动的风险。

UniConsent 如何帮助您遵守越南 PDPL

由于 PDPL 以同意为核心，组织需要能够满足该法律在具体性、颗粒度和可撤回性方面要求的同意收集机制。UniConsent 提供了在不牺牲广告效果的前提下实现合规的工具：

本地化同意横幅，专为越南用户设计，提供完整的越南语支持，并附有清晰的用途说明，满足 PDPL 的透明度要求
按用途细分的颗粒度控制，针对每项处理活动分别设置，使用户可以独立同意分析、广告和功能性 Cookie，符合 PDPL 的具体性规则
Google Consent Mode v2 集成，向 Google Ads、Google Analytics 及其他 Google 服务发送合规的同意信号，即使用户拒绝个性化追踪，也能保留广告衡量和转化建模能力
IAB TCF v2.3 支持，用于程序化广告，确保同意信号在广告供应链中正确传递至需求方平台、供应方平台（SSP）以及包括 Microsoft Advertising 在内的广告合作伙伴
偏好管理中心，允许用户随时更新或撤回同意，满足 PDPL 的撤回要求，同时不影响用户体验
防篡改的同意记录，存储时间戳、同意选择及版本历史，为组织在 A05 要求提供有效同意证据时提供所需的文档支持

通过从一开始就正确收集同意，组织能够保护其广告收入来源，维持对 Google、Microsoft 及程序化合作伙伴完整广告平台功能的使用权限，并建立一份既满足 PDPL 要求、又符合广告合作伙伴政策的可审计合规记录。