PwC越南简报：第330/2026/ND-CP号法令首次为个人数据保护违规设立专门处罚制度，合规从“意图”转为“证明”

法令确立了覆盖个人数据全生命周期的具体罚则，涉及同意与处理目的、数据主体请求响应、披露与转移及删除、泄露记录与通知、个人信息处理影响评估、跨境传输影响评估、数据保护人员任命与资质、儿童及其他特殊保护群体数据处理、招聘与员工数据等环节。雇佣场景中，要求与招聘无关的候选人信息、未经同意将候选人数据用于其他目的、超同意范围处理、未按要求删除未录用者数据，均可能触发罚款。

敏感个人数据处理通常对应更高处罚幅度；受影响数据主体数量与后果严重程度亦影响裁量。除罚款外，可并处没收违法材料或违法所得、暂停数据处理或跨境传输、责令改正不足的处理安排、强制召回或不可逆删除违法处理的数据等补救措施，其中暂停与删除直接冲击业务连续性。

PwC提示企业优先推进可证明的合规：梳理个人数据、敏感个人数据与跨境数据流；复核同意机制、隐私告知与留存期限；确认各项影响评估完整且在有效期内；强化处理者、云服务与数据传输合同；留存同意、访问、披露、删除与事件的可审计记录；演练泄露升级与通知流程。该法令无过渡期，企业应立即评估存量安排的适配性。本条目为专业服务机构简报，具体条款以法令原文为准。