DLA Piper亚太隐私更新：越南处罚框架生效、韩国PIPA修订落地、印尼配套条例过渡，三地同步进入执法期

越南方面，第330/2026/ND-CP号法令为《个人数据保护法》（第91/2025/QH15号）及第356/2025/ND-CP号法令提供执行机制，具域外效力，同时适用于境内与境外企业。罚则采用固定罚款、按违法所得计罚与按营收计罚三种方式：涉及跨境传输的严重违规最高可处上年营收5%，非法买卖个人数据最高可处违法所得十倍，其他个保违规一般最高30亿越南盾；个人罚则为组织的一半。违法所得没收、暂停数据处理或跨境传输、强制召回或不可逆删除违法处理数据等补救措施可并行适用。

韩国方面，PIPA修正案于2026年3月10日公布、9月11日生效，在四方面强化问责：特定重复或重大违规、或因未遵守整改命令导致泄露的，最高罚则自年营业额3%提高至10%；要求就可能的数据泄露（而非仅在确认泄露后）向数据主体通知；明确代表（如CEO）或企业主对个人信息安全管理与数据主体权利保护承担最终责任；CPO任命须经董事会批准并报告PIPC；ISMS-P认证自2027年7月1日起对达标处理者强制。

印尼方面，配套实施条例已落地并设过渡期，逐步细化全生命周期义务。报告判断，三地共同趋势是：此前企业感知的“宽限期”正在收束，监管意图转向更积极的执法。跨区域经营的组织应假设三地执法节奏不再彼此错开，而是同步加压。

对中国出海企业的实务含义有三点：一是越南的域外条款与营收罚则使“未设本地实体”不再构成安全边界，跨境传输影响评估（TIA）档案须在首次传输后60日内提交公安部，集团内部共享同样构成跨境传输；二是韩国10%罚则与CEO最终责任叠加，须将数据合规纳入项目立项阶段的尽职调查而非事后补救；三是三地均强调“可证明的合规”，合同、评估、日志与操作记录的可产出性与数据保护本身同等重要。本条目为律所区域综述，具体适用以各地监管原始文本为准。