越南《个人数据保护法》影响评估档案要求解析：须在首次处理之日起60日内报送，小微企业豁免附条件

越南《个人数据保护法》（第91/2025/QH15号法）第21条第1款要求，个人数据控制者及控制者兼处理者须准备并留存影响评估档案，并在首次处理之日起60日内向专门机关提交一份正本。该法第2条第12款将影响评估定义为在数据处理过程中分析并评估风险，以便采取措施降低风险、保护个人数据。因此报告必须包含与系统、数据和所涉各方的实际情况相关的分析，而不仅是复述法律原则。

档案的构成由第356/2025/ND-CP号法令第19条第2款确定，包括三组文件：采用第10号格式的影响评估报告；载明各方义务与责任的数据处理合同或协议副本；以及相关的数据保护政策、程序、规则、表单和其他文件。第10号范本只是档案中的报告部分，而非档案全部。企业须按照第19条第3款准备报告所需的七类内容，包括各方联系信息、数据处理目的与类型说明、数据流图、同意获取方式说明，以及数据保存、删除和销毁政策等。

关于过渡安排，对于专门机关在2026年1月1日前收到的依据第13/2023/ND-CP号法令提交的影响评估档案，该法第39条第2款允许继续使用而无需按新法重新准备影响评估档案，此后更新须符合新法。在2026年1月1日前已收到是适用该过渡条款的证明条件，档案虽已起草但未在该日期前送达的，不适用继续使用条款。此外，该法第21条第3款要求处理者的档案须依其与控制者或控制者兼处理者的协议准备和留存，协议应分配信息提供与配合完成档案的责任，客户提交档案不替代反映处理者自身活动的档案。

在豁免方面，该法第38条第2款和第3款以及第356/2025/ND-CP号法令第41条规定了企业可免于开展影响评估或符合豁免条件的时点。相关安排有条件地适用于小型企业、初创企业、微型企业和个体工商户，但在企业提供数据处理服务、直接处理敏感数据，或达到10万名数据主体的累计门槛时不适用。小型企业与初创企业可用的选择仅限于自2026年1月1日起五年内；个体工商户与微型企业不受该五年期限限制，但仍须满足相应条件。仅员工规模小并不满足全部豁免条件。