APEC个保观察：越南个人数据保护进入有罚可执新阶段，公安部主导架构下刑责底色突出

文章指出，与印尼存在的执法空窗不同，越南的个人数据保护已率先走完从立法到执法的制度闭环。2026年8月越南颁布个人数据保护领域行政处罚细则，即第330/2026/ND-CP号法令，标志着该国正式进入有罚可执的新阶段。该法令对跨境传输个人数据的严重违法行为可处以上年度营收最高5%的罚款，非法买卖个人数据可处违法所得最高十倍罚款。

越南个人数据保护立法经历了由散到整、由低到高的演进。2023年4月《第13/2023/ND-CP号法令》（PDPD）首次以专门立法形式系统界定保护规则，但作为政府法令法律位阶较低、处罚力度有限。2025年6月26日越南国会通过《个人数据保护法》（第91/2025/QH15号），将制度提升至国家法律层面，2026年1月1日正式生效。该法整体借鉴欧盟GDPR框架，同时嵌入越南特有的国家安全考量，并设置域外管辖条款，将适用范围延伸至处理越南公民数据的境外主体。

文章特别提示，由公安部主导的监管架构将个人数据保护深度嵌入国家安全框架，以刑为主的执法底色尤为突出。对在越南运营的中资企业而言，数据合规已不仅是经营层面的义务，更与刑事法律风险直接挂钩，需在同意机制、跨境传输影响评估、数据保护人员配备与儿童数据等方面同步建立可举证的合规记录。