越南個資外洩 72 小時通報：流程與文件
越南個資外洩通報，是指企業發現違反個資保護規定、可能造成損害的事件時，依越南第 91/2025/QH15 號《個人資料保護法》第 23 條，在發現後 72 小時內通報公安部的個資保護專責機關。控制者、控制兼處理者與第三方都有通報義務；受託處理資料的處理者，則要及時通知控制者。
對在越南設廠或設點的台商來說，這條規定的難處不在法條本身，而在時間：72 小時內要釐清發生什麼事、影響多少資料、已經採取哪些措施，還要用規定的格式送出。這篇依法條與第 356/2025/NĐ-CP 號議定原文，整理誰要通報、怎麼起算、通報內容、流程，以及何時還要通知當事人。需要協助建立應變程序，可以參考我們的 越南個資法顧問 服務。
重點整理
- 發現可能危害國防安全、社會秩序，或侵害當事人生命、健康、名譽、財產的違規時，控制者與第三方應在發現後 72 小時內通報專責機關（個資法第 23 條）。
- 通報內容依議定第 28 條包括 4 項：違規性質、個資保護窗口、可能後果與已採取的措施，以第 08 號範本送交專責機關或國家個資保護入口網站。
- 涉及位置資料或生物特徵資料，以及金融、銀行與徵信業的敏感資料外洩，還要在 72 小時內通知受影響的當事人（議定第 29 條、第 8 條）。
- 違反通報義務屬「其他違規」，組織最高可處 30 億越南盾罰款（個資法第 8 條第 5 項）。
越南個資外洩通報義務：誰要通報？
依越南個資法第 23 條第 1 項，控制者、控制兼處理者與第三方，發現個資保護違規可能造成損害時，應在 72 小時內通報專責機關。處理者不直接對機關通報，而是要及時通知委託的控制者，由控制者通報。
| 角色 | 台商常見情境 | 義務 |
|---|---|---|
| 控制者 | 越南子公司處理自家員工與客戶資料 | 72 小時內通報專責機關，並製作違規確認紀錄 |
| 控制兼處理者 | 自行蒐集並自行處理資料的企業 | 同控制者 |
| 處理者 | 台灣軟體或客服公司替越南客戶處理資料 | 及時通知控制者，配合調查 |
| 第三方 | 依約取得資料的合作夥伴 | 發現違規時 72 小時內通報專責機關 |
這對替越南客戶服務的台灣廠商特別重要。依法處理者的義務是「及時」通知控制者，而控制者自己只有 72 小時，所以客戶多半會在合約中要求更短的通知時限，例如 24 小時。簽約前最好先確認自己做得到。
72 小時從什麼時候開始算？
72 小時從「發現違規行為」時起算，不是從事件發生或調查完成時起算。個資法第 23 條以小時計算，沒有排除週末與假日，所以週五晚上發現的外洩，原則上週一晚上前就要完成通報。
要觸發通報，違規必須「可能」造成兩類損害之一：危害國防安全、社會秩序與安全，或侵害當事人的生命、健康、名譽、尊嚴與財產。客戶或員工資料外洩，通常都可能讓當事人面臨詐騙或財產損失，實務上應以「需要通報」為前提處理，而不是等損害發生。
另外，個資法第 23 條第 3 項也規定，發現個資遭錯誤目的處理、超出當事人同意範圍處理，或當事人權利未獲保障時，相關機關、組織與個人也應通知專責機關。
通報內容：第 08 號範本要寫什麼？
依第 356/2025/NĐ-CP 號議定第 28 條，通報至少要包括 4 項內容，並以第 08 號範本送交專責機關，或透過國家個資保護入口網站提交。
| 通報內容 | 撰寫重點 |
|---|---|
| 違規性質 | 時間、地點、行為、相關組織或個人、個資類型與數量 |
| 聯絡窗口 | 個資保護部門或人員，或委外的個資保護服務提供者 |
| 可能後果 | 對當事人與組織可能造成的後果與損害 |
| 處理措施 | 已採取或將採取的解決與降低損害措施 |
72 小時內常常無法查清所有細節。實務上建議先依已知事實送出，並在通報中說明調查仍在進行、會補充哪些資訊；這比等到查清楚才通報、結果超過期限更安全。
越南個資外洩通報流程與 72 小時檢查清單
越南個資外洩通報最好事先分成幾個時間點，每一段指定負責人。以下是依法條要求整理的建議時程，各企業可依規模調整。
| 時間 | 要完成的事 | 負責 |
|---|---|---|
| 發現後立即 | 控制損害：停用外洩帳號、封鎖異常連線、保全日誌 | IT |
| 24 小時內 | 初步判斷外洩範圍：哪些系統、哪些資料、大約多少人 | IT、個資保護窗口 |
| 48 小時內 | 判斷是否需要通報、是否涉及位置或生物特徵資料，準備第 08 號範本 | 法務、個資保護窗口 |
| 72 小時內 | 送出通報；需要時通知當事人 | 法務、管理層 |
| 之後 | 製作違規確認紀錄，配合專責機關調查並補充資訊 | 法務 |
- ☐ 已指定 72 小時通報的負責人與代理人
- ☐ 已準備好第 08 號範本的內容草稿
- ☐ 委外廠商合約已寫明通知時限
- ☐ 已知道哪些系統處理位置或生物特徵資料
- ☐ 已準備當事人通知的範本與公開公告的發布管道
- ☐ 每年至少演練一次通報流程
什麼時候要通知當事人？
議定明確要求 72 小時內同時通知當事人的，是兩種情形：位置資料或生物特徵資料外洩，以及金融、銀行與徵信業的敏感資料外洩。其他情形法條雖未明定通知當事人的時限，實務上仍建議通知，讓當事人能及早防範詐騙。
依議定第 29 條，位置或生物特徵資料外洩時，控制者應在發現後 72 小時內通知受影響的當事人。通知內容至少包括：發現的時間與方式、受影響的資料類型、嚴重程度與可能風險、已採取與將採取的措施、當事人可以採取的防範方式，以及聯絡窗口。無法在期限內逐一通知時，應先透過官方網站或應用程式公告，條件允許時再個別通知。
對使用指紋或人臉辨識打卡、員工定位系統的工廠來說，這條規定直接相關。一旦打卡系統的資料外洩，就要在 72 小時內通知全體受影響員工。
事後處理與罰則
通報送出後，控制者還要依個資法第 23 條第 2 項製作違規確認紀錄，並配合專責機關處理。涉及位置或生物特徵資料時，依議定第 29 條，違規紀錄至少要保存到事件處理完畢後 5 年。
罰則方面，違反通報義務屬於個資法第 8 條第 5 項的「其他違規」，組織最高可處 30 億越南盾，個人為其一半。議定第 29 條也明定，未按時通知或刻意拖延、規避通知義務者，將依法處理。越南個資法的完整罰則，可以參考 越南個資法 全解析。
有多國業務的企業，可以把越南的要求和其他地區放在同一份應變流程中。下表比較幾個常見法域的外洩通報時限。
| 法域 | 通報主管機關 | 通知當事人 |
|---|---|---|
| 越南 | 發現後 72 小時內 | 位置、生物特徵資料與金融業敏感資料：72 小時內 |
| 歐盟 GDPR | 知悉後 72 小時內 | 高風險時不得無故延遲 |
| 韓國 PIPA | 特定情形 72 小時內 | 72 小時內 |
| 台灣個資法（現行） | 依產業安全維護辦法 | 查明後以適當方式通知 |
台灣的部分，可以參考 資料外洩查詢 一文中的通知義務整理。
在越南的工廠，現在該準備什麼？
準備越南個資外洩通報，最需要先做的，是指定 72 小時通報的負責人與代理人，並把第 08 號範本的 4 項內容寫成可直接填寫的草稿。週末或假日發生外洩時，這份草稿能省下最寶貴的前 24 小時。
接著盤點哪些系統處理位置或生物特徵資料，例如指紋打卡、門禁與車輛定位，並準備好當事人通知範本。如果想確認越南據點的應變流程是否符合規定，可以參考我們的 越南個資法顧問，或 直接與顧問聊聊貴公司的狀況。
越南個資外洩通報常見問題
週末也算在 72 小時內嗎？
算。越南個資法第 23 條以「72 小時」計算，自發現違規時起算，沒有排除週末與國定假日。因此企業應指定假日也能聯絡的負責人與代理人，並事先準備好通報內容的草稿，避免因為放假而超過期限。
超過 72 小時才通報怎麼辦？
仍應儘快通報，並在通報中說明延遲的原因與已採取的措施。違反通報義務可能被認定為個資法第 8 條第 5 項的違規，組織最高可處 30 億越南盾罰款；主動補報並說明原因，通常比不通報更能降低後續處理的風險。
員工資料外洩要通知受影響的員工嗎？
若外洩的是指紋、人臉等生物特徵資料或位置資料，依第 356/2025/NĐ-CP 號議定第 29 條，必須在 72 小時內通知受影響員工。其他類型的員工資料，法條未明定通知時限，但實務上仍建議通知，讓員工能及早防範詐騙。
台灣總部系統外洩，也要向越南通報嗎？
可能需要。越南個資法也適用於直接參與或涉及處理越南公民個資的境外組織。若外洩的台灣總部系統存放越南員工或客戶資料，越南子公司作為控制者，仍應評估是否在 72 小時內向越南專責機關通報。
參考資料
- 越南第 91/2025/QH15 號《個人資料保護法》 – 第 8、23 條罰則與違規通報。越南國會 · 2025 年
- 第 356/2025/NĐ-CP 號議定 – 第 8、28、29 條通報內容與當事人通知。越南政府 · 2025 年 12 月 31 日
