越南 TIA 第 09 號範本怎麼填？逐欄填寫說明與範例
越南 TIA 範本，指越南第 356/2025/NĐ-CP 號議定附錄的第 09 號範本「個資跨境傳輸衝擊評估文件」。它分成 A、B 兩篇：A 篇由傳輸方填寫基本資料、傳輸活動、衝擊評估與附件清單；B 篇列出代為傳輸的一方、接收方與其他相關方。議定第 18 條要求的 9 項內容，全部要落在這份範本的欄位裡。
哪些傳輸要做、送件期限與更新規定，請先看 越南 個資跨境傳輸 的說明；這篇專注在 TIA 範本怎麼逐欄填。需要由顧問代為完成並送件，可參考我們的 越南 TIA 文件建置。
第 09 號範本長什麼樣？
範本是越南文表格，共 4 個大段加 B 篇。先看懂架構，再分工找資料，會比從第一欄硬填快很多。
誰負責哪一段，最好在開工會議就分好。填 TIA 範本最常見的延誤，不是不會寫，而是等不到其他部門的資料。
| 段落 | 內容 | 主要負責人 |
|---|---|---|
| A 篇 I | 傳輸方基本資料、個資保護部門或人員 | 法務、行政 |
| A 篇 II | 傳輸類型、資料流向、個資類型、保存刪除、保護措施、合規自評 | IT、人資、業務 |
| A 篇 III | 衝擊評估、接收方的保護程度評估 | 資安、法務 |
| A 篇 IV | 附件清單 | 法務 |
| B 篇 | 代為傳輸方、接收方、其他相關方，含合約編號與日期 | 法務 |
9 項必填內容怎麼對應到欄位？
議定第 18 條第 3 項的 9 項內容，分散在 A 篇各段。下表依範本順序整理填寫重點。
| 範本欄位 | 對應第 18 條 | 填寫重點 |
|---|---|---|
| A-I 第 1～7 項 | (a) 傳輸方資訊 | 越南文、外文名稱、稅號；第 4 項要附營業登記的行業代碼 |
| A-I 第 8 項 | (b) 個資保護窗口 | 內部人員要附指派文件副本，以及符合議定條件的證明 |
| A-II 第 1 項 | (c) 傳輸活動 | 勾選類型：傳到境外伺服器、境外雲端、境外平台處理、經越南仲介或其他；寫明各類當事人與人數 |
| A-II 第 2、3 項 | (c) 流向與個資類型 | 畫資料流向圖；逐項勾選基本與敏感個資 |
| A-II 第 4、5 項 | (d) 保存與刪除 | 附上保存、刪除與銷毀規定的文件 |
| A-II 第 9 項 | (đ)(e) 保護措施與系統圖 | 第 9.4 項專寫接收方的安全方案 |
| A-II 第 10 項 | (h) 合規自評 | 寫明自評的方式、時間與結果 |
| A-III 第 1、2 項 | (i) 衝擊評估 | 對當事人、對系統安全兩面向，各寫 5 個步驟 |
| A-III 第 3 項 | (e)(g)(i) 接收方 | 接收方如何處理與保存、是否再提供第三方、保護是否足夠 |
範本把同意的說明放在議定條文裡，而沒有獨立欄位，實務上可在 A-II 第 2 項的流向說明中交代取得同意的方式。
A-II 第 3 項的勾選清單比多數人預期的長。基本個資包括姓名、出生日期、身分證號、護照號碼、電話、地址、婚姻狀況與家庭關係等；敏感個資則包括健康、生物特徵、宗教、政治立場、定位資料、帳號密碼、身分證影像與銀行交易紀錄。表格最上方還要填兩類各自的總數。
A-III 第 2 項的衝擊評估，每個面向都要依 5 個步驟寫：找出受影響的面向與問題、設定改善目標、列出已採取與擬採取的措施、評估措施的效果、選定建議措施。傳輸逾 10 萬名當事人的基本個資或逾 1 萬名的敏感個資時，還要加寫對國家安全與社會秩序的影響。
資料流向圖怎麼畫？
範本要求寫出每條流向的當事人、目的、是否含敏感個資、傳輸後如何處理，並把流程與系統畫成圖。最實用的畫法是一條流向一列，從越南的蒐集點畫到接收方的最終系統，連備份與再提供的對象都要畫進去。一般而言，先用試算表列出「來源、資料、傳到哪、誰能看」四欄，再轉成圖，最不容易漏。
接收方的資料怎麼取得？
最難填的是接收方三段：A-II 第 9.4 項、A-III 第 3 項與 B 篇。這些內容只有接收方知道，所以要先發一份問卷給台灣總部或境外廠商。
問卷至少問 5 件事：資料存在哪個系統與地點、誰能存取、是否再提供給第三方、採用哪些資安措施與標準（例如是否通過 ISO 27001），以及雙方合約的編號與日期。接收方是大型雲端業者時，一般而言可引用其公開的資料處理條款與驗證報告，但仍要寫清楚貴公司自己的帳號權限與設定。
填寫範例：越南子公司使用台灣總部 ERP
假設越南子公司的訂單、客戶與供應商聯絡資料，存在台灣總部機房的 ERP，關鍵欄位可以這樣填：
| 欄位 | 填寫範例 |
|---|---|
| A-II 第 1 項 | 勾選「傳到境外伺服器」；當事人：客戶聯絡人、供應商聯絡人，各寫人數 |
| A-II 第 3 項 | 基本個資：姓名、電話、聯絡地址；不含敏感個資 |
| A-II 第 9.4 項 | 總部 ERP 依角色控管權限、傳輸加密、異地備份 |
| A-III 第 2.1 項 | 風險：聯絡資料外洩後被冒名詐騙；措施：限制匯出、異常存取告警 |
| A-III 第 3 項 | 總部不再提供給第三方；稽核時僅於總部內查閱 |
| B 篇 II | 接收方：台灣總部，填統編、個資窗口與集團內資料傳輸協議編號 |
員工資料要另外判斷。越南個資法第 20 條把「組織在雲端保存自己員工的資料」列為免做 TIA，議定第 17 條也豁免依內部規章進行的跨境人事管理；但客戶與供應商資料不在豁免範圍內。
常見填寫錯誤
- 只寫「集團內部使用」，沒有畫出接收後的系統與存取者。
- 人數寫「若干」，範本要求寫到送件時的實際數量。
- 漏勾敏感個資，例如身分證影像、銀行交易紀錄、定位資料。
- B 篇沒有合約編號與日期，或根本沒有簽集團內傳輸協議。
- 以為已有 DPIA 就不用做 TIA；兩份文件評估的對象不同，要分開準備。
越南 TIA 範本常見問題
範本在哪裡取得？
第 09 號範本收錄在第 356/2025/NĐ-CP 號議定的附錄，越南政府入口網站提供簽署版 PDF。送件時還要搭配第 01a 號（組織）或第 01b 號（個人）的送件通知。
一份 TIA 可以涵蓋多個接收方嗎？
可以。B 篇的接收方欄位是表格，可以逐列填寫多個接收方；但每個接收方的處理方式與保護措施，都要在 A-III 第 3 項分別說明。
TIA 要翻成越南文嗎？
範本與送件通知都是越南文格式，實務上應以越南文填寫。附件若是中文或英文，一般建議附越南文翻譯或摘要，避免審查時被要求補件。
第一次填第 09 號範本，先準備什麼？
先列出所有傳出越南的資料流向，再發問卷給每個接收方，收齊合約編號、系統說明與保護措施。這兩件事做完，範本的七成欄位就能填好。
不確定哪些流向需要做、哪些可以豁免，可以 從一場 30 分鐘的諮詢開始。
參考資料
- 第 356/2025/NĐ-CP 號議定（含附錄第 09 號範本） – 第 17、18 條與第 09 號範本格式。越南政府 · 2025 年 12 月 31 日
- 《個人資料保護法》2025 年值得注意的規定 – 跨境傳輸規定說明。越南公安部行政管理警察局
