越南第 356/2025/NĐ-CP 號議定：個資法施行細則重點
越南第 356/2025/NĐ-CP 號議定是越南《個人資料保護法》（第 91/2025/QH15 號）的施行細則，越南政府於 2025 年 12 月 31 日發布，2026 年 1 月 1 日與法律同日施行，共 5 章 42 條，並附 13 種表單。法律訂原則與罰則上限，議定則規定影響評估怎麼寫、何時送、個資保護人員要什麼資格。
不少台商讀過法律摘要，卻沒讀過議定，文件格式與期限因此抓錯。以下依章節整理越南第 356/2025 號議定重點，需要判斷適用範圍可參考越南個資法顧問服務；法律本身請見越南個資法完整解析。
重點整理
- 第 356/2025 號議定自 2026 年 1 月 1 日施行，同日廢止第 13/2023/NĐ-CP 號議定（第 42 條）。
- 處理影響評估用第 10 號範本、跨境傳輸影響評估用第 09 號範本，都須在開始處理或傳輸後 60 日內送件，專責機關 15 日內回覆（第 18、19 條）。
- 內部指定的個資保護人員須具大專以上學歷及 2 年相關經驗；委外個人須 3 年，委外組織至少 3 名合格人員（第 13、15、16 條）。
- 當事人撤回同意、要求刪除等請求，須在 2 個工作天內回覆（第 5 條）。
越南第 356/2025 號議定的定位：取代第 13/2023 號議定
越南第 356/2025 號議定細化《個人資料保護法》授權政府規定的條文，涵蓋個資類別清單、當事人權利、評估文件與機關分工。它取代第 13/2023 號議定，也修改資料法施行細則第 165/2025 號議定第 16 條第 2 項。
下表依 5 章整理各章重點，可當作閱讀議定原文的目錄。
| 章 | 條文 | 重點內容 | 台商要看的地方 |
|---|---|---|---|
| 第一章 總則 | 第 1–4 條 | 適用對象；基本個資與敏感個資清單 | 銀行卡資訊、定位、身分證影像、生物特徵屬敏感個資 |
| 第二章 保護要件 | 第 5–16 條 | 當事人權利期限、同意方式、金融、大數據、AI、雲端、個資保護人員 | 雲端個資須於儲存與傳輸時加密 |
| 第三章 文件與程序 | 第 17–29 條 | 跨境傳輸、處理影響評估、更新、個資處理服務、違規通報內容 | 第 09、10 號範本與送件期限 |
| 第四章 執行 | 第 30–40 條 | 檢查、各部會分工、專責機關與國家入口網站 | 檢查前 15 日通知，可突擊 |
| 第五章 施行 | 第 41–42 條 | 小型企業過渡、施行日期 | 10 萬名當事人門檻 |
處理影響評估（DPIA）：第 10 號範本與 6 個月更新
依第 19 條，控制者應自開始處理個資起建立並保存處理影響評估文件，以第 10 號範本撰寫報告，附上處理合約與內部政策，在 60 日內以線上、臨櫃或郵寄方式送交正本，並附第 02a 號（組織）通知書。專責機關 15 日內回覆是否合格；文件不完整時，企業須在 30 日內補正。
第 20 條的更新規定常被誤讀。並不是每 6 個月固定重送，而是自首次送件起，若出現新的處理目的，或控制者、處理者、第三方有新增或變動，才以 6 個月為週期更新；公司重組、解散，或更換個資保護服務提供者時，則須在 10 日內更新，使用第 03a 號通知書。
小型與新創企業依第 41 條可選擇 5 年內暫不辦理，但處理敏感個資、經營個資處理服務或累積達 10 萬名當事人者除外。實務上，有指紋打卡（生物特徵）的工廠多半無法豁免。
跨境傳輸規定：三種情況與人資管理豁免
第 17 條列出三種跨境傳輸：把在越南蒐集的個資存到境外伺服器或雲端、傳給境外接收方，以及上傳到境外平台繼續處理。符合者應依第 18 條以第 09 號範本建立跨境傳輸影響評估，首次傳輸後 60 日內送件，同樣適用 15 日回覆、30 日補正。
議定列出的豁免中，台商最該注意「依內部工作規則、勞動規章或團體協約進行的跨國人事管理」。這不代表員工資料傳回台灣一律免辦，若用於總部分析或交給境外供應商，仍應逐項判斷；建議先在人事規章寫清楚跨國管理範圍。
使用雲端時，第 12 條要求合約載明遵守越南個資法與雙方角色；雲端服務商每年做一次合規評估，個資須在儲存與傳輸時加密。
個資保護人員（DPO）與個資保護部門的資格
第 13 條規定，企業須以正式文件指定個資保護人員或部門，人員須具大專以上學歷、畢業後 2 年以上法務、資訊、資安、風險管理、法遵或人資等相關經驗，並受過個資保護訓練。企業也可依第 15、16 條改為委外，或內外並用。
| 方式 | 資格條件 | 依據 |
|---|---|---|
| 內部指定人員或部門 | 大專以上；2 年相關經驗；受過個資保護訓練；簽保密協議 | 第 13 條 |
| 委外個人 | 大專以上；3 年相關經驗；受過深入訓練 | 第 15 條 |
| 委外組織 | 具科技或法律顧問業務；至少 3 名符合委外個人條件的人員；有資安或個資保護服務實績 | 第 16 條 |
委外時須審查對方的能力文件、簽訂服務與資料處理合約，並向當事人公開個資保護人員資訊。第 09、10 號範本也要求附上指定決定書或委外合約。
表單與當事人請求期限
議定附錄共有 13 種表單：第 01a／01b 號為跨境傳輸評估送件通知、第 02a／02b 號為處理影響評估送件通知、第 03a／03b 號為更新通知（a 為組織、b 為個人），第 04 至 07 號用於個資處理服務的證書申請與撤銷，第 08 號為違規通報，第 09、10 號則是兩份評估報告本體。
當事人請求依第 5 條須在 2 個工作天內回覆並說明程序；撤回同意、限制或反對處理 15 日內執行，查閱或更正 10 日，刪除 20 日，且只能展延一次。以保險公司來說，客服與法務要事先分工，不能等每週會議才處理。
檢查機關與違規通報
依第 39 條，個資保護專責機關是公安部所屬單位，並由公安部建置國家個資保護入口網站。第 31 條規定，專責機關可定期或突擊檢查，對象包括須辦理影響評估的企業；一般檢查應在 15 日前通知時間、內容與人員，為及時制止違規則可不經通知直接檢查。
違規通報內容規定在第 28 條，以第 08 號表單送交。定位與生物特徵資料外洩，第 29 條要求 72 小時內通知當事人；金融業敏感個資外洩，第 8 條要求 72 小時內通報專責機關與當事人。完整流程可參考越南個資外洩通報。
關於第 356 號議定的常見誤解
第一個誤解是「舊制文件全部作廢」。依法律第 39 條，舊制下已被受理的評估文件可繼續使用，要補的是新增的處理活動與傳輸路徑。
第二個誤解是「指定一位員工當 DPO 就算完成」。議定要求正式指定文件、學歷年資、訓練紀錄與保密協議。違規的罰鍰另見越南個資法罰則整理。
拿到第 356 號議定後，台商第一週該做什麼？
先列出越南據點的每一條個資流向並標註是否出境，再確認個資保護人員是否符合越南第 356/2025 號議定第 13 條資格。這兩項決定了要送哪些文件。逐項自我檢查可搭配越南個資法台商合規檢查清單。
我們在胡志明市設有團隊，能直接以越南文與專責機關溝通。想確認貴公司要送哪幾份文件，可以從一場 30 分鐘的諮詢開始。
第 356 號議定常見問題
第 356 號議定何時生效？
越南第 356/2025 號議定於 2025 年 12 月 31 日發布，自 2026 年 1 月 1 日起施行，與第 91/2025/QH15 號《個人資料保護法》同日生效。舊制下已取得的同意與已受理的評估文件，依法律第 39 條可繼續使用。
第 356 號議定取代了哪一份議定？
它取代第 13/2023/NĐ-CP 號個資保護議定，該議定自 2026 年 1 月 1 日失效（第 42 條第 2 項）。同條也修改第 165/2025 號資料法議定：核心或重要資料若屬個資，跨境時改依個資法辦理影響評估。
表單在哪裡下載？
13 種表單都收錄在議定附錄，可從越南政府入口網站下載簽署版 PDF（見參考資料 1）。第 09、10 號範本欄位很細，建議先整理資料流向與系統清單，再寫影響分析。
參考資料
- 第 356/2025/NĐ-CP 號議定（含附錄 13 種表單） – 第 1 至 42 條與附錄表單原文。越南政府 · 2025 年 12 月 31 日發布，2026 年 1 月 1 日施行
- 《個人資料保護法》2025 年值得注意的規定 – 第 91/2025/QH15 號法重點說明。越南公安部行政管理警察局
- 越南第 91/2025/QH15 號《個人資料保護法》條文摘要（LexData） – 第 20、21、39 條等條文整理。越南國會 · 2025 年 6 月 26 日通過
