合規顧問服務
越南第 91 號法

第 91/2025/QH15 號法自 2026 年 1 月 1 日起施行，與作為施行細則的第 356/2025/NĐ-CP 號議定同時生效。幾乎所有企業都在規範範圍內，因為只要有自然人身分的員工、客戶或合作夥伴，就會產生個人資料處理活動。Musk-IS 會在初期即進行調查，精確界定企業的角色與義務範圍。

個體戶及微型企業可豁免部分義務；小型企業及創新新創企業自 2026 年 1 月 1 日起最長可豁免 5 年。不過，豁免不適用於直接經營個人資料處理服務的單位，也不代表發生違規時可免責；許多大型客戶即使供應商屬豁免對象，仍會要求其證明合規。

是的。個人資料處理衝擊評估文件及個人資料境外傳輸衝擊評估文件皆為強制義務。依第 356/2025/NĐ-CP 號議定，機制已改為事前審查，文件須經專責機關審查並核准，審查期為 15 日，補件期為 30 日。企業應及早並從一開始就正確準備文件，以免延誤營運計畫。

算。這是企業最常遺漏的一點。在越南境外的系統上儲存或處理越南公民的個人資料，即屬境外傳輸範圍，必須具備相應文件。此類違規的罰款最高可達前一年度營業額的 5%，因此這是 Musk-IS 一定最先檢視的項目。

買賣個人資料的行為，最高可處違規所得 10 倍的罰款。違規境外傳輸資料，最高可處前一年度營業額 5% 的罰款。其他違規行為對組織最高可處 30 億越南盾，對個人最高為該金額的一半。此外，還可能面臨紀律處分、刑事追訴及損害賠償。

範圍明確的中小企業，顧問專案通常需時 2 至 3 個月，不含主管機關的文件審查時間；若為多據點、多系統或處理敏感資料的企業，期程可能更長。費用取決於人員規模、資料處理範圍、需檢視的系統數量、需建立的衝擊評估文件數量，以及需新建的文件量。

屬規範對象的企業，須配置負責個人資料保護的部門或人員，並向主管機關通報聯絡窗口。第 356/2025/NĐ-CP 號議定對資格與年資訂有具體標準。Musk-IS 可建議合適的組織架構，並在企業尚無符合條件的人選時，提供個人資料保護人員委外服務。

ISO/IEC 27001 為資訊安全奠定良好基礎，但尚未涵蓋越南法律的特定要求，特別是建立並向越南公安部提交衝擊評估文件的義務。已符合 GDPR 的企業，也需補充越南特有的文件與程序。Musk-IS 會充分運用既有制度，僅補足欠缺部分，以縮短導入時間並節省成本。

不是。越南法律並不為企業核發個人資料保護法合規證書。Musk-IS 是獨立顧問單位，陪伴企業建置制度、建立文件、與主管機關溝通並維持合規。若企業需要第三方佐證以服務國際客戶，我們也能提供 ISO/IEC 27701 或 ISO/IEC 27001 驗證的顧問服務。