處理敏感個人資料的企業
直接處理健康、生物特徵、財務或其他敏感類別資料——即使是小型企業也不在豁免範圍內。
服務
個人資料處理衝擊評估（DPIA）
Musk-IS 協助企業依第 356/2025/NĐ-CP 號議定第 10 號範本，建立、完善並提交個人資料處理衝擊評估文件，直接與越南網路安全暨防制高科技犯罪局（A05）溝通，直到文件獲准為止。
60開始處理後的提交期限（天）
15主管機關審查期（天）
6定期檢視更新週期（月）
服務
Đối tác tiêu biểu
什麼是個人資料處理衝擊評估文件？
依越南第 91/2025/QH15 號《個人資料保護法》第 2 條第 12 款，個人資料處理衝擊評估是指分析、評估個人資料處理過程中可能發生的風險，以採取降低風險、保護個人資料的措施。Musk-IS 協助企業依規定範本建立個人資料衝擊評估文件，並全程陪伴至提交。
衝擊評估文件（DPIA）是由個人資料控制者、處理者或控制暨處理者所建立的文件，用以分析對當事人權利的潛在風險，進而提出合適的管理與技術措施（加密、去識別化等）以降低這些風險。
依第 91/2025/QH15 號法第 21 條，建立並保存此文件是在越南處理個人資料之組織與個人的強制義務。文件須自開始處理個人資料時建立並保存，並於 60 日內將 1 份正本提交越南公安部網路安全暨防制高科技犯罪局（A05）。
這不只是行政程序，更是策略性的風險管理工具。正確且完整地建立文件，可協助企業避免最高達總營業額 5% 或 30 億越南盾的罰款，同時建立客戶信任、提升品牌信譽，並在數位經濟中取得競爭優勢。
哪些對象必須建立 DPIA 文件？
個人資料控制者、處理者及控制暨處理者皆有義務建立、保存並提交衝擊評估文件。部分對象可依第 91/2025/QH15 號法第 38 條及第 356/2025/NĐ-CP 號議定第 41 條豁免，但若屬特殊情形，豁免即失效。
大規模處理資料的企業
累計處理 10 萬名以上當事人的個人資料——不論企業規模皆須建立文件。
經營個人資料處理服務的單位
不得適用第 91/2025/QH15 號法第 38 條的任何豁免情形，必須從一開始就建立文件。
有資料傳輸至境外的企業
使用伺服器位於境外的雲端服務、CRM、電子郵件——須自首次跨境傳輸資料之日起 60 日內提交文件。
中小企業、新創企業
自 2026 年 1 月 1 日起的前 5 年內，可選擇不建立文件，但屬上述豁免失效情形者除外。
15 日主管機關審查
30 日文件不足時補件
各方資訊
企業及資料保護部門資訊
目的 & 處理流程
資料類型、處理活動、資料流向圖
同意 & 保存
取得同意的機制、資料保存及刪除政策
保護措施
系統架構圖、採用的資安標準
風險 & 緩解
影響程度及緩解措施
文件須自開始處理個人資料起 60 日內提交，並每 6 個月定期更新一次；組織、資料保護服務供應商或營業項目變動時，須於 10 日內立即更新。
查看 5 大文件建置步驟依規定建立 DPIA 文件的效益
建立衝擊評估文件不只是合規義務，更是協助企業管理風險、建立競爭優勢的策略性步驟。
降低法律風險
- 避免依第 91/2025/QH15 號法第 8 條遭處最高營業額 5% 或 30 億越南盾的罰款
- 接受稽查、檢查時具備充分的說明佐證
- 不會因未依要求如期完善文件而遭裁罰
建立客戶與合作夥伴的信任
- 透明且負責的資料處理流程
- 客戶、合作夥伴要求審查時可隨時提供文件
- 鞏固品牌在消費者心中的信譽
提升內部治理成效
- 檢視組織內的全部資料流向
- 明確劃分各部門的責任
- 強化現行的資安措施
建立競爭優勢
- 在消費者日益重視隱私之際，從競爭者中脫穎而出
- 符合大型客戶的供應商審查要求
- 為拓展至合規要求嚴格的市場做好準備
營運不中斷
- 於 60 日期限內提交文件，避免遭要求暫停處理
- 接獲要求時於 30 日內完成說明與補件
- 不延誤新產品、新服務的上市計畫
持續維持合規
- 依規定每 6 個月定期更新文件
- 組織、供應商、營業項目變動時於 10 日內立即更新
- 避免建立一次文件後就忽略更新義務
為什麼選擇 Musk-IS？
建立 DPIA 文件需要深入了解法律與資安技術。Musk-IS 從調查一路陪伴企業，直到文件獲主管機關核准。
01. 依第 10 號範本標準撰寫文件
依第 356/2025/NĐ-CP 號議定第 10 號範本完整、正確申報，避免常見錯誤導致文件遭退回。
- 具體描述處理目的，不籠統帶過
- 完整申報各相關方，包括第三方
- 風險評估深入分析成因與實際影響
- 提出與資料敏感程度相稱的保護措施
02. 陪同與 A05 局溝通
在向專責機關提交、說明及補件的整個過程中，代表或協助企業處理。
- 備妥完整文件：文件提交通知、衝擊評估報告、協議及內部政策
- 自開始處理資料起 60 日內如期提交文件
- 接獲要求時於 30 日內協助說明與補件
- 追蹤主管機關 15 日的審查進度
03. 建立完整的配套內部政策與程序
唯有具備能證明企業確實依申報內容運作的內部政策與程序體系，DPIA 文件才站得住腳。
- 個人資料保護內部規章
- 同意書表單、事故處理程序
- 依第 356 號議定標準的人員訓練計畫
- 與第三方的資料處理合約、協議
04. 協助定期更新文件
建立一次文件並不是終點。Musk-IS 持續陪伴，確保文件始終反映企業的實際營運。
- 每 6 個月定期檢視並更新文件
- 組織重整、更換供應商或變更營業項目時於 10 日內立即更新
- 追蹤指導文件及新範本的變動
- 必要時延伸至個資境外傳輸文件（TIA）
代表案例
從檢視資料流向、撰寫文件到直接與 A05 局溝通，每個 DPIA 文件建置專案皆依企業實際需求量身規劃。
DPIA 文件維護生命週期
衝擊評估文件不是建立一次就束之高閣的文件——依第 91/2025/QH15 號法第 22 條及第 356/2025/NĐ-CP 號議定第 20 條，這是持續更新的義務。
01
評估 – 界定範圍
- 確認屬控制者、處理者或兩者兼具
- 確認企業是否屬於豁免對象
- 檢視相關系統、流程及部門
- 確認威脅及風險程度
02
撰寫 – 建立文件
- 向法務、IT、人資、業務蒐集資訊
- 依第 356/2025/NĐ-CP 號議定第 10 號範本完整申報
- 準備配套的協議、政策及內部程序
- 依第 02a/02b 號範本準備文件提交通知
04
提交 – 追蹤審查
- 自開始處理資料起 60 日內向 A05 局提交文件
- 追蹤主管機關 15 日的審查期限
- 接獲要求時於 30 日內說明與補件
- 領取結果通知並保存已核准的文件
03
更新 – 維持合規
- 每 6 個月定期檢視並更新文件
- 組織重整、更換供應商或變更營業項目時於 10 日內立即更新
- 更新已提交文件時使用第 03a/03b 號範本
- 定期複訓與內部檢視
DPIA 文件建置流程共 5 個步驟
Musk-IS 建議的路徑，確保衝擊評估文件完整、正確並如期提交。
步驟 1：確認角色與範圍
確認企業屬於控制者、處理者或兩者兼具；界定與個人資料處理相關的系統、流程及部門範圍。
企業需配合：提供商業模式、有處理個人資料的系統及部門清單。
階段成果：確認法律角色及文件範圍。
步驟 2：蒐集詳細資訊
成立由法務、IT、人資、業務組成的工作小組，完整蒐集資料流向、與第三方的合約及現行資安政策等資訊。
企業需配合：成立工作小組，並提供與第三方的合約及現行資安政策。
階段成果：足以進行衝擊分析的輸入資料。
步驟 3：分析並評估衝擊
找出未經授權存取、資料外洩等威脅；評估風險程度，並提出合適的管理與技術控制措施。
企業需配合：從業務角度確認各類資料的敏感程度。
階段成果：風險評鑑表及建議控制措施。
步驟 4：依標準範本撰寫文件
填寫越南公安部隨第 356/2025/NĐ-CP 號議定發布的第 10 號範本，確保用語清楚、正確且一致。
企業需配合：定稿前審閱並確認申報內容。
階段成果：完整的第 10 號範本，準備提交。
步驟 5：提交並保存文件
自開始處理資料起 60 日內，透過線上、郵寄或臨櫃方式，將 1 份文件正本連同文件提交通知（第 02a/02b 號範本）提交 A05 局。
企業需配合：簽署文件並指派提交人員。
階段成果：如期提交文件，並保存內部副本。
客戶怎麼說
來自在 Musk-IS 陪伴下完成個人資料衝擊評估文件之企業的回饋。
Musk-IS 協助我們在第一次提交時就依第 10 號範本正確撰寫 DPIA 文件，沒有被退件補正。配合過程非常清楚，也十分貼近企業實務。
Musk-IS 團隊發現我們在資料流向中漏報了幾家雲端服務供應商，並在提交前及時協助補正。非常細心謹慎。
Musk-IS 從風險評估、撰寫文件，一路陪伴到 A05 局要求說明時直接與其溝通。5 個步驟的路徑非常具體，容易掌握。
除了協助如期提交文件，Musk-IS 還設定了每 6 個月的更新提醒，讓我們日後不會遺漏這項義務。
DPIA 文件常見問題
解答關於個人資料衝擊評估文件的期限、提交地點及處理方式的常見疑問。
