越南個資法（第 91/2025/QH15 號）是什麼？台商必讀全解析
越南個資法是指越南國會於 2025 年 6 月 26 日通過的第 91/2025/QH15 號《個人資料保護法》，自 2026 年 1 月 1 日起施行。這是越南第一部以「法律」層級規範個人資料的法規，取代原本以政府議定為主的制度，並把跨境傳輸違規的罰款上限拉高到前一年營收的 5%。
對在越南設廠、設分公司，或把越南員工與客戶資料傳回台灣處理的台商來說，這部法律直接影響日常營運：人資系統放在台灣總部、用台灣的 ERP 處理越南訂單，都可能構成跨境傳輸。這篇依法條原文整理適用範圍、主要義務、罰則與新舊制差異，並附一份台商可直接對照的文件清單。需要協助評估或準備文件，可參考我們的 越南個資法顧問。
重點整理
- 越南第 91/2025/QH15 號《個人資料保護法》自 2026 年 1 月 1 日施行，施行細則為第 356/2025/NĐ-CP 號議定。
- 把越南員工或客戶的個資傳回台灣處理屬於跨境傳輸，須建立跨境傳輸影響評估文件，並在首次傳輸之日起 60 日內送交正本（第 20 條）。
- 違反跨境傳輸規定，組織最高可處前一年營收 5% 的罰款（第 8 條第 4 項）。
- 發現特定違規時，控制者應在 72 小時內通報專責機關（第 23 條）。
越南個資法是什麼？立法背景
越南第 91/2025/QH15 號《個人資料保護法》共 5 章 39 條，規範個人資料的定義、處理原則、資料主體權利、企業義務與罰則。在此之前，越南主要依第 13/2023/NĐ-CP 號議定管理個資；新法把保護層級提升到國會立法，並同步由政府發布施行細則。
法律把個人資料分成「基本個資」與「敏感個資」兩類，具體項目都由政府以清單公布（第 2 條）。這和台灣個資法直接在條文中列出病歷、基因等特種個資的做法不同，台商在判斷某類資料屬於哪一類時，必須回到政府公布的清單確認。
法律也明定，經過去識別化的資料不再是個人資料（第 2 條第 1 項）。對需要分析員工或客戶資料的企業來說，這提供了一條合法降低風險的途徑。
施行日期與第 356/2025 號議定
越南個資法自 2026 年 1 月 1 日起施行（第 38 條第 1 項）。同一天施行的還有第 356/2025/NĐ-CP 號議定，這是新法的施行細則，規範影響評估、跨境傳輸、個資保護人員與各項表單，並取代原本的第 13/2023/NĐ-CP 號議定。
換句話說，從 2026 年起，台商要同時看「法律」與「議定」兩層規定：法律訂原則與罰則上限，議定訂文件格式、送件程序與細節。許多條文都寫明「由政府規定細節」，例如影響評估的文件組成、跨境傳輸的豁免情形，都要回到議定確認。
哪些企業適用越南個資法？
依第 1 條第 2 項，越南個資法適用於三類對象：越南的機關、組織與個人；在越南的外國機關、組織與個人；以及直接參與或涉及處理越南公民個資的外國機關、組織與個人。
| 台商情境 | 是否適用 | 依據 |
|---|---|---|
| 在越南設立子公司、工廠或分公司 | 適用 | 第 1 條第 2 項 a、b 款 |
| 台灣總部處理越南子公司員工或客戶資料 | 可能適用，且通常構成跨境傳輸 | 第 1 條第 2 項 c 款、第 20 條 |
| 未在越南設點，但直接向越南公民提供服務並處理其資料 | 可能適用 | 第 1 條第 2 項 c 款 |
| 台灣 SaaS 業者替越南客戶代管資料 | 可能適用，角色多為處理者 | 第 1 條第 2 項 c 款、第 2 條 |
最後一種情況值得 SaaS 與系統整合業者特別注意：即使公司本身在台灣，只要替越南客戶處理其員工或顧客資料，就可能被要求依合約配合準備影響評估文件。同時有歐盟客戶或員工的台商，越南法之外還可能適用 GDPR，兩部法律的跨境傳輸規定並不相同，需要分開準備文件。
主要義務：同意、DPIA、跨境傳輸 TIA、個資保護人員
越南個資法對企業的核心義務可以歸納成四項：取得有效同意、建立個資處理影響評估、建立跨境傳輸影響評估，以及指定個資保護人員或委外服務。
同意：逐項、自願、可證明
依第 9 條，同意必須出於自願，且當事人清楚知道個資類型、處理目的、控制者是誰以及自身權利；同意要逐項目的分別取得，不得綁定其他目的，而且「沉默或未回應不視為同意」。台商常用的「入職時簽一張概括同意書」，需要依這些條件重新檢視。
個資處理影響評估（DPIA）：60 日內送件
控制者及「控制兼處理者」依第 21 條應建立並保存影響評估文件，並在首次處理個資之日起 60 日內，將正本一份送交公安部所屬的個資保護專責機關。評估原則上做一次，內容有變更時依第 22 條更新。
跨境傳輸影響評估（TIA）：台商最常碰到的義務
依第 20 條，跨境傳輸包括三種情況：把存放在越南的個資傳到境外系統、越南境內單位把個資傳給境外組織或個人，以及使用境外平台處理在越南蒐集的個資。進行跨境傳輸者應建立跨境傳輸影響評估文件，並在首次傳輸之日起 60 日內送交正本。值得台商留意的豁免是：組織把自家員工個資存放在雲端服務上，不需做跨境傳輸影響評估（第 20 條第 6 項 b 款）。
個資保護人員（DPO）：可內部指定或委外
機關、組織必須依第 33 條第 2 項，指定具備能力的個資保護部門或人員，或委託提供個資保護服務的組織、個人。這也就是一般所說的 DPO，越南法允許以委外方式履行。
72 小時違規通報
依第 23 條，發現可能危害國防安全、社會秩序，或侵害當事人生命、健康、名譽、財產的違規時，控制者應在發現後 72 小時內通報專責機關。
越南個資法罰則：最高營收 5%
越南個資法的罰則分成行政罰、刑事責任與民事賠償，其中行政罰款依第 8 條設有三種上限。這些上限適用於組織；個人違反相同規定時，最高罰款為組織的二分之一。
| 違規類型 | 組織最高罰款 | 依據 |
|---|---|---|
| 買賣個人資料 | 違規所得的 10 倍；無所得或計算後低於 30 億越南盾時，適用 30 億越南盾 | 第 8 條第 3 項 |
| 違反跨境傳輸規定 | 前一年營收的 5%；無營收或計算後低於 30 億越南盾時，適用 30 億越南盾 | 第 8 條第 4 項 |
| 其他違規 | 30 億越南盾 | 第 8 條第 5 項 |
對製造業台商來說，第二項的「營收 5%」最需要警覺。跨境傳輸是台商最普遍的處理情境，但也是最容易被忽略的文件義務；一旦被認定違規，罰款基數是整個越南法人的營收，而不是單一資料處理活動的規模。
與舊制第 13/2023 號議定有什麼不同？
最大的差異是法源層級與罰則：舊制是政府議定，新制是國會立法，並首次在法律中訂出營收比例罰款。對已依舊制完成文件的台商，第 39 條提供了明確的過渡安排。
依第 39 條，新法施行前依第 13/2023/NĐ-CP 號議定已取得的同意或協議，可以繼續使用，不必重新取得；依舊制已被專責機關受理的處理影響評估與境外傳輸影響評估文件，也可以繼續使用，不必依新法重做。但施行後的更新，就要依新法辦理。
| 項目 | 舊制（第 13/2023 號議定） | 新制（第 91/2025 號法＋第 356/2025 號議定） |
|---|---|---|
| 法源層級 | 政府議定 | 國會法律＋施行細則 |
| 罰則 | 議定本身未訂營收比例罰款 | 跨境違規最高營收 5%，買賣個資最高所得 10 倍 |
| 已取得的同意 | — | 可繼續使用（第 39 條第 1 項） |
| 已受理的評估文件 | — | 可繼續使用，之後更新依新法（第 39 條第 2 項） |
| 小型企業 | — | 小型與新創企業可選擇 5 年內暫不適用部分義務（第 38 條） |
也就是說，2025 年以前已完成並送件的台商，不必全部重做；真正需要補的，是新增的處理活動、新的跨境傳輸，以及從未送件的部分。
中小企業有豁免嗎？
有，但範圍有限。依第 38 條第 2 項，小型企業與新創企業在新法施行後 5 年內，可以選擇是否履行處理影響評估（第 21、22 條）與指定個資保護人員（第 33 條第 2 項）的義務；家庭經營戶與微型企業則依第 38 條第 3 項不需履行這些義務。
豁免有三種例外：經營個資處理服務、直接處理敏感個資，或處理大量當事人的個資者，不適用豁免。台商工廠動輒數百上千名員工，人資資料很可能落入「大量當事人」的範圍；何謂大量，則要依政府細部規定認定，不宜自行假設可以豁免。
台商合規 6 步驟與文件清單
台商可以依下面六個步驟建立基本的合規架構，實務上多需 3 到 6 個月；實際時程會因據點數、系統數與是否已有舊制文件而不同。下表也可當作內部檢查清單。
| 步驟 | 要準備的文件或成果 | 主要負責 | 依據 |
|---|---|---|---|
| 1. 盤點個資與角色 | 個資清冊：類別、目的、系統、存放地點、是否傳出越南；判斷控制者／處理者角色 | 越南子公司 IT＋人資 | 第 2 條 |
| 2. 檢視同意與告知 | 員工、求職者、客戶的同意書與告知內容 | 人資、業務、法務 | 第 9、25 條 |
| 3. 處理影響評估 | DPIA 文件，首次處理後 60 日內送件 | 法務＋顧問 | 第 21、22 條 |
| 4. 跨境傳輸評估 | TIA 文件，首次傳輸後 60 日內送件；與台灣總部、雲端業者確認傳輸路徑 | 法務＋總部 IT | 第 20 條 |
| 5. 指定個資保護人員 | 內部指定或委外合約 | 經營層 | 第 33 條 |
| 6. 事故通報與合約 | 72 小時通報流程；與委外廠商、處理者的資料處理合約 | 法務、IT | 第 23 條 |
人資資料要特別小心。依第 25 條，招募時只能要求與招募目的相關的資訊，並需取得應徵者同意；未錄取時，除另有約定外，應刪除或銷毀其資料。許多工廠的履歷資料一存就是多年，這是最容易被檢查到的地方。
台商該從哪裡開始？
最務實的起點，是先畫出「越南的資料會流到哪裡」。把人資、薪資、ERP、CRM、郵件與雲端服務逐一列出，標註主機在越南、台灣或其他國家，跨境傳輸與影響評估的範圍就清楚了一半。若已依舊制送過文件，先確認文件是否已被受理，再判斷哪些需要更新。
Musk-IS 在胡志明市設有辦公室，團隊能直接以越南文與當地單位溝通，同時熟悉台灣個資法與越南法規的差異，可以協助台商從資料盤點、DPIA、TIA 一路準備到送件。相關服務可參考 越南個資法顧問、個資跨境傳輸衝擊評估（TIA）、個資處理衝擊評估（DPIA） 與 DPO 委外服務，或 從一場 30 分鐘的諮詢開始。
越南個資法常見問題
越南個資法何時生效？
越南第 91/2025/QH15 號《個人資料保護法》於 2025 年 6 月 26 日經國會通過，自 2026 年 1 月 1 日起施行。施行細則第 356/2025/NĐ-CP 號議定同日施行，並取代原本的第 13/2023/NĐ-CP 號議定。
台商在越南需要設 DPO 嗎？
原則上需要。依第 33 條第 2 項，機關、組織應指定具備能力的個資保護部門或人員，或委託個資保護服務提供者。小型與新創企業在施行後 5 年內可選擇暫不履行，但經營個資處理服務、處理敏感個資或大量當事人個資者不適用此豁免。
員工資料傳回台灣要申報嗎？
通常需要。依第 20 條，把越南境內的個資傳到境外，或使用境外平台處理在越南蒐集的個資，都屬於跨境傳輸，應建立跨境傳輸影響評估文件，並在首次傳輸後 60 日內送交專責機關。但組織把自家員工個資存放在雲端服務上，依第 20 條第 6 項不需做此評估。
依舊制做過的文件要重做嗎？
不一定。依第 39 條，新法施行前依第 13/2023 號議定已被專責機關受理的處理影響評估與境外傳輸評估文件，可以繼續使用；之後若有更新，才依新法辦理。已取得的當事人同意也可繼續使用，不必重新取得。
違反越南個資法最高罰多少？
依第 8 條，違反跨境傳輸規定的組織最高可罰前一年營收的 5%，買賣個資最高可罰違規所得的 10 倍，其他違規最高罰 30 億越南盾；個人違反相同規定，最高罰款為組織的二分之一。
參考資料
- 越南第 91/2025/QH15 號《個人資料保護法》條文摘要（LexData） – 法律重點條文整理。越南國會 · 2025 年 6 月 26 日通過，2026 年 1 月 1 日施行
- 《個人資料保護法》2025 年值得注意的規定 – 禁止行為與跨境傳輸罰則說明。越南公安部行政管理警察局
- 《個人資料保護法》自 2026 年 1 月 1 日施行 – 施行日期公告。萊州省公安 · 2026 年 1 月
