越南個資法台商必看：合規檢查清單
越南個資法對台商的要求，可以整理成 12 個檢查項目：從個資盤點、告知同意、招募資料，到影響評估文件（DPIA）、跨境傳輸文件（TIA）、指定個資保護人員與 72 小時外洩通報。依越南第 91/2025/QH15 號《個人資料保護法》與第 356/2025/NĐ-CP 號議定，這些義務自 2026 年 1 月 1 日起施行。
在越南設廠或設辦公室的台商，常見的問題不是「不知道有這部法」，而是不確定手上的文件夠不夠。下面這份清單每一項都附上法條依據，可以直接拿來逐項打勾。需要協助補件，可以參考我們的 越南個資法顧問 服務。
為什麼台商要特別注意越南個資法？
台商比一般越南企業更容易踩線，原因有三：員工人數多、資料常傳回台灣總部，以及工廠普遍使用指紋或人臉打卡。這三點分別牽動 DPIA、跨境傳輸與外洩通知的義務。
一間上千名員工的工廠，光是人事、薪資、健檢與打卡資料，就構成大量的個資處理；ERP 或人事系統放在台灣，又構成跨境傳輸。法律的基本要求與罰則，可以先看 越南個資法 的完整解析，這篇專注在逐項檢查。
越南個資法合規檢查清單（12 項）
以下 12 項依法條整理，「依據」欄的「法」指個資法，「議定」指第 356/2025 號議定。
| # | 檢查項目 | 依據 | 完成 |
|---|---|---|---|
| 1 | 盤點員工、求職者、客戶、訪客的個資，確認子公司是控制者還是處理者 | 法第 2 條 | ☐ |
| 2 | 告知與同意：自願、明確、按目的取得，沉默不等於同意 | 法第 9 條 | ☐ |
| 3 | 招募只蒐集必要資料；未錄取者除另有約定外刪除 | 法第 25 條 | ☐ |
| 4 | 建立 DPIA（第 10 號範本），首次處理後 60 日內送件 | 法第 21 條、議定第 19 條 | ☐ |
| 5 | 新目的、新的處理者或第三方出現時更新 DPIA；組織重整等情形 10 日內更新 | 議定第 20 條 | ☐ |
| 6 | 個資傳出越南時建立 TIA（第 09 號範本），首次傳輸後 60 日內送件 | 法第 20 條、議定第 17、18 條 | ☐ |
| 7 | 與處理者、雲端與委外廠商簽資料處理協議，並附入 DPIA 文件 | 法第 21 條、議定第 19 條 | ☐ |
| 8 | 以正式文件指定個資保護部門或人員，或委託外部服務 | 法第 33 條、議定第 13 條 | ☐ |
| 9 | 個資保護人員簽保密協議並完成訓練 | 議定第 13 條 | ☐ |
| 10 | 72 小時外洩通報流程與第 08 號範本草稿 | 法第 23 條、議定第 28 條 | ☐ |
| 11 | 生物特徵與位置資料外洩時，72 小時內通知受影響員工；紀錄保存 5 年 | 議定第 29 條 | ☐ |
| 12 | 確認是否適用小型企業、新創 5 年選擇期 | 法第 38 條、議定第 41 條 | ☐ |
第 12 項要特別小心。小型企業與新創可在 2026 年起 5 年內，選擇不適用 DPIA（法第 21 條）、文件更新（第 22 條）與指定人員（第 33 條第 2 項）的規定，跨境傳輸的 TIA 則不在選擇範圍內；此外，提供個資處理服務、直接處理敏感個資，或累計處理 10 萬名以上當事人資料的企業不在此限。多數台商工廠規模較大，通常不適用。
員工資料傳回台灣總部，要注意什麼？
員工資料傳回台灣，不一定都要做 TIA。依個資法第 20 條第 6 項，組織把自家員工個資存放在雲端可不必建立；依議定第 17 條第 3 項，依勞動規則、規章或團體協約進行的跨境人事管理也不必建立。但總部若把資料用在其他目的，就要評估。
| 情境 | 需要 TIA 嗎？ | 依據 |
|---|---|---|
| 員工個資存放在雲端人事系統 | 不需要 | 法第 20 條第 6 項 |
| 總部依勞動規章做跨境人事管理，例如派駐、考核 | 不需要 | 議定第 17 條第 3 項 |
| 客戶資料放在台灣的 ERP 或 CRM | 需要 | 法第 20 條 |
| 總部把員工資料用於集團行銷或分析 | 需要評估 | 法第 20 條 |
不需要 TIA，不代表沒有其他義務。告知、同意與安全措施仍然要做，資料到了台灣，總部端也應依台灣個資法做好安全維護。跨境傳輸的文件內容與送件流程，可以參考 越南個資跨境傳輸 的整理。
台商最常被忽略的 4 個項目
清單中最容易漏掉的不是 DPIA 本身，而是周邊的細節：招募資料、文件更新、處理者合約與打卡系統。這四項往往在檢查或出事時才被發現。
- 未錄取者的履歷：很多工廠的履歷一存多年，但法第 25 條要求，除另有約定外應刪除。
- DPIA 送件後沒有更新：換了人事系統廠商、新增處理目的，依議定第 20 條都要更新。
- 台灣總部或軟體廠商的角色沒寫清楚：處理者依約定建立 DPIA，合約也要附入文件。
- 指紋或人臉打卡：一旦外洩，依議定第 29 條要在 72 小時內通知全體受影響員工，通報細節可以參考 越南個資外洩通報 的流程。
準備順序與時程
建議依「先盤點、再決定角色與人員、最後做文件與流程」的順序進行。範圍明確、境外傳輸少的企業，約 2 到 3 個月可以完成主要文件。
| 順序 | 工作 | 對應清單 |
|---|---|---|
| 1 | 個資盤點、角色判斷、確認是否適用選擇期 | 1、12 |
| 2 | 指定個資保護人員或委外，簽保密協議與訓練 | 8、9 |
| 3 | 更新告知同意與招募流程 | 2、3 |
| 4 | 建立並送件 DPIA、TIA | 4、6、7 |
| 5 | 建立外洩通報流程，演練一次 | 10、11 |
| 6 | 排定文件更新的檢查時點 | 5 |
人員可以內部指定，也可以委外；內部人員須具大專以上學歷、至少 2 年相關經驗並受過訓練，選擇方式可參考 DPO 一文的比較。
清單打勾不完整，下一步怎麼做？
先從沒有完成的項目中，挑出有法定期限的處理：DPIA、TIA 的送件，以及指定個資保護人員。這三項最容易在檢查時被要求補件，也直接關係到罰則。
想請專人逐項檢查貴公司越南據點的文件，可以 預約一次免費諮詢。
越南個資法台商常見問題
工廠員工資料也算個資嗎？
算。越南個資法保護的是可識別特定自然人的資料，員工的姓名、身分證、薪資、健檢與打卡紀錄都屬於個資。工廠因員工人數多，處理量往往比一般辦公室大，DPIA 的內容也要涵蓋這些人事資料。
總部在台灣，越南子公司要自己做 DPIA 嗎？
一般要。依個資法第 21 條，DPIA 由控制者建立並送件；越南子公司自行決定員工與客戶資料的處理目的時，就是控制者。台灣總部若只是受託處理，則依雙方約定建立相關文件。
沒有合規會被罰嗎？
會。依 2026 年 8 月 19 日施行的第 330/2026/NĐ-CP 號議定第 57 條，未以正式文件指定個資保護人員可處 2,000 萬至 3,000 萬越南盾；依個資法第 8 條，一般違規上限 30 億越南盾，違反跨境傳輸規定上限為前一年營收 5%。
參考資料
- 越南第 91/2025/QH15 號《個人資料保護法》 – 第 2、8、9、20、21、23、25、33、38 條。越南國會 · 2025 年 6 月 26 日通過，2026 年 1 月 1 日施行
- 越南第 356/2025/NĐ-CP 號議定 – 第 13、17 至 20、28、29、41 條。越南政府 · 2025 年 12 月 31 日
- 越南第 330/2026/NĐ-CP 號議定 – 網路安全與個資保護行政罰則，第 57 條人員指定。越南政府 · 2026 年 8 月 19 日
