越南個人資料保護法 2026 台商七件事：議定 356 施行、跨境傳輸 60 日申報、DPO 資格、72 小時通報與議定 330 罰則

重點速覽

• 三部法規同時上路：PDPL 與議定 356 自 2026 年 1 月 1 日施行，罰則議定 330 自 8 月 19 日施行。2023 年的議定 13 已失效。
• 域外適用：台灣母公司即使在越南沒有據點，只要直接或間接處理越南公民的個資，就受 PDPL 規範。
• 跨境傳輸要申報：把在越南蒐集的資料存到境外伺服器或雲端、傳給境外的組織、用境外平台處理，都須在首次傳輸後 60 日內向公安部 A05 提交跨境傳輸影響評估檔案。
• DPO 有法定資格：大專以上學歷、兩年以上相關經驗、受過個資保護訓練，並以書面指定；也可委託合格的外部服務機構。
• 外洩通報 72 小時：向 A05 通報；涉及位置資料或生物特徵，另須在 72 小時內通知當事人。
• 罰則：一般違規上限 30 億越盾；跨境傳輸違規最高可達前一年營收的 5%；買賣個資最高為違法所得的 10 倍；個人罰組織的一半。
• 中小企業五年豁免有條件：小型企業與新創可在 2030 年底前免除 DPO 與影響評估義務，但提供資料處理服務、處理敏感個資、或累計達 10 萬名當事人者，不得豁免。

在越南設廠的台商，過去幾年對「個資法」的印象多半是 2023 年的第 13 號議定：規定很多、罰則沒有，所以合規文件大多停留在「請越南代理人做一份影響評估報告送公安部」。2026 年這個做法不夠用了。

越南第一部完整的《個人資料保護法》（第 91/2025/QH15 號，以下簡稱 PDPL）自 2026 年 1 月 1 日施行，施行細則第 356/2025/NĐ-CP 號議定同日生效，罰則議定第 330/2026/NĐ-CP 號則自 2026 年 8 月 19 日起適用。換句話說，從今年 8 月下旬開始，越南的個資規範已經是「有法、有細則、有罰則」的完整狀態，主管機關公安部 A05 局也取得了開罰的法律依據。

我在胡志明市處理台商案件時，最常遇到的三個問題是：越南子公司把員工薪資與客戶訂單資料傳回台灣母公司的 ERP，算不算跨境傳輸？公司規模不大，可不可以不設資料保護長（DPO）？以及資料外洩了，到底要在幾小時內向誰通報？本文依 2026 年現行規定逐一回答，並在最後整理一份台商合規檢查清單。

一、2026 年的法規架構

主管機關是公安部網路安全與高科技犯罪防治局（A05）。影響評估檔案的提交與審查、外洩通報、處罰，都由 A05 負責。和舊制最大的程序差別是：議定 13 時代的檔案是「送件備查」，議定 356 下的檔案要經 A05 審查認定合格。

二、誰受規範：台灣母公司也算

PDPL 適用於在越南設立並處理個資的組織，也適用於直接或間接處理越南公民個資的外國組織。這代表兩種常見情境都在範圍內：

• 台灣母公司在越南設有子公司或分公司，這是最普遍的情形。
• 台灣公司沒有越南據點，但透過網站、App 或代理商向越南消費者銷售，蒐集越南人的資料。

在新法下，資料控制者、資料處理者與共同控制處理者的義務分別規定。台商集團內常見的角色是：越南子公司是員工與客戶資料的控制者，台灣母公司的 ERP 或 HR 系統是境外的處理者或共同控制者。這個角色分配，決定了誰要簽契約、誰要申報。

三、同意：越南的要求比台灣嚴

PDPL 以當事人同意為主要合法基礎。依議定 356 第 6 條與議定 330 的規定，台商要特別注意：

• 同意須針對每一個目的分別取得，不得以同意其他目的作為提供服務的條件。
• 預設勾選、默示同意、誤導性的設計都被禁止，沉默或不回應不算同意。
• 同意必須可以被證明：書面、錄音、簡訊、電子郵件、網站或 App 的電子機制都可以，但紀錄要能顯示誰、何時、同意了什麼。
• 處理敏感個資前，須告知當事人正在處理敏感資料。

法定例外包括緊急保護生命健康、履行與當事人的契約、依法執行公務等。台商常以為「員工簽了勞動契約就等於同意公司處理所有資料」，這在越南法下不成立；薪資以外的用途，例如把員工資料交給集團的人才系統或保險公司，要另外取得同意。

什麼是敏感個資

議定 356 列出的敏感個資，與台商直接相關的有：健康狀況（不限於病歷）、生物特徵、透過定位服務取得的位置資料、電子身分帳戶的帳號密碼、身分證影像、銀行帳戶與交易紀錄、電信與社群平台的行為追蹤資料。

工廠常見的敏感個資：指紋或人臉打卡（生物特徵）、員工健檢報告（健康）、公務車 GPS（位置）、入職時影印的身分證（身分證影像）。這些都觸發較高的義務，也會排除中小企業的豁免。

四、跨境傳輸：台商最大的合規缺口

什麼算跨境傳輸

議定 356 第 17 條列出三種情形，台商集團幾乎都會命中至少一種：

• 把在越南儲存的個資傳到設在越南境外的伺服器。
• 把個資從越南的組織或個人傳給境外的組織或個人，包括台灣母公司。
• 使用設在境外的平台處理越南公民的個資。

所以「越南子公司把員工薪資與客戶訂單上傳到台灣總部的 ERP」是跨境傳輸，「越南廠用台灣的 Google Workspace 或 Microsoft 365 帳號收發含客戶資料的郵件」也是。

要做什麼

A05 若認定資料被用於侵害國防安全，可命令停止傳輸；命令後仍繼續傳輸的，適用最重的罰則級距。

豁免：「員工資料」的豁免比想像中窄

議定 356 列出免提交 TIA 的情形，包括依法的新聞活動、已依法公開的資料、緊急情況、依勞動規章與集體勞動協約進行的跨境人事管理，以及為履行跨境運輸、物流、匯款、支付、飯店、簽證、獎學金等契約或程序所需的傳輸。

台商最常誤用的是「人事管理」這一項。它涵蓋的是依勞動規章進行的管理，例如派駐人員的薪資與社保；把全體越南員工的資料匯入集團人才庫、做績效分析或 AI 排班，並不當然在豁免範圍內。保守的做法是：除非確定落在豁免項目，就提交 TIA。

另外，依議定 13 已提交的跨境傳輸檔案在新法下仍然有效，但內容要依議定 356 的格式與週期更新。

五、影響評估與 DPO

處理影響評估檔案（DPIA）

除了跨境傳輸的 TIA，資料控制者與處理者自開始處理個資起就要備妥 DPIA，並於處理開始後 60 日內向 A05 提交。更新週期與 TIA 相同：自首次提交起每 6 個月一次，組織重組、解散、更換服務供應商等重大變更 10 日內更新。

DPO 不是掛名就好

議定 356 第 13 條規定，組織須以書面指定資料保護長或資料保護部門，載明職責與權限，並具備下列資格：

• 大專以上學歷。
• 畢業後至少 2 年法律、資訊、網路安全、風險管理、合規或人資方面的工作經驗。
• 受過個資保護法規與專業技能訓練。

組織須與 DPO 簽署保密協議。不想自設的公司，可以委託外部服務：個人顧問須有大專學歷、3 年以上相關經驗並受過進階訓練；機構則須從事科技、法律或相關顧問業務，有至少 3 名合格人員，並備妥能力資料。

和舊制最大的差別是：議定 13 只要求處理敏感個資的組織設 DPO，且沒有資格條件；新制適用於所有組織，且有明確資格。台商把越南廠的 HR 主管或 IT 主管「兼任」DPO 時，要先確認是否符合資格與訓練要求。

六、資料外洩：72 小時

依議定 330，通報逾 72 小時且已造成或可能造成損害的，處 4,000 萬至 6,000 萬越盾；完全未通報處 2,000 萬至 4,000 萬越盾；未採取遏止與補救措施最高 8,000 萬越盾。逾期通報須說明原因，並配合調查。資料處理者發現事件時，須立即通知控制者。

對台商的實務意義是：越南廠的外洩事件，不能等台灣總部的資安團隊「先調查清楚再說」。72 小時是從發現起算，調查與通報要並行。

七、罰則：議定 330 自 8 月 19 日施行

議定 330 另有分級的具體金額，例如超出目的或約定處理資料，處 2,000 萬至 4,000 萬越盾。附加處罰包括沒入違規設備、命令刪除或銷毀資料至無法復原、繳回違法所得、通知全部受影響當事人，以及暫停 AI 系統 3 至 6 個月。處罰時效為 1 年。

單看金額，越南的罰鍰不如歐盟驚人，但「前一年營收 5%」是針對跨境傳輸的專屬罰則，而跨境傳輸正是台商集團每天都在做的事。

八、中小企業五年豁免：誰能用

議定 356 第 41 條給了緩衝：

• 小型企業與新創：自 2026 年 1 月 1 日起 5 年內，可自行決定是否製作與提交影響評估檔案、指定或委外 DPO。
• 微型企業與家庭經營戶：免除同樣的義務。

但三種情況不得豁免：

• 提供個資處理服務。
• 直接處理敏感個資。
• 處理的當事人累計達 10 萬人以上。

多數台商製造業的越南子公司，依越南的企業規模分類不屬於小型企業，而且工廠一旦用指紋或人臉打卡，就已經在處理敏感個資。所以這項豁免對台商的實際幫助有限，不要把它當成不合規的理由。

九、台商合規檢查清單

• 盤點資料流：越南廠蒐集了哪些個資、存在哪裡、傳到哪裡，特別標出敏感個資與跨境傳輸。
• 確認角色：越南子公司、台灣母公司、雲端與系統供應商，各自是控制者還是處理者；控制者與處理者之間要簽資料處理契約。
• 重做同意文件：員工、客戶、供應商的同意書依目的拆分，留存證據；敏感個資另行告知。
• 60 日內提交 DPIA 與 TIA：新的處理活動或跨境傳輸開始後 60 日內送 A05；舊制已提交的檔案更新為新格式。
• 指定合格的 DPO：書面指定、確認資格、安排訓練；或委託外部機構。
• 建立 72 小時通報流程：越南廠與台灣總部之間明確分工。
• 每 6 個月更新：把影響評估檔案的更新排進例行行事曆。

Louis Group 台北所與 胡志明所 協助台商集團進行越南個資合規：資料流盤點、控制者與處理者角色設計、同意文件與資料處理契約、DPIA 與 TIA 的製作與提交、DPO 指定或外部顧問安排、外洩通報流程，以及 A05 調查與處罰的因應。台幹的派駐與居留文件也涉及個資，請見 台幹派駐越南指南 2026：工作證（Decree 219）、居留卡（TRC）、社保與個人所得稅一次看懂 與 越南 VNeID 與暫住證 2026：台灣人在越南的四種居留身分、電子身分帳戶申請與常見問題 。泰國的對照，請見 泰國個資法（PDPA）2026 台商合規指南：執法轉折、跨境傳輸與 BCR 新制 。

越南法複核： 謝氏如瓊律師

本文依 2026 年 10 月的越南法規整理，議定 330 的個別違規金額以官方全文為準。本文僅供一般資訊參考，不構成法律意見，個案請洽 Louis Group 專業團隊。

延伸閱讀

• 台幹派駐越南指南 2026：工作證（Decree 219）、居留卡（TRC）、社保與個人所得稅一次看懂
• 台商越南勞動法指南 2026：最低工資、資遣、社保新制與罷工因應一次看懂
• 台商落地越南全攻略 2026：投資執照、環評、消防一次看懂

常見問題（FAQ）

越南子公司把員工與客戶資料傳回台灣母公司，算跨境傳輸嗎？

算。把在越南蒐集的個資傳給境外組織，或存到境外伺服器與雲端，都屬於跨境傳輸，須在首次傳輸後 60 日內向 A05 提交跨境傳輸影響評估檔案，並取得當事人同意。

台灣母公司在越南沒有據點，也要遵守 PDPL 嗎？

要。PDPL 適用於直接或間接處理越南公民個資的外國組織。

我們公司規模不大，可以不設 DPO 嗎？

小型企業與新創在 2030 年底前可以免除，但提供資料處理服務、處理敏感個資（含指紋或人臉打卡）、或累計處理 10 萬名當事人以上者，不得豁免。

DPO 可以由越南廠的 HR 或 IT 主管兼任嗎？

可以，但須以書面指定，且該人員須具備大專學歷、兩年以上相關經驗並受過個資保護訓練，公司並須與其簽署保密協議。

資料外洩要在多久內通報？

發現後 72 小時內向 A05 通報；涉及位置資料或生物特徵時，另須在 72 小時內通知當事人，無法個別通知時先公告。

違反越南個資法會罰多少？

一般違規上限 30 億越盾；跨境傳輸違規依受影響人數最高為前一年營收的 5%；買賣個資最高為違法所得的 10 倍；個人罰組織的一半。罰則議定 330 自 2026 年 8 月 19 日施行。

依議定 13 送過的影響評估檔案還有效嗎？

有效，但須依議定 356 的格式與更新週期補正，並經 A05 審查。