越南出台网络安全与个人数据保护违规新处罚规定

知识亮点 28 October 2026

2026年8月19日，越南颁布《关于网络安全与个人数据保护领域违法行为行政处罚的第330/2026/ND‑CP号法令》（“《第330号法令》”），该法令自颁布当日起施行。《第330号法令》针对违反越南网络安全及个人数据保护相关规定的行为设定处罚与补救措施，包括《网络安全法》（第116/2025/QH15号）及《个人数据保护法》（第91/2025/QH15号）项下的相关义务。

《第330号法令》对在越南境内收集、处理或传输个人数据的企业尤为重要，包括向境外关联主体或服务提供商共享员工、客户及其他个人数据的跨国公司。该法令针对多项合规失职行为设置罚款，主要包括：（一）未取得有效同意；（二）未留存法定影响评估文件；（三）未就个人数据泄露事件向主管机关报告；（四）未为跨境数据传输设置适当保障措施。部分违法行为还可能导致经营活动或数据处理业务被暂停。

本文针对企业及外国投资者，解读《第330号法令》的核心条款。

适用范围与处罚标准

《第330号法令》适用于在其规定地域范围内实施行政违法的越南及外国个人与机构。适用主体明确包含提供电信、互联网、信息技术、网络安全、网络内容、跨境服务的外国企业及其分支机构、代表处、经营场所。直接参与或与越南公民及部分在越居住人员的个人数据处理活动有关的外国机构，同样受本法令约束。

本法令在设定罚款时区分网络安全违法行为与个人数据保护违法行为：针对网络安全违法行为，第二章第1至5节规定的罚款金额适用于个人，机构的罚款金额为对应个人标准的两倍；相反，第6节个人数据保护违法行为的罚款基准适用于机构，个人违法处以机构标准的一半罚款。

机构最高罚款标准如下：

违法类型	最高罚款
网络安全违法行为	2亿越南盾
非法买卖个人数据	违法所得收入的10倍
个人数据跨境传输相关违法行为	机构上一财年营收的5%
其他个人数据保护违法行为	30亿越南盾

 

若按违法所得或营收比例计算的最高罚款金额低于30亿越南盾，或无相关违法所得、营收的，本法令以30亿越南盾作为适用罚款上限。

除罚款外，《第330号法令》还规定附加处罚，对于法定情形，可责令暂停相关业务或特定牌照，暂停期限为1至24个月。补救措施可包括删除非法处理的个人数据、更正信息、增设安全保障措施、上缴违法所得。

核心条款

个人数据跨境传输

对于跨国企业而言，《第330号法令》最重要的内容之一是对个人数据跨境传输的规制。该类传输常见于涉及境外总部、区域共享服务中心、云服务提供商以及其他境外个人数据接收方的业务安排。

《第330号法令》规定，跨境传输影响评估文件相关违法行为罚款区间为3000万至5000万越南盾，包括：未编制法定影响评估文件、未在数据首次传输之日起60日内向主管机关提交评估文件、未按要求更新及留存评估记录、未建立向第三方二次传输的管控机制，导致越南公民个人数据在评估文件申报范围之外被处理。

部分其他违法行为适用更高档罚款，金额区间为5000万至1亿越南盾，包括：传输方与接收方之间未订立适当合同安排、未取得必要同意或未告知境外传输相关信息、未落实适当安全保障措施、不配合检查；主管机关责令停止传输后仍继续传输的，适用同一档罚款区间。

特定跨境传输违法行为将适用更重处罚，包括：未完成法定影响评估即实施传输、隐瞒或虚假申报数据流进而造成个人数据泄露或丢失、收到暂停决定后仍继续传输。处罚按该机构上一财年在越南市场的总营收比例计算，适用比例取决于受影响越南公民人数或违法性质。

违法行为	适用罚款
造成1万名以上、不足10万名越南公民个人数据泄露或丢失	营收的1%–2%
造成10万名以上、不足100万名越南公民个人数据泄露或丢失	营收的2%–3%
造成100万名及以上越南公民个人数据泄露或丢失；或收到暂停决定后继续传输，危害国防安全	营收的3%–5%

 

若该机构上一财年在越南市场无营收，或按营收比例计算的罚款低于法定门槛，《第330号法令》根据违法严重程度另行设定罚款，金额区间为2亿至30亿越南盾。情节严重的，还可责令暂停个人数据跨境传输业务6至12个月。

对于跨国集团，上述条款提示企业应当厘清越南业务主体、境外关联方及外部服务提供商之间个人数据传输路径的重要性。企业还应当复核集团内部安排及与第三方订立的合同，落实充分保障措施，包括个人数据二次传输相关约定、发生数据泄露或其他违法情形时境外接收方的责任条款。

个人数据处理与同意

违反个人数据保护基本原则的，《第330号法令》设定罚款区间2000万至4000万越南盾，包括：超出既定目的或超出实现该目的必要范围处理个人数据、无法保证数据准确性、超出必要期限留存个人数据（法律另有许可除外）。企业还可能被要求删除非法处理的数据、更正不准确记录、上缴特定违法行为的违法所得。

法令同时规制同意获取与留存记录方面的瑕疵。存在以下情形的，罚款区间3000万至5000万越南盾：使用默认勾选同意设置、未清晰告知处理目的、未就各项处理目的分别取得可独立识别的同意、未留存能够证明已取得同意的记录。收到停止或限制处理的要求后仍故意继续处理，或将数据主体的沉默视为同意的，罚款提升至5000万至7000万越南盾。

上述条款对采用标准化客户注册流程、线上同意表单、员工隐私告知书以及数字营销平台的企业具有约束力。企业应当评估现有安排，确保取得的同意足够具体、可举证，并与后续个人数据使用目的保持一致。

个人数据处理影响评估

未遵守个人数据处理影响评估要求的，《第330号法令》设置相应处罚。在未编制或留存法定影响评估文件的情况下即开展个人数据处理、未自处理启动之日起60日内提交评估报告、未按要求更新文件的，可处以2000万至3000万越南盾罚款。

情节更严重的违法行为，包括故意在评估报告中伪造信息、主管机关要求更正或补正报告时拒绝配合的，罚款区间5000万至1亿越南盾。法令同时规定补救措施，要求企业编制、补全并提交所需文件。对于特定未按要求留存影响评估文件的情形，企业可能被要求停止数据处理，直至履行相关义务并经主管机关确认。

个人数据泄露与事件报告

《第330号法令》对未报告、未处置个人数据保护违法事件的行为设置罚款。存在以下情形的，罚款区间1000万至2000万越南盾：处理者未及时向对应控制者告知违法事件、控制者未对个人数据保护违法事件留痕记录；故意隐瞒数据泄露事件、在泄露报告中提供虚假信息的，适用同一档罚款。

未向个人数据保护主管机关履行通知义务的部分情形，罚款区间2000万至4000万越南盾。发现可能造成或已经造成严重损害（包括危害国家安全、损害数据主体合法权益）的违法行为后，超过72小时才报送通知的，罚款提升至4000万至6000万越南盾。未落实补救措施、拒不配合主管机关工作的，罚款区间6000万至8000万越南盾。

企业应当完善内部事件响应流程，确保能够及时识别、上报、评估潜在个人数据保护违法事件，IT安全、法务及合规职能由越南境外团队管理的企业尤其需要注意。

招聘与用工场景下的个人数据保护

《第330号法令》针对求职者及员工个人数据相关违法行为设置处罚。存在以下情形的，罚款区间2000万至5000万越南盾：收集与招聘无关的个人数据、未经求职者同意将其数据用于其他目的、未删除或销毁未录用求职者的数据（另有约定的除外）。

员工数据相关部分违法行为，罚款区间5000万至7000万越南盾，包括超许可期限留存员工数据、部署追踪软件、监控摄像头等职场监控技术但未充分告知员工。通过技术手段非法处理、使用员工数据的，罚款区间7000万至1亿越南盾。

本条款对设有集中人力资源系统、区域招聘职能以及职场监控安排的跨国企业尤为相关。用人单位应当核查现有招聘及员工数据管理机制是否符合法定要求，包括透明度、留存期限、数据删除义务。

广告与数字服务中的个人数据保护

提供广告服务的企业，非法收集、使用个人数据将面临专项处罚。未经同意使用基础个人数据投放广告、未向用户提供拒绝广告或撤回同意的渠道、用户选择退出后仍继续共享用户画像用于广告投放的，罚款区间3000万至5000万越南盾。

未经同意使用敏感个人数据、开展基于用户行为的广告或定向广告，或未经法定代理人同意，使用16周岁以下未成年人个人数据投放广告的，罚款提升至5000万至7000万越南盾；相关广告服务还可根据违法情形被暂停1至6个月。

此外，《第330号法令》对社交媒体平台、线上通信服务、数字内容平台服务商课以义务，违法行为包括未提供透明隐私政策、未向用户开放个人数据管控权限，以及部分未经授权的数据收集行为。根据违法情形，罚款区间5000万至1.5亿越南盾，相关服务可在越南境内最长暂停6个月。

云计算与人工智能场景下的个人数据保护

《第330号法令》同时规制云计算、人工智能领域的个人数据保护违法行为，这两个领域也是企业数字化转型中的重点领域。

云计算场景下，存在以下情形的罚款区间2000万至5000万越南盾：云服务商与客户之间未在合同中清晰约定数据处理责任、未向下包方施加适当义务、未制定个人数据留存与删除制度。未落实技术与组织保障措施（含存储与传输中的个人数据加密、访问权限管控）的，罚款提升至5000万至7000万越南盾。上述条款同时约束云服务商以及使用云服务的机构。

针对人工智能系统，《第330号法令》对未开展年度个人数据保护合规评估、未落实透明度、风险分级、数据主体权利、系统安全相关措施的行为设置罚款，金额区间2000万至1亿越南盾。部分人工智能系统严重违法行为，还可责令暂停相关系统或平台运行3至6个月。

在业务中使用人工智能工具、云技术的企业，除考量系统本身的安全能力外，还应当复核合同安排、数据处理流程，以及能够证明合规的配套机制。

对企业的影响

《第330号法令》明确了不合规对应的经济及运营后果，显著提升越南现有网络安全、个人数据保护规定的执行力度。对于跨国企业而言，跨境个人数据传输类违法行为带来的财务风险最高；其余条款也为日常数据治理、同意管理、员工数据处理、事件报告等环节的失职行为设定专项处罚。

在越南开展业务的企业应当梳理自身个人数据处理活动，重点关注跨境数据流、影响评估文件的完备性、与境外关联方及第三方服务商的合作安排，以及个人数据保护事件的内部响应流程。使用云计算、人工智能、数字广告技术的企业，还应当评估适用于该类业务的专项合规要求。

不合规的后果不限于罚款。数据传输受限、特定服务被暂停、强制删除个人数据等措施，可能对企业经营造成实质性干扰，依赖区域或全球共享技术基础设施的越南本土业务主体尤其受影响。