越南个人数据处理影响评估文件编制服务

在越南处理个人数据的企业，应先确认自身的数据处理角色，以及是否需要编制、保存并提交个人数据处理影响评估文件。越南第91/2025/QH15号《个人数据保护法》第21条与第356/2025/NĐ-CP号议定第19条规定了核心义务；对适用主体，提交期限通常为首次处理数据之日起60天，同时存在附条件的例外。

Justix根据企业的实际业务梳理数据流程，编制第10号表格评估报告，核查合同及内部文件，并按约定协助提交。公开参考费用为3,000万至4,500万越南盾；资料齐全后，服务编制时间预计15–30天。

一、谁需要编制个人数据处理影响评估文件？

越南法律区分个人数据控制方、控制兼处理方和处理方。企业集团应判断：哪一法人决定数据处理的目的和方式，哪一法人实际运营系统，供应商是否依据合同接受指示处理数据。

法律对不同角色规定的文件义务并不完全相同。第356/2025/NĐ-CP号议定第41条也对符合条件的小型、初创及微型企业设有特定机制，但直接处理敏感数据、从事数据处理服务或达到法定处理规模可能影响适用。不能仅凭公司规模认定免除义务。

二、评估文件包括哪些材料？

根据第356/2025/NĐ-CP号议定第19条，材料主要包括按照第10号表格编制的报告、能够反映各方责任的数据处理合同或协议，以及相关隐私政策、内部流程和其他记录。

报告应说明处理目的、数据类别、数据主体、处理活动、数据流、同意机制、保存和删除安排、安全保障措施、合规审查结果、可能发生的影响及风险缓解措施。

技术和运营团队应核实权限管理、访问记录、备份、数据删除及其他实际措施。尚在计划中的安全措施应与已经实施的措施明确区分。

三、提交及后续更新期限

依法属于提交范围的主体，适用自首次处理个人数据之日起60天的提交期限。企业还应保存评估档案，以备监管检查。该法定时限与Justix准备文件所需的15–30天是不同概念。

第356/2025/NĐ-CP号议定第20条列明了需要更新的情形，并根据变化类型规定6个月或10天的更新要求。企业应指定负责人，持续追踪处理目的、供应商、组织结构及相关经营活动的变化。

四、与跨境个人数据传输评估的区别

若越南企业向境外母公司、云服务商或其他接收方传输个人数据，还应另行判断是否触发个人数据跨境传输影响评估义务。一般处理影响评估文件不会自动替代跨境传输所需文件。

五、业务示例：同时使用客户、员工和营销系统

假设案例：一家越南公司使用客户关系管理系统、招聘软件和境外电子邮件营销工具。评估应分别说明数据来源、用途、访问人员、第三方责任、保存时间和删除方式。若发生境外传输，还应进一步审查相关法律要求。企业需要在签署报告前核实这些事实。

六、Justix与企业各自承担什么工作？

Justix负责核查适用规定、组织资料收集、梳理数据流、评估风险、起草报告并整理约定范围内的附件。企业负责提供真实资料、确认实际安全措施、落实运营改进及授权签署。

协助提交及一次说明或补充按协议执行。全面修订隐私政策、重新设计数据处理合同、员工培训和跨境传输评估等项目在需要时单独确定范围和费用。

主要法律依据

• 越南第91/2025/QH15号《个人数据保护法》，特别是第21、22条。
• 越南第356/2025/NĐ-CP号议定，特别是第19、20、41条及相关附件表格。