2025年《个人数据保护法》：为确保遵守法律规定需关注的重要变化

在当前数字化转型快速推进的背景下，个人数据已成为对企业具有特殊价值的重要资产，同时也面临被非法收集、使用或共享等风险，因此需要得到有效保护。为进一步完善个人数据保护法律框架，2025年6月26日，越南国会通过了第91/2025/QH15号《个人数据保护法》。这是个人数据保护法律制度建设中的一个重要里程碑，为个人数据保护提供了相较于此前第13/2023/NĐ-CP号法令更加统一、严格的法律依据。本文将重点介绍该法值得关注的新规定、被禁止的行为以及个人和企业应特别关注的处罚措施，以确保遵守法律规定。

1. 2025年《个人数据保护法》相较于第13/2023/NĐ-CP号法令的主要变化

2025年《个人数据保护法》的第一个重要变化，是相较于第13/2023/NĐ-CP号法令扩大了适用范围。如果此前相关规定主要规范在越南境内开展的个人数据处理活动，那么新法进一步扩大了适用对象，将直接参与或与越南公民以及居住在越南、已取得身份证明但尚未确定国籍的越南血统人员的个人数据处理活动有关的外国机关、组织和个人纳入适用范围。同时，该法第2条对个人数据的定义进行了完善，将第13号法令中“在电子环境中以符号、文字、数字、图像、声音或类似形式存在的信息”这一概念调整为“能够确定或有助于确定特定个人身份的数字数据或其他形式的信息”。

除扩大适用范围外，2025年《个人数据保护法》还针对人工智能（AI）、大数据（Big Data）以及用户行为画像等新技术和新型数据处理活动补充了相应的治理机制。尤其值得注意的是，该法在违法行为处罚机制方面作出了重大调整。不同于第13/2023/NĐ-CP号法令主要规定固定金额的行政处罚，2025年《个人数据保护法》针对部分严重违法行为确立了以营业收入为依据的处罚机制。该规定将提高违法成本和法律责任的威慑力，推动企业主动投入资源开展个人数据保护工作，并加强企业在经营活动中的法律合规责任。

2. 2025年《个人数据保护法》规定的禁止行为

2025年《个人数据保护法》的一个重要规定，是明确列举了个人数据处理过程中被禁止的行为。如果有关权利和义务的规定构成了个人数据保护合规的基本框架，那么被禁止的行为就是所有组织和个人必须严格避免触及的“红线”。根据该法第7条，禁止实施以下行为：处理个人数据以反对越南社会主义共和国国家，损害国防、国家安全、社会秩序、社会安全以及机关、组织和个人的合法权利、利益；妨碍个人数据保护活动；利用个人数据保护活动实施违法行为；违反法律规定处理个人数据；使用他人的个人数据，或者允许他人使用自己的个人数据实施违法行为；购买、出售个人数据，但法律另有规定的情形除外；侵占、故意泄露或者遗失个人数据。

实践中，许多看似属于正常经营活动的行为，也可能存在违反法律规定的风险。例如，在没有合法依据的情况下收集客户信息；向广告合作伙伴共享客户数据；购买或出售电话号码、电子邮箱地址清单以用于营销活动等，均属于典型情形。此外，由于缺乏适当的安全保护措施而导致员工数据、客户数据或消费者数据泄露，也可能使企业面临严重的法律责任。在个人数据日益被视为具有重要价值的资产的背景下，对数据进行不当管理和使用不仅可能导致法律制裁，还可能直接影响客户对企业的信誉和信任。

3. 违法行为的处罚

除明确规定被禁止的行为外，2025年《个人数据保护法》还建立了更为严格的处罚机制，体现了越南进一步提高个人数据保护实际执行效果的决心，这也是该法的重要变化之一。根据该法，对于购买、出售个人数据的行为，最高罚款金额可达到违法行为所得金额的10倍。对于违反个人数据跨境传输规定的行为，违法组织可能被处以最高相当于上一年度营业收入5%的罚款。此外，对于其他违法行为，组织可能面临最高30亿越南盾的罚款。除罚款之外，违法组织和个人还可能被责令采取补救措施、向数据主体赔偿损失；在情节严重且符合犯罪构成要件的情况下，还可能被追究刑事责任。

2025年《个人数据保护法》并不仅仅是对第13/2023/NĐ-CP号法令的替代，更标志着越南对个人数据保护采取的监管方式发生了变化。如果此前遵守个人数据保护规定主要被视为一项法律义务，那么如今，这已经成为企业必须履行的一项合规要求。在处罚金额可能达到数十亿越南盾，或者根据企业营业收入确定的背景下，未能及时适应新的法律要求可能给企业带来重大的法律和财务风险。因此，主动建立个人数据保护机制不仅是降低合规风险的措施，也是企业实现数字经济环境下可持续发展的必要准备。