沉默不能被视为同意使用个人数据
越南第330/2026/ND-CP号法令自2026年8月19日起生效。将个人保持沉默视为同意收集或处理其个人数据，可处以5000万至7000万越南盾罚款。个人要求停止或限制处理后，或主管机关以书面形式下令停止或限制处理后，仍故意继续处理，也适用同一档罚款。
目录
同意规则属于范围更广的处罚框架的一部分。某些涉及向境外传输个人数据的违规行为，罚款最高可达上一年度营业收入的5%。其他个人数据违规行为的罚款最高可达30亿越南盾；非法买卖数据则可能按交易金额的倍数计算罚款。
政府于8月26日发布的法令全文显示，该框架共四章82条，涵盖网络安全、社交媒体、信息系统和个人数据保护，主要处罚措施为警告和罚款。
对于使用应用程序、网上购物或接收广告信息的人来说，实际关键在于控制权：企业必须有合法依据使用个人信息，说明相关用途，并尊重停止处理的请求。对企业而言，风险不仅限于罚款，还可能包括停业、删除违法处理的数据，以及退还违法所得。
怎样的同意才有效？
第43条第1款规定，对多种同意方面的违规行为处以3000万至5000万越南盾罚款。这些行为包括在法律要求取得同意的情况下未经同意处理个人数据、默认勾选同意，以及提供含糊不清的说明，使人难以分辨接受或拒绝的选项。
企业必须以清晰、具体且可核验的方式取得同意，并能够证明谁在何时同意了哪些事项。用户还必须能够针对每项处理目的分别作出选择。
例如，购物服务可能需要相关信息来完成订单。该法令针对的是将使用该服务与接受无关的个人数据用途绑定的做法。对于这些额外用途，个人应能单独选择，而不必为了获得约定的服务而一并接受。
第43条还涉及未充分说明正在处理的数据类型、处理目的、个人的权利和义务，以及负责处理的组织等情况。缺少同意记录也可能受到处罚。因此，企业既需要有效的授权流程，也需要证明该流程确实有效的证据。
敏感个人数据受到额外保护。未告知个人其敏感数据正在被处理，可处以3000万至5000万越南盾罚款。企业需要识别所持有的信息，并采取相应保障措施。
为何7000万越南盾只是整体风险的一部分
同意方面的最高罚款比较低一档的上限高出2000万越南盾，从5000万升至7000万越南盾。较高一档针对两种具体行为：将沉默视为同意，以及故意无视停止或限制处理的请求。
在更广泛的处罚框架中，网络安全违规罚款上限为：组织2亿越南盾，个人1亿越南盾。个人数据保护的处罚结构则有所不同，包括固定金额罚款、与非法买卖相关的罚款，以及与营业收入挂钩的罚款。
安永（EY）在10月法律快讯中称，非法买卖个人数据可被处以交易金额2至10倍的罚款。快讯表示，交易金额依据合同、发票、付款记录、信息和银行对账单等证据计算，不扣除成本。
某些涉及向境外传输数据的严重违规行为，罚款为营业收入的1%至5%。安永将导致至少1万名越南公民的数据丢失或泄露的传输行为列入此类，并指出，影响至少100万人时适用最高5%的档次。其表格将最高罚款描述为上一年度在越南取得的营业收入的一定比例；如果上一年度没有营业收入，则上限为30亿越南盾。
外国企业同样适用这些规定
第330号法令适用于越南和外国的个人与组织。其适用范围包括符合条件、提供电信、互联网、在线内容、信息技术、网络安全或跨境服务的外国企业，也包括参与处理该法令所涵盖越南个人数据的外国组织。
受保护群体包括越南公民，以及居住在越南、持有身份证明但国籍尚未确定的越南裔人士。因此，企业除了要评估自身服务和处理活动外，还必须考虑其业务所在地，以及所处理信息涉及的人员。
泰乐信律师事务所（Tilleke & Gibbins）在其处罚法令分析中指出，公安部是负责个人数据保护和网络安全的主管机关。该分析称，该法令通过详细的行政处罚框架，为个人数据保护法和网络安全法规定的义务提供了执行依据。
对在越南境外运营的公司而言，实际工作包括核查其服务和数据处理活动是否属于适用范围。广告系统、客户数据库以及向境外服务提供商传输数据等事项，都可能需要根据相关规定进行审查。
广告名单必须有合法来源
第37条涉及未经请求发送广告电子邮件和信息，以及其他违反在线广告规定的行为。如果广告所用信息是通过非法方式收集的，第48条也可能适用。因此，广告行为本身和相关数据的收集分别构成合规问题。
购买电话号码名单的企业需要核查数据来源、使用数据的法律依据，以及收集数据时所设定的用途。企业还必须提供渠道，让个人拒绝接收广告或拒绝相关信息共享。
第43条的同意规则也适用于这一流程。收件人没有回应授权请求，并不代表其已同意。企业在收到停止或限制处理的请求后故意继续处理，将面临5000万至7000万越南盾的较高档罚款。
安永还指出，存在一项针对默认同意向关联广告网络披露个人数据的具体处罚。此类网络将企业与推广产品或为其引荐潜在客户的合作伙伴连接起来。通过这些安排共享信息时，必须尊重个人的选择，而不能预先替其勾选同意。
对消费者而言，这些规定将电话号码的首次收集与之后的使用联系起来。对企业来说，检查营销信息只是工作的一部分：联系人名单的来源、相关授权，以及对拒绝请求的处理，同样重要。
儿童数据和监控数据需要更严格审查
处理儿童信息的平台、教育服务、娱乐应用和网上零售商，必须遵守有关处理目的、有效同意、数据收集量和保护措施的要求。安永指出，处理个人数据前未核实儿童年龄也可能受到处罚。
安永还指出，个人数据保护法与该法令的表述存在差异。法律规定，如果处理目的在于披露儿童的私生活或个人秘密，处理年满7岁儿童的个人数据时，必须同时取得儿童及其法定代理人的同意。安永的分析称，法令中要求双方同意的处罚条款，措辞适用范围更广。
因此，面向儿童提供服务的企业需要审查其年龄核验和同意流程是否符合相关活动的要求。安永列出一项最高可达2亿越南盾的组织罚款，适用于某些未删除或销毁超出目的处理的儿童数据的情形。
公共监控录像也带来特定风险。安永指出，未经有效同意，将公共监控摄像头收集的个人数据、图像或录音用于商业目的、行为分析或自动人脸识别并建立个人档案，可能受到处罚。
出于安保目的安装的摄像头可能收集到企业后来希望用于其他目的的信息。根据安永所述规定，后续商业或分析用途需要单独进行法律评估，并在规定情况下取得有效同意。数据保存期限也很重要：某些数据传输协议必须注明与传输目的相适应的保存期限。
人工智能和社交媒体要求用户与运营方共同承担责任
使用人工智能冒充他人的形象、声音或身份，如果涉及欺诈、虚假信息、侵害他人合法权利，或非法收集和使用个人数据，可能受到处罚。适用的处罚取决于具体行为及其严重程度。
企业仍须为其收集信息、将信息输入人工智能系统以及使用生成结果的决定负责。因此，自动化处理也必须遵守适用于其他处理活动的同一套要求，包括法律依据、处理目的、同意和数据保护。
社交媒体相关义务适用于服务提供商、管理者、运营方和用户。发布或分享内容的个人须对其内容负责，包括涉及冒充、欺诈或侵害他人合法权利和利益的内容。
网络安全规定还涉及网络攻击、未经授权访问、有害代码，以及未配合专业网络安全力量的行为。政府发布的说明称，如果案件显示可能构成刑事犯罪，将根据《行政违法行为处理法》的相关规定移送案件材料。
罚款后还可能被要求删除数据或暂停业务
视具体违规行为而定，附加处罚包括：在1至24个月内剥夺使用特定许可证或证书的权利、在同一期间暂停运营、没收用于实施违规行为的设备或其他物品，以及驱逐外国公民出境。
第43条规定，某些同意方面的违规行为可被处以不可逆地删除非法收集或处理的数据。该条还规定，在特定情形下没收相关物品，并对适用较高罚款档次的违规行为追缴违法所得。因此，企业除了面临罚款，还可能失去对相关信息的访问权。
追缴违法所得是一项有独立计算方式的补救措施。安永解释称，在适用情形下，除非法买卖数据外，追缴金额可以包括利用非法收集、处理、使用或传输的数据开展业务活动所产生的收入，且不扣除成本。
泰乐信律师事务所还列出其他影响日常合规工作的处罚：违反数据泄露通知规定，罚款最高8000万越南盾；违反数据处理影响评估规定，罚款最高1亿越南盾；未按要求指定数据保护官员或设立数据保护部门，罚款最高3000万越南盾。
影响评估是对数据处理可能给个人带来的影响，以及如何管理相关风险进行的书面审查。补救措施可能包括强制提交评估报告，并在满足提交要求前暂停处理。境外传输所需的评估也可能适用类似措施。安永还列出一项最高可达4000万越南盾的组织罚款，适用于未在法定期限内回应个人数据权利请求的情形。
规定何时适用以及案件如何处理
第330号法令自发布之日起生效，没有过渡期。该法令出台前，越南的个人数据保护框架已历经数年发展：
- 2023年7月1日：第13/2023/ND-CP号《个人数据保护法令》生效。
- 2026年1月1日：《个人数据保护法》生效，实施要求由第356/2025/ND-CP号法令规定。
- 2026年8月19日：第330/2026/ND-CP号法令发布并生效。
- 2026年8月26日：政府发布对该法令及同意相关处罚的说明。
行政处罚的追责时效为一年。对于已经完成的违规行为，时效起算与相关义务履行完毕，或主管机关确认违规行为终止的时间有关。主管机关还必须认定相关行为是已经结束还是仍在持续。
泰乐信律师事务所介绍了一项过渡规则：如果违规行为发生在8月19日前，但在此后才被发现或仍在审查中，通常适用违规行为发生时有效的处罚规定。如果第330号法令的规定更有利，例如免除责任或减轻处罚，则可以适用这些规定。
该框架承认电子证据，并允许以电子方式制作违法记录和处罚决定；在无法使用数字签名时，也可进行生物特征认证。因此，同意日志、请求记录和交易记录等合规材料，对于案件审查尤其重要。
目前没有公布具体检查或执法案件的时间表。眼下的实际变化是，现有义务现已纳入专门的处罚框架，涵盖文件记录、人员配置、安全、同意以及个人信息的实际使用。
要点
- 第330号法令于2026年8月19日生效，涵盖网络安全和个人数据保护。
- 特定同意违规行为可处以3000万至5000万越南盾罚款。
- 将沉默视为同意或故意无视停止处理请求，可处以5000万至7000万越南盾罚款。
- 某些严重的境外数据传输违规行为，罚款最高可达营业收入的5%。
- 符合条件的外国组织与越南企业及个人一样，均受该法令约束。
- 其他后果可能包括暂停运营、不可逆地删除数据，以及追缴违法所得。
