Op 1 januari 2026 trad de Vietnamese Personal Data Protection Law in werking. Wet 91/2025/QH15 werd in juni 2025 goedgekeurd door de Nationale Vergadering, en Decreet 356/2025/ND-CP kwam op de laatste dag van het jaar om uit te leggen hoe het in de praktijk werkt.
Als je de berichtgeving hebt gevolgd, heb je waarschijnlijk telkens dezelfde zin gezien: de PDPL is gebaseerd op de GDPR. Dat klopt in grote lijnen, en het is precies de reden waarom heel wat Vietnamese exporteurs binnenkort tegen een muur lopen.
Want “gebaseerd op” is niet “gelijk aan”. En wie naar de Europese Unie verkoopt — en met bijna 74 miljard dollar aan handel in twee richtingen in 2025 zijn dat er veel — leeft nu onder twee wetten tegelijk. De ene audit doorstaan betekent niet dat je de andere doorstaat.
Dit zijn de zeven verschillen die we het vaakst tegenkomen.
1. Toestemming is in Vietnam de standaard. In Europa is het het laatste redmiddel.
De Vietnamese PDPL leunt zwaar op toestemming. Vraag uitdrukkelijke, specifieke en geïnformeerde toestemming, hou het bewijs bij, en je bent grotendeels in orde.
Europese toezichthouders kijken daar heel anders naar. Onder de GDPR is toestemming één van zes rechtsgronden, en toezichthouders duwen bedrijven er al jaren weg van — omdat toestemming op elk moment kan worden ingetrokken en omdat ze in een arbeids- of B2B-context zelden vrij gegeven is. Een Europese jurist die jouw privacyverklaring leest en overal “wij verwerken uw gegevens op basis van uw toestemming” ziet staan, leest dat niet als grondig. Die leest dat als ongetraind.
Wat je doet: koppel elke verwerking aan de juiste GDPR-rechtsgrond — overeenkomst, wettelijke verplichting of gerechtvaardigd belang — en hou toestemming voor wat het echt nodig heeft, zoals marketing. Schrijf daarna op waarom.
2. Grensoverschrijdende doorgifte, daar zit het geld
De PDPL voorziet boetes tot 5% van de jaaromzet van het voorgaande jaar bij inbreuken op grensoverschrijdende datatransfers. Dat is geen afrondingsfout, en het vertelt je precies waar de Vietnamese handhaving naartoe gaat.
De GDPR heeft een eigen regime voor hetzelfde probleem, maar in de omgekeerde richting: Europese persoonsgegevens buiten Europa brengen vereist een adequaatheidsbesluit, standaardcontractbepalingen of een ander mechanisme uit Hoofdstuk V, plus een transfer impact assessment. Vietnam heeft géén Europees adequaatheidsbesluit.
Een Vietnamese producent met een Europees verkoopkantoor, een Europees CRM en een Vietnams supportteam draait dus twee transferregimes in tegengestelde richtingen. En heeft voor allebei meestal geen documentatie.
Wat je doet: teken de werkelijke datastromen uit. Niet het organigram — de stromen. Welk systeem bevat wat, gehost waar, toegankelijk voor wie, in welk land. Negen op de tien keer komt daar minstens één transfer uit die niemand op het netvlies had, meestal een supporttool of een gedeelde drive.
3. Je hebt waarschijnlijk een EU-vertegenwoordiger nodig, en je hebt er waarschijnlijk geen
Dit is de verplichting die we het vaakst gemist zien worden.
Artikel 27 van de GDPR verplicht organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU, of hun gedrag monitoren, om een vertegenwoordiger gevestigd in de Unie aan te stellen. Schriftelijk. Vermeld in je privacyverklaring. Bereikbaar voor betrokkenen én voor toezichthouders.
Het geldt voor een Vietnams bedrijf met een webshop die op Europa mikt. Het geldt als je analytics of advertentiepixels draait die Europese bezoekers volgen. Het is níét afgedekt door een Europese distributeur, een Europese advocaat of een Europese handelsagent.
Marktprijzen voor die dienst lopen van ongeveer €490 per jaar aan de geautomatiseerde kant tot €1.500–5.000 voor een standaarddienst, en €5.000–15.000 wanneer DPIA-ondersteuning en audits inbegrepen zijn. De kost van het níét hebben is een bevinding op de eerste serieuze vragenlijst die een Europese koper je stuurt.
Wat je doet: ga na of artikel 27 op jou van toepassing is. Zo ja: stel iemand aan en zet de gegevens in je privacyverklaring. Het is een kleine, goedkope en volledig oplosbare tekortkoming — precies daarom oogt ze zo slecht als ze openstaat.
4. De DPO-vraag heeft twee verschillende antwoorden
De PDPL en het uitvoeringsdecreet bepalen wanneer een Vietnamese organisatie een gegevensbeschermingsfunctie moet hebben en zich moet registreren. De GDPR hanteert in artikel 37 een andere toets, gebaseerd op kernactiviteiten, schaal, en of je bijzondere categorieën van gegevens verwerkt.
Je kan makkelijk in Vietnam aan de “niet verplicht”-kant vallen en in Europa aan de “wel verplicht”-kant. De twee toetsen lopen niet gelijk.
Wat je doet: voer beide toetsen apart uit en schrijf de redenering op, in beide richtingen. “Wij hebben dit beoordeeld en geconcludeerd dat er geen DPO vereist is, om deze redenen” is een verdedigbare positie. Stilte niet.
5. De meldingstermijnen lopen niet gelijk
De 72 uur die de GDPR geeft om een datalek bij de toezichthouder te melden is berucht, en 72 uur is een pak korter dan het klinkt als het incident op vrijdagavond begint.
Vietnam heeft eigen meldingsvereisten met een eigen termijn. Is je incidentplan op de ene gebouwd, dan faalt het op de andere — en een incident is net het moment waarop niemand tijd heeft om uit te zoeken welke regel geldt.
Wat je doet: één draaiboek, gebouwd op de strengste klok, met de contactroutes van beide toezichthouders erin. Test het één keer met het team. Een tafeloefening kost een namiddag.
6. De rechten van betrokkenen zijn in Europa ruimer
Inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid. Vooral dat laatste — het recht om je gegevens te ontvangen in een gestructureerd, machineleesbaar formaat en ze te laten doorsturen naar een andere verwerkingsverantwoordelijke — legt bedrijven vast waarvan de systemen nooit ontworpen zijn om netjes te exporteren.
Dit los je niet op in je beleid. Het is een systeemvraag, en als het antwoord “dat zouden we manueel moeten doen” is, heb je een maand om iets beters te bouwen.
Wat je doet: neem je drie meest data-intensieve systemen en stel één simpele vraag: als een Europese klant vandaag alles opvraagt wat we over hem hebben, in een machineleesbaar bestand, hoelang duurt dat? Is het antwoord meer dan een dag, dan heb je je project.
7. Je privacyverklaring is nu een verkoopdocument
Dit deel gaat niet over recht en volledig over omzet.
Europese kopers doen steeds vaker leveranciersonderzoek vóór ze tekenen. Het aankoopteam van een Europese retailer of distributeur bekijkt je privacyverklaring, vraagt je datastroomkaart op, vraagt wie je EU-vertegenwoordiger is en hoe je met subverwerkers omgaat. Niet omdat ze dat leuk vinden — omdat hun eigen verplichtingen doorstromen in de keten.
Bedrijven die dat binnen een week kunnen beantwoorden, winnen contracten van bedrijven die er drie maanden over doen. We hebben het zien gebeuren. Het compliancedossier is geen verdedigingsdocument meer. Het is verkoopmateriaal.
Wat dit concreet betekent
De Vietnamese PDPL is een echte, serieuze wet met echte boetes, en ze correct toepassen is geen keuze. Maar ze behandelen als hét privacyproject van 2026 is een fout voor elk bedrijf met Europese klanten, want de twee kaders overlappen voor misschien zeventig procent — en het is de resterende dertig die opduikt in de vragenlijst van een koper.
Het goede nieuws: het meeste werk is gedeeld. Één data-inventaris bedient beide. Één set correct opgestelde verwerkersovereenkomsten bedient beide. Één incidentdraaiboek, gebouwd op de strengste termijn, bedient beide. De dubbele last is kleiner dan ze lijkt — maar alleen als je van bij de start voor allebei ontwerpt in plaats van de tweede er later bij te bouwen.
Waar wij van pas komen
Chuyenso is gevestigd in België. Onze oprichter is gecertificeerd EADPP onder het Europese GDPR-kader, we werken al meer dan vijftien jaar met data, hosting en privacy-infrastructuur, en we begeleiden bedrijven buiten Europa die naar Europa willen verkopen zonder dat het compliancedossier de deal vertraagt.
Onze Europa-scan loopt over drie weken. Week één brengen we in kaart waar je staat. Week twee rangschikken we de hiaten naar risico en naar omzet die op het spel staat. Week drie krijg je een 90-dagenplan en een compliance-samenvatting die je meteen naar een Europese koper kan doorsturen.
Wil je liever eerst gewoon praten: boek een gratis kennismaking van 25 minuten. We zeggen je eerlijk of dit een probleem is dat je hebt, of niet.
Chuyenso — letterlijk: digitale transformatie. We helpen bedrijven buiten Europa om Europa-klaar te worden: juridisch, technisch en commercieel.
Bronnen: Vietnam’s New Personal Data Protection Law: A Closer Look (Tilleke & Gibbins)
· New Decree Provides Guidance for Vietnam’s Personal Data Protection Law (Tilleke & Gibbins)
· GDPR Article 27: The Complete Guide for Non-EU Businesses · EU Representative Providers Compared (2026)