Op 1 januari 2026 trad de Vietnamese Personal Data Protection Law in werking. Wet 91\/2025\/QH15 werd in juni 2025 goedgekeurd door de Nationale Vergadering, en Decreet 356\/2025\/ND-CP kwam op de laatste dag van het jaar om uit te leggen hoe het in de praktijk werkt.<\/p>\n\n\n\n
Als je de berichtgeving hebt gevolgd, heb je waarschijnlijk telkens dezelfde zin gezien: de PDPL is gebaseerd op de GDPR<\/em>. Dat klopt in grote lijnen, en het is precies de reden waarom heel wat Vietnamese exporteurs binnenkort tegen een muur lopen.<\/p>\n\n\n\n Want “gebaseerd op” is niet “gelijk aan”. En wie naar de Europese Unie verkoopt \u2014 en met bijna 74 miljard dollar aan handel in twee richtingen in 2025 zijn dat er veel \u2014 leeft nu onder twee wetten tegelijk. De ene audit doorstaan betekent niet dat je de andere doorstaat.<\/p>\n\n\n\n Dit zijn de zeven verschillen die we het vaakst tegenkomen.<\/p>\n\n\n\n De Vietnamese PDPL leunt zwaar op toestemming. Vraag uitdrukkelijke, specifieke en ge\u00efnformeerde toestemming, hou het bewijs bij, en je bent grotendeels in orde.<\/p>\n\n\n\n Europese toezichthouders kijken daar heel anders naar. Onder de GDPR is toestemming \u00e9\u00e9n van zes rechtsgronden, en toezichthouders duwen bedrijven er al jaren weg<\/em> van \u2014 omdat toestemming op elk moment kan worden ingetrokken en omdat ze in een arbeids- of B2B-context zelden vrij gegeven is. Een Europese jurist die jouw privacyverklaring leest en overal “wij verwerken uw gegevens op basis van uw toestemming” ziet staan, leest dat niet als grondig. Die leest dat als ongetraind.<\/p>\n\n\n\n Wat je doet:<\/strong> koppel elke verwerking aan de juiste GDPR-rechtsgrond \u2014 overeenkomst, wettelijke verplichting of gerechtvaardigd belang \u2014 en hou toestemming voor wat het echt nodig heeft, zoals marketing. Schrijf daarna op waarom.<\/p>\n\n\n\n De PDPL voorziet boetes tot 5% van de jaaromzet van het voorgaande jaar<\/strong> bij inbreuken op grensoverschrijdende datatransfers. Dat is geen afrondingsfout, en het vertelt je precies waar de Vietnamese handhaving naartoe gaat.<\/p>\n\n\n\n De GDPR heeft een eigen regime voor hetzelfde probleem, maar in de omgekeerde richting: Europese persoonsgegevens buiten Europa brengen vereist een adequaatheidsbesluit, standaardcontractbepalingen of een ander mechanisme uit Hoofdstuk V, plus een transfer impact assessment. Vietnam heeft g\u00e9\u00e9n Europees adequaatheidsbesluit.<\/p>\n\n\n\n Een Vietnamese producent met een Europees verkoopkantoor, een Europees CRM en een Vietnams supportteam draait dus twee<\/strong> transferregimes in tegengestelde richtingen. En heeft voor allebei meestal geen documentatie.<\/p>\n\n\n\n Wat je doet:<\/strong> teken de werkelijke datastromen uit. Niet het organigram \u2014 de stromen. Welk systeem bevat wat, gehost waar, toegankelijk voor wie, in welk land. Negen op de tien keer komt daar minstens \u00e9\u00e9n transfer uit die niemand op het netvlies had, meestal een supporttool of een gedeelde drive.<\/p>\n\n\n\n Dit is de verplichting die we het vaakst gemist zien worden.<\/p>\n\n\n\n Artikel 27 van de GDPR verplicht organisaties buiten de EU die goederen of diensten aanbieden aan mensen in de EU, of hun gedrag monitoren, om een vertegenwoordiger gevestigd in de Unie<\/strong> aan te stellen. Schriftelijk. Vermeld in je privacyverklaring. Bereikbaar voor betrokkenen \u00e9n voor toezichthouders.<\/p>\n\n\n\n Het geldt voor een Vietnams bedrijf met een webshop die op Europa mikt. Het geldt als je analytics of advertentiepixels draait die Europese bezoekers volgen. Het is n\u00ed\u00e9t afgedekt door een Europese distributeur, een Europese advocaat of een Europese handelsagent.<\/p>\n\n\n\n Marktprijzen voor die dienst lopen van ongeveer \u20ac490 per jaar aan de geautomatiseerde kant tot \u20ac1.500\u20135.000 voor een standaarddienst, en \u20ac5.000\u201315.000 wanneer DPIA-ondersteuning en audits inbegrepen zijn. De kost van het n\u00ed\u00e9t hebben is een bevinding op de eerste serieuze vragenlijst die een Europese koper je stuurt.<\/p>\n\n\n\n Wat je doet:<\/strong> ga na of artikel 27 op jou van toepassing is. Zo ja: stel iemand aan en zet de gegevens in je privacyverklaring. Het is een kleine, goedkope en volledig oplosbare tekortkoming \u2014 precies daarom oogt ze zo slecht als ze openstaat.<\/p>\n\n\n\n De PDPL en het uitvoeringsdecreet bepalen wanneer een Vietnamese organisatie een gegevensbeschermingsfunctie moet hebben en zich moet registreren. De GDPR hanteert in artikel 37 een andere toets, gebaseerd op kernactiviteiten, schaal, en of je bijzondere categorie\u00ebn van gegevens verwerkt.<\/p>\n\n\n\n Je kan makkelijk in Vietnam aan de “niet verplicht”-kant vallen en in Europa aan de “wel verplicht”-kant. De twee toetsen lopen niet gelijk.<\/p>\n\n\n\n Wat je doet:<\/strong> voer beide toetsen apart uit en schrijf de redenering op, in beide richtingen. “Wij hebben dit beoordeeld en geconcludeerd dat er geen DPO vereist is, om deze redenen” is een verdedigbare positie. Stilte niet.<\/p>\n\n\n\n De 72 uur die de GDPR geeft om een datalek bij de toezichthouder te melden is berucht, en 72 uur is een pak korter dan het klinkt als het incident op vrijdagavond begint.<\/p>\n\n\n\n Vietnam heeft eigen meldingsvereisten met een eigen termijn. Is je incidentplan op de ene gebouwd, dan faalt het op de andere \u2014 en een incident is net het moment waarop niemand tijd heeft om uit te zoeken welke regel geldt.<\/p>\n\n\n\n Wat je doet:<\/strong> \u00e9\u00e9n draaiboek, gebouwd op de strengste klok, met de contactroutes van beide toezichthouders erin. Test het \u00e9\u00e9n keer met het team. Een tafeloefening kost een namiddag.<\/p>\n\n\n\n Inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid. Vooral dat laatste \u2014 het recht om je gegevens te ontvangen in een gestructureerd, machineleesbaar formaat en ze te laten doorsturen naar een andere verwerkingsverantwoordelijke \u2014 legt bedrijven vast waarvan de systemen nooit ontworpen zijn om netjes te exporteren.<\/p>\n\n\n\n Dit los je niet op in je beleid. Het is een systeemvraag, en als het antwoord “dat zouden we manueel moeten doen” is, heb je een maand om iets beters te bouwen.<\/p>\n\n\n\n Wat je doet:<\/strong> neem je drie meest data-intensieve systemen en stel \u00e9\u00e9n simpele vraag: als een Europese klant vandaag alles opvraagt wat we over hem hebben, in een machineleesbaar bestand, hoelang duurt dat? Is het antwoord meer dan een dag, dan heb je je project.<\/p>\n\n\n\n Dit deel gaat niet over recht en volledig over omzet.<\/p>\n\n\n\n Europese kopers doen steeds vaker leveranciersonderzoek v\u00f3\u00f3r ze tekenen. Het aankoopteam van een Europese retailer of distributeur bekijkt je privacyverklaring, vraagt je datastroomkaart op, vraagt wie je EU-vertegenwoordiger is en hoe je met subverwerkers omgaat. Niet omdat ze dat leuk vinden \u2014 omdat hun eigen verplichtingen doorstromen in de keten.<\/p>\n\n\n\n Bedrijven die dat binnen een week kunnen beantwoorden, winnen contracten van bedrijven die er drie maanden over doen. We hebben het zien gebeuren. Het compliancedossier is geen verdedigingsdocument meer. Het is verkoopmateriaal.<\/p>\n\n\n\n De Vietnamese PDPL is een echte, serieuze wet met echte boetes, en ze correct toepassen is geen keuze. Maar ze behandelen als h\u00e9t<\/em> privacyproject van 2026 is een fout voor elk bedrijf met Europese klanten, want de twee kaders overlappen voor misschien zeventig procent \u2014 en het is de resterende dertig die opduikt in de vragenlijst van een koper.<\/p>\n\n\n\n Het goede nieuws: het meeste werk is gedeeld. \u00c9\u00e9n data-inventaris bedient beide. \u00c9\u00e9n set correct opgestelde verwerkersovereenkomsten bedient beide. \u00c9\u00e9n incidentdraaiboek, gebouwd op de strengste termijn, bedient beide. De dubbele last is kleiner dan ze lijkt \u2014 maar alleen als je van bij de start voor allebei ontwerpt in plaats van de tweede er later bij te bouwen.<\/p>\n\n\n\n Chuyenso is gevestigd in Belgi\u00eb. Onze oprichter is gecertificeerd EADPP onder het Europese GDPR-kader, we werken al meer dan vijftien jaar met data, hosting en privacy-infrastructuur, en we begeleiden bedrijven buiten Europa die naar Europa willen verkopen zonder dat het compliancedossier de deal vertraagt.<\/p>\n\n\n\n Onze Europa-scan<\/strong> loopt over drie weken. Week \u00e9\u00e9n brengen we in kaart waar je staat. Week twee rangschikken we de hiaten naar risico en naar omzet die op het spel staat. Week drie krijg je een 90-dagenplan en een compliance-samenvatting die je meteen naar een Europese koper kan doorsturen.<\/p>\n\n\n\n Wil je liever eerst gewoon praten: boek een gratis kennismaking van 25 minuten. We zeggen je eerlijk of dit een probleem is dat je hebt, of niet.<\/p>\n\n\n\n Boek een sessie \u2192<\/a><\/strong><\/p>\n\n\n\n Chuyenso \u2014 letterlijk: digitale transformatie. We helpen bedrijven buiten Europa om Europa-klaar te worden: juridisch, technisch en commercieel.<\/em><\/p>\n\n\n\n Bronnen:<\/strong>\u00a0Vietnam’s New Personal Data Protection Law: A Closer Look (Tilleke & Gibbins)<\/a>\u00a0 Op 1 januari 2026 trad de Vietnamese Personal Data Protection Law in werking. Wet 91\/2025\/QH15 werd in juni 2025 goedgekeurd door de Nationale Vergadering, en Decreet 356\/2025\/ND-CP kwam op de laatste dag van het jaar om uit te leggen hoe het in de praktijk werkt. Als je de berichtgeving hebt gevolgd, heb je waarschijnlijk telkens […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"set","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[8],"tags":[],"class_list":["post-2786","post","type-post","status-publish","format-standard","hentry","category-europa"],"_links":{"self":[{"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/posts\/2786","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/comments?post=2786"}],"version-history":[{"count":0,"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/posts\/2786\/revisions"}],"wp:attachment":[{"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/media?parent=2786"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/categories?post=2786"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/chuyenso.com\/vi\/wp-json\/wp\/v2\/tags?post=2786"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n\n\n\n1. Toestemming is in Vietnam de standaard. In Europa is het het laatste redmiddel.<\/h2>\n\n\n\n
\n\n\n\n2. Grensoverschrijdende doorgifte, daar zit het geld<\/h2>\n\n\n\n
\n\n\n\n3. Je hebt waarschijnlijk een EU-vertegenwoordiger nodig, en je hebt er waarschijnlijk geen<\/h2>\n\n\n\n
\n\n\n\n4. De DPO-vraag heeft twee verschillende antwoorden<\/h2>\n\n\n\n
\n\n\n\n5. De meldingstermijnen lopen niet gelijk<\/h2>\n\n\n\n
\n\n\n\n6. De rechten van betrokkenen zijn in Europa ruimer<\/h2>\n\n\n\n
\n\n\n\n7. Je privacyverklaring is nu een verkoopdocument<\/h2>\n\n\n\n
\n\n\n\nWat dit concreet betekent<\/h2>\n\n\n\n
\n\n\n\nWaar wij van pas komen<\/h2>\n\n\n\n
\n\n\n\n
\u00b7\u00a0New Decree Provides Guidance for Vietnam’s Personal Data Protection Law (Tilleke & Gibbins)<\/a>\u00a0
\u00b7\u00a0GDPR Article 27: The Complete Guide for Non-EU Businesses<\/a>\u00a0\u00b7\u00a0EU Representative Providers Compared (2026)<\/a><\/p>","protected":false},"excerpt":{"rendered":"