在基于信任的商业环境中，对《个人数据保护法》的准备工作更适合被视为治理、韧性和信任问题，而非法律合规清单。
越南的数字经济不再只问企业数字化速度有多快。它越来越多地追问：企业能否带着信任实现数字化？随着更多服务转移到线上，个人数据如今处于客户关系、支付、员工管理和日常运营的中心。数据保护正成为数字业务运营许可的一部分。
《个人数据保护法》将这一转变置于聚光灯下。其义务中包含一项有时效要求：某些可能造成损害的个人数据保护违规行为，根据具体情况和监管要求，可能需要在发现后72小时内进行通报。
关键词语是“发现”。企业无法清晰报告其未发现的内容，如果不知道数据存储在哪里，就无法评估哪些数据受到影响。许多组织会在这一点上遇到困难，不是因为意愿不足，而是因为可见性不足。法律考验的是组织能够证明什么，而不仅仅是它打算做什么。
合规正在从意图走向证据
越南《个人数据保护法》（PDPL，第91/2025/QH15号法）于1月1日生效，在早先的第13号法令框架基础上，为越南个人数据保护提供了更清晰的法律基础。
对于董事会、高管和首席信息安全官而言，真正的转变不仅仅是规则手册扩大了。而是合规现在需要从口头承诺转向运营证据。隐私政策解释意图，同意声明获取许可，内部指南界定责任。这些仍然重要。但《个人数据保护法》提出了一个更实际的领导力问题：组织能否证明个人数据在日常运营中得到妥善处理？
这意味着需要了解个人数据存储在哪里、谁能访问、如何保护、何时共享，以及出现问题时组织能多快响应。
在基于信任的商业环境中，个人数据事件不仅仅引发监管回应。它可能削弱客户信心，动摇合作伙伴，增加利益相关者的审视，并扰乱业务势头。对于处理消费者、员工、财务、健康、位置或身份数据的组织来说，信任一旦失去就很难重建。
这就是为什么《个人数据保护法》的准备工作更适合被视为治理、韧性和信任问题，而非法律清单。
最实际的差距往往最简单描述：许多组织并不完全清楚个人数据位于何处。
个人数据很少存在于一个整洁的系统中。在许多越南企业中，它分布在本地系统、遗留数据库、本地服务器、业务应用、分支机构和业务部门中。
它还掌握在第三方手中：薪资服务商、分销商、保险公司和服务提供商。数据已经在这些本地环境、分支机构和业务部门之间不断流动，并流向第三方。问题不仅在于数据存储在哪里，还在于它流向哪里。
组织无法保护它看不见的东西，无法删除它找不到的东西，也无法限制对其从未分类的数据的访问。如果不知道哪些数据受到影响，就无法快速响应事件；如果数据地图不完整，就无法证明合规性。
跨境传输强化了这一点。当数据转移到越南境外时，《个人数据保护法》和第356/2025/ND-CP号法令要求组织理解并记录如何转移以及为何转移。这与其说是需要提交的法律表格，不如说是对企业自身数据流、供应商和合作伙伴理解程度的考验。对数据流动的可见性薄弱，正是合规性悄然失效之处。
实施门槛正在迅速提高
越南的前进方向在2026年之前就已明确，尤其是在第13号法令引入首批义务之后。但《个人数据保护法》连同第356/2025/ND-CP号法令，进一步提高了期望。组织如今正从认知走向执行。
对于首席信息安全官和高管团队来说，现在最重要的五个问题是：我们的个人数据在哪里？谁能访问？我们能否检测到滥用或异常流动？我们能否在审计或事件期间证明控制力？我们能否自信地解释跨境数据流？
从监管准备到可证明的信任
弥合这一差距不是文书工作。它要求能够定位个人数据所在位置，对敏感数据进行分类，监控数据的访问和移动方式，并持续保护数据。
它还需要控制措施，确保合适的人在合适的时间接触合适的数据，并保护收集和暴露数据的应用程序。
这正是泰雷兹与越南组织合作的地方，加强《个人数据保护法》现在在应用、数据和身份方面所要求的基础。
在全球范围内，泰雷兹以同样的要求支持政府、关键基础设施运营商和受监管企业：将敏感数据保护到可证明的标准。
目标不是增加一层政策，而是帮助使数据保护成为组织能够运营、监控和展示的东西。
越南拥有该地区增长最快的数字经济体之一，《个人数据保护法》是建立增长所依赖的信任的一部分。
信任不会仅靠文书工作建立。它将由那些了解自身数据、持续保护数据并在最关键时能证明控制力的组织来建立。
第一步是了解自身处境。泰雷兹与越南各地的组织合作，提供评估《个人数据保护法》准备情况、识别合规差距以及了解政策与实际合规之间脱节所在所需的技术、网络安全和数据保护能力。
要开启这一对话，请访问我们的“应对越南《个人数据保护法》”网页，或与泰雷兹团队联系。
（编译：Ivy；审校：Woo；来源：越南中文社yuenan.com）
原创文章，作者：越南中文社，如若转载，请注明出处：https://yuenan.com/news-123419/
