在基於信任的商業環境中，對《個人數據保護法》的準備工作更適合被視為治理、韌性和信任問題，而非法律合規清單。
越南的數字經濟不再只問企業數字化速度有多快。它越來越多地追問：企業能否帶著信任實現數字化？隨著更多服務轉移到線上，個人數據如今處於客戶關係、支付、員工管理和日常運營的中心。數據保護正成為數字業務運營許可的一部分。
《個人數據保護法》將這一轉變置於聚光燈下。其義務中包含一項有時效要求：某些可能造成損害的個人數據保護違規行為，根據具體情況和監管要求，可能需要在發現後72小時內進行通報。
關鍵詞語是“發現”。企業無法清晰報告其未發現的內容，如果不知道數據存儲在哪裡，就無法評估哪些數據受到影響。許多組織會在這一點上遇到困難，不是因為意願不足，而是因為可見性不足。法律考驗的是組織能夠證明什麼，而不僅僅是它打算做什麼。
合規正在從意圖走向證據
越南《個人數據保護法》（PDPL，第91/2025/QH15號法）於1月1日生效，在早先的第13號法令框架基礎上，為越南個人數據保護提供了更清晰的法律基礎。
對於董事會、高管和首席信息安全官而言，真正的轉變不僅僅是規則手冊擴大了。而是合規現在需要從口頭承諾轉向運營證據。隱私政策解釋意圖，同意聲明獲取許可，內部指南界定責任。這些仍然重要。但《個人數據保護法》提出了一個更實際的領導力問題：組織能否證明個人數據在日常運營中得到妥善處理？
這意味著需要了解個人數據存儲在哪裡、誰能訪問、如何保護、何時共享，以及出現問題時組織能多快響應。
在基於信任的商業環境中，個人數據事件不僅僅引發監管回應。它可能削弱客戶信心，動搖合作伙伴，增加利益相關者的審視，並擾亂業務勢頭。對於處理消費者、員工、財務、健康、位置或身份數據的組織來說，信任一旦失去就很難重建。
這就是為什麼《個人數據保護法》的準備工作更適合被視為治理、韌性和信任問題，而非法律清單。
最實際的差距往往最簡單描述：許多組織並不完全清楚個人數據位於何處。
個人數據很少存在於一個整潔的系統中。在許多越南企業中，它分佈在本地系統、遺留數據庫、本地服務器、業務應用、分支機構和業務部門中。
它還掌握在第三方手中：薪資服務商、分銷商、保險公司和服務提供商。數據已經在這些本地環境、分支機構和業務部門之間不斷流動，並流向第三方。問題不僅在於數據存儲在哪裡，還在於它流向哪裡。
組織無法保護它看不見的東西，無法刪除它找不到的東西，也無法限制對其從未分類的數據的訪問。如果不知道哪些數據受到影響，就無法快速響應事件；如果數據地圖不完整，就無法證明合規性。
跨境傳輸強化了這一點。當數據轉移到越南境外時，《個人數據保護法》和第356/2025/ND-CP號法令要求組織理解並記錄如何轉移以及為何轉移。這與其說是需要提交的法律表格，不如說是對企業自身數據流、供應商和合作夥伴理解程度的考驗。對數據流動的可見性薄弱，正是合規性悄然失效之處。
實施門檻正在迅速提高
越南的前進方向在2026年之前就已明確，尤其是在第13號法令引入首批義務之後。但《個人數據保護法》連同第356/2025/ND-CP號法令，進一步提高了期望。組織如今正從認知走向執行。
對於首席信息安全官和高管團隊來說，現在最重要的五個問題是：我們的個人數據在哪裡？誰能訪問？我們能否檢測到濫用或異常流動？我們能否在審計或事件期間證明控制力？我們能否自信地解釋跨境數據流？
從監管準備到可證明的信任
彌合這一差距不是文書工作。它要求能夠定位個人數據所在位置，對敏感數據進行分類，監控數據的訪問和移動方式，並持續保護數據。
它還需要控制措施，確保合適的人在合適的時間接觸合適的數據，並保護收集和暴露數據的應用程序。
這正是泰雷茲與越南組織合作的地方，加強《個人數據保護法》現在在應用、數據和身份方面所要求的基礎。
在全球範圍內，泰雷茲以同樣的要求支持政府、關鍵基礎設施運營商和受監管企業：將敏感數據保護到可證明的標準。
目標不是增加一層政策，而是幫助使數據保護成為組織能夠運營、監控和展示的東西。
越南擁有該地區增長最快的數字經濟體之一，《個人數據保護法》是建立增長所依賴的信任的一部分。
信任不會僅靠文書工作建立。它將由那些瞭解自身數據、持續保護數據並在最關鍵時能證明控制力的組織來建立。
第一步是瞭解自身處境。泰雷茲與越南各地的組織合作，提供評估《個人數據保護法》準備情況、識別合規差距以及瞭解政策與實際合規之間脫節所在所需的技術、網絡安全和數據保護能力。
要開啟這一對話，請訪問我們的“應對越南《個人數據保護法》”網頁，或與泰雷茲團隊聯繫。
越南中文社