越南公安部近日提示企業，在把客戶名單、員工檔案、內部文件或合同信息輸入人工智能工具時，若缺乏管控，可能同時觸及個人數據保護、商業秘密與知識產權等法律義務。這一提示以2025年頒佈的個人數據保護法第91/2025/QH15號為背景，該法對數據處理的同意條件、使用目的和保存期限作出規定。
該法第9條規定，數據主體的同意須出於自願，且須讓當事人明確知曉被處理的數據類型、處理目的以及數據控制方或控制與處理方；同意必須清晰、具體，並針對每一項處理目的分別取得。第7條第4款則將“違反法律規定處理個人數據”列為禁止行為。公安部據此指出，企業在招聘、用工管理中使用個人信息時，只能要求與合法招聘目的相適應的信息，並須依規處理。
公安部列舉的常見違規情形包括：收集過多員工信息卻未明確目的；繼續保存未被錄用者的檔案；在未滿足法律條件時使用客戶電話號碼做廣告；把客戶名單交給合作方用於不適格目的；或讓員工擅自把客戶數據複製出系統。該法對勞動者數據另有規定：數據須按法律或協議約定的期限保存，勞動合同終止時應予刪除或銷燬，除非法律或協議另有規定。
在人工智能方面，該法要求在大數據、人工智能、區塊鏈、虛擬宇宙和雲計算環境中處理個人數據必須守法，系統須內置保密、認證和訪問權限控制措施。公安部提醒，員工把客戶名單交給AI工具分析、用應聘者檔案生成招聘內容、把含合作方信息的合同上傳網絡平臺，或用客戶圖像和個人數據製作廣告內容而未核查法律依據，都可能直接牽涉個人數據保護、商業秘密和知識產權義務。
公安部還援引人工智能法第29條第2款指出，高風險AI系統即使按規定管理、運行和使用，若仍造成損害，部署方須向受損者承擔賠償責任。該部門建議企業發佈內部AI使用規定，明確哪些數據可進入AI系統、哪些數據絕對不得上傳外部平臺、哪些人員有權使用、數據用於何種目的，以及AI生成結果在使用前如何核查。
公安部強調，數據收集與使用須符合目的和範圍，這已不只是信息技術部門的事務，而是企業的治理與守法責任。企業不應簡單認為“數據存在本企業系統內就可全權使用”，而應梳理從收集、存儲、使用、共享到刪除銷燬的全流程，編制所收集個人數據的類別清單，明確處理目的、可接觸人員、保存期限，並管控共享行為、在符合條件時刪除銷燬。
越南中文社
