发布日期：2026-10-21 浏览次数：
越南《2025年个人数据保护法》（PDPL）于2025年6月26日颁布为第91/2025/QH15号法律，自2026年1月1日起生效，是对第13/2023/ND-CP号法令的升级，为越南个人数据的收集、使用、披露、存储、转移和保护建立了全面的法律框架。PDPL广泛适用于处理与越南有关的个人数据的越南组织、越南实体和外国组织，同时对同意、合法处理、数据主体权利、违规处理、跨境转移以及高风险数据和活动的保护措施规定了明确的义务。
PDPL的核心目的如下：
通过明确的数据收集、处理、存储、共享和传输规则来保护个人隐私和利益。
限制数据使用，使其仅用于获得同意或有法律依据的特定合法目的。
防止未经授权的披露、出售、丢失或有害处理等滥用行为。
通过职责、影响评估、违规通知和执法来加强问责制。
平衡数据保护与越南的数字化、经济和安全目标。
《个人数据保护法》广泛适用于越南境内的所有个人数据处理活动，涵盖以下内容：
越南的机构、组织和个人。
在越南的外国机构、组织和个人。
直接参与或与越南公民和居住在越南的某些越南裔人士的个人数据处理相关的外国机构、组织和个人。
《个人数据保护法》第 8 条引入了分级框架，对个人数据违规行为处以最高行政处罚。
非法数据交易：收益可达10倍或30亿越南盾。
跨境转移违规行为：罚款最高可达营业额的 5% 或 30 亿越南盾。
其他违规行为：最高罚款 30 亿越南盾；个人违规罚款减半。
执行措施：行政处罚，情节严重者加刑事处罚。
我们的解决方案通过全面的可见性、控制和自动化来加强数据保护治理，使越南的组织能够遵守PDPL，特别是第一章、第二章和第三章。根据PDPL的基本要求，2025年12月31日发布的第356/2025/ND-CP号法令提供了有关个人数据分类和跨境数据传输的更多详细信息。我们支持组织与PDPL和第356号法令保持一致，帮助简化合规流程，确保遵守越南不断发展的数据保护监管框架。这些能力还支持组织通过强大的加密、访问控制和数据活动监控来保护人工智能系统中使用的敏感数据，从而满足越南《人工智能法》（第134/2025/QH15号）提出的安全和数据治理期望。
| PDPL要求 | 如何合规 | 相关产品 |
| 第一章总则 | ||
| 第4条：数据主体的权利和义务 4.4：机构、组织和个人应负责促进，不得阻碍或妨碍数据主体依法行使权利和义务。 4.5：在收到数据主体行使本条第1款规定的权利的请求后，个人数据控制者或个人数据控制和处理方应在法律规定的期限内立即遵守 | 识别本地和云中有风险的结构化和非结构化敏感数据。 发现所有数据，并根据敏感性和价值对其进行分类，从而发现隐藏的数据风险。 确定当前的合规状态，记录差距，并提供实现完全合规的途径。 获得完整的敏感数据活动可见性，跟踪谁有权访问，审计他们在做什么，并记录下来。 | 数据活动监控 |
| 第二章-个人数据保护，第1节 | ||
| 第10条：撤回同意和限制个人数据处理的请求 | 通过数据发现、分类和漏洞评估发现隐藏的风险。 将数据库中的敏感信息假名化。 获得完整的敏感数据活动可见性，跟踪谁有权访问，审计他们在做什么，并记录下来。 强制用户同意，并授权客户管理和配置他们的偏好。 | 数据安全 数据活动监控 身份和访问管理 客户身份和访问管理 |
第12条：个人数据的加密和解密 1.“…个人数据加密是指将个人数据转换为无法识别的形式…” 2.“被列为国家机密的个人数据必须按照加密法进行加密和解密。 3.“……机构、组织……应根据个人数据处理活动决定个人数据的加密和解密……” | 加密本地、跨云、大数据或容器环境中的静态数据。 将数据库中的敏感信息假名化。 获得完整的敏感数据活动可见性，跟踪谁有权访问，审计他们在做什么，并记录下来。 在高度安全的环境中保护加密系统的信任根。 根据角色和政策背景限制内部和外部用户对系统和数据的访问。 根据风险评分应用情境安全措施。 | 数据安全 数据活动监控 数据风险分析 |
第 14 条：个人数据的删除、销毁与去标识化 14.3： 个人数据控制者或个人数据控制与处理方，应在本条第 1 款规定的情形下删除或销毁个人数据，或要求个人数据处理者或第三方删除、销毁数据主体的个人数据。个人数据的删除或销毁必须采用安全措施，以防止未经授权的访问以及已删除或已销毁个人数据的恢复。 14.6： 个人数据的去标识化应按以下方式进行： "……a) 进行个人数据去标识化的机关、组织和个人，应对去标识化过程实施严格管控与监督；并应防止在去标识化过程中发生对个人数据的未经授权访问、复制、侵占、披露或丢失……" | 精准定位敏感数据，并确保落实适当的用户访问权限。 对跨云与本地系统的结构化及非结构化数据实施数据活动监控。 敏感数据一经创建即进行假名化处理，确保明文数据不会被未授权应用与人员处理或存储，防止真实数据暴露。 以实时告警或阻断用户访问的方式防范策略违规，保护敏感数据。 从 CipherTrust Manager 中移除密钥，可确保安全删除，对数据的所有实例进行数字粉碎。 启用多因素认证（MFA），支持最广泛的软硬件方法与形态组合。 构建并部署基于数据敏感度的自适应认证策略。 | 数据安全 数据活动监控 身份和访问管理 基于风险的身份验证 劳动力访问管理 |
第 16 条：个人数据的披露 16.1： 个人数据仅可为特定目的而披露。披露的范围与所披露个人数据的类型必须与预期目的相一致。个人数据的披露不得侵犯数据主体的合法权益。 16.5： 披露个人数据的机关、组织和个人，必须严格监控并管控个人数据的披露，以确保符合目的、范围与法律法规要求；并须在其能力与条件范围内，防止对已披露个人数据发生未经授权的访问、使用、披露、复制、修改、删除、销毁或其他非法处理。 | 对跨云与本地系统的结构化及非结构化数据提供数据活动监控。 识别异常用户行为，并提供完整的威胁描述与可执行的修复情报。 支持细粒度授权决策，明确谁可以访问特定资源、可执行哪些操作。 | 数据安全 数据活动监控 数据风险分析 身份和访问管理 外部授权 |
第 17 条：个人数据的传输 第 20 条：个人数据的跨境传输 20.2： 从事本条第 1 款规定的跨境个人数据传输活动的机关、组织或个人，必须编制跨境个人数据传输影响评估档案，并在自首次跨境传输之日起 60 日内，向负责个人数据保护的机构提交一份原件；本条第 6 款规定的情形除外。 | 对本地环境、各云平台以及大数据或容器环境中的静态数据进行加密。 对数据库中的敏感信息进行假名化处理。 实时告警或阻断针对数据库的攻击与异常访问请求。 持续监控文件活动，对可能使组织陷入风险的活动设置告警。 通过在本地掌控加密密钥，降低第三方风险。 确保第三方与本组织之间实现彻底的职责分离，限制对敏感数据的访问。 支持与供应商、合作伙伴或任何第三方用户的关系管理，并明确访问权限的委派。 在高度安全的环境中保护密码系统的信任根。 简化敏感数据用户访问权限的报告与分析流程。 启用多因素认证（MFA），支持最广泛的软硬件方法。 基于数据/应用的敏感度构建并部署自适应认证策略。 防范钓鱼攻击与中间人攻击。 在网络层 2、3 和/或 4 层保障传输中数据的安全，且不牺牲网络性能。 为涉及传输数据的第三方、供应商或跨组织访问场景提供更强的身份与访问治理。 为高风险或外部访问路径提供条件访问支持。 | 数据安全 数据活动监控 数据风险分析 用户权限管理 身份和访问管理 自适应访问控制 联合身份管理技术 基于风险的身份验证 |
| 第 18 条：个人数据处理中的其他活动 18.2： 涉及个人数据的存储、访问、检索、连接、协同、确认、认证及其他影响个人数据的操作，应符合本法、数据法律、其他相关法律以及当事人之间的协议。 | 在混合 IT 环境中定位结构化与非结构化的受监管数据。 对数据库中的敏感信息进行假名化处理。 对本地环境、各云平台以及大数据或容器环境中的静态数据进行加密。 有效管理并监控对企业级系统的访问控制。 记录所有用户访问与认证活动。 在访问处理个人数据的应用之前提供集中式用户认证。 支持联合认证，即应用信任中央身份提供方完成用户认证。 依据用户行为、设备与访问时刻的情境风险动态调整访问控制。 | 数据安全 身份和访问管理 自适应访问控制 联合身份管理技术 基于风险的身份验证 单点登录（SSO） |
第 19 条：无需数据主体同意的个人数据处理 2b： 实施适当的个人数据保护措施；定期评估个人数据处理过程中可能产生的风险； 2c： 定期开展检查与评估，以核查个人数据处理相关法律、程序与法规的合规情况； | 持续监控数据库流量，监控用户身份与访问行为，并及时告警。 防止个人数据被未授权访问，监控内容变更情况与访问者身份。 记录对数据库系统的访问，并检测针对数据库系统的登录尝试。 生成所有系统全部访问事件的审计轨迹与报告，并将日志流式发送至外部 SIEM 系统。 通过支持多因素认证与单点登录（SSO）来管理认证与访问控制，并展示访问日志报告。 发现异常访问尝试时向管理员告警，便于管理员快速响应。 检测并精准定位对数据的关键威胁，优先处理最重要事项，并提供可执行的洞察。 支持生成全部访问的审计轨迹报告，以便在发生任何事件时用于审计与调查。 标记访问异常以便安全团队调查，并与 SIEM 方案无缝集成，实现更全面的威胁与异常检测。 动态评估每次访问尝试的风险等级，在高风险处施加更严格的控制。 强制执行多因素认证，降低企业各类应用中的未授权访问风险。 为云访问场景实现集中式认证与策略执行，帮助组织施加一致的访问控制。 | 数据安全 数据活动监控 数据风险分析 身份和访问管理 自适应访问控制 多因素身份验证 基于风险的身份验证 单点登录（SSO） |
第 23 条：个人数据保护法规违规的通知 23.1： "……个人数据处理者发现违规情形的，必须及时通知个人数据控制者或个人数据控制与处理方……" | 以实时告警或阻断用户访问的方式防范策略违规，保护数据。 识别异常用户行为，并提供完整的威胁描述与可执行的修复情报。 | 数据安全 数据活动监控 数据风险分析 |
| 第二章-个人数据保护，第2节 | ||
第 25 条：员工招聘、管理与使用过程中的个人数据保护 25.2： 机关、组织和个人在员工管理与使用过程中保护个人数据的责任如下： c) 除非另有约定或法律规定，劳动合同终止时必须删除或销毁员工个人数据。 | 在定义数据存储与针对不同数据集的分类配置时，为数据分类并指定相应的敏感度级别。 敏感数据一经创建即进行加密，确保明文数据不会被未授权应用与人员在可移动介质中处理或存储。 对跨云与本地系统的结构化及非结构化数据提供数据活动监控。 | 数据安全 数据活动监控 |
第 26 条：健康信息与保险业务活动相关的个人数据保护 第 27 条：金融、银行与信用信息活动中的个人数据保护 第 28 条：广告服务业务中的个人数据保护 第 30 条：大数据、人工智能、区块链、虚拟宇宙与云计算中的个人数据保护 30.3： 利用大数据、人工智能、区块链、虚拟宇宙与云计算的系统与服务，必须集成适当的个人数据保护措施；采用适当的认证与身份识别方法；并为个人数据处理实施访问授权机制。 第 31 条：个人位置数据与生物特征数据相关的个人数据保护 31.4： 生物特征数据的保护规定如下： a) 采集与处理生物特征数据的机关、组织和个人，必须对其生物特征数据存储与传输设备实施物理安全措施；限制对生物特征数据的访问；建立监控体系以防范和侦测侵害生物特征数据的行为；并遵守法律及相关国际标准； | 发现全部数据资产并依据敏感度与价值分类，从而挖掘隐藏的数据风险。 提供静态数据加密、集中式密钥管理、特权用户访问控制与详尽的数据访问审计日志。 对敏感数据实施特权访问控制。 对数据库中的敏感信息进行假名化处理。 通过监控与审计全部数据库活动获得可见性。 检测并精准定位对数据的关键威胁，优先处理最重要事项，并提供可执行的洞察。 在符合 FIPS 140-2 Level 3 的高度安全环境中保护密码系统的信任根。 利用智能卡实现对敏感设施的物理访问管控。 记录对数据库系统的访问，并检测针对数据库系统的登录尝试。 通过支持多因素认证与单点登录（SSO）管理认证与访问控制，并展示访问日志报告。 生成所有系统全部访问事件的审计轨迹与报告，并将日志流式发送至外部 SIEM 系统。 发现异常访问尝试时向管理员告警，便于管理员快速响应。 标记访问异常以便安全团队调查，并与 SIEM 方案无缝集成，实现更全面的威胁与异常检测。 提供适配不同访问场景与数据敏感度级别的多种认证方法。 支持无密码访问路径，降低现代数字环境对密码的依赖。 采用基于证书的强认证，满足高保证度访问场景。 为要求对认证基础设施进行内部管控的企业环境提供本地认证管理。 在访问处理生物特征或其他敏感个人数据的系统前强制执行强用户认证。 应用情境化访问策略，限定谁可以访问敏感系统以及在何种条件下访问。 启用基于设备绑定的现代认证器，以增强身份保证，适用于敏感访问场景。 为敏感应用提供集中式的访问与认证控制。 | 数据安全 数据活动监控 数据风险分析 敏感数据发现与分类 文件活动监控 硬件安全模块 密钥管理 透明加密 身份和访问管理 自适应访问控制 FIDO密钥和设备 多因素身份验证 本地身份验证管理 无密码身份验证 PKI USB令牌 基于风险的身份验证 劳动力访问管理 SafeNet可信访问（STA） 单点登录（SSO） |
第 32 条：公共场所与公共活动中音视频录制所采集个人数据的保护 5. 在本条第 1 款规定情形下开展音视频录制并处理由此采集的个人数据的机关、组织和个人，应负责依照本法及其他相关法律保护个人数据。 | 敏感数据一经创建即进行加密，确保明文数据不会被未授权应用与人员在可移动介质中处理或存储。 无论敏感个人数据位于应用还是数据库中，均以保留格式的令牌替换敏感值。 持续监控数据库流量，监控用户身份与访问行为，并及时告警。 防止个人数据被未授权访问，监控内容变更情况与访问者身份。 | 数据安全 文件活动监控 透明加密 |
| 第三章-保护个人数据的力量和条件 | ||
第 37 条：个人数据控制者、个人数据处理者或个人数据控制与处理方的责任 2. 个人数据处理者的责任： c) 完全依照本法及其他相关法律落实个人数据保护措施。 | 持续监控数据库流量，监控用户身份与访问行为，并及时告警。 防止个人数据被未授权访问，监控内容变更情况与访问者身份。 检测异常行为并提供更深入的洞察。 | 数据安全 数据活动监控 |
我们在网络安全的三个关键领域提供全面的网络安全解决方案：应用安全、数据安全和身份与访问管理。
应用安全： 以规模化方式保护云上、本地或混合模式下的应用与 API。市场领先的产品套件涵盖 Web 应用防火墙（WAF）——防御分布式拒绝服务（DDoS）与恶意机器人攻击——API 安全防护，以及安全的内容分发网络（CDN）。
数据安全： 在混合 IT 环境中发现并分类敏感数据，通过加密、令牌化与密钥管理，自动保护其处于静态、传输中或使用中的任何状态。Thales 解决方案还能识别、评估并对潜在风险进行优先级排序，从而实现精准的风险评估；同时识别异常行为并监控活动，以发现潜在威胁、验证合规，帮助组织合理分配努力方向。
身份与访问管理： 为客户、员工与合作伙伴提供无缝、安全、可信的应用与数字服务访问。解决方案依据用户角色与上下文，通过细粒度访问策略与多因素认证限制内部与外部用户的访问，确保在正确的时间将正确的用户授权给正确的资源。组织可依托 Thales 统一的单一平台，调用其身份、应用与数据安全解决方案套件——今天即合规，未来持续合规。
作为Thales的合作伙伴，揽阁信息与您一同解决合规性要求的各类问题，欢迎联系揽阁信息获取更多信息。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
