Vijetnam prelazi na stroža pravila o kibernetičkoj sigurnosti i zaštiti podataka

Vijetnamska vlada izdala je Uredbu 330/2026/ND-CP, novi propis kojim se utvrđuju upravne sankcije za povrede u području kibernetičke sigurnosti i zaštite osobnih podataka. Prema pravnoj analizi tvrtke Indochine Counsel i drugih odvjetničkih ureda koji prate uvođenje, uredba je stupila na snagu odmah po izdavanju 19. kolovoza 2026., što ukazuje da regulatori namjeravaju brzo prijeći s pisane politike na aktivnu provedbu.

Za tvrtke koje posluju u Vijetnamu ili obrađuju podatke iz Vijetnama, ovo nije rutinsko ažuriranje. Uredba 330 nadograđuje se na temelje koje je postavila Uredba 13/2023/ND-CP, raniji vijetnamski okvir za zaštitu osobnih podataka, te dodaje konkretne kazne. Dok je ranija uredba utvrđivala obveze, Uredba 330 precizira što se događa kada organizacije ne ispune te obveze.

Što Uredba 330 zapravo mijenja

Prema pravnim komentarima o uredbi, ona obuhvaća nekoliko praktičnih područja koja će tvrtke morati pomno preispitati. To uključuje zaštitu na razini sustava, zaštitu djece u kibernetičkom prostoru, zahtjeve u vezi s pohranom podataka te pravila o održavanju lokalne prisutnosti u Vijetnamu za tvrtke koje obrađuju podatke vijetnamskih korisnika. Ova posljednja točka odražava širi trend vidljiv u zakonima o zaštiti podataka diljem jugoistočne Azije i šire: regulatori sve više žele da podaci budu lokalizirani ili barem dostupni domaćim tijelima, umjesto da se u potpunosti obrađuju u inozemstvu.

Naglasak na zaštiti djece u kibernetičkom prostoru također se ističe. Umjesto da kibernetičku sigurnost i zaštitu osobnih podataka tretira isključivo kao tehnička ili ugovorna pitanja, Uredba 330 ih definira kao pitanja s izravnim posljedicama za ranjive korisnike, a ne samo kao kontrolne popise za usklađivanje poslovanja.

Budući da je uredba stupila na snagu odmah, a ne nakon prijelaznog razdoblja, tvrtke koje posluju u Vijetnamu, uključujući multinacionalne tvrtke s lokalnim podružnicama, dobavljačima ili bazama kupaca, imaju manje vremena nego što bi očekivale da usklade politike, ugovore i tehničke kontrole.

Zašto je ovaj pooštreni nadzor važan sada

Regulatori rijetko pooštravaju provedbu u vakuumu. Globalni kontekst uključuje stalan niz incidenata izlaganja podataka koji potkrepljuju potrebu za snažnijim pravnim odvraćanjem. Nedavni primjeri drugdje ilustriraju uloge: povreda koja je pogodila nišnu platformu zajednice, detaljno opisana u našem izvješću o povredi FindFemboys, pokazala je kako brzo korisnički zapisi mogu završiti na prodaji nakon sigurnosnog propusta. Zasebno, upozorenje FBI-ja o ransomware skupini koja se fizički lažno predstavlja kao IT osoblje u odvjetničkim uredima naglašava da su napadači spremni kombinirati digitalne i fizičke taktike kako bi probili čak i organizacije koje bi trebale znati bolje.

Ovi incidenti nisu izravno povezani s Vijetnamom ili Uredbom 330, ali odražavaju okruženje na koje regulatori diljem svijeta reagiraju. Kada okviri za zaštitu osobnih podataka nemaju provedbene mehanizme, tvrtke imaju manji poticaj dati prednost sigurnosnim ulaganjima. Upravne sankcije iz Uredbe 330 vijetnamski su odgovor na taj jaz, s ciljem da usklađenost postane poslovna nužnost, a ne najbolja praksa.

Što to znači za vas

Ako vodite posao s operacijama, kupcima ili aktivnostima obrade podataka povezanima s Vijetnamom, Uredba 330 zaslužuje hitnu pozornost. Pravna savjetovanja koja prate uredbu napominju da se primjenjuje široko, što znači da tvrtke ne bi trebale pretpostaviti da su samo velike tehnološke platforme ili domaće tvrtke u njenom opsegu.

Za obične korisnike u Vijetnamu, praktični učinak trebao bi s vremenom značiti snažniju zaštitu načina na koji se osobni podaci pohranjuju, dijele i osiguravaju, uz posebne zaštitne mjere za djecu na internetu. Provedbene uredbe poput ove postoje jer načela zaštite podataka djeluju samo kada postoje stvarne posljedice za njihovo ignoriranje.

Za potrošače bilo gdje, ova priča podsjetnik je da se regulacija zaštite podataka ubrzano razvija na globalnoj razini, ne samo u Sjedinjenim Državama ili Europskoj uniji. Vijetnam se pridružuje sve dužem popisu jurisdikcija koje zaštitu osobnih podataka tretiraju kao pitanje aktivne regulatorne provedbe, a ne dobrovoljnih smjernica.

Ključni zaključci

  • Uredba 330/2026/ND-CP stupila je na snagu odmah 19. kolovoza 2026. i uvodi upravne sankcije za povrede kibernetičke sigurnosti i zaštite osobnih podataka u Vijetnamu.
  • Uredba se nadograđuje na raniju Uredbu 13/2023/ND-CP te dodaje zahtjeve u vezi sa zaštitom sustava, zaštitom djece na internetu, pohranom podataka i lokalnom prisutnošću za tvrtke koje obrađuju vijetnamske podatke.
  • Tvrtke s bilo kakvom vezom s Vijetnamom, uključujući podružnice, dobavljače ili platforme koje služe vijetnamskim korisnicima, trebale bi odmah preispitati status usklađenosti s obzirom na trenutačni datum stupanja na snagu.
  • Pregled praksi obrade podataka, lokacija pohrane i planova odgovora na incidente sada praktičan je način za smanjenje izloženosti kako se provedbene aktivnosti povećavaju.
  • Informiranje o razvoju pravila o zaštiti podataka, bilo u Vijetnamu ili drugdje, i dalje je jedan od najjednostavnijih načina na koje pojedinci i tvrtke mogu zaštititi sebe u sve reguliranijem digitalnom okruženju.