个人数据保护第13/2023/NĐ-CP号法令

令

个人数据保护

 

根据2015年6月19日通过的《政府组织法》；2019年11月22日通过的《关于修改、补充若干条政府组织法和地方人民政府组织法》；

根据二零一五年十一月二十四日《民法典》；

根据2004年12月3日国家安全部法律；

根据2018年6月12日《网络信息法》；

根据公安部部长的建议；

政府发布保护个人数据的法令。

第一章

总则

第一条 调整范围和适用对象

1.本法令规定了个人数据的保护以及相关机关、组织和个人的个人数据保护责任。

二、本法令适用于：

||| （一）越南的机关、组织和个人；

b) 在越南的外国机关、组织和个人；

c) 在国外活动的越南机关、组织和个人；

d) 直接参与或与在越南处理个人数据活动有关的外国机关、组织和个人。

贷款金额

在本规定中，下列用语的含义如下：

1.个人数据是指以符号、文字、数字、图像、声音或其他类似形式存在于电子环境中的信息，并与特定个人相关联或有助于确定特定个人。个人数据包括基本个人数据和敏感个人数据。

2.有助于确定特定个人的信息是从个人活动中形成的，当与其他存储的数据和信息结合时，可以确定特定个人。

3.基本个人数据包括：

a) 姓、中间名和出生名，其他名称（如有）；

b) 出生日期；死亡或失踪日期；

c) 性别；

d) 出生地、出生登记地、常住地、暂住地、现住址、籍贯、联系地址；

e) 国籍；

e) 个人的图像；

g) 电话号码、身份证号、个人识别号、护照号、驾驶证号、车牌号、个人税号、社会保险号、医疗保险卡号；

h) 婚姻状况；

i) 家庭关系信息（父母、子女）；

k) 个人账户信息；反映个人在网络空间活动的数据；

l) 其他与特定个人相关联或有助于确定特定个人的信息，但不包括本条第4款的规定。

4.敏感个人数据是指与个人隐私相关的个人数据，当被侵犯时将直接对个人的合法权利和利益造成影响，包括：

a) 政治观点、宗教观点；

b) 记录在病历中关于健康和私生活的信息，不包括血型信息；

c) 与种族来源、民族来源有关的信息；

d) 个人遗传特征的信息；

đ) 个人独特的物理属性、生物特征信息；

e) 个人的生活方式、性取向信息；

g) 由执法机构收集和存储的犯罪数据、犯罪行为数据；

h) 金融机构、外资银行分行、支付中介服务机构和其他经许可机构的客户信息，包括：根据法律规定确定客户的标识信息、账户信息、存款信息、寄存资产信息、交易信息、作为信贷机构、外资银行、支付中介服务机构担保方的组织和个人信息；

i) 通过定位服务确定的个人位置数据；

k) 法律规定的其他特殊个人数据，需要采取必要的保密措施。

5.保护个人数据是指根据法律规定预防、发现、阻止和处理涉及个人数据的违法行为的活动。

6.数据主体是指被个人数据反映的个人。

7.处理个人数据是指对个人数据进行的一种或多种操作，如：收集、记录、分析、确认、存储、修改、公开、组合、访问、检索、回收、加密、解密、复制、分享、传输、提供、转移、删除、销毁个人数据或与此相关的其他行动。

8.数据主体的同意是指明确、自愿地表达允许处理其个人数据的行为。

9.数据控制者是指决定处理个人数据的目的和手段的组织或个人。

10.数据处理器是指代表数据控制者执行处理个人数据工作的组织或个人，通过与数据控制者的合同或协议进行。

11.数据控制和处理者是指同时决定处理个人数据的目的和手段并直接处理个人数据的组织或个人。

12.第三方是指除数据主体、数据控制者、数据处理器、数据控制和处理者外，经许可处理个人数据的组织或个人。

13.自动处理个人数据是指使用电子设备等手段处理个人数据，以评估、分析和预测特定个人的活动，如：习惯、偏好、可信度、行为、地点、趋势、能力及其他情况。

14.将个人数据转移到国外是指使用网络空间、设备、电子手段或其他方式将越南公民的个人数据转移到越南社会主义共和国领土以外的地方，或者使用越南社会主义共和国领土以外的地方处理越南公民的个人数据，包括：

a) 组织、企业或个人将越南公民的个人数据转移到国外的组织、企业或管理机构进行处理，符合数据主体同意的目的；

b) 使用位于越南社会主义共和国领土以外的数据控制者、数据控制和处理者、数据处理器的自动系统处理越南公民的个人数据，符合数据主体同意的目的。

第三条 个人数据保护原则

1.个人数据的处理应遵守法律规定。

2.数据主体有权了解与其个人数据处理活动相关的信息，除非法律另有规定。

3.个人数据只能按照数据控制者、数据处理器、数据控制和处理者、第三方注册或声明的处理个人数据目的进行处理。

4. 收集的个人数据必须符合处理目的，并限于必要范围。不得以任何形式买卖个人数据，除非法律另有规定。

5. 个人数据应当根据处理目的进行更新和补充。

6. 在处理过程中，个人数据应采取保护和保密措施，包括防止违反数据保护规定的违法行为，以及预防因事故导致的数据丢失、破坏或损害，使用技术手段等。

7. 个人数据仅在符合处理目的的时间范围内存储，除非法律规定有例外情况。

8. 数据控制者和数据处理者应对本条第1款至第7款规定的处理原则负责，并证明其遵守这些原则。

第四条 处理侵犯个人数据保护规定的行为

对于违反个人数据保护规定的机关、组织和个人，将根据情节轻重给予纪律处分、行政处罚或刑事处罚。

第五条 国家对个人数据保护的管理

政府统一负责国家对个人数据保护的管理工作。国家对个人数据保护的管理内容包括：

1. 向具有相应权限的国家机关提交或自行发布有关个人数据保护的法规文本，并指导实施相关法规。

2. 制定并组织实施关于个人数据保护的战略、政策、项目、计划和规划。

3. 根据法律规定，指导机关、组织和个人采取保护个人数据的措施、程序和标准。

4. 宣传和教育个人数据保护法律法规；传播普及个人数据保护知识和技术。

5. 建设培训从事个人数据保护工作的干部、公务员和职员。

6. 监督检查个人数据保护法律法规的执行情况；处理个人数据保护方面的申诉、控告和违法行为。

7. 统计、通报和报告个人数据保护状况及法律法规执行情况给具有相应权限的国家机关。

8. 国际合作促进个人数据保护。

第六条 适用个人数据保护法令及相关法律和国际条约

个人数据保护按照越南社会主义共和国是成员国的国际条约的规定、相关法律的其他规定以及本法令执行。

第七条 国际合作促进个人数据保护

1. 建立国际合作机制，为有效执行个人数据保护法律法规创造条件。

2. 参与其他国家之间的司法互助，包括通报、提出申诉、协助调查和信息交流，采取适当措施保护个人数据。

3. 组织会议、研讨会和科学研究，推动国际协作活动，以执行法律法规保护个人数据。

4. 组织双边或多边会晤，交流立法和实践保护个人数据的经验。

5. 转移技术服务用于保护个人数据。

条 8. 禁止行为

1. 违反法律规定处理个人数据。

2. 利用个人数据处理活动制造信息、数据，以对抗越南社会主义共和国国家。

3. 利用个人数据处理活动制造信息、数据，影响国家安全、社会秩序和公共安全，以及组织和个人的合法权益。

4. 阻碍有权机关保护个人数据的活动。

5. 利用保护个人数据的活动违法。

第二章

个人数据保护活动

节 1

数据主体的权利与义务

条 9. 数据主体的权利

1. 知情权 数据主体有权了解其个人数据处理活动的情况，除非法律另有规定。

2. 同意权 数据主体有权同意或不同意其个人数据被处理，除非本法令第17条规定的情形除外。

3. 访问权 数据主体有权访问查看、修改或要求修改其个人数据，除非法律另有规定。

4. 撤回同意权 数据主体有权撤回其同意，除非法律另有规定。

5. 删除数据权 数据主体有权删除或要求删除其个人数据，除非法律另有规定。

6. 限制处理数据权

a) 数据主体有权要求限制处理其个人数据，除非法律另有规定；

b) 自数据主体提出请求后72小时内，必须对数据主体要求限制的所有个人数据进行处理限制，除非法律另有规定。

7. 提供数据权 数据主体有权要求数据控制者、数据控制和处理者向其提供个人数据，除非法律另有规定。

8. 反对处理数据权

a) 数据主体有权反对数据控制者、数据控制和处理者基于阻止或限制披露个人数据或用于广告、营销目的而处理其个人数据，除非法律另有规定；

b) 数据控制者、数据控制和处理者自收到数据主体请求后72小时内必须执行该请求，除非法律另有规定。

9. 投诉、举报、起诉权 数据主体有权根据法律规定投诉、举报或提起诉讼。

10. 赔偿损失请求权 数据主体有权根据法律规定在个人数据保护规定被违反时请求赔偿损失，除非各方另有约定或法律另有规定。

11. 自我保护权 数据主体有权根据民法典和其他相关法律及本法令的规定自我保护，或者要求有权机关实施民事权利保护措施，如民法典第11条规定的措施。

条 10. 数据主体的义务

1. 自行保护其个人数据；要求其他有关组织和个人保护其个人数据。

2. 尊重并保护他人的个人数据。

3. 在同意处理个人数据时提供完整准确的个人数据。

4. 参与宣传普及个人数据保护技能。

5. 执行关于个人数据保护的法律规定，并参与防止和打击违反个人数据保护规定的违法行为。

节

个人数据保护

处理个人数据过程中

条 11. 数据主体的同意

1. 数据主体的同意适用于所有个人数据处理流程中的活动，除非法律另有规定。

2. 数据主体的同意只有在数据主体自愿且明确了解以下内容时才有效：

a) 处理的个人数据类型；

b) 处理个人数据的目的；

c) 处理个人数据的组织或个人；

d) 数据主体的权利和义务。

3. 数据主体的同意必须以书面、口头、勾选同意框、短信同意语法、选择技术设置同意或其他能够体现同意的行为形式明确具体地表达。

4. 同意必须针对同一目的进行。当存在多个目的时，个人数据控制者、控制和处理者应列出目的，以便数据主体同意一个或多个列出的目的。

5. 数据主体的同意必须以可打印、复制的文本格式呈现，包括电子或验证格式。

6. 数据主体的沉默或不回应不应被视为同意。

7. 数据主体可以部分同意或附带条件同意。

8. 对于敏感个人数据的处理，数据主体必须被告知需要处理的数据是敏感个人数据。

9. 数据主体的同意在其作出其他决定或国家主管机关书面要求之前一直有效。

10. 在发生争议的情况下，证明数据主体同意的责任在于个人数据控制者、控制和处理者。

11. 根据民法的规定，组织或个人可以在数据主体已充分了解并根据本条第3款规定同意的情况下，代表数据主体与个人数据控制者、控制和处理者进行相关处理手续，除非法律另有规定。

条 12. 撤回同意

1. 撤回同意不影响撤回前已经同意的数据处理的合法性。

2. 撤回同意必须以可打印、复制的文本格式呈现，包括电子或验证格式。

3. 当收到数据主体撤回同意的要求时，个人数据控制者、控制和处理者应告知数据主体撤回同意可能产生的后果和损失。

4. 在执行本条第2款规定后，个人数据控制者、处理者、控制和处理者以及第三方必须停止处理已撤回同意的数据主体的数据，并要求相关组织和个人停止处理。

条 13. 个人数据处理的通知

1. 通知应在处理个人数据活动开始前一次性进行。

2. 通知数据主体关于个人数据处理的内容：

a) 处理目的；

b) 与本条第2款a项规定的处理目的相关的个人数据类型；

c) 处理方式；

d) 与本条第2款a项规定的处理目的相关的其他组织或个人的信息；

e) 可能发生的不利后果和损失；

f) 处理数据的开始时间和结束时间。

3. 通知数据主体必须以可打印、复制的文本格式呈现，包括电子或验证格式。

4. 个人数据控制者、控制和处理者无需再次执行本条第1款规定的情况如下：

a) 数据主体在同意个人数据控制者、控制和处理者收集个人数据之前已充分了解并同意本条第1款和第2款规定的内容，符合本法令第9条规定；

b) 由国家主管机关为履行其职能而处理个人数据。

条14. 提供个人数据

1. 数据主体应要求个人信息控制者、个人信息控制和处理者向其本人提供自己的个人数据。

2. 个人信息控制者、个人信息控制和处理者：

a) 在数据主体同意的情况下，可以向其他组织或个人提供数据主体的个人数据，除非法律另有规定；

b) 可以代表数据主体向其他组织或个人提供数据主体的个人数据，前提是数据主体已同意授权代表并委托，除非法律另有规定。

3. 数据主体要求个人信息控制者、个人信息控制和处理者在收到请求后的72小时内提供个人数据，除非法律另有规定。

4. 在以下情况下，个人信息控制者、个人信息控制和处理者不得提供个人数据：

a) 对国家安全、国防、社会秩序和公共安全造成损害；

b) 提供数据主体的个人数据可能对他人的人身安全或身心健康造成影响；

c) 数据主体不同意提供、允许代表或授权接收个人数据。

5. 提供个人数据的要求形式：

a) 数据主体亲自或委托他人到个人信息控制者、个人信息控制和处理者的办公地点提出提供个人数据的要求。接受请求的人有责任指导申请组织或个人填写《个人数据提供请求表》的内容。如果申请组织或个人不识字或因残疾无法书写请求，则接受请求的人有责任帮助填写《个人数据提供请求表》的内容；

b) 按照本法令附件中的格式01、02通过电子网络、邮政服务或传真向个人信息控制者、个人信息控制和处理者提交《个人数据提供请求表》。

6. 《个人数据提供请求表》必须用越南语填写，并包括以下主要内容：

a) 请求人的姓名、居住地、地址；身份证号、公民身份证明号或护照号；传真号码、电话号码、电子邮件地址（如有）；

b) 要求提供的个人数据，其中明确指出文本、档案、文件的名称；

c) 提供个人数据的形式；

d) 要求提供个人数据的理由和目的。

7. 根据本条第2款的规定提出提供个人数据的要求时，必须附上相关个人或组织同意的书面文件。

8. 接收提供个人数据的要求

a) 个人信息控制者、个人信息控制和处理者有责任接收提供个人数据的要求，并跟踪提供个人数据的过程和清单；

b) 如果要求提供的个人数据不在其权限范围内，个人信息控制者、个人信息控制和处理者收到请求后必须通知并指导申请组织或个人前往有权机构或明确告知无法提供个人数据。

9. 处理提供个人数据的要求 当收到合法的提供个人数据的要求时，个人信息控制者、个人信息控制和处理者有责任通知提供个人数据的时间、地点、形式；实际产生的打印、复印、拍摄、通过邮政服务或传真发送信息的费用及支付方式和期限；按照本条规定的程序和手续执行提供个人数据的工作。

条15. 修改个人数据

1. 数据主体：

a) 在获得个人数据控制者、个人数据控制和处理者根据同意收集后，有权访问并查看、修改自己的个人数据，除非法律另有规定；

b) 因技术原因或其他原因无法直接修改时，数据主体可以要求个人数据控制者、个人数据控制和处理者修改其个人数据。

2. 个人数据控制者、个人数据控制和处理者在收到数据主体的同意后，应立即或按照专业法律规定的时间内修改数据主体的个人数据。如不能执行，则应在收到修改请求后的72小时内通知数据主体。

3. 个人数据处理者、第三方在获得个人数据控制者、个人数据控制和处理者的书面同意，并且知道数据主体已同意的情况下，可以修改数据主体的个人数据。

条16. 存储、删除、销毁个人数据

1. 数据主体可以在以下情况下要求个人数据控制者、个人数据控制和处理者删除其个人数据：

a) 认为不再需要用于同意的目的，并接受可能因删除数据而产生的损害；

b) 撤回同意；

c) 反对处理数据，而个人数据控制者、个人数据控制和处理者没有正当理由继续处理；

d) 处理个人数据不符合同意的目的，或者处理个人数据违反法律规定；

đ) 法律规定必须删除的数据。

2. 下列情况下，不适用数据删除请求：

a) 法律禁止删除数据；

b) 由国家机关依法处理个人数据以服务于国家机关活动；

c) 依法公开的个人数据；

d) 为了满足法律要求、科学研究、统计目的而处理个人数据；

đ) 在国防、国家安全、社会秩序、重大灾害、危险疾病；存在威胁国家安全、国防的风险但未达到宣布紧急状态的程度；防止暴乱、恐怖主义、犯罪和违法行为的情况下；

e) 应对危及数据主体或他人生命、健康或安全的紧急情况。

3. 当企业分立、合并、解散时，个人数据应按法律规定转移。

4. 当机构、组织、行政单位重组、改制、国有企业的所有权形式转换时，个人数据应按法律规定转移。

5. 自收到数据主体的删除请求起72小时内，个人数据控制者、个人数据控制和处理者应删除所有收集到的个人数据，除非法律另有规定。

6. 个人数据控制者、个人数据控制和处理者、个人数据处理者、第三方应以符合自身活动的方式存储个人数据，并采取法律规定的保护措施。

7. 个人数据控制者、个人数据控制和处理者、个人数据处理者、第三方在以下情况下不可恢复地删除数据：

a) 处理数据不符合目的或已完成数据主体同意的处理目的；

b) 存储个人数据不再符合个人数据控制者、个人数据控制和处理者、个人数据处理者、第三方的活动需求；

c) 个人数据控制者、个人数据控制和处理者、个人数据处理者、第三方被解散、停止运营或宣告破产或依法终止业务经营。

条17. 处理个人数据在无需数据主体同意的情况下

1. 在紧急情况下，需要立即处理与保护数据主体或他人的生命、健康有关的个人数据。数据控制者、数据处理者、数据控制和处理者、第三方有责任证明这种情况。

2. 根据法律规定公开个人数据。

3. 根据法律规定，在国防、国家安全、社会秩序、重大灾害、危险疾病；存在威胁国家安全、国防的风险但尚未宣布进入紧急状态；预防和打击暴乱、恐怖主义、犯罪和违法行为的情况下，有权机关可以处理个人数据。

4. 为了履行数据主体与相关机构、组织和个人根据法律规定签订的合同义务。

5. 为执行根据专业法律规定的国家机关活动。

条18. 处理从公共场合录音录像活动中获得的个人数据

有权机关可以在公共场合进行录音录像，并处理从这些活动中获得的个人数据，目的是保护国家安全、社会秩序、组织和个人的合法权利和利益，而无需数据主体同意。在进行录音录像时，有权机关有责任告知数据主体其正在被录音录像，除非法律另有规定。

条19. 处理失踪或已故人员的个人数据

1. 处理与失踪人员或已故人员相关的个人数据必须得到该人员配偶、子女（年满18岁）的同意，如果不存在这些人，则必须得到失踪或已故人员父母的同意，除非本法令第17条和第18条规定的情况除外。

2. 如果不存在本条第1款所列的所有人，则视为没有同意。

条20. 处理儿童的个人数据

1. 处理儿童的个人数据始终遵循保护儿童权利并以儿童最大利益为原则。

2. 处理儿童的个人数据必须得到儿童本人（年满7岁）及其父母或法定监护人的同意，除非本法令第17条规定的情况除外。数据控制者、数据处理者、数据控制和处理者、第三方在处理儿童个人数据前必须核实儿童年龄。

3. 停止处理儿童的个人数据，删除不可恢复或销毁儿童的个人数据，在以下情况：

a) 处理数据不符合目的或已经完成数据主体同意的数据处理目的，除非法律另有规定；

b) 儿童的父母或法定监护人撤回对处理儿童个人数据的同意，除非法律另有规定；

c) 根据有权机关的要求，在有足够的证据证明处理个人数据影响到儿童的权利和合法利益的情况下，除非法律另有规定。

条 21. 保护个人数据在市场营销和服务广告中的使用

1. 组织和个人从事市场营销和服务广告业务，仅可在获得数据主体同意的情况下，使用通过其经营活动收集的客户个人数据进行市场营销和服务广告。

2. 处理客户个人数据以进行市场营销和服务广告时，必须获得客户的同意，并基于客户了解内容、方式、形式和产品介绍频率的基础上。

3. 从事市场营销和服务广告业务的组织和个人有责任证明其使用客户个人数据进行产品介绍符合本条第1款和第2款的规定。

条 22. 非法收集、转移、购买和出售个人数据

1. 与处理个人数据有关的组织和个人必须采取措施保护个人数据，防止从其系统或服务设备中非法收集个人数据。

2. 建立软件系统、技术措施或组织活动，未经数据主体同意而收集、转移、购买和出售个人数据的行为是违法的。

条 23. 违反个人数据保护规定的通知

1. 发现违反个人数据保护规定的情况时，数据控制方和数据控制及处理方应在违法行为发生后最迟72小时内向公安部（网络安全局和技术犯罪预防局）报告，附上《本法令》附件中的表格编号03。若超过72小时报告，则需附上延迟报告的原因。

2. 数据处理方在发现违反个人数据保护规定的违法行为后，应尽快向数据控制方报告。

3. 违反个人数据保护规定的报告内容包括：

a) 描述违反个人数据保护规定的性质，包括：时间、地点、行为、组织和个人、涉及的个人数据类型和数量；

b) 负责保护数据的员工或负责保护个人数据的组织和个人的联系方式；

c) 描述违反个人数据保护规定可能造成的后果和损失；

d) 描述为解决和减少违反个人数据保护规定行为的危害所采取的措施。

4. 若无法完整报告本条第3款规定的内容，可分阶段逐步报告。

5. 数据控制方和数据控制及处理方必须记录确认发生违反个人数据保护规定的行为，并配合公安部（网络安全局和技术犯罪预防局）处理违法行为。

6. 组织和个人在发现以下情况时，应及时向公安部（网络安全局和技术犯罪预防局）报告：

a) 发现对个人数据的违法行为；

b) 个人数据被错误处理，不符合数据主体与数据控制方和数据控制及处理方之间最初达成的协议，或违反法律规定；

c) 未能保障数据主体的权利或未正确执行。

d) 法律规定的其他情形。

第三节 影响评估和向境外转移个人数据

第二十四条 数据处理影响评估

一、数据控制者、数据控制者兼处理者应当自开始处理个人数据之日起建立并保存其个人数据处理影响评估记录。数据控制者的个人数据处理影响评估记录包括：

（一）数据控制者、数据控制者兼处理者的联系信息；

（二）负责执行数据保护任务的组织及其数据保护人员的姓名和联系详情；

（三）处理个人数据的目的；

（四）处理的个人数据类型；

（五）接收个人数据的组织和个人，包括境外组织和个人；

（六）向境外转移个人数据的情况；

（七）处理个人数据的时间；预计删除或销毁个人数据的时间（如有）；

（八）关于采取的数据保护措施的描述；

（九）对处理个人数据的影响程度的评估；可能发生的不利后果和损害，以及减少或消除这些风险和危害的措施。

二、数据处理者在与数据控制者签订合同时，应建立并保存个人数据处理影响评估记录。数据处理者的个人数据处理影响评估记录包括：

（一）数据处理者的联系信息；

（二）负责执行数据处理任务的组织及其数据处理人员的姓名和联系详情；

（三）根据与数据控制者签订的合同进行的数据处理活动及处理的个人数据类型的描述；

（四）处理个人数据的时间；预计删除或销毁个人数据的时间（如有）；

（五）向境外转移个人数据的情况；

（六）关于采取的数据保护措施的一般描述；

（七）可能发生的不利后果和损害，以及减少或消除这些风险和危害的措施。

第一款和第二款规定的个人数据处理影响评估记录由数据控制者、数据控制者兼处理者或数据处理者以具有法律效力的书面形式确立。

个人数据处理影响评估记录必须随时可供公安部（网络安全保卫局）检查和评估，并应在处理个人数据之日起六十日内按照本条例附件中编号为04的表格向公安部（网络安全保卫局）提交一份原件。

公安部（网络安全保卫局）应对未按规定完整填写的个人数据处理影响评估记录提出评估意见，并要求数据控制者、数据控制者兼处理者、数据处理者完善该记录。

数据控制者、数据控制者兼处理者、数据处理者在收到公安部（网络安全保卫局）根据本条例附件中编号为05的表格提交的记录内容变更时，应及时更新和完善个人数据处理影响评估记录。

条25. 转移个人数据至境外

1. 在转移方建立并向境外转移个人数据的评估影响报告，并按照本条第3、4和5款的规定完成相关手续的情况下，可以将越南公民的个人数据转移到境外。转移方包括个人数据控制者、个人数据控制和处理者、个人数据处理者以及第三方。

2. 向境外转移个人数据的评估影响报告应包括：

a) 转移方和个人接收越南公民个人数据方的信息及联系方式；

b) 转移方中负责转移和接收越南公民个人数据的组织或个人的姓名及联系方式；

c) 对在境外处理越南公民个人数据活动目标的描述和解释；

d) 对向境外转移的个人数据类型的描述和说明；

đ) 对遵守本法令关于保护个人数据规定的描述和明确说明，详细列出采取的数据保护措施；

e) 对处理个人数据的影响程度的评估；可能发生的不良后果和损害，以及减少或消除这些风险和危害的措施；

g) 根据本法令第11条的规定，在了解反馈机制和投诉程序的基础上，数据主体同意处理其个人数据；

h) 有书面文件表明，涉及转移和接收越南公民个人数据的组织和个人之间关于处理个人数据的责任和约束关系；

3. 向境外转移个人数据的评估影响报告必须随时准备就绪，以供公安部检查和评估使用。转移方应在处理个人数据后60天内，将一份正本报告提交给公安部（网络安全与高科技犯罪预防局），按照本法令附件中的第06号表格。

4. 转移方应在成功完成数据转移后，通过书面形式向公安部（网络安全与高科技犯罪预防局）通报数据转移情况及其负责组织或个人的联系方式。

5. 公安部（网络安全与高科技犯罪预防局）在发现报告不完整或不符合规定时，可要求转移方向境外转移个人数据的评估影响报告进行完善。

6. 当转移方已提交给公安部（网络安全与高科技犯罪预防局）的报告内容发生变化时，转移方应根据本法令附件中的第05号表格更新和完善报告。转移方应在收到要求后的10天内完成报告。

7. 根据具体情况，公安部决定每年对向境外转移个人数据的情况进行一次检查，除非发现违反本法令关于保护个人数据的规定的行为，或者发生越南公民个人数据泄露或丢失的事件。

8. 公安部决定要求转移方向境外转移个人数据停止的情况为：

a) 发现转移的个人数据被用于侵犯越南社会主义共和国国家利益和安全的活动；

b) 转移方未执行本条第5、6款的规定；

c) 发生越南公民个人数据泄露或丢失的事件。

节 4 措施和保障数据保护条件

条 26 数据保护措施

1. 自处理个人数据开始直至整个处理过程，均应采取数据保护措施。

2. 数据保护措施包括：

a) 由与处理个人数据有关的组织或个人实施的管理措施；

b) 由与处理个人数据有关的组织或个人实施的技术措施；

c) 根据本法令和其他相关法律法规规定，由具有相应权限的国家管理部门实施的措施；

d) 由具有相应权限的国家机关实施的调查和诉讼措施；

đ) 法律规定的其他措施。

条 27 基本数据保护

1. 应适用本法令第二十六条第二款规定的措施。

2. 制定并发布关于数据保护的规定，明确根据本法令需要执行的内容。

3. 鼓励采用适合相关领域、行业和活动的数据保护标准。

4. 在处理个人数据之前，对系统和设备进行网络安全检查，并在删除或销毁包含个人数据的设备时确保无法恢复。

条 28 敏感数据保护

1. 应适用本法令第二十六条第二款和第二十七条规定的措施。

2. 指定负责数据保护的部门，指定负责数据保护的人员，并将该部门和个人的信息告知专门负责数据保护的机构。对于数据控制者、数据控制和处理者、数据处理者以及第三方为个人的情况，则提供个人的信息。

3. 向数据主体通报其敏感数据被处理的情况，除非本法令第十三条第四款、第十七条和第十八条另有规定。

条 29 专门负责数据保护的机构和全国数据保护信息门户

1. 专门负责数据保护的机构是公安部网络安全保卫局，负责协助公安部实施国家对数据保护的管理。

2. 全国数据保护信息门户：

a) 提供党和国家关于数据保护的政策、方针和法律信息；

b) 宣传普及数据保护政策和法律；

c) 更新数据保护情况信息；

d) 接收通过网络空间提交的数据保护活动信息、档案和数据；

đ) 提供有关相关机构、组织和个人数据保护工作结果的信息；

e) 接收违反数据保护规定的通知；

g) 根据法律规定警告并配合警告数据侵犯的风险和行为；

h) 根据法律规定处理数据保护违规行为；

i) 执行其他法律规定的数据保护活动。

条 30. 保障个人数据保护活动的条件

1. 个人数据保护力量：

a) 在专门负责个人数据保护机构中设立的专业个人数据保护力量；

b) 在机关、组织、企业中指定具有个人数据保护职能的部门和人员，以确保执行个人数据保护规定；

c) 组织和个人被动员参与个人数据保护；

d) 公安部制定具体计划和方案，旨在发展个人数据保护人力资源。

2. 机关、组织和个人有责任宣传普及知识、技能，提高对个人数据保护的认识。

3. 确保专门负责个人数据保护机构的物质基础和活动条件。

条 31. 保障个人数据保护活动的资金

1. 实施个人数据保护的资金来源包括国家预算；来自国内外机关、组织和个人的支持；从提供个人数据保护服务活动中获得的收入；国际援助和其他合法收入。

2. 国家机关的个人数据保护资金由国家预算保障，并在每年的国家预算草案中安排。国家预算资金的管理和使用按照国家预算法的规定进行。

3. 组织和企业的个人数据保护资金由各组织和企业自行安排并按相关规定执行。

第三章 机关、组织和个人的责任

条 32. 公安部的责任

1. 协助政府统一实施国家对个人数据保护的管理。

2. 指导、开展个人数据保护活动，保护数据主体在违反个人数据保护法律规定的行为面前的权利，提出制定个人数据保护标准和应用建议。

3. 建设、管理和运行全国个人数据保护信息门户。

4. 评估机关、组织和个人相关单位的个人数据保护工作成果。

5. 接收按规定在本法令中规定的个人数据保护档案、表格和信息。

6. 推动措施并进行研究以促进个人数据保护领域的创新，开展国际个人数据保护合作。

7. 进行检查、调查、处理申诉和控告，依法处理违反个人数据保护规定的行为。

条 33. 工信部的责任

1. 指导受其管理的媒体、新闻机构、组织和企业在本法令规定下实施个人数据保护。

2. 制定、指导和实施个人数据保护措施，确保在信息和通信活动中个人数据的安全，根据其职能和任务分配。

3. 与公安部合作进行检查、调查和处理违反个人数据保护法律的行为。

条 34. 国防部的责任

根据法律规定和职能任务分配，对国防部管辖范围内的机关、组织和个人实施个人数据保护规定，进行监督、检查、处罚和适用。

条35. 科学技术和信息技术部的责任

1. 与公安部合作制定个人数据保护标准和应用个人数据保护标准的建议。

2. 研究并就适应科学技术发展需要的个人数据保护措施与公安部交换意见。

条36. 部委、直属机构和政府机关的责任

1. 根据有关个人数据保护的法律规定，对所管理行业的个人数据保护实施国家管理。

2. 制定并执行本法令中规定的个人数据保护内容和任务。

3. 在制定和执行各部委的任务时补充个人数据保护规定。

4. 按现行预算分级管理安排资金支持个人数据保护活动。

5. 发布符合个人数据保护规定的开放数据目录。

条37. 各省、直辖市人民政府的责任

1. 根据有关个人数据保护的法律规定，对所管理行业的个人数据保护实施国家管理。

2. 执行本法令中的个人数据保护规定。

3. 按照现行预算分级管理安排资金支持个人数据保护活动。

4. 发布符合个人数据保护规定的开放数据目录。

条38. 数据控制方的责任

1. 实施组织和技术措施以及适当的保障和保密措施，证明数据处理活动符合个人数据保护法律规定，并在必要时审查和更新这些措施。

2. 记录并保存个人数据处理过程的日志。

3. 按本法令第23条规定通报违反个人数据保护规定的行为。

4. 选择符合明确任务的数据处理方，并仅与采取适当保护措施的数据处理方合作。

5. 确保数据主体根据本法令第9条规定享有的权利。

6. 数据控制方对因个人数据处理过程造成的损失向数据主体负责。

7. 与公安部和其他有权机关合作保护个人数据，提供信息以协助调查和处理违反个人数据保护法律规定的行为。

条39. 数据处理方的责任

1. 只在接受与数据控制方签订的数据处理合同或协议后接收个人数据。

2. 按照与数据控制方签订的数据处理合同或协议处理个人数据。

3. 全面执行本法令及其他相关法律法规规定的个人数据保护措施。

4. 数据处理方向数据主体对因个人数据处理过程造成的损失负责。

5. 在数据处理结束后将所有个人数据全部删除或归还给数据控制方。

6. 与公安部和其他有权机关合作保护个人数据，提供信息以协助调查和处理违反个人数据保护法律规定的行为。

条40. 数据控制方和处理方的责任

严格履行关于数据控制方和个人数据处理方责任的规定。

条41. 第三方责任

严格按照本法令关于个人数据处理责任的规定执行。

条42. 相关组织和个人的责任

1. 采取措施保护自己的个人数据，对其提供的个人数据的准确性负责。

2. 执行本法令中关于个人数据保护的规定。

3. 及时向公安部通报与个人数据保护活动相关的违规行为。

4. 配合公安部处理与个人数据保护活动相关的违规行为。

第四章 实施细则

实施条款

条43. 生效日期

1. 本法令自2023年7月1日起生效。

2. 超微型、小型、中型企业和初创企业有权在成立后两年内选择免除指定个人和设立个人数据保护部门的规定。

3. 超微型、小型、中型企业和直接从事个人数据处理业务的初创企业不适用本条第2款规定。

条44. 执行责任

1. 公安部部长督促、检查并指导本法令的实施。

2. 各部部长、相当于部级机构的负责人、政府直属机构的负责人以及各省、自治区、直辖市人民政府主席负责执行本法令。