Gesetz zum Schutz personenbezogener Daten 2025 (91/2025/QH15)

Gestützt auf die Verfassung der Sozialistischen Republik Vietnam, die nach der Resolution Nr. 203/2025/QH15 in einigen Artikeln geändert und ergänzt wurde;

Das Parlament erlässt das Gesetz über den Schutz personenbezogener Daten.

Kapitel I. ALLGEMEINE BESTIMMUNGEN

Artikel 1. Anwendungsbereich und betroffene Objekte

1. Dieses Gesetz regelt personenbezogene Daten, den Schutz personenbezogener Daten sowie die Rechte, Pflichten und Verantwortlichkeiten von zuständigen Behörden, Organisationen und Einzelpersonen.

2. Dieses Gesetz gilt für:

a) Vietnamesische Behörden, Organisationen und Einzelpersonen;

b) Ausländische Behörden, Organisationen und Einzelpersonen in Vietnam;

c) Ausländische Behörden, Organisationen oder Einzelpersonen, die direkt an der Verarbeitung personenbezogener Daten von vietnamesischen Staatsbürgern und Vietnamesen mit unbestimmter Staatsangehörigkeit, die in Vietnam leben und bereits einen Ausweis erhalten haben, beteiligt sind oder in Verbindung stehen.

Artikel 2. Begriffsbestimmungen

In diesem Gesetz werden die folgenden Begriffe wie folgt verstanden:

1. Personenbezogene Daten sind numerische Daten oder Informationen in anderer Form, die eine bestimmte Person identifizieren oder deren Identifizierung ermöglichen, einschließlich: grundlegender personenbezogener Daten und sensibler personenbezogener Daten. Nach der Anonymisierung gelten personenbezogene Daten nicht mehr als personenbezogene Daten.

2. Grundlegende personenbezogene Daten sind personenbezogene Daten, die allgemeine persönliche Informationen widerspiegeln, die häufig in Transaktionen und sozialen Beziehungen verwendet werden und zu den vom Staat herausgegebenen Kategorien gehören.

3. Sensible personenbezogene Daten sind personenbezogene Daten, die mit der Privatsphäre einer Person verbunden sind und bei Verletzung direkte Auswirkungen auf die Rechte und legitimen Interessen von Behörden, Organisationen oder Einzelpersonen haben und in der vom Staat herausgegebenen Liste aufgeführt sind.

4. Der Schutz personenbezogener Daten ist die Tätigkeit von Behörden, Organisationen oder Einzelpersonen, Kräfte, Mittel und Maßnahmen einzusetzen, um Handlungen der Verletzung personenbezogener Daten zu verhindern und zu bekämpfen.

5. Die betroffene Person personenbezogener Daten ist die Person, auf die sich die personenbezogenen Daten beziehen.

6. Die Verarbeitung personenbezogener Daten ist jede Tätigkeit, die auf personenbezogene Daten einwirkt, einschließlich einer oder mehrerer der folgenden Aktivitäten: Erhebung, Analyse, Zusammenfassung, Verschlüsselung, Entschlüsselung, Bearbeitung, Löschung, Vernichtung, Entidentifizierung, Bereitstellung, Offenlegung, Übertragung personenbezogener Daten und andere Aktivitäten, die auf personenbezogene Daten einwirken.

7. Die datenverarbeitende Partei ist die Behörde, Organisation oder Einzelperson, die über den Zweck und die Mittel der Verarbeitung personenbezogener Daten entscheidet.

8. Die Partei, die personenbezogene Daten verarbeitet, ist eine Behörde, eine Organisation oder eine Einzelperson, die die Verarbeitung personenbezogener Daten im Auftrag der Partei, die die personenbezogenen Daten kontrolliert, oder der Partei, die personenbezogene Daten kontrolliert und verarbeitet, gemäß Vertrag durchführt.

9. Die Partei, die personenbezogene Daten kontrolliert und verarbeitet, ist eine Behörde, eine Organisation oder eine Einzelperson, die über Zweck, Mittel entscheidet und die personenbezogenen Daten direkt verarbeitet.

10. Dritte sind Organisationen oder Einzelpersonen außerhalb der betroffenen Person, der Partei, die die personenbezogenen Daten kontrolliert, der Partei, die personenbezogene Daten kontrolliert und verarbeitet, und der Partei, die personenbezogene Daten verarbeitet, die an der Verarbeitung personenbezogener Daten gemäß den gesetzlichen Bestimmungen beteiligt sind.

11. Die De-Identifikation personenbezogener Daten ist der Prozess der Änderung oder Löschung von Informationen, um neue Daten zu erzeugen, die eine bestimmte Person nicht identifizieren oder deren Identifizierung nicht ermöglichen.

12. Die Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten ist die Analyse und Bewertung der möglichen Risiken, die bei der Verarbeitung personenbezogener Daten auftreten können, um Maßnahmen zur Risikominderung anzuwenden und personenbezogene Daten zu schützen.

Artikel 3. Grundsätze des Schutzes personenbezogener Daten

1. Einhaltung der Bestimmungen der Verfassung, der Bestimmungen dieses Gesetzes und anderer einschlägiger Rechtsvorschriften.

2. Personenbezogene Daten dürfen nur im richtigen Umfang, zu einem bestimmten, klaren Zweck erhoben und verarbeitet werden, wobei die Einhaltung der gesetzlichen Vorschriften gewährleistet sein muss.

3. Sicherstellung der Genauigkeit personenbezogener Daten, die bei Bedarf korrigiert, aktualisiert oder ergänzt werden; sie sind für einen Zeitraum zu speichern, der dem Zweck der Verarbeitung personenbezogener Daten entspricht, soweit das Gesetz nichts anderes vorsieht.

4. Effektive und koordinierte Umsetzung von Maßnahmen und Lösungen in Bezug auf Institutionen, Technik und Personal, die geeignet sind, personenbezogene Daten zu schützen.

5. Proaktive Prävention, Erkennung, Verhinderung, Bekämpfung und rechtzeitige, strenge Ahndung aller Rechtsverstöße zum Schutz personenbezogener Daten.

6. Schutz personenbezogener Daten in Verbindung mit dem Schutz nationaler und ethnischer Interessen, zur Unterstützung der wirtschaftlichen und sozialen Entwicklung, zur Gewährleistung der Landesverteidigung, Sicherheit und Außenpolitik; Sicherstellung der Harmonisierung zwischen dem Schutz personenbezogener Daten und dem Schutz der Rechte und legitimen Interessen von Behörden, Organisationen und Einzelpersonen.

Artikel 4. Rechte und Pflichten der betroffenen Personen personenbezogener Daten

1. Die Rechte der betroffenen Personen personenbezogener Daten umfassen:

a) Das Recht, über die Verarbeitung personenbezogener Daten informiert zu werden;

b) Zustimmung oder Ablehnung, Anforderung des Widerrufs der Erlaubnis zur Verarbeitung personenbezogener Daten;

c) Einsicht, Bearbeitung oder Anforderung der Berichtigung personenbezogener Daten;

d) Anforderung der Bereitstellung, Löschung, Beschränkung der Verarbeitung personenbezogener Daten; Einreichung eines Widerspruchs gegen die Verarbeitung personenbezogener Daten;

đ) Beschwerden, Anzeigen, Klagen, Schadensersatzforderungen gemäß den gesetzlichen Bestimmungen;

e) Die zuständigen Behörden oder die an der Verarbeitung personenbezogener Daten beteiligten Behörden, Organisationen oder Einzelpersonen auffordern, Maßnahmen und Lösungen zum Schutz ihrer personenbezogenen Daten gemäß den gesetzlichen Bestimmungen zu ergreifen.

2. Die Pflichten der personenbezogenen Dateninhaber umfassen:

a) Die eigenen personenbezogenen Daten selbst zu schützen;

b) Die personenbezogenen Daten anderer zu respektieren und zu schützen;

c) Ihre personenbezogenen Daten gemäß den gesetzlichen Bestimmungen, nach Vertrag oder bei Zustimmung zur Verarbeitung ihrer personenbezogenen Daten vollständig und korrekt bereitzustellen;

d) Das Gesetz zum Schutz personenbezogener Daten einzuhalten und an der Prävention und Bekämpfung von Datenmissbrauch teilzunehmen.

3. Personenbezogene Dateninhaber müssen bei der Ausübung ihrer Rechte und Pflichten die folgenden Grundsätze vollständig einhalten:

a) Durchführung gemäß den gesetzlichen Bestimmungen; Einhaltung der Verpflichtungen des Inhabers personenbezogener Daten aus dem Vertrag. Die Ausübung der Rechte und Pflichten des Inhabers personenbezogener Daten muss darauf abzielen, die Rechte und berechtigten Interessen des betreffenden Inhabers personenbezogener Daten zu schützen;

b) Es dürfen keine Schwierigkeiten verursacht werden oder die Ausübung der Rechte und Pflichten der datenkontrollierenden Partei, der Partei, die personenbezogene Daten kontrolliert und verarbeitet, oder der datenziehenden Partei behindert werden;

c) Es dürfen keine Rechte und berechtigten Interessen des Staates, von Behörden, Organisationen oder anderen Personen verletzt werden.

4. Behörden, Organisationen und Personen sind verpflichtet, günstige Bedingungen zu schaffen und dürfen die Ausübung der Rechte und Pflichten des Inhabers personenbezogener Daten gemäß den gesetzlichen Bestimmungen nicht erschweren oder behindern.

5. Wenn die betroffene Person ein Ersuchen zur Ausübung der Rechte der betroffenen Person gemäß Absatz 1 dieses Artikels stellt, müssen die verantwortliche Stelle für personenbezogene Daten sowie die Stellen, die personenbezogene Daten kontrollieren und verarbeiten, dies unverzüglich innerhalb der gesetzlich vorgeschriebenen Frist durchführen.

Die Regierung regelt diesen Absatz im Detail.

Artikel 5. Anwendung des Rechts zum Schutz personenbezogener Daten

1. Der Schutz personenbezogener Daten im Hoheitsgebiet der Sozialistischen Republik Vietnam erfolgt gemäß den Bestimmungen dieses Gesetzes und anderen einschlägigen Rechtsvorschriften.

2. In Fällen, in denen Gesetze oder Beschlüsse der Nationalversammlung, die vor dem Inkrafttreten dieses Gesetzes erlassen wurden, spezifische Vorschriften zum Schutz personenbezogener Daten enthalten und nicht gegen die Grundsätze des Datenschutzes nach den Bestimmungen dieses Gesetzes verstoßen, gelten die Bestimmungen dieser Gesetze oder Beschlüsse.

3. In Fällen, in denen Gesetze oder Beschlüsse des Parlaments nach dem Inkrafttreten dieses Gesetzes Vorschriften zum Schutz personenbezogener Daten enthalten, die von den Bestimmungen dieses Gesetzes abweichen, muss der Inhalt, der nach den Bestimmungen dieses Gesetzes umgesetzt oder nicht umgesetzt wird, oder der Inhalt, der nach den Vorschriften dieses Gesetzes oder des jeweiligen Gesetzes bzw. Beschlusses umgesetzt wird, konkret festgelegt werden.

4. In Fällen, in denen Behörden, Organisationen oder Einzelpersonen eine Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten oder eine Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß den Bestimmungen dieses Gesetzes durchführen, ist es nicht erforderlich, eine Risikobewertung der Verarbeitung personenbezogener Daten oder eine Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß den Bestimmungen des Datenschutzrechts durchzuführen.

Artikel 6. Internationale Zusammenarbeit zum Schutz personenbezogener Daten

1. Einhaltung des vietnamesischen Rechts, der internationalen Verträge, deren Mitglied die Sozialistische Republik Vietnam ist, und internationaler Vereinbarungen zum Schutz personenbezogener Daten auf der Grundlage von Gleichberechtigung, gegenseitigem Nutzen sowie Respekt vor Unabhängigkeit, Souveränität und territorialer Integrität.

2. Der Inhalt der internationalen Zusammenarbeit zum Schutz personenbezogener Daten umfasst:

a) Aufbau eines Mechanismus für internationale Zusammenarbeit, um die effektive Durchsetzung des Gesetzes zum Schutz personenbezogener Daten zu erleichtern;

b) Teilnahme an Rechtshilfe zum Schutz personenbezogener Daten anderer Länder;

c) Prävention und Bekämpfung von Verstößen gegen personenbezogene Daten;

d) Ausbildung von Humanressourcen, wissenschaftliche Forschung, Anwendung von Wissenschaft und Technologie zum Schutz personenbezogener Daten;

d) Austausch von Erfahrungen beim Aufbau und bei der Umsetzung von Gesetzen zum Schutz personenbezogener Daten;

e) Technologietransfer zur Unterstützung des Schutzes personenbezogener Daten.

3. Die Regierung regelt die Verantwortung für die Durchführung der internationalen Zusammenarbeit zum Schutz personenbezogener Daten.

Artikel 7. Verbotene Handlungen

1. Verarbeitung personenbezogener Daten mit dem Ziel, sich gegen die Sozialistische Republik Vietnam zu richten, die nationale Verteidigung, die nationale Sicherheit, die öffentliche Ordnung, die öffentliche Sicherheit sowie die Rechte und legitimen Interessen von Behörden, Organisationen und Einzelpersonen zu beeinträchtigen.

2. Behinderung der Tätigkeiten zum Schutz personenbezogener Daten.

3. Ausnutzung der Tätigkeiten zum Schutz personenbezogener Daten zur Begehung rechtswidriger Handlungen.

4. Verarbeitung personenbezogener Daten entgegen den gesetzlichen Bestimmungen.

5. Nutzung personenbezogener Daten anderer oder die Nutzung der eigenen personenbezogenen Daten durch andere zur Begehung rechtswidriger Handlungen.

6. Kauf und Verkauf personenbezogener Daten, außer in Fällen, in denen das Gesetz etwas anderes vorsieht.

7. Aneignung, vorsätzliches Offenlegen oder Verlieren personenbezogener Daten.

Artikel 8. Verarbeitung rechtswidriger Verstöße im Zusammenhang mit dem Schutz personenbezogener Daten

1. Organisationen und Einzelpersonen, die gegen die Bestimmungen dieses Gesetzes und andere gesetzliche Vorschriften zum Schutz personenbezogener Daten verstoßen, können je nach Art, Ausmaß und Folgen des Verstoßes mit einer Verwaltungsstrafe belegt oder strafrechtlich verfolgt werden; wenn Schaden verursacht wird, muss dieser gemäß den gesetzlichen Bestimmungen ersetzt werden.

2. Die Ahndung von Verstößen im Bereich des Schutzes personenbezogener Daten erfolgt gemäß den Bestimmungen in den Absätzen 3, 4, 5, 6 und 7 dieses Artikels sowie gemäß den Gesetzen über die Ahndung von Verwaltungsverstößen.

3. Die Höchstgeldstrafe im Verwaltungsverfahren für Verstöße gegen den Kauf und Verkauf personenbezogener Daten beträgt das 10-fache des aus der rechtswidrigen Handlung erzielten Erlöses; falls kein Erlös aus der rechtswidrigen Handlung erzielt wurde oder die nach dem erzielten Erlös berechnete Strafe niedriger ist als die in Absatz 5 dieses Artikels festgelegte Höchstgeldstrafe, wird die Geldstrafe nach den Bestimmungen von Absatz 5 dieses Artikels angewendet.

4. Die Höchstgeldstrafe im Verwaltungsverfahren für eine Organisation, die gegen die Vorschriften zur grenzüberschreitenden Übermittlung personenbezogener Daten verstößt, beträgt 5 % des Umsatzes der unmittelbar vorangegangenen Jahres dieser Organisation; falls kein Umsatz des unmittelbar vorangegangenen Jahres vorliegt oder die nach dem Umsatz berechnete Strafe niedriger ist als die im Absatz 5 dieses Artikels festgelegte Höchstgeldstrafe, wird die Geldstrafe nach den Bestimmungen von Absatz 5 dieses Artikels angewendet.

5. Die maximale Geldstrafe bei Verwaltungsverstößen für andere Verstöße im Bereich des Schutzes personenbezogener Daten beträgt 3 Milliarden Dong.

6. Die in den Absätzen 3, 4 und 5 dieses Artikels festgelegte maximale Geldstrafe gilt für Organisationen; Einzelpersonen, die denselben Verstoß begehen, unterliegen einer maximalen Geldstrafe, die die Hälfte der Geldstrafe für Organisationen beträgt.

7. Die Regierung legt die Berechnungsmethode für die Einnahmen aus der Begehung von Verstößen gegen das Gesetz zum Schutz personenbezogener Daten fest.

Kapitel II. SCHUTZ PERSONENBEZOGENER DATEN

Abschnitt 1. SCHUTZ PERSONENBEZOGENER DATEN

IM VERLAUF DER VERARBEITUNG PERSONENBEZOGENER DATEN

Artikel 9. Zustimmung des Betroffenen

1. Die Zustimmung des Betroffenen ist die Erlaubnis des Betroffenen zur Verarbeitung seiner personenbezogenen Daten, außer in Fällen, in denen das Gesetz etwas anderes vorsieht.

2. Die Zustimmung der betroffenen Person zu personenbezogenen Daten ist nur wirksam, wenn sie auf Freiwilligkeit basiert und die folgenden Informationen klar kennt:

a) Art der verarbeiteten personenbezogenen Daten, Zweck der Verarbeitung personenbezogener Daten;

b) Der Verantwortliche für die personenbezogenen Daten oder der Verantwortliche für die Kontrolle und Verarbeitung personenbezogener Daten;

c) Die Rechte und Pflichten der betroffenen Person.

3. Die Zustimmung der betroffenen Person zu personenbezogenen Daten wird durch eine klare, spezifische Methode ausgedrückt, die ausgedruckt, schriftlich kopiert werden kann, einschließlich in elektronischer Form oder in überprüfbarem Format.

4. Die Zustimmung der betroffenen Person zu personenbezogenen Daten muss die folgenden Grundsätze gewährleisten:

a) Zustimmung zu jedem einzelnen Zweck;

b) Sie darf nicht an die Bedingung geknüpft sein, anderen Zwecken zuzustimmen als denen, die vereinbart wurden;

c) Die Zustimmung ist wirksam, bis die betroffene Person diese ändert oder gemäß den gesetzlichen Bestimmungen.

d) Schweigen oder keine Reaktion gilt nicht als Zustimmung.

5. Die Regierung regelt die Einzelheiten von Absatz 3 dieses Artikels.

Artikel 10. Anforderung des Widerrufs der Einwilligung, Anforderung der Einschränkung der Verarbeitung personenbezogener Daten

1. Die betroffene Person hat das Recht, die Einwilligung zur Verarbeitung personenbezogener Daten zu widerrufen und die Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu verlangen, wenn Zweifel am Umfang, Zweck der Verarbeitung personenbezogener Daten oder an der Richtigkeit der personenbezogenen Daten bestehen, außer in den in Artikel 19 dieses Gesetzes vorgesehenen Fällen oder in Fällen, in denen das Gesetz anderes vorschreibt.

2. Der Antrag auf Widerruf der Einwilligung, der Antrag auf Einschränkung der Verarbeitung personenbezogener Daten durch die betroffene Person muss schriftlich erfolgen, einschließlich in elektronischer Form oder in einem nachprüfbaren Format, und an den Verantwortlichen für personenbezogene Daten sowie an den Verantwortlichen und Bearbeiter personenbezogener Daten gesendet werden. Der Antrag auf Widerruf der Einwilligung, der Antrag auf Einschränkung der Verarbeitung personenbezogener Daten durch die betroffene Person wird gemäß den gesetzlichen Bestimmungen und nach Vereinbarung zwischen den Parteien durchgeführt.

3. Der Verantwortliche für personenbezogene Daten sowie der Verantwortliche und Bearbeiter personenbezogener Daten nehmen den Antrag entgegen, führen ihn aus und fordern den Bearbeiter der personenbezogenen Daten auf, den Antrag auf Widerruf der Einwilligung oder auf Einschränkung der Verarbeitung personenbezogener Daten der betroffenen Person innerhalb der gesetzlich vorgeschriebenen Frist zu erfüllen.

4. Die Umsetzung der Anforderung zum Widerruf der Einwilligung und der Anforderung zur Einschränkung der Verarbeitung personenbezogener Daten gilt nicht für die Verarbeitung personenbezogener Daten vor dem Zeitpunkt, an dem die betroffene Person den Widerruf der Einwilligung oder die Anforderung zur Einschränkung der Verarbeitung personenbezogener Daten verlangt.

Artikel 11. Erhebung, Analyse und Zusammenfassung personenbezogener Daten

1. Personenbezogene Daten dürfen nur nach Zustimmung der betroffenen Person erhoben werden, es sei denn, das Gesetz sieht etwas anderes vor.

2. Zuständige Parteiorgane und staatliche Behörden dürfen personenbezogene Daten aus selbst erhobenen Quellen oder aus geteilten, bereitgestellten, übertragenen, erschlossenen oder genutzten Daten analysieren und zusammenfassen, um die Aufgaben der Leitung, Steuerung, staatlichen Verwaltung und die sozioökonomische Entwicklung gemäß den gesetzlichen Bestimmungen zu erfüllen.

3. Behörden, Organisationen und Einzelpersonen, die nicht unter die Bestimmungen von Absatz 2 dieses Artikels fallen, analysieren und konsolidieren personenbezogene Daten aus Datenquellen, deren Verarbeitung nach den gesetzlichen Vorschriften erlaubt ist.

Artikel 12. Verschlüsselung und Entschlüsselung personenbezogener Daten

1. Die Verschlüsselung personenbezogener Daten ist die Umwandlung personenbezogener Daten in eine Form, die ohne Entschlüsselung nicht als personenbezogene Daten erkennbar ist; personenbezogene Daten bleiben nach der Verschlüsselung personenbezogene Daten.

2. Personenbezogene Daten, die staatliche Geheimnisse darstellen, müssen gemäß den Gesetzen zum Schutz staatlicher Geheimnisse und der Kryptografie verschlüsselt und entschlüsselt werden.

3. Behörden, Organisationen und Einzelpersonen entscheiden über die Verschlüsselung und Entschlüsselung personenbezogener Daten in Übereinstimmung mit den Tätigkeiten der Verarbeitung personenbezogener Daten.

Artikel 13. Bearbeitung personenbezogener Daten

1. Betroffene Personen können ihre personenbezogenen Daten selbst in Bezug auf bestimmte Arten von personenbezogenen Daten in Absprache mit dem Verantwortlichen für personenbezogene Daten, dem Verantwortlichen und dem Verarbeiter personenbezogener Daten bearbeiten; sie können den Verantwortlichen für personenbezogene Daten, den Verantwortlichen und den Verarbeiter personenbezogener Daten bitten, ihre personenbezogenen Daten zu bearbeiten.

2. Der Verantwortliche für personenbezogene Daten, der Verantwortliche und der Verarbeiter personenbezogener Daten bearbeiten die personenbezogenen Daten, nachdem die betroffene Person dies beantragt hat oder die personenbezogenen Daten gemäß den gesetzlichen Bestimmungen bearbeitet hat; sie können den Datenverarbeiter oder Dritte dazu auffordern, die personenbezogenen Daten der betroffenen Person zu bearbeiten.

3. Die Bearbeitung personenbezogener Daten muss die Genauigkeit sicherstellen. Falls die personenbezogenen Daten aus berechtigten Gründen nicht bearbeitet werden können, müssen der Verantwortliche für personenbezogene Daten, der Verantwortliche und der Verarbeiter personenbezogener Daten die anfragende Behörde, Organisation oder Person informieren.

Artikel 14. Löschen, Vernichten, Anonymisieren von personenbezogenen Daten

1. Das Löschen oder Vernichten personenbezogener Daten erfolgt in folgenden Fällen:

a) Die betroffene Person der personenbezogenen Daten hat das Risiko und den möglichen Schaden, der ihr entstehen könnte, angefordert und akzeptiert. Die Anforderung der betroffenen Person der personenbezogenen Daten muss in diesem Fall vollständig den Grundsätzen entsprechen, die in Absatz 3 Artikel 4 dieses Gesetzes festgelegt sind;

b) Der Zweck der Verarbeitung personenbezogener Daten wurde erfüllt;

c) Die gesetzlich vorgeschriebene Aufbewahrungsfrist ist abgelaufen;

d) Umsetzung gemäß der Entscheidung der zuständigen staatlichen Behörde;

đ) Umsetzung gemäß Vereinbarung;

e) Andere Fälle gemäß den gesetzlichen Bestimmungen.

2. Die Anforderung der betroffenen Person der personenbezogenen Daten zur Löschung oder Vernichtung personenbezogener Daten wird in den in Artikel 19 dieses Gesetzes festgelegten Fällen oder wenn die Löschung oder Vernichtung personenbezogener Daten gegen die Bestimmungen in Absatz 3 Artikel 4 dieses Gesetzes verstößt, nicht durchgeführt.

3. Die für die personenbezogenen Daten verantwortliche Stelle, die verantwortliche Stelle und die für die Verarbeitung personenbezogener Daten zuständige Stelle löschen personenbezogene Daten in den Fällen, die in Absatz 1 dieses Artikels vorgesehen sind, oder verlangen von der für die Verarbeitung personenbezogener Daten zuständigen Stelle oder einer dritten Partei, dass diese die personenbezogenen Daten des Betroffenen löschen. Das Löschen und Vernichten personenbezogener Daten muss mit sicheren Maßnahmen durchgeführt werden, um unbefugten Zugriff und die Wiederherstellung gelöschter oder vernichteter personenbezogener Daten zu verhindern.

4. Behörden, Organisationen und Einzelpersonen dürfen nicht vorsätzlich unbefugt personenbezogene Daten wiederherstellen, die gelöscht oder vernichtet wurden.

5. Die für die personenbezogenen Daten verantwortliche Stelle, die verantwortliche Stelle und die für die Verarbeitung personenbezogener Daten zuständige Stelle sowie die für die Verarbeitung personenbezogener Daten zuständige Stelle sind verpflichtet, die Bestimmungen dieses Gesetzes einzuhalten. Falls personenbezogene Daten aufgrund berechtigter Gründe nach Erhalt der Anfrage des Betroffenen nicht gelöscht oder vernichtet werden können, muss die für die personenbezogenen Daten verantwortliche Stelle, die verantwortliche Stelle und die für die Verarbeitung personenbezogener Daten zuständige Stelle den Betroffenen informieren.

6. Die Anonymisierung personenbezogener Daten wird wie folgt geregelt:

a) Behörden, Organisationen und Einzelpersonen, die personenbezogene Daten anonymisieren, sind verpflichtet, den Anonymisierungsprozess streng zu kontrollieren und zu überwachen; sie müssen den unbefugten Zugriff, die Vervielfältigung, Aneignung, Offenlegung oder den Verlust personenbezogener Daten während des Anonymisierungsprozesses verhindern;

b) Nach der Anonymisierung dürfen personenbezogene Daten nicht wieder identifiziert werden, es sei denn, das Gesetz sieht etwas anderes vor;

c) Die Anonymisierung personenbezogener Daten erfolgt in Übereinstimmung mit den Bestimmungen dieses Gesetzes und anderen relevanten gesetzlichen Regelungen.

Artikel 15. Bereitstellung personenbezogener Daten

1. Die betroffene Person stellt personenbezogene Daten Behörden, Organisationen oder Einzelpersonen gemäß den gesetzlichen Bestimmungen oder gemäß einer Vereinbarung mit dieser Behörde, Organisation oder Person zur Verfügung.

2. Die für die Datenverarbeitung verantwortliche Partei, die die Daten kontrolliert und verarbeitet, stellt personenbezogene Daten in folgenden Fällen zur Verfügung:

a) Die Bereitstellung personenbezogener Daten für die betroffene Person auf deren Anfrage gemäß den gesetzlichen Bestimmungen und Vereinbarungen mit der betroffenen Person, es sei denn, die Bereitstellung könnte die Verteidigung, die nationale Sicherheit, die öffentliche Ordnung oder Sicherheit beeinträchtigen oder das Leben, die Gesundheit oder das Eigentum anderer verletzen;

b) Die Bereitstellung an Behörden, Organisationen oder andere Personen mit Zustimmung der betroffenen Person, sofern das Gesetz nichts anderes vorschreibt.

Artikel 16. Offenlegung personenbezogener Daten

1. Personenbezogene Daten dürfen nur zu einem bestimmten Zweck offengelegt werden. Der Umfang der Offenlegung und die Art der offengelegten personenbezogenen Daten müssen dem Zweck der Offenlegung entsprechen. Die Offenlegung personenbezogener Daten darf nicht die Rechte und gesetzlich geschützten Interessen der betroffenen Person verletzen.

2. Personenbezogene Daten dürfen nur in den folgenden Fällen offengelegt werden:

a) Mit Zustimmung der betroffenen Person;

b) In Übereinstimmung mit den gesetzlichen Bestimmungen;

c) Im Fall der Bestimmungen von Punkt b Absatz 1 Artikel 19 dieses Gesetzes;

d) Zur Erfüllung von vertraglichen Verpflichtungen.

3. Offengelegte personenbezogene Daten müssen die personenbezogenen Daten aus der Originaldatenquelle korrekt widerspiegeln und den Behörden, Organisationen und Personen den Zugang, die Nutzung und die Verarbeitung erleichtern.

4. Formen der Offenlegung personenbezogener Daten, einschließlich: Veröffentlichung von Daten auf Informationswebseiten, elektronischen Informationsportalen, Massenmedien und anderen Formen gemäß den gesetzlichen Vorschriften.

5. Behörden, Organisationen und Einzelpersonen, die personenbezogene Daten offenlegen, müssen die Offenlegung personenbezogener Daten streng kontrollieren und überwachen, um die Einhaltung des Zwecks, des Umfangs und der gesetzlichen Vorschriften zu gewährleisten; sie müssen den Zugriff, die Nutzung, die Offenlegung, das Kopieren, die Änderung, das Löschen, die Vernichtung oder andere unrechtmäßige Handlungen in Bezug auf die offengelegten personenbezogenen Daten nach ihren Möglichkeiten und Bedingungen verhindern.

Artikel 17. Übermittlung personenbezogener Daten

1. Die Übermittlung personenbezogener Daten wird in den folgenden Fällen durchgeführt:

a) Übermittlung personenbezogener Daten mit Zustimmung der betroffenen Person;

b) Teilen von persönlichen Daten zwischen Abteilungen innerhalb derselben Behörde oder Organisation, um die persönlichen Daten gemäß dem festgelegten Verarbeitungszweck zu verarbeiten;

c) Übertragung persönlicher Daten zur Fortsetzung der Datenverarbeitung im Falle von Teilung, Spaltung, Fusion von Behörden, Organisationen, Verwaltungseinheiten und Reorganisation, Änderung der Eigentumsform von Staatsunternehmen; Teilung, Spaltung, Fusion, Vereinigung, Beendigung der Aktivitäten von Einheiten oder Organisationen; Einheiten oder Organisationen, die auf der Grundlage der Beendigung der Aktivitäten anderer Einheiten oder Organisationen gegründet werden;

d) Die datenverarbeitende Stelle, die kontrollierende und verarbeitende Stelle überträgt persönliche Daten an die datenverarbeitende Stelle oder an Dritte zur Verarbeitung der persönlichen Daten gemäß den Vorschriften;

đ) Übertragung persönlicher Daten auf Anforderung einer zuständigen staatlichen Behörde;

e) Übertragung persönlicher Daten in den in Absatz 1 Artikel 19 dieses Gesetzes vorgesehenen Fällen.

2. Die Übermittlung personenbezogener Daten in den in Absatz 1 dieses Artikels genannten Fällen, unabhängig davon, ob sie gebührenpflichtig oder gebührenfrei erfolgt, darf nicht als Kauf oder Verkauf personenbezogener Daten angesehen werden.

3. Die Regierung legt diese Bestimmungen detailliert fest.

Artikel 18. Andere Tätigkeiten bei der Verarbeitung personenbezogener Daten

1. Die verantwortliche Stelle für personenbezogene Daten, die kontrollierende und verarbeitende Stelle personenbezogener Daten, die verarbeitende Stelle für personenbezogene Daten sowie Dritte, die personenbezogene Daten speichern, tun dies in einer Form, die ihrer Aktivität entspricht, und ergreifen Maßnahmen zum Schutz personenbezogener Daten während der Speicherung gemäß den gesetzlichen Bestimmungen.

2. Die Speicherung, der Zugriff, die Rückgewinnung, die Verbindung, die Koordination, die Bestätigung, die Authentifizierung personenbezogener Daten sowie andere Tätigkeiten, die personenbezogene Daten betreffen, werden gemäß den Bestimmungen dieses Gesetzes, den Vorschriften über Daten, anderen einschlägigen gesetzlichen Bestimmungen und den Vereinbarungen zwischen den Parteien durchgeführt.

3. Vorrang bei der Nutzung und Verarbeitung personenbezogener Daten für Tätigkeiten zur Unterstützung der staatlichen Verwaltung, der Aktivitäten von öffentlichen Dienstleistungseinheiten, um Pilotprojekte für bestimmte Mechanismen und Sonderpolitiken zu unterstützen, die Durchbrüche in der Wissenschaft, Technologie, Innovation und der nationalen digitalen Transformation schaffen.

Artikel 19. Verarbeitung personenbezogener Daten ohne die Zustimmung der betroffenen Person

1. Die Fälle der Verarbeitung personenbezogener Daten ohne die Zustimmung der betroffenen Person umfassen:

a) Zum Schutz des Lebens, der Gesundheit, der Ehre, der Würde, der Rechte und der rechtmäßigen Interessen der betroffenen Person oder einer anderen Person im dringenden Fall; Schutz

zum Schutz der eigenen berechtigten Rechte oder Interessen, der Rechte anderer oder der Interessen des Staates, von Behörden oder Organisationen, wenn dies notwendig ist, um Handlungen, die diese Interessen verletzen, abzuwehren. Die für die personenbezogenen Daten Verantwortlichen, die Datenverarbeiter, die Verantwortlichen und Datenverarbeiter sowie Dritte sind verpflichtet, diesen Fall nachzuweisen;

b) Um Notfallsituationen zu bewältigen; Bedrohungen der nationalen Sicherheit, die noch nicht den Grad einer Notstandserklärung erreichen; Prävention und Bekämpfung von Aufständen, Terrorismus, Kriminalität und Rechtsverletzungen;

c) Zur Durchführung von Tätigkeiten staatlicher Stellen und staatlicher Verwaltung gemäß den gesetzlichen Bestimmungen;

d) Zur Umsetzung der Vereinbarung des Betroffenen mit den zuständigen Behörden, Organisationen oder Personen gemäß den gesetzlichen Bestimmungen;

đ) Andere Fälle gemäß den gesetzlichen Bestimmungen.

2. Behörden, Organisationen und betroffene Einzelpersonen müssen einen Überwachungsmechanismus einrichten, wenn sie personenbezogene Daten in Fällen verarbeiten, in denen keine Einwilligung der betroffenen Person erforderlich ist, einschließlich:

a) Einrichtung von Verfahren und Vorschriften zur Verarbeitung personenbezogener Daten und Festlegung der Verantwortung der Behörde, Organisation oder Einzelperson während der Verarbeitung personenbezogener Daten;

b) Umsetzung geeigneter Maßnahmen zum Schutz personenbezogener Daten; regelmäßige Bewertung der Risiken, die während der Verarbeitung personenbezogener Daten auftreten können;

c) Durchführung regelmäßiger Überprüfungen und Bewertungen der Einhaltung gesetzlicher Vorschriften, Verfahren und Vorschriften zur Verarbeitung personenbezogener Daten;

d) Einrichtung eines Mechanismus zum Empfang und zur Bearbeitung von Feedback und Anregungen von beteiligten Behörden, Organisationen oder Einzelpersonen.

Artikel 20. Übermittlung personenbezogener Daten über Grenzen hinweg

1. Die Fälle der grenzüberschreitenden Übermittlung personenbezogener Daten umfassen:

a) Übertragung von in Vietnam gespeicherten personenbezogenen Daten in ein Datenspeichersystem außerhalb des Hoheitsgebiets der Sozialistischen Republik Vietnam;

b) Behörden, Organisationen, Einzelpersonen in Vietnam übertragen personenbezogene Daten an Organisationen oder Einzelpersonen im Ausland;

c) Behörden, Organisationen, Einzelpersonen in Vietnam oder im Ausland nutzen Plattformen außerhalb des Hoheitsgebiets der Sozialistischen Republik Vietnam, um personenbezogene Daten zu verarbeiten, die in Vietnam erhoben wurden.

2. Einrichtungen, Organisationen, Einzelpersonen, die personenbezogene Daten grenzüberschreitend übermitteln, müssen eine Risikobewertung gemäß Absatz 1 dieses Artikels erstellen.

grenzüberschreitende Übermittlung personenbezogener Daten und Zusendung einer Originalkopie an die zuständige Behörde für den Schutz personenbezogener Daten innerhalb von 60 Tagen ab dem ersten Tag der grenzüberschreitenden Übermittlung personenbezogener Daten, außer in den in Absatz 6 dieses Artikels vorgesehenen Fällen.

3. Die Bewertung der Auswirkungen grenzüberschreitender Datenübertragungen personenbezogener Daten wird einmal für die gesamte Betriebsdauer der Behörde, Organisation oder Person durchgeführt und gemäß den Bestimmungen in Artikel 22 dieses Gesetzes aktualisiert.

4. Die für den Datenschutz zuständige Behörde entscheidet über die Durchführung von regelmäßigen Kontrollen der grenzüberschreitenden Übermittlung personenbezogener Daten nicht mehr als einmal pro Jahr oder über ad-hoc-Kontrollen, wenn Verstöße gegen die gesetzlichen Bestimmungen zum Schutz personenbezogener Daten festgestellt werden oder wenn ein Vorfall der Offenlegung oder des Verlusts personenbezogener Daten eintritt.

5. Die für den Datenschutz zuständige Behörde entscheidet, die grenzüberschreitende Übermittlung personenbezogener Daten durch Behörden, Organisationen oder Einzelpersonen zu stoppen, wenn festgestellt wird, dass personenbezogene Daten zu Aktivitäten verwendet werden, die die nationale Verteidigung oder die nationale Sicherheit beeinträchtigen könnten.

6. Folgende Fälle unterliegen nicht den Bestimmungen zur Bewertung der Auswirkungen grenzüberschreitender Datenübertragungen:

a) Die grenzüberschreitende Übermittlung personenbezogener Daten durch befugte staatliche Stellen;

b) Behörde oder Organisation speichert personenbezogene Daten von Arbeitnehmern dieser Behörde oder Organisation in einem Cloud-Dienst;

c) Die betroffene Person überträgt ihre eigenen personenbezogenen Daten über die Grenze hinweg;

d) Andere Fälle gemäß den Bestimmungen der Regierung.

7. Die Regierung legt die Einzelheiten der Absätze 1, 5 und 6 dieses Artikels fest; sie regelt die Bestandteile der Unterlagen, die Bedingungen, das Verfahren und die Formalitäten zur Bewertung der Auswirkungen der grenzüberschreitenden Übertragung personenbezogener Daten.

Artikel 21. Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten

1. Die datenverarbeitende Stelle, der Verantwortliche und der Verarbeiter personenbezogener Daten erstellen und speichern Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und senden ein Originalexemplar innerhalb von 60 Tagen ab dem ersten Tag der Verarbeitung personenbezogener Daten an die zuständige Behörde zum Schutz personenbezogener Daten, außer in den in Absatz 6 dieses Artikels vorgesehenen Fällen.

2. Die Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten wird einmal für die gesamte Dauer der Tätigkeit der datenverarbeitenden Stelle, des Verantwortlichen und des Verarbeiters durchgeführt und gemäß den Bestimmungen von Artikel 22 dieses Gesetzes aktualisiert.

3. Der für die Verarbeitung personenbezogener Daten Verantwortliche erstellt und speichert eine Datei zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten gemäß Vereinbarung mit dem für die Datenkontrolle zuständigen Teil, dem für die Kontrolle und Verarbeitung personenbezogener Daten zuständigen Teil, ausgenommen in den Fällen, die in Absatz 6 dieses Artikels vorgesehen sind.

4. Die für den Schutz personenbezogener Daten zuständige Fachbehörde bewertet und fordert den für die Datenkontrolle zuständigen Teil, den für die Kontrolle und Verarbeitung personenbezogener Daten zuständigen Teil sowie den für die Verarbeitung personenbezogener Daten zuständigen Teil auf, die Datei zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten zu vervollständigen, falls die Datei unvollständig oder nicht regelkonform ist.

5. Der für die Datenkontrolle zuständige Teil, der für die Kontrolle und Verarbeitung personenbezogener Daten zuständige Teil sowie der für die Verarbeitung personenbezogener Daten zuständige Teil aktualisieren und ergänzen die Datei zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten, wenn sich der Inhalt der an die für den Schutz personenbezogener Daten zuständige Fachbehörde übermittelten Datei ändert.

6. Die zuständige staatliche Behörde ist nicht verpflichtet, die in diesem Artikel geregelte Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten durchzuführen.

7. Die Regierung legt die Bestandteile der Unterlagen, die Bedingungen, das Verfahren und die Abläufe zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten fest.

Artikel 22. Aktualisierung der Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und der Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten

1. Die Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und die Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten werden alle 6 Monate regelmäßig aktualisiert, wenn Änderungen oder Aktualisierungen vorliegen, oder sofort in den in Absatz 2 dieses Artikels vorgesehenen Fällen.

2. Zu den Fällen, in denen eine sofortige Aktualisierung erforderlich ist, gehören:

a) Wenn Behörde, Organisation oder Einheit neu organisiert wird, ihre Tätigkeit einstellt, aufgelöst oder nach den gesetzlichen Bestimmungen insolvent wird;

b) Wenn sich Informationen über die Organisation oder Einzelpersonen, die personenbezogene Daten schützen, ändern;

c) Wenn ein neuer Geschäftszweig, Beruf oder Dienstleistung in Bezug auf die Verarbeitung personenbezogener Daten entsteht oder sich ändert, die in den Unterlagen zur Datenschutz-Folgenabschätzung und den Unterlagen zur grenzüberschreitenden Datenübertragungs-Folgenabschätzung registriert sind.

3. Die Aktualisierung der Unterlagen zur Datenschutz-Folgenabschätzung und der Unterlagen zur grenzüberschreitenden Datenübertragungs-Folgenabschätzung erfolgt über das nationale Informationsportal zum Schutz personenbezogener Daten oder bei der zuständigen Datenschutzbehörde.

4. Die Regierung legt die Einzelheiten dieses Artikels fest.

Artikel 23. Meldung von Verstößen gegen die Vorschriften zum Schutz personenbezogener Daten

1. Die für die personenbezogenen Daten verantwortliche Stelle, die Stelle zur Kontrolle und Verarbeitung personenbezogener Daten sowie Dritte, die Verstöße gegen die Vorschriften zum Schutz personenbezogener Daten feststellen, die die Landesverteidigung, die nationale Sicherheit, die öffentliche Ordnung, die gesellschaftliche Sicherheit schädigen oder das Leben, die Gesundheit, die Ehre, die Würde oder das Eigentum der betroffenen Person beeinträchtigen könnten, müssen die zuständige Behörde zum Schutz personenbezogener Daten spätestens 72 Stunden nach Entdeckung des Verstoßes informieren. Im Falle eines Verstoßes ist die Stelle zur Verarbeitung personenbezogener Daten verpflichtet, die für die personenbezogenen Daten verantwortliche Stelle oder die Stelle zur Kontrolle und Verarbeitung personenbezogener Daten unverzüglich zu benachrichtigen.

2. Die für die personenbezogenen Daten verantwortliche Stelle sowie die Stelle zur Kontrolle und Verarbeitung personenbezogener Daten müssen ein Protokoll über das Auftreten des Verstoßes gegen die Vorschriften zum Schutz personenbezogener Daten erstellen und mit der zuständigen Behörde zum Schutz personenbezogener Daten zusammenarbeiten, um den Verstoß zu bearbeiten.

3. Behörden, Organisationen und Einzelpersonen melden den zuständigen Datenschutzbehörden in den folgenden Fällen:

a) Entdeckung von Verstößen gegen Vorschriften zum Schutz personenbezogener Daten;

b) Persönliche Daten werden zweckwidrig verarbeitet, nicht gemäß der Vereinbarung zwischen der betroffenen Person und dem für die personenbezogenen Daten verantwortlichen oder verarbeitenden Unternehmen;

c) Die Rechte der betroffenen Person nicht gewährleisten oder die Rechte der betroffenen Person nicht ordnungsgemäß ausüben;

d) Sonstige Fälle nach den gesetzlichen Bestimmungen.

4. Die für den Schutz personenbezogener Daten zuständige Behörde ist verantwortlich für den Empfang von Meldungen und die Bearbeitung von Verstößen gegen die Vorschriften zum Schutz personenbezogener Daten. Die datenverarbeitende Partei, die Partei, die personenbezogene Daten kontrolliert und verarbeitet, Dritte sowie Behörden, Organisationen und Einzelpersonen, die beteiligt sind, sind verantwortlich dafür, Verstöße zu verhindern, die entstandenen Folgen zu beheben und mit der für den Schutz personenbezogener Daten zuständigen Behörde bei der Bearbeitung von Verstößen gegen die Vorschriften zum Schutz personenbezogener Daten zusammenzuarbeiten.

5. Die Regierung legt den Inhalt der Meldung von Verstößen gegen die Vorschriften zum Schutz personenbezogener Daten fest.

Abschnitt 2. SCHUTZ PERSONENBEZOGENER DATEN IN EINIGEN AKTIVITÄTEN

Artikel 24. Schutz personenbezogener Daten von Kindern, Personen mit verlorener oder eingeschränkter zivilrechtlicher Handlungsfähigkeit, Personen mit Verständnisschwierigkeiten oder eingeschränkter Verhaltenskontrolle

1. Schutz der personenbezogenen Daten von Kindern, Personen, die ihre zivilrechtliche Handlungsfähigkeit verloren haben oder eingeschränkt sind, Personen mit Erschwernissen in der Wahrnehmung und der Selbstbeherrschung, entsprechend den Bestimmungen dieses Gesetzes.

2. Für Kinder, Personen, die ihre zivilrechtliche Handlungsfähigkeit ganz oder teilweise verloren haben oder eingeschränkt sind, oder Personen, die Schwierigkeiten in der Wahrnehmung oder Kontrolle ihres Verhaltens haben, übt der gesetzliche Vertreter stellvertretend die Rechte des Inhabers personenbezogener Daten aus, außer in den Fällen, die in Absatz 1 Artikel 19 dieses Gesetzes geregelt sind. Die Verarbeitung personenbezogener Daten von Kindern zum Zweck der Veröffentlichung oder Offenlegung von Informationen über das Privatleben und die persönlichen Geheimnisse von Kindern ab 7 Jahren erfordert die Zustimmung des Kindes und seines gesetzlichen Vertreters.

3. Die Verarbeitung personenbezogener Daten von Kindern, Personen, die ihre zivilrechtliche Handlungsfähigkeit ganz oder teilweise verloren haben, oder Personen, die Schwierigkeiten in der Wahrnehmung oder Kontrolle ihres Verhaltens haben, wird in folgenden Fällen eingestellt:

a) Die Person, die der Regelung in Absatz 2 dieses Artikels zugestimmt hat, widerruft die Zustimmung zur Verarbeitung personenbezogener Daten von Kindern, Personen mit eingeschränkter oder verlorener Geschäftsfähigkeit, Personen mit kognitiven oder Verhaltensschwierigkeiten, außer in Fällen, in denen das Gesetz etwas anderes vorsieht;

b) Auf Anfrage der zuständigen Behörde, wenn ausreichende Gründe vorliegen, dass die Verarbeitung personenbezogener Daten die Rechte und gesetzlichen Interessen von Kindern, Personen mit eingeschränkter oder verlorener Geschäftsfähigkeit, Personen mit kognitiven oder Verhaltensschwierigkeiten verletzen könnte, außer in Fällen, in denen das Gesetz etwas anderes vorsieht.

Artikel 25. Schutz personenbezogener Daten bei der Rekrutierung, Verwaltung und Nutzung von Arbeitnehmern

1. Die Verantwortung zum Schutz personenbezogener Daten von Behörden, Organisationen und Personen bei der Rekrutierung von Arbeitskräften wird wie folgt geregelt:

a) Es dürfen nur Informationen verlangt werden, die für den Einstellungszweck der Agentur, Organisation oder der einstellenden Person im Einklang mit den gesetzlichen Vorschriften erforderlich sind; die bereitgestellten Informationen dürfen nur für den Einstellungszweck und andere Zwecke gemäß einer Vereinbarung im Einklang mit den gesetzlichen Vorschriften verwendet werden;

b) Die bereitgestellten Informationen müssen gemäß den gesetzlichen Vorschriften verarbeitet werden und die Zustimmung der Bewerberin oder des Bewerbers einholen;

c) Die bereitgestellten Informationen der Bewerberinnen oder Bewerber müssen gelöscht oder vernichtet werden, falls keine Einstellung erfolgt, es sei denn, es gibt eine andere Vereinbarung mit der Bewerberin oder dem Bewerber;

2. Die Verantwortung zum Schutz personenbezogener Daten von Agenturen, Organisationen oder Einzelpersonen bei der Verwaltung und Nutzung von Arbeitskräften ist wie folgt geregelt:

a) Einhaltung der Bestimmungen dieses Gesetzes, der Arbeits-, Beschäftigungs- und Datenschutzgesetze sowie anderer einschlägiger gesetzlicher Bestimmungen;

b) Die persönlichen Daten der Arbeitnehmer müssen für den gesetzlich oder vertraglich vorgeschriebenen Zeitraum gespeichert werden;

c) Die persönlichen Daten der Arbeitnehmer müssen nach Beendigung des Arbeitsvertrags gelöscht oder vernichtet werden, außer in Fällen, in denen eine andere Regelung in Vereinbarungen oder im Gesetz vorgesehen ist.

3. Die Verarbeitung personenbezogener Daten von Arbeitnehmern, die durch technologische und technische Maßnahmen im Arbeitsmanagement gesammelt wurden, wird wie folgt geregelt:

a) Es dürfen nur technologische und technische Maßnahmen angewendet werden, die den gesetzlichen Bestimmungen entsprechen und die Rechte und Interessen der betroffenen Personen gewährleisten, auf der Grundlage, dass die Arbeitnehmer über diese Maßnahmen informiert sind;

b) Es ist nicht erlaubt, personenbezogene Daten, die durch technologische und technische Maßnahmen erhoben wurden, zu verarbeiten oder zu verwenden, wenn dies den gesetzlichen Bestimmungen widerspricht.

Artikel 26. Schutz personenbezogener Daten bezüglich Gesundheitsinformationen und in der Versicherungstätigkeit

1. Der Schutz personenbezogener Daten in Bezug auf Gesundheitsinformationen und im Versicherungsbetrieb wird wie folgt geregelt:

a) Es muss die Zustimmung der betroffenen Person bei der Erhebung und Verarbeitung personenbezogener Daten eingeholt werden, außer in den im Absatz 1 des Artikels 19 dieses Gesetzes vorgesehenen Fällen;

b) Alle Vorschriften zum Schutz personenbezogener Daten sowie andere einschlägige gesetzliche Bestimmungen sind vollständig anzuwenden.

2. Behörden, Organisationen und Einzelpersonen, die im Gesundheitsbereich tätig sind, dürfen personenbezogene Daten Dritten nicht zur Verfügung stellen, die Gesundheitsdienstleistungen oder Krankenversicherungs- und Lebensversicherungsdienstleistungen anbieten, außer im Falle einer schriftlichen Anforderung der betroffenen Person oder in den im Absatz 1 des Artikels 19 dieses Gesetzes vorgesehenen Fällen.

3. Organisationen und Einzelpersonen, die medizinische Anwendungen oder Anwendungen zur Versicherungsvermittlung entwickeln, müssen die Vorschriften zum Schutz personenbezogener Daten vollständig einhalten.

4. Falls ein Unternehmen im Rückversicherungsgeschäft tätig ist oder Daten an Rückversicherungs- oder Rückversicherungsabnehmer weitergibt, muss dies im Vertrag mit dem Kunden eindeutig angegeben werden.

Artikel 27. Schutz personenbezogener Daten in Finanz-, Bank- und Kreditinformationsaktivitäten

1. Organisationen und Einzelpersonen, die in den Bereichen Finanzen, Banken und Kreditinformation tätig sind, haben folgende Pflichten:

a) Die Vorschriften zum Schutz sensibler personenbezogener Daten sowie die Sicherheits- und Schutzstandards für Finanz- und Banktätigkeiten gemäß den gesetzlichen Bestimmungen vollständig umzusetzen;

b) Die Kreditinformationen der betroffenen Personen nicht zu verwenden, um Punktzahlen zu erstellen, Kreditratings zu vergeben, Kreditinformationen zu bewerten oder die Kreditwürdigkeit der betroffenen Personen einzuschätzen, ohne die Zustimmung der betroffenen Personen;

c) Nur personenbezogene Daten zu erheben, die für die Kreditinformationen notwendig sind, und zwar aus Quellen, die den Bestimmungen dieses Gesetzes und anderen einschlägigen gesetzlichen Regelungen entsprechen;

d) Benachrichtigung der betroffenen Person im Falle von Lecks oder Verlust von Informationen über Bankkonten, Finanzen, Kredite, Kreditinformationen.

2. Organisationen und Einzelpersonen, die Kreditinformationsaktivitäten durchführen, sind verpflichtet, die Bestimmungen dieses Gesetzes einzuhalten; Maßnahmen zur Prävention und Verhinderung unbefugten Zugriffs, Nutzung, Offenlegung oder Änderung persönlicher Daten von Kunden zu ergreifen; Lösungen zur Wiederherstellung persönlicher Kundendaten im Falle eines Verlustes bereitzustellen; die Vertraulichkeit bei der Erhebung, Bereitstellung und Verarbeitung personenbezogener Daten der Kunden zu wahren, um die Kreditinformationen zu bewerten.

3. Die Regierung legt diese Bestimmungen detailliert fest.

Artikel 28. Schutz personenbezogener Daten im Bereich der Werbedienstleistungen

1. Organisationen oder Einzelpersonen, die Werbedienstleistungen betreiben, dürfen personenbezogene Daten von Kunden nur verwenden, die vom Verantwortlichen für personenbezogene Daten, vom Verantwortlichen und Datenverarbeiter gemäß Vereinbarung übermittelt oder durch ihre eigene Geschäftstätigkeit erhoben wurden, um Werbedienstleistungen anzubieten. Das Sammeln, die Nutzung und die Übermittlung personenbezogener Daten müssen die Rechte der betroffenen Personen gemäß Artikel 4 dieses Gesetzes gewährleisten.

2. Der Verantwortliche für personenbezogene Daten sowie der Verantwortliche und Datenverarbeiter dürfen personenbezogene Daten nur gemäß den gesetzlichen Bestimmungen an Organisationen oder Einzelpersonen weitergeben, die Werbedienstleistungen betreiben.

3. Die Verarbeitung personenbezogener Daten von Kunden zum Zwecke der Erbringung von Werbedienstleistungen muss mit der Zustimmung der Kunden erfolgen, wobei die Kunden über Inhalt, Methode, Form und Häufigkeit der Produktvorstellung informiert sein müssen; es muss den Kunden eine Möglichkeit gegeben werden, den Erhalt von Werbeinformationen abzulehnen.

4. Die Nutzung personenbezogener Daten für Werbung muss den gesetzlichen Vorschriften zur Verhinderung von Spam-Nachrichten, unerwünschten E-Mails, unerwünschten Anrufen und den Vorschriften des Werberechts entsprechen.

5. Betroffene Personen haben das Recht, die Zusendung von Informationen durch Werbedienste zu stoppen. Organisationen und Einzelpersonen, die Werbedienste anbieten, müssen Mechanismen bereitstellen und Werbung auf Wunsch der betroffenen Person einstellen.

6. Organisationen und Einzelpersonen, die Werbedienste anbieten, dürfen diese nicht an Dritte veräußern oder Vereinbarungen treffen, dass andere Organisationen oder Einzelpersonen im eigenen Namen alle Werbedienste unter Verwendung personenbezogener Daten durchführen.

7. Organisationen und Einzelpersonen, die Werbedienste anbieten, sind dafür verantwortlich, die Nutzung personenbezogener Daten der Kunden für Werbung nachzuweisen; sie müssen die Bestimmungen der Absätze 1, 2, 3, 4 dieses Artikels sowie die gesetzlichen Vorschriften zum Werberecht einhalten.

8. Organisationen und Einzelpersonen, die personenbezogene Daten zur verhaltensbasierten Werbung oder für spezifische oder personalisierte Werbung verwenden, müssen die Bestimmungen dieses Artikels und die folgenden Vorschriften einhalten:

a) Personenbezogene Daten dürfen nur durch die Überwachung von Informationswebseiten, elektronischen Portalen oder Anwendungen gesammelt werden, wenn die Zustimmung der betroffenen Person vorliegt;

b) Es muss eine Methode eingerichtet werden, die es der betroffenen Person ermöglicht, die Weitergabe von Daten abzulehnen; die Aufbewahrungsdauer muss bestimmt werden; Daten sind zu löschen oder zu vernichten, wenn sie nicht mehr benötigt werden.

Artikel 29. Schutz personenbezogener Daten für soziale Netzwerke und Online-Mediendienste

Organisationen und Einzelpersonen, die soziale Netzwerke oder Online-Mediendienste anbieten, haben folgende Verantwortlichkeiten:

1. Klare Mitteilung über den Inhalt der erhobenen personenbezogenen Daten, wenn die betroffene Person soziale Netzwerke oder Online-Medien-Dienste installiert und nutzt; keine unbefugte Erhebung personenbezogener Daten und keine Erhebung außerhalb des mit dem Kunden vereinbarten Rahmens.

2. Es ist nicht erlaubt, die Bereitstellung von Bildern oder Videos, die vollständige oder teilweise Ausweisdokumente enthalten, als Konto-Authentifizierungsfaktor zu verlangen.

3. Bereitstellung einer Auswahlmöglichkeit, die es den Benutzern erlaubt, die Erhebung und Weitergabe von Datendateien (Cookies genannt) abzulehnen.

4. Bereitstellung der Option „Nicht verfolgen“ oder nur die Verfolgung der Nutzung sozialer Netzwerke oder Online-Medien-Dienste mit Zustimmung des Nutzers.

5. Kein Abhören, kein heimliches Mithören oder Aufzeichnen von Anrufen und kein Lesen von Textnachrichten ohne Zustimmung der betroffenen Person, außer in Fällen, in denen das Gesetz etwas anderes vorsieht.

6. Offenlegung der Datenschutzrichtlinien, klare Erläuterung der Art und Weise der Erhebung, Nutzung und Weitergabe personenbezogener Daten; Bereitstellung von Mechanismen für Benutzer zum Zugriff, Bearbeiten und Löschen von Daten sowie zur Einrichtung von Datenschutzeinstellungen für personenbezogene Daten, Meldung von Verstößen gegen Datenschutz und Privatsphäre; Schutz der personenbezogenen Daten vietnamesischer Bürger bei der grenzüberschreitenden Datenübertragung; Aufbau von Prozessen zur schnellen und effizienten Bearbeitung von Verstößen gegen den Schutz personenbezogener Daten.

Daten und Einrichtung von Datenschutzrechten für persönliche Daten, Meldung von Verstößen gegen Sicherheit und Datenschutz; Schutz der persönlichen Daten vietnamesischer Bürger bei grenzüberschreitender Datenübertragung; Aufbau eines Prozesses zur schnellen und effektiven Bearbeitung von Verstößen gegen den Schutz persönlicher Daten.

Artikel 30. Schutz personenbezogener Daten bei der Verarbeitung großer Datenmengen, künstlicher Intelligenz, Blockchain, virtueller Realität, Cloud-Computing

1. Personenbezogene Daten in Umgebungen mit großen Datenmengen, künstlicher Intelligenz, Blockchain, virtueller Realität und Cloud-Computing müssen zweckmäßig und nur im erforderlichen Umfang verarbeitet werden, um die rechtmäßigen Rechte und Interessen der betroffenen Personen zu gewährleisten.

2. Die Verarbeitung personenbezogener Daten in den Bereichen Big Data, künstliche Intelligenz, Blockchain, virtuelles Universum und Cloud-Computing muss den Bestimmungen dieses Gesetzes und anderen einschlägigen Rechtsvorschriften entsprechen; sie muss den ethischen Normen und den guten Sitten Vietnams entsprechend sein.

3. Systeme und Dienstleistungen, die Big Data, künstliche Intelligenz, Blockchain, virtuelles Universum und Cloud-Computing nutzen, müssen geeignete Maßnahmen zum Schutz personenbezogener Daten integrieren; es müssen geeignete Authentifizierungs- und Identifizierungsmethoden sowie Zugriffsbefugnisse verwendet werden, um personenbezogene Daten zu verarbeiten.

4. Die Verarbeitung personenbezogener Daten mittels künstlicher Intelligenz muss nach Risikostufen klassifiziert werden, um angemessene Maßnahmen zum Schutz personenbezogener Daten zu treffen.

5. Keine Nutzung und Entwicklung von Systemen zur Verarbeitung großer Datenmengen, künstlicher Intelligenz, Blockchain, virtueller Realität, Cloud Computing unter Verwendung personenbezogener Daten zum Schaden der Landesverteidigung, der nationalen Sicherheit, der öffentlichen Ordnung, der sozialen Sicherheit oder zur Verletzung von Leben, Gesundheit, Ehre, Würde und Eigentum anderer Personen.

6. Die Regierung regelt die Einzelheiten dieses Artikels.

Artikel 31. Schutz personenbezogener Daten in Bezug auf personenbezogene Standortdaten und biometrische Daten

1. Personenbezogene Standortdaten sind Daten, die durch Ortungstechnologie bestimmt werden, um den Standort zu identifizieren und eine bestimmte Person zu erkennen.

2. Biometrische Daten sind Daten über physische Eigenschaften, individuelle und stabile biologische Merkmale einer Person, um diese Person zu identifizieren.

3. Der Schutz personenbezogener Daten in Bezug auf personenbezogene Standortdaten ist wie folgt geregelt:

a) Die Verfolgung der Standortbestimmung über Funkfrequenz-Identifikationskarten und andere Technologien nicht anwenden, außer im Fall der Zustimmung der betroffenen Person oder im Fall einer Anforderung durch die zuständige Behörde gemäß den gesetzlichen Bestimmungen oder im Fall anderer gesetzlich vorgeschriebener Regelungen;

b) Organisationen und Einzelpersonen, die mobile Anwendungsplattformen bereitstellen, müssen die Nutzer über die Nutzung personenbezogener Standortdaten informieren; Maßnahmen zur Verhinderung der Erfassung personenbezogener Standortdaten durch nicht beteiligte Organisationen oder Einzelpersonen ergreifen; den Nutzern Optionen zur Verfolgung des individuellen Standorts bereitstellen.

4. Der Schutz biometrischer Daten wird wie folgt geregelt:

a) Behörden, Organisationen und Einzelpersonen, die biometrische Daten sammeln und verarbeiten, müssen physische Sicherheitsmaßnahmen für ihre Speicher- und Übertragungsgeräte für biometrische Daten treffen; den Zugriff auf biometrische Daten einschränken; über ein Überwachungssystem verfügen, um Verstöße gegen biometrische Daten zu verhindern und zu erkennen; und die gesetzlichen Bestimmungen sowie relevante internationale Standards einhalten;

b) Falls die Verarbeitung biometrischer Daten dem betroffenen personenbezogenen Daten schadenszufügt, müssen die Organisationen und Einzelpersonen, die biometrische Daten sammeln und verarbeiten, den betroffenen Personen gemäß den Bestimmungen der Regierung Mitteilung machen.

Artikel 32. Schutz personenbezogener Daten, die aus der Aufnahme von Ton und Bild an öffentlichen Orten oder bei öffentlichen Aktivitäten gewonnen wurden

1. Behörden, Organisationen und Einzelpersonen dürfen personenbezogene Daten, die durch Aufzeichnungen und Videoaufnahmen an öffentlichen Orten oder bei öffentlichen Aktivitäten erhoben werden, ohne Zustimmung der betroffenen Person in den folgenden Fällen verarbeiten:

a) Um die Aufgaben der Landesverteidigung zu erfüllen, die nationale Sicherheit zu schützen, Ordnung und soziale Sicherheit zu gewährleisten und die rechtmäßigen Rechte und Interessen von Behörden, Organisationen und Einzelpersonen zu schützen;

b) Ton, Bild, andere Identifikationsinformationen, die aus öffentlichen Aktivitäten wie Konferenzen, Seminaren, Sportwettkämpfen, künstlerischen Aufführungen und anderen öffentlichen Aktivitäten gewonnen werden, ohne die Ehre, Würde oder das Ansehen der betroffenen Person zu beeinträchtigen;

c) Andere Fälle gemäß den gesetzlichen Bestimmungen.

2. Im Falle von Ton- oder Videoaufnahmen gemäß Absatz 1 dieses Artikels sind Behörden, Organisationen und Einzelpersonen verpflichtet, die betroffene Person über die Aufzeichnung zu informieren oder auf andere Weise mitzuteilen, dass sie aufgezeichnet wird, außer es gibt gesetzliche Bestimmungen, die etwas anderes vorsehen.

3. Die gewonnenen personenbezogenen Daten dürfen nur in Übereinstimmung mit dem Verarbeitungszweck verarbeitet und verwendet werden und dürfen nicht für rechtswidrige Zwecke oder zur Verletzung der Rechte und legitimen Interessen der betroffenen Person verwendet werden.

4. Personenbezogene Daten, die aus Aufzeichnungs- und Filmtätigkeiten an öffentlichen Orten oder aus öffentlichen Aktivitäten gewonnen werden, dürfen nur für den Zeitraum gespeichert werden, der zur Erfüllung des Zwecks erforderlich ist

Zweck der Erhebung, es sei denn, das Gesetz sieht etwas anderes vor. Nach Ablauf der Aufbewahrungsfrist müssen die personenbezogenen Daten gemäß den Bestimmungen dieses Gesetzes gelöscht oder vernichtet werden.

5. Behörden, Organisationen und Einzelpersonen, die Tonaufnahmen, Videoaufnahmen durchführen oder personenbezogene Daten verarbeiten, die aus Ton- und Videoaufnahmen in den in Absatz 1 dieses Artikels festgelegten Fällen gewonnen wurden, sind verpflichtet, personenbezogene Daten gemäß den Bestimmungen dieses Gesetzes und anderen einschlägigen gesetzlichen Vorschriften zu schützen.

Kapitel III. KRÄFTE UND BEDINGUNGEN ZUR SICHERUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Artikel 33. Persönlicher Datenschutzschutz

1. Die Kräfte zum Schutz persönlicher Daten umfassen:

a) Die für den Schutz persönlicher Daten zuständige Behörde beim Ministerium für öffentliche Sicherheit;

b) Abteilungen und Personal für den Schutz persönlicher Daten in Behörden und Organisationen;

c) Organisationen und Einzelpersonen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen;

d) Organisationen und Einzelpersonen, die zur Teilnahme am Schutz personenbezogener Daten herangezogen werden.

2. Behörden und Organisationen sind verpflichtet, Abteilungen und Personal zu benennen, die über die für den Schutz personenbezogener Daten erforderlichen Qualifikationen verfügen, oder Organisationen und Einzelpersonen zu beauftragen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen.

3. Die Regierung legt die Bedingungen und Aufgaben der Abteilungen und des Personals zum Schutz personenbezogener Daten in Behörden und Organisationen, der Organisationen und Einzelpersonen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen, sowie der Dienstleistungen zur Verarbeitung personenbezogener Daten fest.

Artikel 34. Normen und technische Standards zum Schutz personenbezogener Daten

1. Die Standards zum Schutz personenbezogener Daten umfassen Standards für Informationssysteme, Hardware, Software, Verwaltung, Betrieb, Verarbeitung und Schutz personenbezogener Daten, die in Vietnam veröffentlicht und anerkannt sind.

2. Technische Normen zum Schutz personenbezogener Daten umfassen technische Normen für Informationssysteme, Hardware, Software, Verwaltung, Betrieb, Verarbeitung und Schutz personenbezogener Daten, die in Vietnam erstellt, veröffentlicht und angewendet werden.

3. Die Veröffentlichung von Standards und technischen Normen zum Schutz personenbezogener Daten erfolgt gemäß den gesetzlichen Bestimmungen über Standards und technische Normen.

Artikel 35. Überprüfung der Aktivitäten zum Schutz personenbezogener Daten

Die Überprüfung der Aktivitäten zum Schutz personenbezogener Daten wird gemäß den Bestimmungen dieses Gesetzes und gemäß den Bestimmungen der Regierung durchgeführt.

Kapitel IV. VERANTWORTLICHKEIT VON BEHÖRDEN, ORGANISATIONEN UND EINZELPERSONEN

FÜR DEN SCHUTZ PERSONENBEZOGENER DATEN

Artikel 36. Verantwortung der Staatsverwaltung für den Schutz personenbezogener Daten

1. Die Regierung führt ein einheitliches staatliches Management zum Schutz personenbezogener Daten durch.

2. Das Ministerium für öffentliche Sicherheit ist die Hauptstelle, die vor der Regierung für die Durchführung der staatlichen Verwaltung zum Schutz personenbezogener Daten verantwortlich ist, außer für Inhalte, die in den Zuständigkeitsbereich des Verteidigungsministeriums fallen.

3. Das Verteidigungsministerium ist vor der Regierung verantwortlich für die Durchführung der staatlichen Verwaltung zum Schutz personenbezogener Daten, die in den Zuständigkeitsbereich fallen.

4. Ministerien, ministeriumsgleiche Behörden und den Ministerien unterstellte Behörden führen die staatliche Verwaltung zum Schutz personenbezogener Daten in den Branchen und Bereichen durch, die in ihren Zuständigkeitsbereich fallen, gemäß den gesetzlichen Bestimmungen und den übertragenen Funktionen und Aufgaben.

5. Die Volkskomitees auf Provinzebene führen die staatliche Verwaltung zum Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen und den übertragenen Funktionen und Aufgaben durch.

Artikel 37. Verantwortung der datenverarbeitenden Stellen, der datenverarbeitenden Parteien und der datenverarbeitenden und -kontrollierenden Parteien

1. Die Verantwortung der datenverarbeitenden Stelle ist wie folgt:

a) Die Verantwortung, Rechte und Pflichten der Parteien in den Vereinbarungen und Verträgen, die die Verarbeitung personenbezogener Daten gemäß den Bestimmungen dieses Gesetzes und anderen einschlägigen gesetzlichen Vorschriften betreffen, klar darlegen;

b) Den Zweck und die Mittel der Verarbeitung personenbezogener Daten in Dokumenten und Vereinbarungen mit der betroffenen Person festlegen, um die Prinzipien und Inhalte gemäß den Bestimmungen dieses Gesetzes sicherzustellen;

c) Geeignete Verwaltungs- und technische Maßnahmen zum Schutz personenbezogener Daten gemäß den gesetzlichen Vorschriften durchführen, diese Maßnahmen bei Bedarf überprüfen und aktualisieren;

d) Verstöße gegen die Vorschriften zum Schutz personenbezogener Daten gemäß Artikel 23 dieses Gesetzes melden;

đ) Einen geeigneten Datenverarbeiter auswählen, um personenbezogene Daten zu verarbeiten;

e) Die Rechte der betroffenen Person gemäß Artikel 4 dieses Gesetzes sicherstellen;

g) Verantwortlich gegenüber der betroffenen Person für Schäden, die durch die Verarbeitung personenbezogener Daten verursacht werden;

h) Verhinderung der illegalen Sammlung personenbezogener Daten von eigenen Systemen, Geräten und Diensten;

i) Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit und anderen zuständigen staatlichen Stellen beim Schutz personenbezogener Daten, Bereitstellung von Informationen zur Unterstützung von Ermittlungen und zur Ahndung von Verstößen gegen das Gesetz zum Schutz personenbezogener Daten;

k) Erfüllung weiterer Pflichten gemäß den Bestimmungen dieses Gesetzes und anderer einschlägiger Rechtsvorschriften.

2. Die Verantwortlichkeiten des Verarbeiters personenbezogener Daten sind wie folgt:

a) personenbezogene Daten nur nach Abschluss einer Vereinbarung oder eines Vertrags über die Verarbeitung personenbezogener Daten mit dem Verantwortlichen für personenbezogene Daten und dem Verantwortlichen für die Verarbeitung personenbezogener Daten entgegennehmen;

b) personenbezogene Daten gemäß der Vereinbarung oder dem Vertrag mit dem Verantwortlichen für personenbezogene Daten und dem Verantwortlichen für die Verarbeitung personenbezogener Daten verarbeiten;

c) Alle Maßnahmen zum Schutz personenbezogener Daten gemäß den Bestimmungen dieses Gesetzes und anderer einschlägiger gesetzlicher Regelungen vollständig umzusetzen;

d) Verantwortung gegenüber der kontrollierenden Stelle für personenbezogene Daten sowie gegenüber den Parteien, die personenbezogene Daten kontrollieren und verarbeiten, für Schäden, die durch die Verarbeitung personenbezogener Daten verursacht werden, zu übernehmen;

đ) Die unbefugte Erhebung personenbezogener Daten aus eigenen Systemen, Anlagen und Diensten zu verhindern;

e) Mit dem Ministerium für öffentliche Sicherheit und den zuständigen staatlichen Behörden bei der Sicherung personenbezogener Daten zusammenzuarbeiten und Informationen zur Untersuchung und Verfolgung von Verstößen gegen das Gesetz zum Schutz personenbezogener Daten bereitzustellen;

g) Andere Pflichten gemäß den Bestimmungen dieses Gesetzes und anderer einschlägiger gesetzlicher Regelungen zu erfüllen.

3. Die Partei, die die personenbezogenen Daten kontrolliert und verarbeitet, ist verantwortlich dafür, die Bestimmungen in Absatz 1 und Absatz 2 dieses Artikels vollständig umzusetzen.

Kapitel V. DURCHFÜHRUNGSBESTIMMUNGEN

Artikel 38. Inkrafttreten

1. Dieses Gesetz tritt am 01. Januar 2026 in Kraft.

2. Kleine Unternehmen und Start-ups haben das Recht zu wählen, ob sie die Vorschriften in Artikel 21, Artikel 22 und Absatz 2 von Artikel 33 dieses Gesetzes für einen Zeitraum von 5 Jahren ab dem Inkrafttreten dieses Gesetzes anwenden oder nicht, außer

kleines Unternehmen, Start-up-Unternehmen, das Dienstleistungen zur Verarbeitung personenbezogener Daten anbietet, personenbezogene sensible Daten direkt verarbeitet oder personenbezogene Daten einer großen Anzahl von betroffenen Personen verarbeitet.

3. Kleine Unternehmen und Kleinstbetriebe müssen die Bestimmungen in Artikel 21, Artikel 22 und Absatz 2 von Artikel 33 dieses Gesetzes nicht einhalten, ausgenommen kleine Unternehmen und Kleinstbetriebe, die Dienstleistungen zur Verarbeitung personenbezogener Daten erbringen, direkt sensible personenbezogene Daten verarbeiten oder die personenbezogene Daten einer großen Anzahl von betroffenen Personen verarbeiten.

4. Die Regierung legt die Einzelheiten der Absätze 2 und 3 dieses Artikels fest.

Artikel 39. Übergangsregelung

1. Die Verarbeitung personenbezogener Daten, die derzeit durchgeführt wird und der bereits vom Betroffenen zugestimmt wurde oder gemäß den Bestimmungen des Dekrets Nr. 13/2023/NĐ-CP vom 17. April 2023 der Regierung vereinbart wurde, vor dem Inkrafttreten dieses Gesetzes, wird weiterhin durchgeführt, ohne dass eine erneute Zustimmung oder Vereinbarung erforderlich ist.

2. Akten zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten, Akten zur Bewertung der Auswirkungen der Übertragung personenbezogener Daten ins Ausland gemäß den Bestimmungen des Dekrets Nr. 13/2023/NĐ-CP vom 17. April 2023 der Regierung, die von der zuständigen Behörde für den Schutz personenbezogener Daten vor dem Inkrafttreten dieses Gesetzes entgegen genommen wurden, können weiterhin verwendet werden und es ist nicht erforderlich, Akten zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten oder Akten zur Bewertung der Auswirkungen der grenzüberschreitenden Übertragung personenbezogener Daten gemäß den Bestimmungen dieses Gesetzes zu erstellen; die Aktualisierung der oben genannten bereits erstellten Akten nach Inkrafttreten dieses Gesetzes erfolgt gemäß den Bestimmungen dieses Gesetzes. /.

Dieses Gesetz wurde am 26. Juni 2025 vom Nationalen Parlament der Sozialistischen Republik Vietnam, 15. Legislaturperiode, 9. Sitzung, verabschiedet.

PRÄSIDENT DER NATIONALVERSAMMLUNG

Trần Thanh Mẫn