Dekret 356/2025/NĐ-CP – Durchführungsbestimmungen zum Gesetz zum Schutz personenbezogener Daten

Gestützt auf das Gesetz über die Organisation der Regierung Nr. 63/2025/QH15;

Aufgrund des Gesetzes zum Schutz personenbezogener Daten Nr. 91/2025/QH15;

Gestützt auf das Gesetz über digitale Daten 60/2024/QH15;

Gestützt auf das Gesetz zur Änderung und Ergänzung einiger Bestimmungen des Gesetzes über Ausschreibungen, des Gesetzes über Investitionen nach dem Modell der öffentlich-privaten Partnerschaft, des Zollgesetzes, des Gesetzes über die Mehrwertsteuer, des Gesetzes über Export- und Einfuhrsteuern, des Investitionsgesetzes, des Gesetzes über öffentliche Investitionen, des Gesetzes über die Verwaltung und Nutzung von Staatsvermögen Nr. 90/2025/QH15;

Auf Vorschlag des Ministers des öffentlichen Sicherheitsministeriums;

Die Regierung erlässt ein Dekret, das die Einzelheiten bestimmter Bestimmungen und Durchführungsmaßnahmen des Gesetzes zum Schutz personenbezogener Daten regelt.

Kapitel I. ALLGEMEINE BESTIMMUNGEN

Artikel 1. Anwendungsbereich

Dieses Dekret regelt im Detail Absatz 2, Absatz 3 von Artikel 2; Absatz 5 von Artikel 4; Absatz 3 von Artikel 6; Absatz 5 von Artikel 9; Absatz 3 von Artikel 17; Absatz 7 von Artikel 20; Absatz 7 von Artikel 21; Absatz 4 von Artikel 22; Absatz 5 von Artikel 23; Absatz 3 von Artikel 27; Absatz 6 von Artikel 30; Buchstabe b von Absatz 4 von Artikel 31; Absatz 3 von Artikel 33; Artikel 35; Absatz 4 von Artikel 38 des Gesetzes zum Schutz personenbezogener Daten und legt Maßnahmen zur Umsetzung des Gesetzes in Bezug auf Forschung, Entwicklung von Lösungen zum Schutz personenbezogener Daten, die für den Schutz personenbezogener Daten zuständigen Behörden, das nationale Informationsportal zum Schutz personenbezogener Daten; die Verantwortung der Ministerien, Branchen und lokalen Behörden beim Schutz personenbezogener Daten; sowie die Finanzierung zur Gewährleistung der Aktivitäten zum Schutz personenbezogener Daten fest.

Artikel 2. Anwendungsbereich

1. Vietnamesische Behörden, Organisationen und Einzelpersonen;

2. Ausländische Behörden, Organisationen und Einzelpersonen in Vietnam;

3. Ausländische Behörden, Organisationen oder Einzelpersonen, die direkt an der Verarbeitung personenbezogener Daten vietnamesischer Staatsbürger und von Vietnamesen mit unbestimmter Staatsangehörigkeit, die in Vietnam leben und bereits eine Identitätsbescheinigung erhalten haben, beteiligt sind oder damit in Verbindung stehen.

Artikel 3. Verzeichnis der grundlegenden personenbezogenen Daten

Zu den grundlegenden personenbezogenen Daten gehören:

1. Nachname, Zwischenname und Geburtsname, andere bekannte Namen (falls vorhanden);

2. Tag, Monat, Jahr der Geburt; Tag, Monat, Jahr des Todes oder des Verschwindens;

3. Geschlecht;

4. Geburtsort, Ort der Geburtsregistrierung, Ort der ständigen Wohnsitzregistrierung, Ort der vorübergehenden Wohnsitzregistrierung, derzeitiger Wohnort, Heimatort, Kontaktadresse;

5. Staatsangehörigkeit;

6. Bild der Person;

7. Telefonnummer, persönliche Identifikationsnummer, Reisepassnummer, Führerscheinnummer, Kfz-Kennzeichen;

8. Familienstand;

9. Informationen über familiäre Beziehungen (Eltern, Kinder, Ehefrau, Ehemann);

10. Informationen über individuelle Kontonummern;

11. Andere Informationen, die einer konkreten Person zugeordnet sind oder dabei helfen, eine konkrete Person zu identifizieren, fallen nicht unter die Bestimmungen von Artikel 4 dieses Dekrets.

Artikel 4. Liste der sensiblen personenbezogenen Daten

1. Sensible personenbezogene Daten umfassen:

a) Daten, die die rassische oder ethnische Herkunft offenlegen;

b) Politische, religiöse oder weltanschauliche Ansichten;

c) Informationen über das Privatleben, persönliche Geheimnisse, Familiengeheimnisse;

d) Gesundheitszustand;

đ) Biometrische Daten, genetische Merkmale;

e) Daten, die das Sexualleben oder die sexuelle Orientierung einer Person offenlegen;

g) Daten über Straftaten oder Rechtsverstöße, die von Strafverfolgungsbehörden gesammelt und gespeichert werden;

h) Den Standort einer Person, der durch Ortungsdienste bestimmt wird;

i) Informationen über Benutzernamen und Passwort für den Zugriff auf das elektronische Identitätskonto einer Person; Bilder von Personalausweisen, Bürgerkarten oder Identitätsdokumenten;

k) Anmeldename, Passwort für den Zugriff auf das Bankkonto; Bankkartendaten, Daten über die Transaktionshistorie des Bankkontos; Finanzinformationen, Kreditinformationen und Informationen über die Aktivitäten, Transaktionshistorie in Finanzen, Wertpapieren, Versicherungen des Kunden bei Kreditinstituten, Auslandsbankfilialen, Anbietern von Zahlungsdienstleistungen, Wertpapier- und Versicherungseinrichtungen und andere zugelassene Organisationen;

l) Daten zur Verfolgung des Verhaltens und der Nutzung von Telekommunikationsdiensten, sozialen Netzwerken, Online-Mediendiensten und anderen Diensten im Internet;

m) Andere personenbezogene Daten, die gesetzlich als vertraulich eingestuft sind oder die strenge Sicherheitsmaßnahmen erfordern.

2. Während der Verarbeitung sensibler personenbezogener Daten müssen Behörden und Organisationen Regelungen zur Zugriffsbegrenzung, Verarbeitungsprozesse und Sicherheitsmaßnahmen festlegen.

Kapitel II. ANFORDERUNGEN UND BEDINGUNGEN FÜR DEN SCHUTZ PERSONENBEZOGENER DATEN

Artikel 5. Ausübung der Rechte der betroffenen Person personenbezogener Daten

1. Der Verantwortliche für personenbezogene Daten, der Verantwortliche und der Bearbeiter personenbezogener Daten müssen klare Verfahren, Abläufe und Formulare erstellen, um die Rechte der betroffenen Person entsprechend der Verarbeitung personenbezogener Daten und den Verantwortlichkeiten der zuständigen Abteilungen umzusetzen; dabei ist sicherzustellen, dass die betroffene Person informiert wird über

das Verfahren zur Ausübung der in Absatz 1 von Artikel 4 des Gesetzes zum Schutz personenbezogener Daten festgelegten Rechte.

2. Wenn eine Anforderung zum Widerruf der Zustimmung zur Verarbeitung personenbezogener Daten, zur Einschränkung der Verarbeitung personenbezogener Daten oder zum Widerspruch gegen die Verarbeitung personenbezogener Daten gemäß dem Verfahren des Betroffenen eingeht, müssen die für die Kontrolle personenbezogener Daten zuständige Stelle und die für die Kontrolle und Verarbeitung personenbezogener Daten zuständige Stelle innerhalb von 2 Arbeitstagen antworten, dem Betroffenen alle Informationen über das Verfahren zur Einstellung der Verarbeitung personenbezogener Daten bereitstellen und die Umsetzung innerhalb von 15 Tagen durchführen, außer in Fällen, in denen die Verarbeitung personenbezogener Daten gemäß Artikel 19 des Gesetzes zum Schutz personenbezogener Daten keine Zustimmung des Betroffenen erfordert. Falls es erforderlich ist, die Stelle, die personenbezogene Daten verarbeitet, oder Dritte aufzufordern, die Verarbeitung personenbezogener Daten des Betroffenen einzustellen, muss dies innerhalb von 20 Tagen durchgeführt werden.

Je nach Art und Komplexität der Anforderung, im Fall, dass eine Verlängerung der Bearbeitungszeit erforderlich ist, darf eine maximale einmalige Verlängerung um höchstens 15 Tage erfolgen, wobei die Seite, die die personenbezogenen Daten kontrolliert, sowie die Seite, die personenbezogene Daten kontrolliert und verarbeitet, dem Betroffenen den Grund für die Verlängerung mitteilen und die Verantwortung für den Nachweis übernehmen, dass die Verlängerung notwendig und angemessen ist.

3. Bei Erhalt einer Anforderung zur Einsicht, Berichtigung oder Anforderung zur Korrektur personenbezogener Daten sowie zur Bereitstellung personenbezogener Daten gemäß dem Verfahren des Betroffenen müssen die Seite, die die personenbezogenen Daten kontrolliert, sowie die Seite, die die personenbezogenen Daten kontrolliert und verarbeitet, innerhalb von 2 Arbeitstagen reagieren und dem Betroffenen vollständige Informationen über das Verfahren zur Verfügung stellen und innerhalb von 10 Tagen umsetzen. Falls erforderlich, eine dritte Partei oder die Datenverarbeitungsstelle zur Korrektur der personenbezogenen Daten des Betroffenen anzufordern, erfolgt dies innerhalb von 15 Tagen.

Je nach Art und Komplexität der Anforderung, im Falle einer Notwendigkeit zur Verlängerung der Bearbeitungsfrist, kann die Frist maximal einmal um nicht mehr als 10 Tage verlängert werden, wobei die für die Verarbeitung personenbezogener Daten verantwortliche Stelle sowie die Stelle, die personenbezogene Daten kontrolliert und verarbeitet, dem Betroffenen den Grund für die Verlängerung mitteilen und die Verantwortung dafür tragen, nachzuweisen, dass die Verlängerung notwendig und angemessen ist.

4. Beim Erhalt einer Anforderung zur Löschung personenbezogener Daten gemäß dem ordnungsgemäßen Verfahren des Betroffenen, teilen die für die Verarbeitung personenbezogener Daten verantwortliche Stelle sowie die Stelle, die personenbezogene Daten kontrolliert und verarbeitet,

Eine Einzelperson muss innerhalb von 2 Arbeitstagen antworten und der betroffenen Person vollständige Informationen über das Verfahren bereitstellen und innerhalb von 20 Tagen umsetzen. Falls es erforderlich ist, den Datenverarbeiter oder Dritte zu bitten, die Daten der betroffenen Person bereitzustellen, zu löschen oder die Verarbeitung einzuschränken, erfolgt dies innerhalb von 30 Tagen.

Abhängig von der Art und dem Schwierigkeitsgrad der Anforderung, im Falle der Notwendigkeit einer Verlängerung der Bearbeitungszeit, kann die Frist höchstens einmal um nicht mehr als 20 Tage verlängert werden. Die Stelle, die personenbezogene Daten kontrolliert, sowie die Stelle, die personenbezogene Daten verarbeitet und kontrolliert, informiert die betroffene Person über den Grund der Verlängerung und ist verantwortlich für den Nachweis, dass die Verlängerung notwendig und angemessen ist.

5. Nach Erhalt der Anforderung zur Durchführung von Maßnahmen oder Lösungen zum Schutz der eigenen personenbezogenen Daten gemäß den Verfahren der betroffenen Person muss die zuständige Behörde oder die Organisation, Institution oder Einzelperson, die an der Verarbeitung personenbezogener Daten beteiligt ist, innerhalb von 2 Arbeitstagen reagieren und der betroffenen Person vollständige Informationen über das Verfahren bereitstellen und die Umsetzung innerhalb von 15 Tagen durchführen.

Je nach Art und Komplexität der Anforderung, im Fall, dass eine Verlängerung der Bearbeitungszeit erforderlich ist, darf eine maximale einmalige Verlängerung um höchstens 15 Tage erfolgen, wobei die Seite, die die personenbezogenen Daten kontrolliert, sowie die Seite, die personenbezogene Daten kontrolliert und verarbeitet, dem Betroffenen den Grund für die Verlängerung mitteilen und die Verantwortung für den Nachweis übernehmen, dass die Verlängerung notwendig und angemessen ist.

Artikel 6. Art und Weise der Zustimmung der betroffenen Person

1. Die Methoden zur Einholung der Zustimmung der betroffenen Person müssen eine überprüfbare Möglichkeit sicherstellen, festzustellen, dass die betroffene Person die Zustimmung erteilt hat, sowie den Zeitpunkt und den Inhalt der Zustimmung, einschließlich:

a) schriftlich;

b) durch aufgezeichnetes Telefongespräch;

c) Zustimmungssyntax über eine Textnachricht;

d) Über E-Mail, auf der elektronischen Informationsseite, Plattformen, Anwendungen mit technischen Einrichtungen zur Einholung der Zustimmung;

d) Durch andere geeignete Methoden, die ausgedruckt, schriftlich kopiert werden können, einschließlich in elektronischer Form oder nachweisbarem Format.

2. Die datenverarbeitende Partei, die Daten kontrollierende und verarbeitende Partei muss die Zustimmung der betroffenen Person aufbewahren. Im Falle eines Streits liegt die Beweislast für die Zustimmung der betroffenen Person bei der die personenbezogenen Daten kontrollierenden, kontrollierenden und verarbeitenden Partei.

3. Die für personenbezogene Daten verantwortliche Stelle sowie die Stelle, die personenbezogene Daten verarbeitet, dürfen keine Standardmethoden zur Zustimmung einstellen oder unklare Anweisungen erstellen, die zwischen Zustimmung und Ablehnung für die betroffene Person missverständlich sein könnten. Die verfügbaren Standardeinstellungen müssen die Grundsätze des Schutzes personenbezogener Daten gewährleisten und die Rechte der betroffenen Person respektieren.

4. Bei der Einholung der Zustimmung zur Verarbeitung sensibler personenbezogener Daten muss die betroffene Person darüber informiert werden, dass die zu verarbeitenden Daten sensible personenbezogene Daten sind.

Artikel 7. Übermittlung personenbezogener Daten

1. Einrichtungen und Einzelpersonen, die personenbezogene Daten gemäß Buchstabe a, Buchstabe c, Buchstabe d Absatz 1 Artikel 17 des Gesetzes zum Schutz personenbezogener Daten übermitteln, müssen eine Vereinbarung über die Übermittlung personenbezogener Daten mit dem Empfänger der personenbezogenen Daten abschließen, in der die folgenden Inhalte klar angegeben sind:

a) Zweck der Übermittlung personenbezogener Daten;

b) Betroffene der personenbezogenen Daten und Art der übermittelten personenbezogenen Daten, die dem Zweck der Übermittlung entsprechen;

c) Dauer der Verarbeitung personenbezogener Daten, Anforderungen an Löschung oder Vernichtung personenbezogener Daten nach Erreichung des Übermittlungszwecks;

d) Rechtsgrundlage der Übermittlung personenbezogener Daten;

e) Verantwortung für den Schutz personenbezogener Daten während der Übermittlung und Verarbeitung personenbezogener Daten;

f) Verantwortlichkeit für die Ausübung der Rechte der betroffenen Personen;

g) Verantwortung der Zusammenarbeit und Einhaltung der Vorschriften seitens der Parteien im Falle der Feststellung von Verstößen gegen den Datenschutz.

2. Die Übermittlung sensibler personenbezogener Daten muss physische Sicherheitsmaßnahmen für Speicher- und Übertragungsgeräte, Verschlüsselungsmaßnahmen, Anonymisierung der personenbezogenen Daten und weitere Sicherheitsmaßnahmen während der Übermittlung umfassen.

3. Im Falle der Übermittlung personenbezogener Daten nach Punkt a, Punkt d Absatz 1 Artikel 17 des Gesetzes zum Schutz personenbezogener Daten gegen Gebühr zur Erbringung von Dienstleistungen für den betroffenen Personen oder zur Wahrung der rechtmäßigen Interessen der betroffenen Person, müssen Organisationen und Einzelpersonen die folgenden Vorschriften einhalten:

a) Es muss ein technisches System und ein transparentes Verfahren eingerichtet werden, damit die betroffene Person der Übermittlung jedes Mal genau und eindeutig zustimmt, basierend auf dem genauen Wissen über den Zweck der Übermittlung, die Organisation, die Einzelperson, die die personenbezogenen Daten erhält und verarbeitet;

b) Personenbezogene Daten dürfen nur für den Zweck der Übermittlung verarbeitet werden, dem die betroffene Person zugestimmt hat, und müssen mit der registrierten Branche oder dem Beruf übereinstimmen;

c) Die Art der übermittelten personenbezogenen Daten muss auf den Zweck der Übermittlung beschränkt sein;

d) Es ist nicht erlaubt, personenbezogene Daten aus der Übermittlung personenbezogener Daten zu sammeln, zu speichern oder eine persönliche Datenbank zu bilden, um sie für andere Zwecke als die vom betroffenen Personen akzeptierten Zwecke zu verwenden;

d) Die Rollen des Verantwortlichen für personenbezogene Daten, des Auftragsverarbeiters personenbezogener Daten und Dritter bei der Übermittlung personenbezogener Daten klar bestimmen;

e) Es muss vor der Übermittlung eine Vereinbarung über die Übermittlung und Verarbeitung personenbezogener Daten bestehen sowie eine Verpflichtung zur Verantwortung und zu Pflichten gegenüber dem betroffenen Personen.

4. Im Falle der Weitergabe personenbezogener Daten zwischen Abteilungen innerhalb derselben Behörde oder Organisation zur Verarbeitung personenbezogener Daten im Einklang mit dem festgelegten Verarbeitungszweck muss die Behörde oder Organisation Verfahren zur Kontrolle der Weitergabe und Nutzung personenbezogener Daten gemäß den Vorschriften entwickeln; es müssen Maßnahmen ergriffen werden, um zu verhindern, dass interne Mitarbeiter der Behörde oder Organisation personenbezogene Daten unbefugt an Dritte weitergeben.

5. Personenbezogene Daten müssen vor der Transaktion auf dem Datenmarkt anonymisiert werden.

6. Behörden, Organisationen und Einzelpersonen, die personenbezogene Daten gemäß Absatz 2, Artikel 15 des Gesetzes zum Schutz personenbezogener Daten auf Grundlage der spezifischen Anforderungen der betroffenen Person bereitstellen, gelten nicht als Datenübertragung und müssen die Bestimmungen dieses Artikels nicht umsetzen.

Artikel 8. Schutz personenbezogener Daten in Finanz-, Bank- und Kreditinformationsaktivitäten

1. Organisationen und Einzelpersonen, die im Bereich Finanzen, Banken und Kreditinformationsaktivitäten tätig sind, sind verpflichtet, die Standards und technischen Normen zum Schutz personenbezogener Daten anzuwenden; die technischen Normen zur Anonymisierung personenbezogener Daten und zur De-Identifizierung personenbezogener Daten, die in Vietnam erlassen und angewendet werden; die Einhaltung der Vorschriften zum Schutz personenbezogener Daten einmal jährlich zu bewerten; alle Aktivitäten der Verarbeitung personenbezogener Daten zu protokollieren.

2. Organisationen und Einzelpersonen, die im Bereich Finanzen, Banken und Kreditinformationsaktivitäten tätig sind, sind die Datenkontrollierenden, die Datenkontrolle und Datenverarbeitung durchführen. Bei der Einholung der Einwilligung der betroffenen Person müssen sie sicherstellen, dass sie klar angeben:

a) Die Zwecke der Verarbeitung personenbezogener Daten, einschließlich Aktivitäten zur Punktbewertung, Kreditbewertung, Bewertung von Kreditinformationen, Bewertung der Kreditwürdigkeit, falls vorhanden;

b) Quellen der Erhebung personenbezogener Daten und die Parteien, die personenbezogene Daten sammeln und teilen;

c) Dauer der Speicherung personenbezogener Daten;

d) Mechanismus, Art und Weise des Widerrufs der Zustimmung und Richtlinie zur Löschung und Vernichtung personenbezogener Daten gemäß den Vorschriften.

3. Innerhalb von höchstens 72 Stunden nach der Entdeckung der Offenlegung oder des Verlusts sensibler Daten von Betroffenen im Finanz-, Bank- und Kreditinformationsbereich sind Organisationen und Personen, die direkt personenbezogene Daten der Betroffenen erheben, verpflichtet, die zuständige Datenschutzbehörde zu benachrichtigen.

personenbezogene Daten und Träger personenbezogener Daten. Der Inhalt der Mitteilung muss mindestens die in Absatz 1 Artikel 28 dieses Dekrets festgelegten Inhalte gewährleisten.

Artikel 9. Schutz personenbezogener Daten bei der Verarbeitung großer Datenmengen

1. Die Verarbeitung von Massendaten, die personenbezogene Daten enthalten, ist die Verarbeitung personenbezogener Daten in großem Umfang, kontinuierlich, integriert aus verschiedenen Quellen und mit der Fähigkeit zur Verhaltensanalyse, Prognose von Trends oder Klassifizierung von Nutzern.

2. Im Fall der Verarbeitung von Massendaten, die personenbezogene Daten enthalten, sind die zuständigen Behörden, Organisationen und Einzelpersonen verpflichtet:

a) Die Vorschriften zum Schutz personenbezogener Daten während der Datenverarbeitung von Beginn der Verarbeitung an einzuhalten;

b) Personenbezogene Daten nur im richtigen Umfang, passend zum konkreten, klaren Zweck zu erheben, zu verarbeiten und zu speichern;

c) Richtlinien zur Speicherung, Löschung und Vernichtung personenbezogener Daten entsprechend den gesetzlichen Vorschriften zu erstellen.

d) Organisation von Schulungen, Verbreitung und Sensibilisierung der Mitarbeiter für den Schutz personenbezogener Daten und Maßnahmen zum Schutz personenbezogener Daten regelmäßig, insbesondere für Mitarbeiter, die direkt personenbezogene Daten verarbeiten. Steigerung des Bewusstseins für die Bedeutung des Schutzes personenbezogener Daten in der Organisation;

d) Vereinbarungen mit Dritten, Partnern und Dienstleistern, die die vollständige Einhaltung der Vorschriften zum Schutz personenbezogener Daten gewährleisten;

e) Einrichtung geeigneter Benachrichtigungs- und Erläuterungsmechanismen für die betroffenen Personen darüber, dass ihre personenbezogenen Daten im Rahmen eines Big-Data-Analyse-Systems verwendet werden.

3. Behörden, Organisationen und Einzelpersonen wenden Maßnahmen zum Schutz personenbezogener Daten bei der Verarbeitung großer Datenmengen an, einschließlich:

a) Anwendung von Maßnahmen zur Gewährleistung der Netzwerksicherheit, Datensicherheit, Verhinderung des Verlusts personenbezogener Daten während der Speicherung, Verarbeitung und Übertragung personenbezogener Daten;

b) Verwenden Sie eine starke Authentifizierungsmethode, die mindestens eine multifaktorielle Authentifizierung (Passwort, PIN in Kombination mit Einmalpasswort, Digitalsignaturgerät oder biometrischer Faktor) erfordert, entsprechend dem Sensibilitätsgrad der persönlichen Daten; Teilen

Zugriffsrechte, um sicherzustellen, dass nur autorisierte Personen auf persönliche Daten zugreifen können;

c) Durchführen von Verschlüsselung und Anonymisierung personenbezogener Daten (der Prozess der Trennung von Daten, die eine bestimmte Person identifizieren, um sie getrennt zu speichern und zu sichern; personenbezogene Daten können nach diesem Prozess für die Verarbeitung verwendet werden, ohne dass eine bestimmte Person identifiziert werden kann) während der Übertragung und Bereitstellung personenbezogener Daten, außer in Fällen, in denen spezielle gesetzliche Bestimmungen etwas anderes vorschreiben oder wenn die Verarbeitung Daten in unverschlüsselter Form erfordert, um die Verbrechensbekämpfung, Geldwäscheprävention, Gewährleistung der nationalen Sicherheit oder die Bearbeitung von Beschwerden und Streitigkeiten von Kunden zu unterstützen. In diesen Fällen müssen Behörden und Organisationen zusätzliche Sicherheitsmaßnahmen anwenden, um sicherzustellen, dass personenbezogene Daten nicht unbefugt zugegriffen oder genutzt werden.

d) Kontinuierliche Überwachung durchführen, Überwachungswerkzeuge einsetzen, um die Aktivitäten beim Zugriff auf persönliche Daten zu verfolgen und abnormales Verhalten zu erkennen;

d) Durchführung regelmäßiger Prüfungen und Bewertungen der Cybersicherheit und des Datenschutzes, um Sicherheitslücken zu erkennen, zu verhindern und zu beheben.

Artikel 10. Schutz personenbezogener Daten im System der künstlichen Intelligenz und virtuellen Realität

1. Organisationen und Einzelpersonen haben das Recht, personenbezogene Daten für die Forschung und Entwicklung von selbstlernenden Algorithmen, Systemen der künstlichen Intelligenz und anderen automatisierten Systemen zu nutzen, müssen jedoch die Vorschriften zum Schutz personenbezogener Daten einhalten.

2. Daten aus den Schlussfolgerungen der künstlichen Intelligenz, die zur Identifizierung oder zur Unterstützung der Identifizierung einer bestimmten Person verwendet werden können, müssen gemäß den gesetzlichen Bestimmungen durch Maßnahmen zum Schutz personenbezogener Daten geschützt werden.

3. Die datenverarbeitende Stelle, die personenbezogene Daten kontrolliert und verarbeitet, ist dafür verantwortlich, der betroffenen Person die automatisierte Verarbeitung personenbezogener Daten mitzuteilen, die Funktionsweise des Algorithmus zu erklären und die Auswirkungen auf die Rechte und legitimen Interessen der betroffenen Person darzulegen; sie muss Möglichkeiten bereitstellen, damit die betroffene Person das Recht hat, nicht teilzunehmen.

4. Das virtuelle Universum (Metaverse) ist ein digitales Universum, das Aspekte von sozialen Medien, Online-Spielen, Augmented Reality (AR), Virtual Reality (VR), Internet und Kryptowährungen kombiniert, um den Nutzern zu ermöglichen, Virtual-Reality-Technologien zur Interaktion zu nutzen.

5. Organisationen und Einzelpersonen wenden Maßnahmen zum Schutz personenbezogener Daten in Systemen der künstlichen Intelligenz und des virtuellen Universums an, darunter:

a) Forschung, Aufbau und Implementierung eines Systems, das den Anforderungen der Cybersicherheit und den umfassenden Datenschutzstandards für KI-Systeme entspricht, wobei besonderes Augenmerk auf folgende Faktoren gelegt wird: Informationssicherheit, Zuverlässigkeit der Algorithmen, Systemstabilität und Fähigkeit zum Schutz vor Cyberangriffen;

b) Einrichtung eines Überwachungsmechanismus für die Aktivitäten von KI-Systemen in zwei Aspekten: Überwachung durch die zuständige staatliche Behörde; Rechenschaftspflicht gegenüber den betroffenen Personen der Daten von der datenverarbeitenden und -kontrollierenden Stelle;

c) Aufbau eines Mechanismus zum Schutz personenbezogener Daten nach geeigneten Standards, Entwicklung eines Überwachungs- und Frühwarnsystems für Cybersicherheitsrisiken;

d) Einrichtung eines Kontrollmechanismus, um die Ausnutzung von künstlicher Intelligenz und virtuellen Welten für Aktivitäten, die die nationale Sicherheit und die öffentliche Ordnung gefährden, zu verhindern;

d) Durchführung einer jährlichen Bewertung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten.

6. Die betroffene Person muss das Recht haben, personenbezogene Aufzeichnungen zu bearbeiten, zu anonymisieren oder zu löschen, auch wenn die Plattform das Verhaltenshistorie speichert.

Artikel 11. Schutz personenbezogener Daten in der Blockchain-Technologie

1. Behörden, Organisationen und Einzelpersonen, die personenbezogene Daten in der Blockchain-Technologie verarbeiten, sind verpflichtet, die Vorschriften zum Schutz personenbezogener Daten bereits während der Forschung und Entwicklung von Produkten, Dienstleistungen, Anwendungen und Systemen, die Blockchain-Technologie nutzen, sowie während der Verarbeitung personenbezogener Daten einzuhalten.

2. Behörden, Organisationen und Einzelpersonen wenden Maßnahmen zum Schutz personenbezogener Daten bei der Verarbeitung personenbezogener Daten in der Blockchain-Technologie an, einschließlich:

a) Es dürfen nur kryptographische Algorithmen, Hash-Algorithmen und digitale Signaturalgorithmen verwendet werden, die Sicherheit gewährleisten;

b) Persönliche Daten dürfen nicht direkt auf der Blockchain gespeichert werden, sondern nur, wenn die persönlichen Daten anonymisiert wurden oder der Hashwert der persönlichen Daten gespeichert wird;

c) Eine Bewertung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten muss jährlich einmal durchgeführt werden.

Artikel 12. Schutz personenbezogener Daten in der Cloud-Computing

1. Relevante Behörden, Organisationen und Einzelpersonen müssen technische und organisatorische Maßnahmen anwenden, um den unbefugten Zugriff auf persönliche Daten bei der Bereitstellung von Cloud-Computing-Diensten zu verhindern.

2. Organisationen und Einzelpersonen, die Verträge über die Verarbeitung personenbezogener Daten mit Cloud-Service-Anbietern abschließen, haben folgende Verantwortung:

a) Im Vertrag klar darlegen, dass die Vorschriften des vietnamesischen Gesetzes zum Schutz personenbezogener Daten eingehalten werden; Informationen über die Abteilung und das Personal, das für den Schutz personenbezogener Daten verantwortlich ist, bereitstellen; die Vorschriften zu Verwaltungsverfahren im Zusammenhang mit dem Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen einhalten;

b) Den Datenfluss personenbezogener Daten klar bestimmen, die Rollen der Parteien bei der Bereitstellung von Cloud-Diensten und die entsprechenden Verantwortlichkeiten aufzeigen;

c) Anforderungen an Sicherheits-, technische und organisatorische Maßnahmen stellen und diese im Vertrag deutlich machen;

d) Sofort alle betroffenen Parteien über jegliche Änderungen informieren, die personenbezogene Daten betreffen könnten;

đ) Die Fristen für die Verarbeitung personenbezogener Daten sowie Anforderungen an Löschung oder Vernichtung personenbezogener Daten einhalten;

e) Sicherstellen, dass die Rechte der Betroffenen ausgeübt werden;

g) Alle technischen Maßnahmen vollständig umsetzen, um einen angemessenen gestuften Zugriff auf personenbezogene Daten zu gewährleisten.

3. Organisationen, die Cloud-Computing-Dienste anbieten:

a) Einhaltung der Vorschriften zum Schutz personenbezogener Daten in Vietnam, Bereitstellung von Informationen über die Abteilung und das Personal zum Schutz personenbezogener Daten, Einhaltung der Vorschriften zu Verwaltungsverfahren im Zusammenhang mit dem Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen;

b) Aufforderung an Subunternehmer, die Vorschriften und Pflichten zum Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen umzusetzen;

c) Anwendung technischer und organisatorischer Maßnahmen, die dem Umfang und dem Grad der Verarbeitung ihrer personenbezogenen Daten angemessen sind;

d) Durchführung einer Compliance-Bewertung der Vorschriften zum Schutz personenbezogener Daten einmal jährlich.

4. Personenbezogene Daten in der Cloud müssen im Ruhezustand und bei der Übertragung verschlüsselt werden, begleitet von strengen Zugriffsberechtigungen.

Artikel 13. Bedingungen für das Personal zum Schutz personenbezogener Daten, Abteilung für den Schutz personenbezogener Daten in Behörden und Organisationen

1. Die Ernennung von Personal zum Schutz personenbezogener Daten oder einer Abteilung für den Schutz personenbezogener Daten muss durch ein offizielles Schriftstück der betreffenden Behörde oder Organisation erfolgen; es muss die Zuweisung, Aufgaben, Befugnisse und weitere Anforderungen für den Schutz personenbezogener Daten in dieser Behörde oder Organisation festlegen.

2. Das Personal zum Schutz personenbezogener Daten, das von der Behörde oder Organisation ernannt wird, muss die folgenden Kompetenzvoraussetzungen erfüllen:

a) Abschluss eines Fachhochschulstudiums oder höher;

b) Mindestens 2 Jahre Berufserfahrung (ab dem Zeitpunkt des Abschlusses) in einem der Bereiche Recht, Informationstechnologie, Cybersicherheit, Datensicherheit, Risikomanagement, Compliance-Kontrolle, Personalmanagement, Personalorganisation;

c) Ausbildung und Weiterbildung in rechtlichen Kenntnissen sowie fachlichen Fähigkeiten im Bereich des Schutzes personenbezogener Daten.

3. Im Fall, dass eine Behörde oder Organisation eine Abteilung für den Schutz personenbezogener Daten einrichtet, müssen die Mitarbeitenden in dieser Abteilung die in Absatz 2 dieses Artikels festgelegten Kompetenzvoraussetzungen erfüllen.

4. Die Behörde oder Organisation ist verantwortlich für die Bewertung und Auswahl der Mitarbeitenden zum Schutz personenbezogener Daten.

5. Die Behörde oder Organisation schließt eine Vereinbarung über die Vertraulichkeitspflicht mit den Mitarbeitenden zum Schutz personenbezogener Daten ab und kann Vereinbarungen über Haftungsausschlüsse im Falle von Verstößen oder Schäden an den geschützten personenbezogenen Daten treffen.

6. Die Behörde oder Organisation benennt Mitarbeitende für den Schutz personenbezogener Daten oder eine Abteilung für den Schutz personenbezogener Daten, die dafür verantwortlich sind, das Wissen und die Fähigkeiten zum Schutz personenbezogener Daten für die Mitarbeitenden zum Schutz personenbezogener Daten zu schulen und weiterzubilden.

Artikel 14. Aufgaben der Abteilung für den Schutz personenbezogener Daten sowie der Mitarbeitenden zum Schutz personenbezogener Daten in einer Behörde oder Organisation

1. Die Abteilung für den Schutz personenbezogener Daten hat folgende Funktionen und Aufgaben:

a) Organisation der Erstellung von Richtlinien, Verfahren, Vorschriften und Formularen zur Einhaltung der gesetzlichen Vorschriften zum Schutz personenbezogener Daten;

b) Organisation der Umsetzung der Rechte der betroffenen Personen bezüglich personenbezogener Daten;

c) Regelmäßige Durchführung von Bewertungen des Status der Einhaltung der gesetzlichen Vorschriften zum Schutz personenbezogener Daten innerhalb der Organisation durch Berichte zur Bewertung des Grades der Erfüllung der gesetzlichen Verpflichtungen, um Maßnahmen zur Verbesserung der Rechtseinhaltung, zur Prävention und Kontrolle von Risiken bei der Verarbeitung personenbezogener Daten vorzuschlagen;

d) Durchführung der Erstellung von Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten, Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten, Entgegennahme und Meldung von Verstößen im Bereich des Schutzes personenbezogener Daten und Umsetzung anderer Anforderungen der zuständigen Behörden gemäß den Vorschriften;

đ) Erstellung eines Plans und Durchführung von regelmäßigen Schulungen und Fortbildungen zum Schutz personenbezogener Daten innerhalb der Behörde oder Organisation;

e) Organisation der Umsetzung von Maßnahmen zur technischen Sicherung personenbezogener Daten, Standards, Normen zum Schutz personenbezogener Daten, Notfallpläne für den Schutz personenbezogener Daten;

g) Untersuchung und Vorschlag von Entscheidungen in Bezug auf den Schutz personenbezogener Daten.

2. Das Personal zum Schutz personenbezogener Daten hat folgende Aufgaben:

a) Beratung bei der Erstellung von Richtlinien, Verfahren, Vorschriften und Formularen zur Einhaltung der gesetzlichen Bestimmungen zum Schutz personenbezogener Daten;

b) Beteiligung an der Umsetzung der Rechte der betroffenen Personen personenbezogener Daten;

c) Teilnahme an regelmäßigen Aktivitäten zur Bewertung des aktuellen Standes der Einhaltung der Gesetze zum Schutz personenbezogener Daten und Vorschlag von Maßnahmen zur Verbesserung der Wirksamkeit der Gesetzeseinhaltung, zur Vorbeugung und Kontrolle von Risiken;

d) Durchführung der Erstellung von Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten, Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten, Entgegennahme und Berichterstattung

Verstoß gegen den Schutz personenbezogener Daten und Erfüllung anderer Anforderungen der zuständigen Behörde gemäß den Vorschriften;

đ) An Programmen und Fortbildungskursen zum Schutz personenbezogener Daten teilnehmen;

e) An der Durchführung technischer Maßnahmen zur Datensicherheit, von Standards und Normen zum Schutz personenbezogener Daten sowie von Notfallplänen zum Management von Sicherheitsvorfällen im Bereich personenbezogener Daten teilnehmen.

Artikel 15. Personen, die Dienstleistungen zum Schutz personenbezogener Daten erbringen

1. Eine Person, die Dienstleistungen zum Schutz personenbezogener Daten anbietet, ist jemand, der die in Absatz 2 dieses Artikels festgelegten Kompetenzvoraussetzungen erfüllt und von einer Behörde oder Organisation als Personal für den Schutz personenbezogener Daten angestellt wird.

2. Eine Person, die Dienstleistungen zum Schutz personenbezogener Daten anbietet, muss die folgenden Kompetenzvoraussetzungen erfüllen:

a) Abschluss eines Fachhochschulstudiums oder höher;

b) Mindestens 3 Jahre Berufserfahrung (seit dem Zeitpunkt des Abschlusses) in einem der Bereiche Recht, Verarbeitung personenbezogener Daten, Cybersicherheit, Datensicherheit, Risikomanagement oder Compliance-Kontrolle;

c) Hat eine vertiefte Ausbildung und Schulung in Rechtskenntnissen und fachlichen Kompetenzen im Bereich des Schutzes personenbezogener Daten erhalten.

3. Behörden und Organisationen, die Bedarf daran haben, Einzelpersonen zur Bereitstellung von Dienstleistungen zum Schutz personenbezogener Daten zu beschäftigen, prüfen die Eignungsbedingungen gemäß Absatz 2 dieses Artikels, schließen Verträge über die Nutzung von Personal zum Schutz personenbezogener Daten ab; veröffentlichen Informationen über das Personal zum Schutz personenbezogener Daten, damit die betroffene Person und die beteiligten Parteien davon Kenntnis haben.

4. Einzelpersonen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen, sind verantwortlich für:

a) Die Dienstleistungen im Rahmen des Vertrags und der Vereinbarungen korrekt zu erbringen;

b) Die Bereitstellung der Dienstleistungen nicht zu missbrauchen, um gesetzeswidrige Handlungen durchzuführen;

c) Die personenbezogenen Daten, die während der Erbringung der Dienstleistungen verarbeitet wurden, nach Abschluss des Vertrags und gemäß den gesetzlichen Bestimmungen zu löschen oder zu vernichten.

Artikel 16. Organisation zur Bereitstellung von Dienstleistungen zum Schutz personenbezogener Daten

1. Organisationen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen:

a) Ist eine Organisation oder ein Unternehmen, das die Funktion, Aufgabe oder das Geschäftsfeld, den Bereich der Technologie, des Rechts oder der Beratung in Bezug auf Technologie und Recht hat und von einer Behörde oder Organisation beauftragt wird, um Beratung zur Einhaltung der Vorschriften zum Schutz personenbezogener Daten zu leisten und die Aufgabe des Schutzes personenbezogener Daten gemäß Vereinbarung durchzuführen;

b) Verfügt über mindestens 03 Mitarbeiter, die die Kompetenzanforderungen gemäß Absatz 2 Artikel 15 dieses Dekrets erfüllen;

c) Hat Produkte oder Dienstleistungen im Zusammenhang mit Sicherheit, Netzwerksicherheit, Informationstechnologie, Standardbewertung oder Beratung zum Schutz personenbezogener Daten bereitgestellt.

2. Organisationen, die Dienstleistungen zum Schutz personenbezogener Daten anbieten, müssen ein Kompetenzprofil erstellen, das die Fähigkeit zum Schutz personenbezogener Daten nachweist, und es den Behörden oder Organisationen zur Verfügung stellen, die die Dienstleistung in Anspruch nehmen möchten. Das Profil muss den Berufszweig, den Geschäftsfeld, den Umfang, die Reichweite, die Erfahrung in der Bereitstellung von Dienstleistungen, die Richtlinien zur Dienstleistungserbringung, die Standards, die Qualifikationen und Kompetenzen des Personals sowie relevante Nachweise und Dokumente enthalten.

3. Behörden und Organisationen, die Datenschutzdienste mieten möchten, prüfen die Qualifikationsunterlagen, schließen Verträge über die Nutzung der Dienste ab und vereinbaren die Verarbeitung personenbezogener Daten mit der Datenschutzorganisation; sie machen Informationen über diese Datenschutzorganisation für die betroffenen Personen und alle beteiligten Parteien öffentlich zugänglich.

4. Je nach Bedarf können Behörden und Organisationen gleichzeitig Datenschutzpersonal, eine Datenschutzabteilung benennen und Einzelpersonen oder Organisationen beauftragen, Datenschutzdienste bereitzustellen.

5. Basierend auf der Vereinbarung mit der Behörde oder Organisation, die Datenschutzdienste mietet, führt die Organisation, die Datenschutzdienste bereitstellt, die Aufgaben der Datenschutzabteilung für diese Behörde oder Organisation aus.

6. Die Organisation, die Datenschutzdienste bereitstellt, ist verantwortlich für:

a) Die Dienstleistungen im Rahmen des Vertrags und der Vereinbarungen korrekt zu erbringen;

b) Die Bereitstellung der Dienstleistungen nicht zu missbrauchen, um gesetzeswidrige Handlungen durchzuführen;

c) Die personenbezogenen Daten, die während der Erbringung der Dienstleistungen verarbeitet wurden, nach Abschluss des Vertrags und gemäß den gesetzlichen Bestimmungen zu löschen oder zu vernichten.

Kapitel III. UNTERLAGEN, VERFAHREN UND VERFAHRENSABLÄUFE BEZÜGLICH PERSONENBEZOGENER DATEN

Artikel 17. Übermittlung personenbezogener Daten über Grenzen hinweg

1. Die für personenbezogene Daten verantwortliche Stelle, die die personenbezogenen Daten kontrolliert und verarbeitet, der Datenverarbeiter und Dritte führen die Übermittlung personenbezogener Daten über Grenzen hinweg in den folgenden Fällen durch:

a) Speicherung personenbezogener Daten mit der Übertragung der in Vietnam gesammelten und gespeicherten personenbezogenen Daten auf ein Serversystem außerhalb des Hoheitsgebiets der Sozialistischen Republik Vietnam oder auf einen Cloud-Dienst eines ausländischen Anbieters;

b) Übermittlung personenbezogener Daten von Behörden, Organisationen, Einzelpersonen aus Vietnam an einen Empfänger, der eine Organisation oder Einzelperson im Ausland ist;

c) Verarbeitung personenbezogener Daten, die in Vietnam gesammelt wurden, und Übertragung auf eine Plattform außerhalb des Hoheitsgebiets der Sozialistischen Republik Vietnam zur weiteren Verarbeitung.

2. Die zuständige Behörde für den Schutz personenbezogener Daten entscheidet, den die grenzüberschreitende Datenübertragung durchführenden Partei aufzufordern, die grenzüberschreitende Übertragung personenbezogener Daten zu stoppen, in den Fällen:

a) Wenn festgestellt wird, dass übertragene personenbezogene Daten für Aktivitäten verwendet werden, die die nationale Verteidigung oder die nationale Sicherheit verletzen;

b) Bei Verstößen gegen Vorschriften zum Schutz personenbezogener Daten, die die nationale Verteidigung oder die nationale Sicherheit schädigen können.

3. Andere Fälle, außer den in Punkt a, b, c Absatz 6 Artikel 20 des Gesetzes zum Schutz personenbezogener Daten vorgeschriebenen Fällen, müssen die Vorschrift zur Bewertung der Auswirkungen der grenzüberschreitenden Übertragung personenbezogener Daten nicht anwenden, einschließlich:

a) Journalistische und medienspezifische Aktivitäten gemäß den gesetzlichen Bestimmungen;

b) Grenzüberschreitende Übertragung personenbezogener Daten, die gemäß den gesetzlichen Bestimmungen veröffentlicht wurde.

c) In Notfällen ist es tatsächlich notwendig, personenbezogene Daten grenzüberschreitend bereitzustellen, um das Leben, die Gesundheit und die Sicherheit des Eigentums von Personen zu schützen; zur Erfüllung von Aufgaben und Pflichten gemäß den gesetzlichen Vorschriften;

d) Die grenzüberschreitende Übermittlung personenbezogener Daten für die grenzüberschreitende Personalverwaltung gemäß den Regeln, Arbeitsvorschriften und Tarifverträgen gemäß den gesetzlichen Vorschriften;

d) Die Bereitstellung personenbezogener Daten grenzüberschreitend zur Vertragsunterzeichnung oder zur Durchführung von Verfahren im Zusammenhang mit grenzüberschreitendem Transport, Logistik, Geldüberweisung, Zahlung, Hotel, Visum, Stipendium.

Artikel 18. Bedingungen, Verfahren, Abläufe, Bestandteile der Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten

1. Behörden, Organisationen und Einzelpersonen, die Aktivitäten zur grenzüberschreitenden Übermittlung personenbezogener Daten gemäß Absatz 1 Artikel 20 des Gesetzes zum Schutz personenbezogener Daten durchführen, müssen ein Bewertungsdossier zur Wirkung der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß den Bestimmungen dieses Artikels erstellen.

2. Das Bewertungsdossier zur Wirkung der grenzüberschreitenden Übermittlung personenbezogener Daten umfasst:

a) Bewertungsbericht zur Wirkung der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß Formular Nr. 09 im Anhang dieses Dekrets;

b) Kopie des Vertrags oder Dokuments zur Übermittlung personenbezogener Daten, das die Bindung und Verantwortung zwischen den Organisationen oder Personen, die personenbezogene Daten grenzüberschreitend übermitteln, und den Empfängern darstellt;

c) Richtlinien, Verfahren, Vorschriften, Formulare und andere relevante Unterlagen zum Schutz personenbezogener Daten der Behörde, Organisation oder Person, die Aktivitäten zur grenzüberschreitenden Übermittlung personenbezogener Daten durchführen.

3. Der Bewertungsbericht zur Wirkung der grenzüberschreitenden Übermittlung personenbezogener Daten umfasst die folgenden Inhalte:

a) Informationen und Kontaktdaten der Partei, die personenbezogene Daten überträgt, der Partei, die personenbezogene Daten empfängt, der Partei, die personenbezogene Daten verarbeitet, und anderer Parteien, die in Bezug auf die grenzüberschreitende Übertragung personenbezogener Daten beteiligt sind;

b) Kontaktdaten der Abteilung oder des Personals für den Schutz personenbezogener Daten; Organisationen oder Einzelpersonen, die Schutz personenbezogener Daten bereitstellen (falls vorhanden) der Partei, die personenbezogene Daten überträgt, der Partei, die personenbezogene Daten empfängt;

c) Beschreibung und Begründung des Zwecks der grenzüberschreitenden Übertragung personenbezogener Daten, Art der grenzüberschreitend übertragenen personenbezogenen Daten, Details der grenzüberschreitenden Übertragungs- und Datenverarbeitungstätigkeiten sowie Diagramm des Datenflusses der personenbezogenen Daten;

d) Beschreibung und Begründung der Durchführung der Einholung der Einwilligung des betroffenen Personen, Richtlinien zur Speicherung, Löschung und Vernichtung personenbezogener Daten;

d) Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten nach der grenzüberschreitenden Übertragung, Maßnahmen zum Schutz personenbezogener Daten, angewandte Standards zum Schutz personenbezogener Daten;

e) Systemdiagramm, Beschreibung der Funktionen des Systems zur Speicherung und Verarbeitung personenbezogener Daten nach dem Empfang grenzüberschreitender personenbezogener Daten;

g) Verfahren bezüglich der Übermittlung oder Bereitstellung personenbezogener Daten durch den Empfänger grenzüberschreitender personenbezogener Daten an Dritte;

h) Ergebnisse der Selbsteinschätzung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten durch Behörden, Organisationen oder Einzelpersonen, die grenzüberschreitende personenbezogene Daten übertragen;

i) Bewertung des Schutzniveaus personenbezogener Daten durch den Empfänger der personenbezogenen Daten; Bewertung der Auswirkungen, Risiken der grenzüberschreitenden Übertragung und Verarbeitung personenbezogener Daten; potenzielle unerwünschte Folgen oder Schäden, Maßnahmen zur Risikominderung oder Beseitigung solcher Risiken.

4. Die Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten müssen stets verfügbar sein, um die Prüfungs- und Bewertungsaktivitäten der zuständigen Stelle zum Schutz personenbezogener Daten zu unterstützen.

Die Partei, die personenbezogene Daten grenzüberschreitend übermittelt, reicht 01 Originalkopie der vollständigen Unterlagen entweder online, direkt oder per Post bei der zuständigen Stelle zum Schutz personenbezogener Daten ein, zusammen mit dem Formular Nummer 01a/01b im Anhang dieses Dekrets, innerhalb von 60 Tagen ab dem Tag der Durchführung der grenzüberschreitenden Übermittlung personenbezogener Daten.

5. Die zuständige Stelle zum Schutz personenbezogener Daten bewertet und gibt innerhalb von 15 Tagen das Ergebnis zu den Unterlagen zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten bekannt, ob sie die Anforderungen erfüllen oder nicht.

6. Die für den Schutz personenbezogener Daten zuständige Behörde bewertet und fordert die übermittelnde Partei von personenbezogenen Daten über Grenzen hinweg auf, das Bewertungsdossier für die Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten innerhalb von 30 Tagen zu vervollständigen, wenn das Dossier unvollständig oder nicht vorschriftsmäßig ist. Sollte die übermittelnde Partei das Dossier nicht vorschriftsmäßig vervollständigen, prüft die für den Schutz personenbezogener Daten zuständige Behörde die Anwendung der Vorschriften über die Ahndung von Verwaltungsverstößen im Bereich des Schutzes personenbezogener Daten.

7. Die übermittelnde Partei von personenbezogenen Daten über Grenzen hinweg aktualisiert und ergänzt das Bewertungsdossier für die Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten gemäß den Bestimmungen von Artikel 20 dieses Dekrets.

Artikel 19. Bedingungen, Verfahren, Abläufe und Bestandteile des Bewertungsdossiers zur Auswirkung der Verarbeitung personenbezogener Daten

1. Der Verantwortliche für personenbezogene Daten, der gemeinsam Verantwortliche und der Auftragsverarbeiter erstellen und führen ein Verzeichnis der Bewertung der Auswirkungen der Datenverarbeitung auf personenbezogene Daten ab dem Zeitpunkt, an dem die Verarbeitung personenbezogener Daten beginnt.

2. Das Verzeichnis der Bewertung der Auswirkungen der Datenverarbeitung auf personenbezogene Daten des Verantwortlichen für personenbezogene Daten, des gemeinsam Verantwortlichen und des Auftragsverarbeiters umfasst:

a) Bewertungsbericht über die Auswirkungen der Verarbeitung personenbezogener Daten gemäß Formular Nr. 10 im Anhang dieser Verordnung;

b) Kopie des Vertrags oder der Vereinbarung über die Verarbeitung personenbezogener Daten, die die Bindungen und Verantwortlichkeiten zwischen den Organisationen und Einzelpersonen bei der Verarbeitung personenbezogener Daten darstellt;

c) Richtlinien, Verfahren, Vorschriften, Formulare und andere Unterlagen im Zusammenhang mit dem Schutz personenbezogener Daten des Verantwortlichen für personenbezogene Daten, des gemeinsam Verantwortlichen und des Auftragsverarbeiters.

3. Der Bericht zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten umfasst folgende Inhalte:

a) Informationen und Kontaktdetails des für die personenbezogenen Daten verantwortlichen Unternehmens, des Verantwortlichen und Verarbeiters personenbezogener Daten, des Datenverarbeiters, Dritter;

b) Kontaktdetails der Abteilung oder der Personen, die den Schutz personenbezogener Daten gewährleisten; Organisationen oder Einzelpersonen, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellen (falls vorhanden), des für die personenbezogenen Daten verantwortlichen Unternehmens, des Verantwortlichen und Verarbeiters personenbezogener Daten, des Datenverarbeiters, Dritter;

c) Beschreibung und Begründung des Zwecks der Verarbeitung personenbezogener Daten, Art der verarbeiteten personenbezogenen Daten, Details der Verarbeitungstätigkeiten personenbezogener Daten und Flussdiagramm der personenbezogenen Daten;

d) Beschreibung und Begründung der Durchführung der Einholung der Einwilligung des betroffenen Personen, Richtlinien zur Speicherung, Löschung und Vernichtung personenbezogener Daten;

d) Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten, Schutzmaßnahmen für personenbezogene Daten, Systementwurfsdiagramm, angewandte Standards zum Schutz personenbezogener Daten;

e) Ergebnisse der Bewertung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten;

g) Bewertung des Ausmaßes der Auswirkungen und Risiken der Verarbeitung personenbezogener Daten; mögliche unerwünschte Folgen oder Schäden, die auftreten können, Maßnahmen zur Minderung oder Beseitigung dieses Risikos.

4. Die Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten müssen stets verfügbar sein, um den Prüf- und Bewertungsaktivitäten der für den Schutz personenbezogener Daten zuständigen Behörde zu dienen, und es ist innerhalb von 60 Tagen ab dem Tag der Verarbeitung personenbezogener Daten eine Originalkopie auf elektronischem Weg oder direkt oder per Post an die für den Schutz personenbezogener Daten zuständige Behörde zusammen mit dem Formular Nr. 02a/02b im Anhang dieses Dekrets einzureichen.

5. Die zuständige Stelle für den Schutz personenbezogener Daten bewertet und gibt eine Rückmeldung über den Datenschutzfolgenbewertungsbericht, ob die Anforderungen erfüllt oder nicht erfüllt sind, innerhalb von 15 Tagen.

6. Die zuständige Stelle für den Schutz personenbezogener Daten bewertet und verlangt von der datenverarbeitenden, der kontrollierenden und verarbeitenden sowie der verarbeitenden Stelle, den Datenschutzfolgenbewertungsbericht innerhalb von 30 Tagen zu vervollständigen, wenn der Bericht unvollständig oder nicht regelkonform ist. Wenn die datenverarbeitende, die kontrollierende und verarbeitende oder die verarbeitende Stelle den Bericht nicht gemäß den Vorschriften vervollständigt, prüft die zuständige Stelle für den Schutz personenbezogener Daten die Anwendung von Vorschriften über Verwaltungsstrafen im Bereich des Datenschutzes.

7. Die für personenbezogene Daten verantwortliche Stelle, die Stelle, die personenbezogene Daten kontrolliert und verarbeitet, sowie die Stelle, die personenbezogene Daten verarbeitet, aktualisieren und ergänzen das Verzeichnis zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten gemäß den Bestimmungen von Artikel 20 dieses Dekrets.

Artikel 20. Aktualisierung des Verzeichnisses zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und des Verzeichnisses zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten

1. Das Verzeichnis zur grenzüberschreitenden Übermittlung personenbezogener Daten und das Verzeichnis zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten werden alle 6 Monate nach der erstmaligen Einreichung des Verzeichnisses in folgenden Fällen aktualisiert:

a) Wenn ein neuer Zweck für die Übermittlung personenbezogener Daten oder ein neuer Zweck für die Verarbeitung personenbezogener Daten entsteht;

b) Wenn sich die Stelle, die personenbezogene Daten kontrolliert, die Stelle, die personenbezogene Daten kontrolliert und verarbeitet, die Stelle, die personenbezogene Daten verarbeitet, oder eine Drittpartei neu bildet oder ändert.

2. Fälle von Änderungen, die innerhalb von 10 Tagen sofort aktualisiert werden müssen, umfassen:

a) Wenn Behörde, Organisation oder Einheit neu organisiert wird, ihre Tätigkeit einstellt, aufgelöst oder nach den gesetzlichen Bestimmungen insolvent wird;

b) Wenn sich Informationen über die Organisation oder Einzelpersonen, die personenbezogene Daten schützen, ändern;

c) Wenn ein neuer Geschäftszweig, Beruf oder Dienstleistung in Bezug auf die Verarbeitung personenbezogener Daten entsteht oder sich ändert, die in den Unterlagen zur Datenschutz-Folgenabschätzung und den Unterlagen zur grenzüberschreitenden Datenübertragungs-Folgenabschätzung registriert sind.

3. Die Aktualisierung der Unterlagen zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und der Unterlagen zur Bewertung der grenzüberschreitenden Datenübertragung personenbezogener Daten erfolgt nach dem Muster Nr. 03a/03b im Anhang dieses Dekrets und wird online, persönlich oder per Post an die zuständige Stelle für den Schutz personenbezogener Daten eingereicht.

Artikel 21. Dienstleistungen zur Verarbeitung personenbezogener Daten

1. Dienstleistungen zur Bereitstellung und zum Betrieb von Systemen, Software zur automatisierten Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen, der verantwortlichen Stelle und der verarbeitenden Stelle.

2. Dienstleistungen zur Punktevergabe, Einstufung, Bewertung der Kreditwürdigkeit der betroffenen Person.

3. Dienstleistungen zur Erfassung und Verarbeitung personenbezogener Daten online von Websites, Anwendungen, Software und sozialen Netzwerken.

4. Dienstleistungen zur Erfassung und Verarbeitung personenbezogener Daten über Websites, Anwendungen, Software für die Gesundheitsversorgung, Gesundheitsüberwachung, medizinische Dienste.

5. Dienstleistungen zur Erhebung und Verarbeitung personenbezogener Daten über Anwendungen, Bildungssoftware mit Überwachungselementen wie Anwesenheitskontrolle, Videoaufzeichnung, Verhaltenspunktebewertung, Emotionserkennung.

6. Dienstleistungen zur Analyse und Nutzung personenbezogener Daten, einschließlich: Verwendung von Analysetools zur Suche nach Informationen, Trends und Mustern aus personenbezogenen Daten; Anwendung von Data-Mining-Methoden, um Werte aus personenbezogenen Daten zu extrahieren, Benutzerverhalten vorherzusagen oder Dienste zu optimieren.

7. Dienstleistungen zur Verschlüsselung personenbezogener Daten während der Übertragung und Speicherung.

8. Dienstleistungen zur automatischen Verarbeitung personenbezogener Daten basierend auf Big-Data-Technologien, künstlicher Intelligenz, Blockchain, virtueller Realität.

9. Plattformdienste, die persönliche Standortdaten bereitstellen.

Artikel 22. Bedingungen für Organisationen, die personenbezogene Daten verarbeiten.

1. Eine Organisation oder ein Unternehmen, das nach dem Recht Vietnams gegründet wurde und tätig ist und die in diesem Artikel festgelegten Bedingungen erfüllt.

2. Personalbedingungen:

a) Die für die fachliche Verantwortung der Verarbeitung personenbezogener Daten der Organisation zuständige Führungskraft ist vietnamesischer Staatsbürger und hat ihren ständigen Wohnsitz in Vietnam;

b) Es gibt ein Management- und Leitungsteam, das die fachlichen Anforderungen für die Verarbeitung personenbezogener Daten erfüllt;

c) Es gibt mindestens 03 Mitarbeiter, die die nach Absatz 2 Artikel 13 dieses Dekrets festgelegten Kompetenzbedingungen erfüllen.

3. Es gibt eine Infrastruktur, ein System von Geräten, Einrichtungen und Technologien, die für die Verarbeitung personenbezogener Daten geeignet sind.

4. Es gibt Ergebnisse, die die Anforderungen für die Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und die Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten erfüllen, falls eine grenzüberschreitende Übermittlung personenbezogener Daten erfolgt.

Artikel 23. Verantwortlichkeiten von Organisationen, die Dienstleistungen zur Verarbeitung personenbezogener Daten anbieten

1. Vollständige Einhaltung der gesetzlichen Vorschriften zum Schutz personenbezogener Daten; Verantwortung und Pflichten der datenverarbeitenden und datenverarbeitenden Stelle, der personenbezogene Daten verarbeitet.

2. Aufbau eines Risikomanagementrahmens zum Schutz personenbezogener Daten, der den angebotenen Dienstleistungen entspricht.

3. Durchführung einer jährlichen Bewertung des aktuellen Compliance-Standes und des Vertrauensniveaus beim Schutz personenbezogener Daten.

4. Anwendung von Standards und Normen im Zusammenhang mit Datensicherheit, Schutz personenbezogener Daten und Cybersicherheit.

5. Erstellung von Vorschriften über die Verantwortung und Befugnisse der Organisation bei der Verarbeitung personenbezogener Daten.

6. Sicherstellung, dass personenbezogene Daten zweckgebunden verarbeitet werden, die Erhebung, Weitergabe und Speicherung angemessen und gesetzeskonform erfolgt; Verhinderung unbefugten Zugriffs, Sammlung, Nutzung, Offenlegung oder ähnlicher Risiken bei der Verarbeitung personenbezogener Daten.

7. Im Fall, dass die Partei personenbezogene Daten verarbeitet, verlangt die Organisation von der Partei, die die personenbezogenen Daten kontrolliert, die Zustimmung der betroffenen Person gemäß den Vorschriften, bevor die Dienstleistungen bereitgestellt werden, und stellt sicher, dass die betroffene Person über die Art der verarbeiteten personenbezogenen Daten, den Zweck der Verarbeitung und die Organisation, die Dienstleistungen zur Verarbeitung personenbezogener Daten bereitstellt, informiert ist.

8. Organisationen, die Dienstleistungen zur Verarbeitung personenbezogener Daten betreiben, führen die Identitätsprüfung der Organisation gemäß den gesetzlichen Vorschriften über elektronische Identifizierung und Authentifizierung durch.

Artikel 24. Zuständigkeit zur Ausstellung, Wiedererteilung, Änderung und Rücknahme der Bescheinigung über die Erfüllung der Voraussetzungen für die Erbringung von Dienstleistungen zur Verarbeitung personenbezogener Daten

1. Das Ministerium für öffentliche Sicherheit stellt die Bescheinigung über die Erfüllung der Voraussetzungen für die Erbringung von Dienstleistungen zur Verarbeitung personenbezogener Daten aus, stellt sie erneut aus, ändert oder entzieht sie.

2. Der Minister des öffentlichen Sicherheitswesens überträgt der zuständigen Behörde für den Schutz personenbezogener Daten die Verantwortung für die Ausstellung, Wiedervergabe, Austausch und Rücknahme des Zertifikats über die Erfüllung der Voraussetzungen für die Erbringung von Dienstleistungen zur Verarbeitung personenbezogener Daten gemäß den Vorschriften.

Artikel 25. Unterlagen, Verfahren und Verfahrensweisen für die Ausstellung des Zertifikats über die Erfüllung der Voraussetzungen für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten

1. Die Unterlagen für den Antrag auf Ausstellung des Zertifikats über die Erfüllung der Voraussetzungen für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten umfassen:

a) Antrag auf Ausstellung des Zertifikats über die Erfüllung der Voraussetzungen für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten gemäß Muster Nr. 04 im Anhang dieses Erlasses;

b) Kopie des Unternehmensregistrierungszertifikats;

c) Schriftliche Anordnung der Abteilung für den Schutz personenbezogener Daten oder Vertrag über die Nutzung von Dienstleistungen zum Schutz personenbezogener Daten gemäß den Vorschriften;

d) Vorschlag zur Ausstellung des Zertifikats über die Erfüllung der Voraussetzungen für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten;

d) Zeugnisse und sonstige Nachweise des Personals, wie in Punkt c Absatz 2 Artikel 22 dieses Dekrets festgelegt;

e) Die Organisation muss die in Punkt b dieses Absatzes genannten Unterlagen nicht einreichen, wenn die staatliche Behörde die Daten aus einer Datenbank abrufen kann.

2. Der Antrag auf Erteilung einer Bescheinigung über die Eignung für den Betrieb von Diensten zur Verarbeitung personenbezogener Daten umfasst folgende Inhalte:

a) Notwendigkeit, Ziele;

b) Inhalt, zu genehmigendes Gebiet;

c) Berufszweig, Geschäftsbereich, Geschäftsplan;

d) Voraussichtlicher Umfang der Verarbeitung personenbezogener Daten;

d) Risikomanagementrahmen zum Schutz personenbezogener Daten;

e) Plan zur Bewertung der Einhaltung und Vertrauenswürdigkeit in puncto Datenschutz in regelmäßigen Abständen;

g) Anwendung von Standards und Normen in Bezug auf Datensicherheit und Datenschutz;

h) Plan zur Nutzung von Diensten für elektronische Identifikation und Authentifizierung;

i) Verantwortung und Befugnisse der Organisation bei der Verarbeitung personenbezogener Daten;

k) Personal, das die gesetzlichen Voraussetzungen erfüllt.

3. Die Organisation reicht 01 Satz von Unterlagen zur Beantragung der Ausstellung einer Bescheinigung über die Eignung zum Betrieb eines Dienstes zur Verarbeitung personenbezogener Daten online, direkt oder per Post bei der zuständigen Stelle für den Schutz personenbezogener Daten ein.

Die zuständige Stelle für den Schutz personenbezogener Daten bewertet die Unterlagen zur Beantragung der Bescheinigung über die Eignung zum Betrieb eines Dienstes zur Verarbeitung personenbezogener Daten innerhalb von 10 Tagen entweder als erfüllend oder nicht erfüllend. Falls die Unterlagen unvollständig oder nicht den Vorschriften entsprechend sind, benachrichtigt die zuständige Stelle für den Schutz personenbezogener Daten die Organisation schriftlich und fordert sie auf, die Unterlagen innerhalb von 15 Tagen zu ergänzen oder zu vervollständigen, wobei die Gründe klar angegeben werden.

4. Innerhalb von 30 Tagen ab dem Tag des vollständigen Eingangs der gültigen Unterlagen prüft, bewertet und entscheidet die zuständige Behörde für den Schutz personenbezogener Daten über die Ausstellung der Bescheinigung über die Eignung zur Ausübung von personenbezogenen Datenverarbeitungsdiensten nach Muster Nr. 05 im Anhang dieses Dekrets. Die Bescheinigung über die Eignung zur Erbringung von Dienstleistungen zur Verarbeitung personenbezogener Daten kann in Papierform oder elektronischer Form ausgestellt werden; die Papierform wird im Falle der direkten Einreichung der Unterlagen oder über Postdienste oder auf Antrag bei der Online-Einreichung über das öffentliche Dienstportal ausgestellt. Im Falle der Nichterteilung teilt die zuständige Behörde für den Schutz personenbezogener Daten der Organisation schriftlich mit und gibt die Gründe an.

Artikel 26. Unterlagen, Reihenfolge und Verfahren für die Neuerteilung oder den Austausch der Bescheinigung über die Eignung zur Ausübung von personenbezogenen Datenverarbeitungsdiensten

1. Neuerteilung im Fall des Verlusts oder der Beschädigung der Papierbescheinigung über die Eignung zur Ausübung von personenbezogenen Datenverarbeitungsdiensten.

a) Im Fall, dass eine Organisation die Ausstellung einer neuen Papierkopie benötigt, reicht sie den Antrag nach Muster Nr. 05 im Anhang dieses Dekrets auf elektronischem Weg, persönlich oder über Postdienste bei der für den Datenschutz zuständigen Behörde ein.

b) Innerhalb von 5 Arbeitstagen nach Erhalt des Antrags prüft die für den Datenschutz zuständige Behörde den Antrag und stellt die Bescheinigung über die Geschäftsfähigkeit im Bereich der Verarbeitung personenbezogener Daten erneut aus; im Falle einer Ablehnung ist eine schriftliche Mitteilung mit Angabe der Gründe erforderlich.

2. Erneuerung bei fehlerhaften Angaben oder Änderung des Inhalts der Bescheinigung über die Eignung zur Erbringung von Diensten zur Verarbeitung personenbezogener Daten.

a) Die Unterlagen umfassen: Den Antrag nach Muster Nr. 06 im Anhang dieses Dekrets; Dokumente und Unterlagen, die den Inhalt falscher Informationen oder Änderungen der Informationen auf dem bereits ausgestellten Zertifikat nachweisen.

b) Die Organisation reicht 01 Satz der oben genannten Unterlagen auf dem Online-Weg, direkt oder per Postdienst bei der für den Datenschutz zuständigen Behörde ein. Innerhalb von 05 Arbeitstagen ab dem Tag des vollständigen Eingangs der in Absatz a genannten Unterlagen prüft die für den Datenschutz zuständige Behörde und entscheidet über die Ausstellung eines neuen Zertifikats über die Eignung für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten; im Falle der Nichtausstellung muss eine schriftliche Mitteilung mit Angabe der Gründe erfolgen.

Artikel 27. Entzug des Zertifikats über die Eignung für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten

1. Das Zertifikat über die Eignung für das Betreiben von Dienstleistungen zur Verarbeitung personenbezogener Daten wird in den folgenden Fällen entzogen:

a) Wenn eine der in Absatz 1 und Absatz 2 des Artikels 26 dieses Dekrets genannten Bedingungen nicht erfüllt wird;

b) Wenn der Dienstleistungsbetrieb länger als 12 Monate nicht betrieben wird;

c) Wenn die Organisation gemäß den gesetzlichen Bestimmungen aufgelöst oder insolvent wird;

d) Wenn Verstöße gegen den Schutz personenbezogener Daten, Informationssicherheit, Netzsicherheit und Datensicherheit nicht auf Verlangen der zuständigen staatlichen Behörde behoben werden;

e) Wenn der Antrag auf Aussetzung oder Einstellung der Tätigkeit eigeninitiativ gestellt wird.

2. Die für den Schutz personenbezogener Daten zuständige Behörde entscheidet über die Rücknahme der Bescheinigung über die Erfüllung der Bedingungen für den Betrieb personenbezogener Datenverarbeitungsdienste gemäß Muster Nr. 07 im Anhang dieses Dekrets.

3. Organisationen, die personenbezogene Datenverarbeitungsdienste betreiben, sind verpflichtet, die ausgestellte Bescheinigung innerhalb von 5 Arbeitstagen nach Erhalt der Rücknahmeentscheidung an die für den Schutz personenbezogener Daten zuständige Behörde zurückzugeben.

4. Die für den Schutz personenbezogener Daten zuständige Behörde erlässt eine Entscheidung über den Entzug der Bescheinigung über die Eignung zur Ausübung von Geschäftsaktivitäten im Bereich der Verarbeitung personenbezogener Daten und veröffentlicht dies auf dem nationalen Informationsportal zum Schutz personenbezogener Daten.

Artikel 28. Inhalt der Mitteilung über Verstöße gegen Vorschriften zum Schutz personenbezogener Daten

1. Der Inhalt der Mitteilung über Verstöße gegen Vorschriften zum Schutz personenbezogener Daten umfasst:

a) Beschreibung der Art des Verstoßes gegen die Vorschriften zum Schutz personenbezogener Daten, einschließlich: Zeit, Ort, Verhalten, Organisation, Einzelperson, Arten personenbezogener Daten und Anzahl der betroffenen Daten;

b) Kontaktdaten der Abteilung, des Personals zum Schutz personenbezogener Daten oder der Organisation, Einzelperson, die Dienstleistungen zum Schutz personenbezogener Daten bereitstellt;

c) Beschreibung der möglichen Folgen und Schäden des Verstoßes gegen die Vorschriften zum Schutz personenbezogener Daten;

d) Beschreibung der Maßnahmen, die ergriffen wurden, um die Auswirkungen des Verstoßes gegen die Vorschriften zum Schutz personenbezogener Daten zu bewältigen und zu verringern.

2. Die Stelle, die personenbezogene Daten kontrolliert, die Stelle, die personenbezogene Daten kontrolliert und verarbeitet, und der Drittverarbeiter senden eine Mitteilung über die Verletzung der Vorschriften zum Schutz personenbezogener Daten an die zuständige Behörde für den Schutz personenbezogener Daten oder über das nationale Portal für den Schutz personenbezogener Daten gemäß Formular Nr. 08 im Anhang dieses Dekrets.

Artikel 29. Mitteilung über Verstöße gegen Standortdaten und biometrische Daten

1. Tritt ein Vorfall einer Verletzung personenbezogener Daten im Zusammenhang mit Standortdaten oder biometrischen Daten auf, sind die Stelle, die personenbezogene Daten kontrolliert, oder die Stelle, die personenbezogene Daten kontrolliert und verarbeitet, verpflichtet:

a) Die betroffene betroffene Person innerhalb von nicht mehr als 72 Stunden ab dem Zeitpunkt der Entdeckung der Verletzung zu benachrichtigen;

b) Meldung an die zuständigen staatlichen Behörden gemäß den Bestimmungen von Artikel 28 dieses Dekrets;

c) Aufzeichnung, Archivierung und Aktualisierung der Verletzungsakten zur Unterstützung der Prüfungs-, Inspektions- und Bearbeitungstätigkeiten. Die Organisation muss die Verletzungsakten für mindestens 5 Jahre ab dem Tag der Behebung des Vorfalls aufbewahren.

2. Die Benachrichtigung der betroffenen Person gemäß Punkt a Absatz 1 dieses Artikels muss mindestens die folgenden Inhalte enthalten:

a) Zeitpunkt und Form der Feststellung des Verstoßes;

b) Art der betroffenen Daten (Standort, biometrisch oder beides);

c) Schweregrad und mögliche Risiken für die Rechte und berechtigten Interessen der betroffenen Person;

d) Maßnahmen, die ergriffen wurden, ergriffen werden und ergriffen werden sollen, um den Vorfall zu beheben und Schäden zu mindern;

đ) Anleitungen für die betroffene Person zur Durchführung von Präventions- und weiterführenden Verhinderungsmaßnahmen;

e) Kontaktinformationen der Abteilung oder des Personals für den Schutz personenbezogener Daten bzw. der Organisation oder der Person, die Dienstleistungen zum Schutz personenbezogener Daten anbietet; Abteilung zur Entgegennahme und Bearbeitung von Vorfällen mit personenbezogenen Daten in der Organisation.

3. Falls die Organisation oder Einzelperson den betroffenen Personen nicht innerhalb der in Absatz 1 genannten Frist benachrichtigen kann, aus technischen oder dringenden Gründen, ist Folgendes zu tun:

a) Öffentliche Mitteilung über die offiziellen elektronischen Mittel der Organisation auf der Website oder in der App;

b) Benachrichtigung der betroffenen Personen, sobald die technischen Bedingungen dies zulassen.

4. Falls die Organisation oder Einzelperson die Benachrichtigung nicht fristgerecht durchführt oder absichtlich verzögert oder vermeidet, wird dies gemäß den gesetzlichen Vorschriften als Verstoß berücksichtigt.

Kapitel IV. DURCHFÜHRUNG DES SCHUTZES PERSONENBEZOGENER DATEN

Artikel 30. Verantwortung für die internationale Zusammenarbeit im Bereich des Schutzes personenbezogener Daten

1. Die für den Schutz personenbezogener Daten zuständige Fachbehörde ist verantwortlich dafür, dem Ministerium für öffentliche Sicherheit bei der Durchführung der internationalen Zusammenarbeit im Bereich des Schutzes personenbezogener Daten zu unterstützen.

2. Ministerien, ministeriumsgleiche Behörden und der Regierung unterstehende Behörden führen die internationale Zusammenarbeit im Bereich des Schutzes personenbezogener Daten in Bezug auf die Branchen und Bereiche durch, die gemäß den gesetzlichen Bestimmungen in ihren Zuständigkeitsbereich fallen und für die sie Funktionen und Aufgaben übertragen bekommen haben.

3. Die Volkskomitees der Provinzen führen die internationale Zusammenarbeit im Bereich des Schutzes personenbezogener Daten gemäß den gesetzlichen Bestimmungen und den ihnen übertragenen Funktionen und Aufgaben durch.

Artikel 31. Kontrolle der Aktivitäten zum Schutz personenbezogener Daten

1. Die Kontrolle der Aktivitäten zum Schutz personenbezogener Daten wird regelmäßig, plötzlich und in den folgenden Fällen durchgeführt:

a) Wenn Anhaltspunkte für einen Verstoß gegen die Gesetze zum Schutz personenbezogener Daten vorliegen;

b) Wenn dies durch die Behörden oder die zur staatlichen Verwaltung des Schutzes personenbezogener Daten zuständigen Personen angeordnet wird;

c) Zur Durchführung der staatlichen Verwaltungstätigkeiten gemäß den gesetzlichen Bestimmungen.

2. Die Prüfungsgegenstände der Tätigkeit zum Schutz personenbezogener Daten umfassen:

a) Behörden, Organisationen, Einzelpersonen, die personenbezogene Daten verarbeiten;

b) Organisationen, Einzelpersonen, die Dienstleistungen zur Verarbeitung personenbezogener Daten anbieten;

c) Behörden, Organisationen, Einzelpersonen, die eine Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und eine Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten durchführen müssen;

d) Behörden, Organisationen, Einzelpersonen, die an Fällen oder Angelegenheiten beteiligt sind, die gegen die Vorschriften zum Schutz personenbezogener Daten verstoßen.

3. Inhalte der Prüfung der Tätigkeit zum Schutz personenbezogener Daten:

a) Aktueller Stand der Einhaltung des Schutzes personenbezogener Daten;

b) Tätigkeiten zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten und zur Bewertung der Auswirkungen der grenzüberschreitenden Übermittlung personenbezogener Daten;

c) Geschäftstätigkeit im Bereich der Verarbeitung personenbezogener Daten.

4. Die zuständige Behörde zum Schutz personenbezogener Daten erlässt eine Prüfentscheidung und informiert die zu prüfende Stelle gemäß Absatz 2 dieses Artikels mindestens 15 Tage im Voraus über Zeit, Inhalt und Zusammensetzung des Prüfungsteams. Im Falle einer unangekündigten Prüfung, um Verstöße gegen das Datenschutzrecht rechtzeitig zu erkennen, festzustellen oder zu verhindern, hat die zuständige Behörde zum Schutz personenbezogener Daten das Recht, die Prüfung sofort ohne vorherige Ankündigung durchzuführen.

5. Die zu prüfende Stelle muss alle Prüfungsinhalte entsprechend den Bestimmungen in Absatz 3 dieses Artikels und den spezifischen Anforderungen der Prüfentscheidung der zuständigen Behörde zum Schutz personenbezogener Daten vollständig vorbereiten.

Artikel 32. Forschung und Entwicklung von Lösungen zum Schutz personenbezogener Daten

Behörden, Organisationen, Unternehmen und Einzelpersonen, die an Forschung, Entwicklung und Anwendung von Lösungen zum Schutz personenbezogener Daten beteiligt sind, einschließlich:

1. Aufbau von Software-Systemen und Geräten zum Schutz personenbezogener Daten;

2. Methoden zur Bewertung von Software und Geräten zum Schutz personenbezogener Daten nach Standards;

3. Methoden zur Überprüfung der Funktionalität bereitgestellter Hardware und Software;

4. Aufzeichnung und Verwaltung der Einhaltung von Vorschriften zum Schutz personenbezogener Daten;

5. Bewältigung von Risiken für die Offenlegung oder den Verlust personenbezogener Daten;

6. Technische Initiativen zur Verbesserung des Bewusstseins und der Fähigkeiten im Schutz personenbezogener Daten;

7. Verarbeitung personenbezogener Daten für statistische und wissenschaftliche Zwecke;

8. Lösungen für Betroffene, um die Kontrolle über ihre personenbezogenen Daten zu behalten, Daten bereitzustellen und zu teilen nach selektiven Offenlegungsmechanismen unter Einsatz moderner und strategischer Technologien gemäß internationalen Standards und Normen;

9. Standards zum Schutz personenbezogener Daten;

10. Andere Lösungen zum Schutz personenbezogener Daten, die mit den gesetzlichen Vorschriften übereinstimmen.

Artikel 33. Inhalte der staatlichen Verwaltung zum Schutz personenbezogener Daten

1. Erlass entsprechend der Zuständigkeit oder Vorlage bei der zuständigen staatlichen Behörde zur Erlassung von Rechtsnormen zum Schutz personenbezogener Daten; Organisation der Umsetzung der Gesetze zum Schutz personenbezogener Daten.

2. Entwicklung und Organisation der Umsetzung von Strategien, Richtlinien, Projekten, Entwürfen, Programmen und Plänen zum Schutz personenbezogener Daten.

3. Anleitung von Behörden, Organisationen und Einzelpersonen zu Maßnahmen, Verfahren, Standards und Normen zum Schutz personenbezogener Daten gemäß den gesetzlichen Vorschriften.

4. Öffentlichkeitsarbeit und Rechtsbildung zum Schutz personenbezogener Daten; Kommunikation, Verbreitung von Wissen und Fähigkeiten im Bereich des Schutzes personenbezogener Daten.

5. Aufbau, Ausbildung, Weiterbildung und Entwicklung von Humankapital im Bereich des Schutzes personenbezogener Daten.

6. Inspektion, Überprüfung, Auszeichnung, Bearbeitung von Beschwerden und Anzeigen sowie Sanktionierung von Verstößen gegen das Gesetz zum Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen.

7. Statistik, Informationen, Berichte über die Situation des Schutzes personenbezogener Daten und die Umsetzung der Gesetzgebung zum Schutz personenbezogener Daten für die zuständigen staatlichen Behörden.

8. Organisation von Zwischen- und Abschlussbewertungen, wissenschaftlicher Forschung zum Schutz personenbezogener Daten; Forschung und Anwendung wissenschaftlicher und technologischer Fortschritte zum Schutz personenbezogener Daten.

9. Internationale Zusammenarbeit im Bereich des Schutzes personenbezogener Daten.

Artikel 34. Verantwortung des Innenministeriums

1. Unterstützung der Regierung bei der einheitlichen Durchführung der staatlichen Verwaltung über den Schutz personenbezogener Daten.

2. Federführung bei der Erstellung, Verabschiedung oder Vorlage bei der zuständigen staatlichen Behörde zur Verabschiedung sowie Anleitung zur Umsetzung von Rechtsnormen zur Durchführung der gesetzlichen Bestimmungen über den Schutz personenbezogener Daten.

3. Anleitung und Durchführung von Aktivitäten zum Schutz personenbezogener Daten, Schutz der Rechte der betroffenen Personen gegen Verstöße gegen die gesetzlichen Bestimmungen zum Schutz personenbezogener Daten.

4. Federführung, Zusammenarbeit mit dem Ministerium für Wissenschaft und Technologie bei der Erstellung von Standards und technischen Normen zum Schutz personenbezogener Daten; technischen Normen zur De-Identifikation von personenbezogenen Daten, Anonymisierung von personenbezogenen Daten, die in Vietnam erlassen und angewendet werden.

5. Erstellung, Verwaltung und Betrieb des nationalen Informationsportals zum Schutz personenbezogener Daten.

6. Durchführung von Öffentlichkeitsarbeit, Verbreitung, Rechtsbildung und Anleitung, Weiterbildung in Wissen und Fähigkeiten zum Schutz personenbezogener Daten für die Datenschutzkräfte.

7. Bewertung, Zwischenbilanz, Abschlussbilanz der Arbeitsergebnisse zum Schutz personenbezogener Daten von zuständigen Behörden, Organisationen und betroffenen Personen.

8. Förderung der wissenschaftlichen Forschung zum Schutz personenbezogener Daten; Forschung und Anwendung von wissenschaftlichen und technologischen Fortschritten im Bereich des Schutzes personenbezogener Daten zur Innovation auf dem Gebiet des Datenschutzes.

9. Durchführung von internationalen Kooperationsaktivitäten zum Schutz personenbezogener Daten.

Artikel 35. Verantwortung des Verteidigungsministeriums

1. Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit, den zuständigen Behörden und Organisationen, um Kräfte und Mittel bereitzustellen, um personenbezogene Daten zu schützen, Verstöße gegen die Vorschriften zum Schutz personenbezogener Daten im Zuständigkeitsbereich zu erkennen und zu verhindern.

2. Im Rahmen der zugewiesenen Funktionen und Aufgaben die Bewertung der Arbeit zum Schutz personenbezogener Daten in den Zuständigkeitsbereichen der Behörden, Organisationen und Einzelpersonen zu leiten und in Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit durchzuführen; die Anwendung von Maßnahmen zum Schutz personenbezogener Daten zu fördern; fortschrittliche Sicherheitstechnologien bei der Verarbeitung und dem Schutz personenbezogener Daten für die Verteidigungstätigkeit zu erforschen und anzuwenden; die internationale Zusammenarbeit im Bereich des Schutzes personenbezogener Daten innerhalb des Zuständigkeitsbereichs gemäß den gesetzlichen Bestimmungen durchzuführen.

3. Die Verbreitung, Popularisierung und juristische Ausbildung sowie die Vermittlung von Kenntnissen und Fähigkeiten zum Schutz personenbezogener Daten für Offiziere, Berufssoldaten, Beamte und Angestellte im Zuständigkeitsbereich zu organisieren.

4. Die Inspektion, Überwachung und Vereinbarung der Einhaltung der Vorschriften zum Schutz personenbezogener Daten durch Behörden, Organisationen und Einzelpersonen im Zuständigkeitsbereich des Verteidigungsministeriums gemäß den gesetzlichen Bestimmungen sowie den zugewiesenen Funktionen und Aufgaben durchzuführen und Verstöße zu bearbeiten.

Artikel 36. Verantwortung des Ministeriums für Wissenschaft und Technologie

1. Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit bei der Erstellung von Standards und technischen Vorschriften zum Schutz personenbezogener Daten; technischen Vorschriften zur Anonymisierung personenbezogener Daten, die in Vietnam erlassen und angewendet werden.

2. Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit und den zuständigen Behörden bei der Forschung, Entwicklung, Beherrschung und Anwendung von Maßnahmen zum Schutz personenbezogener Daten unter Einsatz fortschrittlicher Technologien, Hochtechnologien und strategischer Technologien, Entwicklung von Lösungen, Produkten und Dienstleistungen zum Schutz personenbezogener Daten im Prozess der digitalen Regierungsführung, der digitalen Wirtschaft und der digitalen Gesellschaft durch wissenschaftliche und technologische Programme.

Artikel 37. Verantwortung der Ministerien, ministerialen Behörden und regierungsangehörigen Stellen

1. Ausübung der staatlichen Verwaltung über den Schutz personenbezogener Daten in den Branchen und Bereichen, die in ihrem Zuständigkeitsbereich nach den gesetzlichen Bestimmungen liegen.

2. Aufbau und Umsetzung der Inhalte und Aufgaben zum Schutz personenbezogener Daten gemäß diesem Dekret.

3. Ergänzung der Vorschriften zum Schutz personenbezogener Daten bei der Entwicklung und Umsetzung der Aufgaben der Ministerien und Fachbereiche.

4. Bereitstellung von Personal und Abteilungen zum Schutz personenbezogener Daten in den unter Verwaltung stehenden Einheiten; Gewährleistung der erforderlichen Kompetenz, passend zur Arbeitsplatzposition und den fachlichen Anforderungen zum Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen.

5. Bereitstellung von Mitteln für die Aktivitäten zum Schutz personenbezogener Daten gemäß der geltenden Haushaltsverwaltungsstufe.

6. Organisation von Öffentlichkeitsarbeit, Rechtsvermittlung, Fachfortbildung und Schulung der Kompetenzen für Beamte, Staatsangestellte, Funktionäre und die unter Verwaltung stehenden Einheiten zum Schutz personenbezogener Daten.

7. Zusammenarbeit mit dem Ministerium für öffentliche Sicherheit bei Inspektionen, Kontrollen, Überwachungen und der Ahndung von Verstößen gegen Vorschriften zum Schutz personenbezogener Daten innerhalb des Verwaltungsbereichs.

8. Mit dem Ministerium für öffentliche Sicherheit und dem Ministerium für Wissenschaft und Technologie zusammenarbeiten, um Leitlinien zu erstellen und die Anwendung von Standards und technischen Vorschriften zum Schutz personenbezogener Daten für Einheiten, Organisationen und Einzelpersonen im Zuständigkeitsbereich umzusetzen.

Artikel 38. Verantwortung der Volkskomitees der Provinzen und zentral verwalteten Städte

1. Durchführung der staatlichen Verwaltung im Bereich des Schutzes personenbezogener Daten in den Branchen und Bereichen der Verwaltung gemäß den gesetzlichen Bestimmungen zum Schutz personenbezogener Daten.

2. Umsetzung der Bestimmungen zum Schutz personenbezogener Daten in diesem Dekret.

3. Bereitstellung von Personal und einer Abteilung für den Schutz personenbezogener Daten in den Einheiten des Zuständigkeitsbereichs; Sicherstellung der Einhaltung der Kompetenzanforderungen, passend zur Arbeitsposition und den fachlichen Anforderungen zum Schutz personenbezogener Daten gemäß den gesetzlichen Bestimmungen.

4. Bereitstellung von Finanzmitteln zur Unterstützung der Aktivitäten zum Schutz personenbezogener Daten gemäß der aktuellen Budgetverwaltungshierarchie.

5. Organisation von Aufklärungs- und Verbreitungsmaßnahmen über Gesetze sowie Wissen und Fähigkeiten zum Schutz personenbezogener Daten für Beamte, Staatsbedienstete, Mitarbeiter, Bürger und Unternehmen in der Region.

6. Durchführung von Fortbildungen zur Verbesserung der Kompetenz des Personals für den Schutz personenbezogener Daten auf allen Verwaltungsebenen; Integration von Inhalten zum Schutz personenbezogener Daten in Verwaltungsreform- und Digitalisierungsprogramme.

7. Aufbau eines Systems zur statistischen Erfassung, Konsolidierung und regelmäßigen Berichterstattung über die Situation des Schutzes personenbezogener Daten vor Ort an die zuständigen Stellen für den Schutz personenbezogener Daten gemäß den Vorschriften.

Artikel 39. Zuständige Behörde für den Schutz personenbezogener Daten und das nationale Portal für den Schutz personenbezogener Daten

1. Die zuständige Behörde für den Schutz personenbezogener Daten ist eine Einrichtung, die dem Ministerium für öffentliche Sicherheit unterstellt ist und die Aufgabe hat, dem Minister des Ministeriums für öffentliche Sicherheit bei der Ausübung der staatlichen Verwaltungsfunktion zum Schutz personenbezogener Daten zu helfen.

2. Das nationale Internetportal zum Schutz personenbezogener Daten ist der Ort, an dem Informationen zur Propagierung der Richtlinien, Leitlinien und Politiken der Partei sowie der Gesetze des Staates zum Schutz personenbezogener Daten bereitgestellt werden; es unterstützt die Anleitung, das Bewusstsein und die Fähigkeiten zum Schutz personenbezogener Daten für Behörden, Organisationen und Einzelpersonen; es nimmt Rückmeldungen und Anträge von betroffenen Behörden, Organisationen und Einzelpersonen entgegen und bearbeitet diese; es führt andere Tätigkeiten gemäß den gesetzlichen Bestimmungen zum Schutz personenbezogener Daten durch.

Artikel 40. Finanzierung zur Sicherstellung der Aktivitäten zum Schutz personenbezogener Daten

1. Die Mittel zur Durchführung des Schutzes personenbezogener Daten umfassen den Staatshaushalt; Beiträge von Behörden, Organisationen und Einzelpersonen im In- und Ausland; Einnahmen aus der Bereitstellung von Dienstleistungen zum Schutz personenbezogener Daten; internationale Hilfen und andere rechtmäßige Finanzquellen.

2. Die Mittel zum Schutz personenbezogener Daten von staatlichen Stellen werden durch den Staatshaushalt gesichert und im jährlichen Staatshaushaltsplan vorgesehen. Die Verwaltung und Nutzung der Mittel aus dem Staatshaushalt erfolgt gemäß den gesetzlichen Bestimmungen über den Staatshaushalt.

3. Die Mittel zum Schutz personenbezogener Daten von Organisationen und Unternehmen werden von den jeweiligen Organisationen und Unternehmen selbst bereitgestellt und gemäß den Vorschriften verwendet.

Kapitel V. DURCHFÜHRUNGSORGANISATION

Artikel 41. Vorschriften zur Anwendung der Absätze 2 und 3 des Artikels 38 des Gesetzes über den Schutz personenbezogener Daten

1. Kleine Unternehmen und Start-ups haben das Recht, die Bestimmungen in Artikel 21, Artikel 22 und Absatz 2 von Artikel 33 des Gesetzes zum Schutz personenbezogener Daten innerhalb von 5 Jahren ab dem Inkrafttreten des Gesetzes zum Schutz personenbezogener Daten freiwillig anzuwenden oder nicht anzuwenden, ausgenommen kleine Unternehmen und Start-ups, die Dienste zur Verarbeitung personenbezogener Daten anbieten, sensible personenbezogene Daten direkt verarbeiten oder personenbezogene Daten verarbeiten, sobald sie eine Größe von 100.000 oder mehr betroffenen Personen erreicht haben, basierend auf der kumulierten Menge der verarbeiteten personenbezogenen Daten.

2. Kleinunternehmen und Kleinstbetriebe müssen die Bestimmungen in Artikel 21, Artikel 22 und Absatz 2 von Artikel 33 des Gesetzes zum Schutz personenbezogener Daten nicht umsetzen, ausgenommen Kleinunternehmen und Kleinstbetriebe, die Dienstleistungen zur Verarbeitung personenbezogener Daten erbringen, direkt sensible personenbezogene Daten verarbeiten oder personenbezogene Daten ab dem Zeitpunkt verarbeiten, an dem sie eine Größe von 100.000 oder mehr betroffenen Personen basierend auf der kumulierten Gesamtmenge der verarbeiteten personenbezogenen Daten erreicht haben.

Artikel 42. Inkrafttreten und Vollzug

1. Dieses Dekret tritt am 1. Januar 2026 in Kraft.

2. Das Dekret Nr. 13/2023/NĐ-CP vom 17. April 2023 der Regierung über den Schutz personenbezogener Daten verliert an dem Tag seine Gültigkeit, an dem dieses Dekret in Kraft tritt.

3. Absatz 2 von Artikel 16 des Dekrets Nr. 165/2025/NĐ-CP vom 30. Juni 2025 der Regierung, das bestimmte Bestimmungen und Maßnahmen zur Durchführung des Datengesetzes im Detail regelt, wird wie folgt geändert:

“2. Der Schutz von Kerndaten und wichtigen Daten, die personenbezogene Daten sind, erfolgt gemäß den Bestimmungen des Gesetzes über den Schutz personenbezogener Daten und den detaillierten Ausführungsbestimmungen.

Im Fall der grenzüberschreitenden Übertragung oder Verarbeitung von Kerndaten und wichtigen Daten, die personenbezogene Daten sind, erstellt der Inhaber der Kerndaten bzw. der wichtigen Daten einen Bericht zur Bewertung der Auswirkungen der Verarbeitung personenbezogener Daten sowie zur Bewertung der Auswirkungen der grenzüberschreitenden Übertragung personenbezogener Daten gemäß den gesetzlichen Bestimmungen zum Schutz personenbezogener Daten; es ist keine Risikobewertung oder Bewertung der Auswirkungen der grenzüberschreitenden Übertragung oder Verarbeitung von Daten gemäß den Bestimmungen dieses Dekrets erforderlich.“

4. Das Ministerium für öffentliche Sicherheit ist verantwortlich für die Anleitung, Überprüfung und Förderung der Umsetzung dieses Dekrets.

5. Die Minister der Ministerien, die Leiter der ministergleichen Behörden, der der Regierung zugehörigen Behörden, die Vorsitzenden der Volkskomitees der Provinzen und der zentral verwalteten Städte sowie die zuständigen Behörden, Organisationen und Einzelpersonen sind verantwortlich für die Durchführung dieses Dekrets.

IM NAMEN DER REGIERUNG, IM AUFTRAG DES PREMIERMINISTERS, VIZEPRÄMIERMINISTER

Nguyễn Hòa Bình