ベトナム社会主義共和国国会 法律番号: 91/2025/QH15 独立 - 自由 - 幸福
法律
個人データの保護
ベトナム社会主義共和国憲法に基づき、一部条項を解釈・修正した203/2025/QH15号決議に従い
国会は個人データ保護法を制定しました。
第Ⅰ章 総則
第1条 適用範囲および対象
1. この法律は、個人データ、個人データの保護、および関係機関、組織、個人の権利、義務、責任について規定する。
2. この法律は以下に適用される:
a) ベトナムの機関、組織、個人;
b) ベトナムにいる外国の機関、組織、個人;
c) ベトナム市民および国籍未確認でベトナムに居住しているベトナム系の人々の個人データの処理活動に直接関与する、または関係する外国の機関、組織、個人は、身分証明書を交付されています。
第2条 語句の解釈
この法律において、以下の用語は次のように理解されるものとする：
1. 個人データとは、特定の個人を識別する、または識別するのに役立つ数値データやその他の形式の情報であり、基本的個人データおよびセンシティブな個人データを含みます。個人データから識別情報を削除した後は、もはや個人データではありません。
2. 基本的個人データとは、身元や経歴に関する一般的要素を反映し、取引や社会関係で頻繁に使用される個人データであり、政府が公布するリストに属します。
3. 敏感な個人データとは、個人のプライバシーに関連する個人データであり、侵害された場合、官庁、組織、個人の権利や正当な利益に直接影響を及ぼすものであり、政府によって公布されたリストに属するものを指します。
4. 個人データの保護とは、官庁、組織、個人が人員、手段、措置を使用して個人データの侵害行為を防止・対策することです。
5. 個人データの主体とは、個人データが反映する人を指します。
6. 個人データの処理とは、個人データに影響を与える活動であり、次の一つまたは複数の活動を含みます：収集、分析、統合、暗号化、復号、編集、削除、破棄、匿名化、提供、公表、個人データの移転および個人データに影響を与えるその他の活動。
7. 個人データ管理者とは、個人データの処理の目的と手段を決定する官庁、組織、個人を指します。
8. 個人データの処理者とは、個人データ管理者の要求に従って個人データを処理する機関、組織、個人、または契約を通じて個人データを管理・処理する者のことです。
9. 個人データの管理者および処理者とは、個人データの目的、手段を決定し、直接個人データを処理する機関、組織、個人のことです。
10. 第三者とは、個人データの主体、個人データ管理者、個人データ管理・処理者、個人データ処理者以外の組織、個人で、法律の規定に従って個人データの処理に関与する者のことです。
11. 個人データの匿名化とは、特定の個人を識別できない、または識別に役立たない新しいデータを作成するために情報を変更または削除する過程のことです。
12. 個人データ処理の影響評価とは、個人データを処理する過程で生じる可能性のあるリスクを分析・評価し、リスク軽減策を適用して個人データを保護することです。
第3条 個人データ保護の原則
1. 憲法、法の規定および関連法規を遵守すること。
2. 個人データは、法令の規定を遵守することを確保した上で、特定かつ明確な目的の範囲内でのみ収集・処理すること。
3. 個人データの正確性を確保し、必要に応じて訂正、更新、補足を行うこと。個人データの処理目的に適した期間に保存すること。ただし、法律で別段の定めがある場合はこの限りでない。
4. 制度、技術、人材に関する対策および解決策を効果的かつ統合的に実施し、個人データを保護すること。
5. 個人データ保護に関する違法行為を積極的に予防、発見、阻止し、闘い、適時かつ厳格に処理すること。
6. 個人データの保護は、国や民族の利益の保護と関連し、経済・社会の発展に貢献し、国防、安全保障および外交を確保することとし、個人データの保護と機関、組織、個人の合法的な権利・利益の保護との調和を確保すること。
第4条 個人データ主体の権利と義務
1. 個人データ主体の権利は以下を含む:
a) 個人データの処理活動について知る権利。
b) 個人データの処理を許可するか否か、または同意を撤回することを要求する権利。
c) 個人データを閲覧、修正、または修正を要求する権利。
d) 個人データの提供、削除、処理制限を要求する権利；個人データの処理に反対する要求を提出する権利。
e) 法律の規定に従い苦情、告発、訴訟、損害賠償要求を行う権利。
e) 権限のある機関または個人データの処理に関与する機関、組織、個人に対し、法律の規定に従って自分の個人データを保護するための措置や解決策を実施するよう要求すること。
2. 個人データ主体の義務には以下が含まれる:
a) 自分の個人データを自ら保護すること;
b) 他人の個人データを尊重し、保護すること;
c) 法律の規定、契約、または自分の個人データの処理を許可した際に、自分の個人データを完全かつ正確に提供すること;
d) 個人データ保護に関する法律を遵守し、個人データ侵害活動の防止および対策に参加すること。
3. 個人データ主体は、自身の権利と義務を行使する際に、以下の原則を完全に遵守しなければならない:
a) 法律の規定に従って実施すること; 個人データ主体としての義務を契約に基づき遵守すること。個人データ主体の権利および義務の行使は、当該個人データ主体自身の合法的権利および利益を保護することを目的としなければならない。
b) 個人データ管理者、個人データの管理および処理者、個人データ処理者の法的権利および義務の行使を妨げたり、困難を引き起こしてはならない。
c) 国家、機関、組織、他の個人の合法的権利および利益を侵害してはならない。
4. 機関、組織、個人は、個人データ主体の権利および義務の行使を法律の規定に基づき円滑に行えるようにする責任があり、妨げたり困難を引き起こしてはならない。
5. 個人データ主体が第1項に規定された個人データ主体の権利を行使するための請求を受けた場合、個人データ管理者および個人データ管理・処理関係者は、法律で定められた期限内に速やかに対応しなければならない。政府はこの項を詳しく規定する。
政府はこの条項を詳細に規定する。
第5条 個人データ保護に関する法律の適用
1. ベトナム社会主義共和国の領域内における個人データ保護の活動は、本法および関連する他の法令の規定に従って行わなければならない。
2. 本法施行前に国会が制定した法律または決議に個人データ保護に関する具体的な規定があり、かつ本法の規定に基づく個人データ保護の原則に違反しない場合には、当該法律または決議の規定を適用する。
3. 本法の施行後に国会によって制定された法律や決議において、本法の規定と異なる個人データ保護に関する規定がある場合には、本法の規定に従って実施するかしないかの具体的な内容、または当該法律や決議の規定に従って実施する内容を定めなければならない。
4. 本法の規定に従って個人データ処理の影響評価、国境を越えた個人データ移転の影響評価を行う機関、組織、個人は、データに関する法律の規定に従った個人データ処理リスク評価および国境を越えた個人データ移転の影響評価を行う必要はない。
第6条 個人データ保護に関する国際協力
1. ベトナム社会主義共和国が加盟している国際条約および個人データ保護に関する国際合意を遵守し、平等、相互利益、独立、主権および領土の完全性を尊重すること。
2. 個人データ保護に関する国際協力の内容は以下を含む:
a) 個人データ保護法の効果的な施行を促進するための国際協力の仕組みを構築すること;
b) 他国の個人データ保護に関する司法支援に参加すること;
c) 個人データの侵害行為を予防し、取り締まること;
d) 個人データ保護に関する人材育成、科学研究、科学技術の応用を行うこと;
e) 個人データ保護に関する法律の策定および実施についての経験を交換すること;
f) 個人データ保護に役立つ技術を移転すること。
3. 政府は個人データ保護に関する国際協力の実施責任を規定する。
第7条 禁止される行為
1. ベトナム社会主義共和国に対抗する目的で個人データを取り扱い、国防、安全保障、社会秩序・安全、機関、団体、個人の権利・合法的利益に影響を与える行為。
2. 個人データ保護活動を妨害する行為。
3. 個人データ保護の活動を利用して法違反行為を行うこと。
4. 法律の規定に反して個人データを取り扱うこと。
5. 他人の個人データを使用したり、自分の個人データを他人に使用させて法律違反行為を行うこと。
6. 個人データの売買（法律で別の規定がある場合を除く）。
7. 個人データを不正に取得、故意に漏洩、紛失させること。
第8条 個人データ保護に関する法違反の取り扱い
1. この法律および個人データ保護に関連する他の法律の規定に違反する行為を行った組織または個人は、その違反行為の性質、程度、結果に応じて、行政処分を受けるか刑事責任を問われることがあります。損害が生じた場合は、法律の規定に従って賠償する義務があります。
2. 個人データ保護の分野における行政違反の処罰は、本条第3項、第4項、第5項、第6項および第7項および行政違反処理に関する法律の規定に従って行われます。
3. 個人データの売買行為に対する行政処分における最高罰金は、違反行為により得られた収益の10倍とする。違反行為による収益がない場合、または収益に基づく罰金が本条第5項に定める最高罰金より低い場合は、本条第5項に定める罰金額を適用する。
4. 国境を越えた個人データの移転規定に違反する行為を行った組織に対する行政違反の最高罰金は、当該組織の直前年度の売上高の5%とする。ただし、直前年度の売上高がない場合、または売上高に基づく罰金額が本条第5項に規定する最高罰金額より低い場合は、本条第5項に規定する罰金額を適用する。
5. 個人データ保護の分野におけるその他の違反行為に対する行政違反処分における最高罰金額は3億ドンとする。
6. 本条第3項、第4項および第5項に規定された最高罰金額は、組織に適用される。個人が同じ違反行為を行った場合の最高罰金額は、組織に対する罰金の半分とする。
7. 政府は、個人データ保護に関する法律違反行為から得られる収益の計算方法を規定する。
第II章 個人データの保護
第1節 個人データの保護
個人データの処理過程における
第9条 個人データ主体の同意
1. 個人データ主体の同意とは、法律に別段の規定がある場合を除き、個人データ主体が自分の個人データの処理を許可することをいう。
2. 個人データ主体の同意は、次の情報を十分に理解した上で自発的に行われた場合にのみ有効です：
a) 処理される個人データの種類、個人データ処理の目的;
b) 個人データの管理者、または管理者および処理者;
c) 個人データ主体の権利および義務。
3. 個人データ主体の同意は、明確で具体的な方法で示され、印刷可能、文書でコピー可能であり、電子形式や検証可能な形式を含むことができます。
4. 個人データ主体の同意は、以下の原則を確保する必要があります：
a) 各目的に対する同意を示すこと;
b) 契約内容以外の目的に対する同意を強制条件として付与してはならない;
c) 同意は、個人データ主体が同意を変更するまで、または法律により定められた場合まで有効です;
d) 沈黙または応答の欠如は同意とみなされません。
5. 政府は本条第3項の細則を定めます。
第10条 同意の撤回要求および個人データの処理制限の要求
1. 個人データの主体は、個人データの処理の範囲・目的や個人データの正確性について疑いがある場合、自身の個人データの処理を許可する同意の撤回を求めること、個人データの処理を制限することを求める権利を有する。ただし、本法第19条に規定する場合や他の法律で別の規定がある場合を除く。
2. 個人データ主体による同意の撤回要求、個人データの処理制限要求は、電子形式または検証可能な形式を含む書面で表明され、個人データ管理者、管理および処理を行う者に送付する必要があります。個人データ主体による同意の撤回要求、個人データ処理の制限要求は、法令および当事者間の合意に従って行われます。
3. 個人データ管理者、管理および処理を行う者は、個人データ主体による同意の撤回要求、個人データ処理制限要求を受理、実施し、データ処理者に対して法令で定められた期間内にこれらの要求を実施するよう要請します。
4. 個人データ主体が同意の撤回や個人データ処理の制限を要求した場合でも、その要求は、個人データ主体が同意の撤回や処理の制限を要求する以前に行われた個人データの処理には適用されません。
第11条 個人データの収集、分析、統合
1. 個人データは、収集前に個人データ主体の同意を得なければならず、法令に別段の定めがある場合を除きます。
2. 権限を有する党および国家機関は、自ら収集したデータ、または共有、提供、譲渡、開発、利用されたデータから個人データを分析・統合することができ、法令の定めに従って、指導・管理、国家管理、経済社会の発展のために役立てることができます。
3. 第2項に規定されていない機関、組織、個人は、法令に従って処理が許可された個人データの情報源から個人データを分析および統合することができる。
第12条 個人データの暗号化および復号
1. 個人データの暗号化とは、復号されない限り個人データを識別できない形に変換することである。暗号化された後の個人データも個人データである。
2. 国家機密である個人データは、国家機密保護法および暗号法に従って暗号化および復号されなければならない。
3. 機関、組織、個人は、個人データ処理活動に適した個人データの暗号化および復号の方法を決定する。
第13条 個人データの訂正
1. 個人データの主体は、個人データの管理者、管理および処理者との合意に基づき、特定の種類の個人データを自分で修正することができます。また、個人データの管理者、管理および処理者に対して、自分の個人データの修正を依頼することができます。
2. 個人データの管理者、管理および処理者は、個人データの主体からの要求があった場合、または法令に基づき個人データを修正します。また、個人データの処理者や第三者に対して、個人データの主体の個人データの修正を依頼することができます。
3. 個人データの修正は正確性を確保しなければなりません。正当な理由により個人データを修正できない場合、個人データの管理者、管理および処理者は、そのことを要求した機関、組織、個人に通知しなければなりません。
第14条 個人データの消去、破棄、識別不能化
1. 個人データの消去、破棄は、次の場合に行われるものとする。
a) 個人データの主体が、自分に生じ得るリスクや損害を要求し、受け入れる場合。この場合の個人データ主体の要求は、本法第4条第3項に規定された原則を完全に遵守しなければならない。
b) 個人データの処理目的を達成した場合。
c) 法律によって定められた保存期間が終了した場合。
d) 権限を有する国家機関の決定に従って行う場合。
đ) 合意に従って行う場合。
e) 法律で定められたその他の場合。
2. 個人データ主体の個人データの削除や消去に関する要求は、本法第19条で規定された場合、または本法第4条第3項に違反する個人データの削除・消去の場合には実施しないものとする。
3. 個人データ管理者は、第1項に規定された場合、または個人データ処理者や第三者に個人データ主体の個人データの削除・消去を要求する場合に、個人データを削除・消去する。個人データの削除・消去は、安全な手段で行わなければならず、削除・消去された個人データへの不正な侵入や回復を防止するものでなければならない。
4. 機関、組織、個人は、削除・消去された個人データを故意に不正に回復してはならない。
5. 個人データ管理者、個人データの管理および処理の責任者、個人データ処理者は、当法の規定を遵守する責任があります。個人データの主体からの要求を受け取った後、正当な理由により個人データを削除または破棄できない場合、個人データ管理者および個人データの管理・処理の責任者は、個人データの主体に通知しなければなりません。
6. 個人データの匿名化は以下の通り規定される：
a) 個人データを匿名化する機関、組織、個人は、個人データの匿名化プロセスを厳格に管理監督し、匿名化の過程での不正アクセス、コピー、奪取、漏洩、紛失を防止する責任を負う；
b) 法律で別段の定めがある場合を除き、個人データは匿名化された後に再識別してはならない；
c) 個人データの匿名化は、本法および関連する法律の規定に従って行われる。
第15条 個人データの提供
1. 個人データの主体は、法律の規定または当該機関、組織、個人との合意に従い、個人データを機関、組織、個人に提供する。
2. 個人データを管理する者、個人データを管理および処理する者は、以下の場合に個人データを提供する：
a) 個人データの主体からの要求に応じて、法律の規定およびデータ主体との合意に従って個人データを提供する。ただし、その提供が国防、国家の安全、社会の秩序・安全を害するおそれがある場合、または他人の生命、健康、財産を侵害する場合は例外とする。
b) 個人データの主体の同意がある場合、他の機関、組織、個人に提供する。ただし、法律で別段の定めがある場合はこれに従う。
第16条 個人データの公表
1. 個人データは特定の目的でのみ公開されるべきである。公開の範囲や公開される個人データの種類は、公開の目的に適合しなければならない。個人データの公開は、個人データ主体の権利や合法的利益を侵害してはならない。
2. 個人データは、次の場合にのみ公開される。
a) 個人データ主体の同意がある場合;
b) 法律の規定に従って行う場合;
c) 本法第19条第1項b号に規定される場合;
d) 契約に基づく義務を履行する場合。
3. 公開される個人データは、原データの情報を正確に反映し、機関、組織、個人がアクセス、利用、活用しやすいようにすることが求められる。
4. 個人データの公開の形態には、電子情報サイト、電子情報ポータル、マスメディアおよび法律で定められたその他の形態でデータを掲載することが含まれます。
5. 個人データを公開する機関、組織、個人は、個人データの公開が目的、範囲および法律の規定に完全に従うことを保証するために、個人データの公開を厳格に管理および監視し、公開された個人データに対するアクセス、使用、開示、複製、修正、削除、破棄、またはその他の不正な処理行為を、自身の能力と条件の範囲で防止しなければなりません。
第17条 個人データの移転
1. 個人データの移転は、以下の場合に行われます。
a) 個人データ主体の同意がある場合の個人データの移転。
b) 同じ機関や組織内の部門間で個人データを共有し、確立された処理目的に従って個人データを処理するために使用すること；
c) 機関、組織、行政単位の分割、分離、合併や組織再編、国有企業の所有形態の変更の場合に、個人データの処理を継続するために個人データを移転すること；単位や組織の分割、分離、合併、統合、活動終了の場合；他の単位や組織の活動終了を基に設立された単位や組織の場合；
d) 個人データの管理者が、個人データの管理および処理担当者に個人データを第三者または個人データ処理者に移転して、規定に従って個人データを処理すること；
đ) 権限のある国家機関の要請に応じて個人データを移転すること；
e) 本法第19条第1項に規定された場合に個人データを移転すること。
2. 第1項に規定される場合における個人データの移転は、有料・無償にかかわらず、個人データの売買とみなされない。
3. 政府はこの条項を具体的に規定します。
第18条 個人データの処理におけるその他の活動
1. 個人データ管理者、個人データの管理・処理者、個人データ処理者、第三者データストレージ事業者は、自らの活動に適した形で個人データを保存し、保存プロセスにおいて法令で定められた個人データ保護措置を講じなければならない。
2. 個人データの保存、アクセス、検索、接続、調整、確認、認証および個人データに影響を及ぼすその他の活動は、本法およびデータに関する法令、その他関連法規、ならびに当事者間の合意に従って実施されなければならない。
3. 国家の管理活動、公立事業単位の活動に役立てるため、個人データの活用・利用を優先し、科学技術の発展、イノベーション、国家のデジタル転換において突破口を開く特別なメカニズムや政策の試行に資する。
第19条 個人データ主体の同意を必要としない場合の個人データの処理
1. 個人データ主体の同意を必要としない個人データの処理には以下の場合が含まれる:
a) 緊急の場合において、個人データ主体または他人の生命、健康、名誉、人間の尊厳、権利、合法的利益を保護するため
自分自身、他人の正当な権利または利益、または国家や機関・組織の利益を、前述の利益侵害行為に対して必要な範囲で守るため。個人データの管理者、個人データの処理者、個人データの管理・処理者、第三者は、この場合を証明する責任を負う。
(b) 緊急事態に対処するため；国家の安全を脅かす可能性があるが、緊急事態宣言を発令するほどではない場合；暴動、テロ、犯罪防止および法違反防止のため；
(c) 法律の規定に従って国家機関の活動、国家管理活動に従事するため；
(d) 個人データの主体が法律の規定に基づき関係機関、組織、個人と結ぶ合意を実行するため；
(e) 法律の規定によるその他の場合。
2. 関係する機関、組織、個人は、個人データ主体の同意が不要な場合に個人データを処理する際、監視メカニズムを確立しなければならない。その内容は以下を含む:
a) 個人データを処理するための手順、規定を確立し、データ処理の過程で機関、組織、個人の責任を明確にすること;
b) 個人データを保護するための適切な措置を実施し、データ処理過程で発生する可能性のあるリスクを定期的に評価すること;
c) 法律、手順、個人データ処理規定の遵守状況を定期的に検査および評価すること;
d) 関係する機関、組織、個人からの意見や提言を受け取り処理するメカニズムを有すること。
第20条 国境を越えた個人データの移転
1. 国境を越えた個人データの移転の事例には以下が含まれる:
a) ベトナム社会主義共和国の領土外に設置されたデータストレージシステムに、ベトナム国内で保存されている個人データを移転すること。
b) ベトナム国内の機関、組織、個人が、海外の組織、個人に個人データを移転すること。
c) ベトナム国内または海外の機関、組織、個人が、ベトナム国内で収集された個人データを処理するために、ベトナム社会主義共和国の領土外にあるプラットフォームを利用すること。
2. 国境を越えて個人データを転送する機関、組織、個人は、本条第1項で規定される活動を実施する際、影響評価の記録を作成しなければならない。
個人データを越境して転送し、当該個人データの越境転送の初日から60日以内に、個人データ保護の専門機関に原本1部を送付する。ただし、本条第6項で定める場合を除く。
3. 個人データの越境移転に関する影響評価は、当該機関、組織、個人の活動期間中に1回実施され、この法律の第22条の規定に従って更新される。
4. 個人データ保護の専門機関は、個人データの国境を越えた移転を定期的にチェックするかどうかを、年に1回を超えない頻度で決定するか、または個人データ保護に関する法規制の違反行為が発見された場合や個人データの漏えい・紛失の事故が発生した場合に臨時検査を行うことを決定する。
5. 個人データ保護の専門機関は、個人データが国家防衛、国家安全保障に損害を与える可能性のある活動に使用されるために移転されていることが判明した場合、機関、組織、個人に対して国境を越えた個人データの移転を停止するよう要求することを決定する。
6. 国境を越えた個人データ移転の影響評価規定を実施する必要がない場合は以下の通りである:
a) 権限を有する国家機関による個人データの国境を越えた移転;
b) 当該機関、組織の従業員の個人データをクラウドサービス上に保存している機関、組織;
c) 個人情報の主体が自らの個人情報を国境を越えて移転する場合;
d) 政府の規定によるその他のケース。
7. 政府は、本条の第1項、第5項および第6項を詳細に規定し、国境を越えた個人情報の移転影響評価の記録内容、条件、手続き、手順を定める。
第21条 個人情報処理影響評価
1. 個人情報管理者、個人情報管理および処理者は、個人情報処理影響評価の記録を作成・保存し、個人情報保護の専門機関に処理開始日から60日以内に1部の原本を提出する。ただし、本条第6項に定める場合はこの限りでない。
2. 個人情報処理影響評価は、個人情報管理者、管理および処理者の活動期間中に1回行い、本法第22条に従い更新される。
3. 個人データを処理する者は、個人データを管理する者との合意に基づき、個人データ処理影響評価の記録を作成および保存するものとし、本条第6項に規定する場合を除く。
4. 個人データ保護の専門機関は、記録が不十分または規定に適合していない場合、個人データ管理者、個人データ管理および処理者、個人データ処理者に対して、個人データ処理影響評価の記録を完成させるよう要求する。
5. 個人データ管理者、個人データ管理および処理者、個人データ処理者は、専門機関に提出した記録の内容に変更があった場合、個人データ処理影響評価の記録を更新および補充するものとする。
6. 権限を有する政府機関は、本条に規定された個人データ処理影響評価に関する規定を実施する義務を負わない。
7. 政府は、個人データ処理影響評価の書類の構成、条件、手続き、手順を規定する。
第22条 個人データ処理影響評価書および国境を越える個人データ移転影響評価書の更新
1. 個人データ処理影響評価書および国境を越える個人データ移転影響評価書は、変更があった場合、または本条第2項に規定される場合には直ちに、定期的に6か月ごとに更新される。
2. 直ちに更新が必要な変更には以下が含まれる:
a) 機関、組織、部門が法律の規定に従って再編成される、活動を終了する、解散する、破産する場合;
b) 個人情報保護サービスを提供する組織または個人に関する情報が変更された場合;
c) 個人データ処理影響評価申請書、越境個人データ移転影響評価申請書に登録された個人データ処理に関連する産業、職業、事業サービスが発生または変更された場合。
3. 個人データ処理影響評価申請書および越境個人データ移転影響評価申請書の更新は、個人情報保護に関する国家情報ポータルまたは個人情報保護専任機関で行われる。
4. 政府は本条の詳細を規定します。
第23条 個人データ保護規定違反の通知
1. 個人データ管理者、個人データの管理および処理を行う者、第三者が、国防、国家安全、秩序、社会の安全に損害を与える、または個人データ主体の生命、健康、名誉、人権、財産を侵害するおそれのある個人データ保護に関する規定の違反を発見した場合、違反行為を発見してから遅くとも72時間以内に個人データ保護の専門機関に通知しなければなりません。個人データの処理者が違反行為を発見した場合は、個人データ管理者または個人データの管理・処理を行う者に速やかに通知しなければなりません。
2. 個人データ管理者、個人データの管理および処理を行う者は、個人データ保護に関する規定の違反行為の発生を認める確認書を作成し、個人データ保護の専門機関と協力して違反行為を処理しなければなりません。
3. 機関、組織、個人は、以下の場合において、個人データ保護を専門に扱う機関に通知するものとする：
a) 個人データ保護に関する規定違反の行為を発見した場合
b) 個人データが個人データ主体とデータ管理者、データ管理者及びデータ処理者との間で合意された目的に反して処理された場合
c) 個人データ主体の権利を確保できない場合、または権利を正しく行使しない場合
d) 法律により定められたその他の事例の場合
4. 個人データ保護の専門機関は、通知を受け取り、個人データ保護規定の違反行為を処理する責任があります。個人データ管理者、個人データの管理・処理者、第三者、関連する機関・組織・個人は、違反行為を防止し、発生した結果を修復し、個人データ保護の専門機関と協力して個人データ保護規定の違反行為を処理する責任があります。
5. 政府は、個人データ保護規定の違反に関する通知の内容を規定します。
第2節 一部の活動における個人データの保護
第24条 子供、民事行為能力を喪失または制限された者、認知や行動の制御が困難な者の個人データの保護
1. この法律の規定に従って、子ども、行為能力を喪失または制限された者、認知や行動の制御が困難な者の個人データを保護する。
2. 子供、民事行為能力を失ったまたは制限された者、または認知や行動の制御に困難を持つ者に関しては、法律上の代理人が個人データ主体としての権利を代わりに行使する。ただし、本法第19条第1項に規定されている場合を除く。7歳以上の子供の個人データを、子供の私生活や個人の秘密に関する情報を公表・開示する目的で処理する場合は、子供と法律上の代理人の同意が必要である。
3. 次の場合には、子供、民事行為能力を失ったまたは制限された者、または認知や行動の制御に困難を持つ者の個人データの処理を停止する:
a) 本項第2条における規定に同意した者が、子ども、民事行為能力を喪失または制限されている者、認知や行動のコントロールに困難を抱える者の個人データの処理を許可する同意を撤回する場合、法律に別の規定がある場合を除く。
b) 権限ある機関の要請により、個人データの処理が子ども、民事行為能力を喪失または制限されている者、認知や行動のコントロールに困難を抱える者の権利や正当な利益を侵害する可能性があると十分に証明できる場合、法律に別の規定がある場合を除き処理を行うこと。
第25条 労働者の採用、管理、使用における個人データの保護
1. 労働者の採用における機関、組織、個人の個人データ保護責任は以下の通り規定される:
a) 採用機関、組織、個人による採用目的に沿った情報提供のみが要求されること。提供された情報は採用目的および法律に従った合意によるその他の目的にのみ使用されること。
b) 提供された情報は法律の規定に従って処理され、応募者の同意を得なければならない。
c) 採用されなかった場合、応募者が提供した情報は削除または破棄されなければならない。ただし、応募者との別の合意がある場合はこの限りではない。
2. 労働者の管理・利用における機関、組織、個人の個人データ保護の責任は以下の通り規定される:
a) 本法、労働および雇用に関する法律、データに関する法律および関連するその他の法律の規定を遵守すること。
b) 労働者の個人データは、法律の規定または合意に従った期間保存しなければならない。
c) 労働契約終了時には、合意または法律に別の規定がある場合を除き、労働者の個人データを削除または廃棄しなければならない。
3. 労働者の個人データを、労働者管理において技術的手段によって収集する場合の処理は、次の通り規定される:
a) 個人データ主体の権利および利益を保護し、かつ労働者がその手段を明確に認識していることを前提として、法律の規定に適合する技術的手段のみを適用しなければならない。
b) 法律に違反する技術的手段によって収集された個人データを処理・使用してはならない。
第26条. 健康情報および保険業務における個人データの保護
1. 健康に関する情報および保険業務における個人データの保護は、以下のように規定されます:
a) 個人データの主体の同意が、個人データの収集や処理の過程において必要である。ただし、本法第19条第1項に規定する場合を除く。
b) 個人データ保護に関する規定および関連するその他の法律の規定を完全に適用すること。
2. 健康分野で活動する機関、組織、個人は、個人データの主体の書面による要求がある場合または本法第19条第1項に規定する場合を除き、個人データを第三者である医療サービス提供者や健康保険、生命保険サービス提供者に提供してはならない。
3. 医療アプリケーションや保険ビジネスアプリケーションを開発する組織・個人は、個人データ保護に関する規定を完全に遵守しなければならない。
4. 再保険業務を行う企業や再保険権を譲渡する企業で、個人データをパートナーに提供する場合は、顧客との契約に明確に記載する必要がある。
第27条 金融、銀行業務および信用情報活動における個人データの保護
1. 金融および銀行業務、信用情報活動に従事する組織や個人は、以下の責任を負う:
a) 個人の敏感データの保護、金融・銀行業務における安全・セキュリティ基準に関する規定を、法律の規定に従って完全に実施すること;
b) 個人データ主体の同意がない場合、個人データ主体の信用情報を使用して信用スコア、ランキング、信用情報評価、信用信頼度評価を行わないこと;
c) この法律および関連する他の法規の規定に適合した情報源から、信用情報活動に必要な個人データのみを収集すること;
d) 銀行口座、金融、信用、信用情報に関する情報が漏えい、紛失した場合、個人データの主体に通知すること。
2. 信用情報の活動を行う組織や個人は、本法の規定を遵守する責任を負うものとし、顧客の個人データへの不正アクセス、使用、開示、修正を防止するための措置を講じ、紛失した場合には顧客の個人データを回復する方法を有し、信用情報の評価に役立つ顧客データの収集、提供、処理の過程での機密保持を行う。
3. 政府はこの条項を具体的に規定します。
第28条 広告サービス事業における個人データの保護
1. 広告サービスを事業として行う組織および個人は、個人データを管理する者、個人データの管理および処理を行う者が合意に基づいて提供する、または自己の事業活動を通じて収集した顧客の個人データのみを広告サービスの事業に利用することができる。個人データの収集、利用、提供は、本法第4条に規定された個人データ主体の権利を保障しなければならない。
2. 個人データを管理する者、個人データの管理および処理を行う者は、法律で定められた規定に従ってのみ、広告サービス事業を行う組織および個人に個人データを提供することができる。
3. 広告サービスの事業のために顧客の個人データを処理する場合、顧客の同意を得なければならず、その際には顧客が製品の紹介内容、方法、形式、頻度を十分に理解していることを前提とし、また顧客が広告情報の受信を拒否できる方法を提供しなければならない。
4. 個人データを広告に使用することは、迷惑メール、防止電子メール、迷惑電話および広告に関する法律の規定に適合していなければなりません。
5. 個人データの主体は、広告サービスからの情報受信の停止を要求する権利を有します。広告サービスを提供する組織や個人は、個人データの主体の要求に応じて広告の停止や仕組みを提供しなければなりません。
6. 広告サービスを提供する組織や個人は、個人データを使用して広告サービス全体を他の組織や個人に再委託または代理実施する契約を結んではなりません。
7. 広告サービスを提供する組織や個人は、広告のために顧客の個人データを使用したことを証明する責任があり、本条項1、2、3、4項および広告に関する法律の規定を遵守しなければなりません。
8. 行動に基づく広告、特定の目的での広告、または広告のパーソナライズのために個人データを使用する組織や個人は、本条および以下の規定を遵守しなければならない。
(a) 個人データの主体の同意がある場合にのみ、ウェブサイト、電子ポータル、アプリケーションの追跡を通じて個人データを収集できること。
(b) 個人データの主体がデータ共有を拒否できる方法を設け、保存期間を特定し、不要になったデータを削除または破棄しなければならない。
第29条 ソーシャルネットワークプラットフォームおよびオンラインメディアサービスにおける個人データの保護
ソーシャルネットワークサービス、オンラインメディアサービスを提供する組織や個人は、以下の責任を負うこと:
1. 個人データ主体がソーシャルネットワークやオンラインメディアサービスをインストールおよび使用する際に収集される個人データの内容を明確に通知すること。不正に個人データを収集せず、顧客との合意範囲を超えて収集しないこと。
2. アカウント認証の要素として身分証明書の全体または一部の画像やビデオの提供を求めてはならない。
3. ユーザーがデータファイル（クッキーと呼ばれる）の収集および共有を拒否できる選択肢を提供すること。
4. 「追跡拒否」の選択肢を提供するか、ユーザーの同意がある場合にのみソーシャルネットワークやオンラインメディアサービスの使用活動を追跡すること。
5. 法律に別段の定めがある場合を除き、個人データ主体の同意なしに盗聴、盗み聞き、通話の録音、テキストメッセージの閲覧を行わないこと。
6. プライバシーポリシーを公開し、個人データの収集、使用、共有の方法を明確に説明すること。ユーザーにアクセス、編集、削除の仕組みを提供すること。
個人データのデータとプライバシー設定、セキュリティおよびプライバシーの違反の報告; 国境を越えたデータ移転時にベトナム市民の個人データを保護する; 個人データ保護違反の処理手続きを迅速かつ効果的に構築する。
第30条 ビッグデータ、人工知能、ブロックチェーン、仮想空間、クラウドコンピューティングにおける個人データの保護
1. ビッグデータ、人工知能、ブロックチェーン、仮想空間、クラウドコンピューティングの環境における個人データは、目的に沿って正しく処理され、必要な範囲内に制限され、個人データ主体の権利と正当な利益が確保されなければならない。
2. ビッグデータ、人工知能、ブロックチェーン、仮想現実、クラウドコンピューティングの環境における個人データの処理は、本法および関連する他の法律の規定を遵守しなければならない。ベトナムの倫理規範および風俗習慣に適合していること。
3. ビッグデータ、人工知能、ブロックチェーン、仮想現実、クラウドコンピューティングを使用するシステムおよびサービスは、適切な個人データ保護措置を統合する必要がある。個人データを処理するために、適切な認証方法、識別、アクセス権限の付与を使用しなければならない。
4. 人工知能による個人データの処理は、リスクレベルに応じて分類を行い、適切な個人データ保護措置を講じる必要がある。
5. 個人データを利用して国防、安全保障、秩序、社会の安全を損なったり、他人の生命、健康、名誉、人間の尊厳、財産を侵害する目的で、大規模データ処理システム、人工知能、ブロックチェーン、バーチャルリアリティ、クラウドコンピューティングを使用または開発してはならない。
6. 政府は本条の詳細を規定する。
第31条 個人の位置情報データおよび生体認証データに関する個人データの保護
1. 個人の位置情報データとは、特定の人を識別するために位置を特定する技術を通じて取得されたデータである。
2. 生体認証データとは、人を特定するための個別的かつ安定した身体的属性、生物学的特徴に関するデータである。
3. 個人の位置情報データに関する個人データの保護は、以下のとおり規定される。
a) 無線周波数識別カードおよびその他の技術による位置追跡の適用は、個人データ主体の同意がある場合、または法律の規定に従い権限ある機関から要求がある場合、あるいは法律で別途規定がある場合を除き、行わないこと。
b) モバイルアプリケーションプラットフォームを提供する組織や個人は、個人の位置データの使用について利用者に通知し、関係のない組織や個人による位置データの収集を防止する措置を講じ、利用者に個人の位置追跡のオプションを提供すること。
4. 生体認証データの保護は以下の通り規定する:
a) 生体認証データを収集・処理する機関、組織、個人は、自身の生体認証データを保存および伝送する機器に対して物理的なセキュリティ対策を講じる必要があり、生体認証データへのアクセス権を制限し、侵害行為を防止・検出するための監視システムを備え、法令および関連する国際基準を遵守しなければならない。
b) 生体認証データの処理が個人データ主体に損害を与えた場合、当該生体認証データを収集・処理する組織または個人は、政府の規定に従って当該個人データ主体に通知する義務がある。
第32条 公共の場所での録音・録画活動、公共の活動から取得された個人データの保護
1. 公共の場所での録音・録画および公共の活動において、個人の同意なしに、録音・録画から得られた個人データを取り扱うことができる機関、組織、個人は、次の場合に限る。
(a) 国防任務の遂行、国家安全の保護、社会秩序と安全の確保、機関、組織、個人の権利および合法的利益の保護のため。
b) 公共の会議、セミナー、スポーツ競技、芸術公演およびその他の公共活動から取得される音声、映像、その他の識別情報で、個人データ主体の名誉、尊厳、信用を損なわないもの。
c) 法律の規定によるその他の場合。
2. 本条第1項による録音、録画の場合、機関、組織、個人は、個人データ主体が自分が録音、録画されていることを知ることができるように通知するかその他の情報手段で知らせる責任がある。ただし、法律で別の規定がある場合はこの限りでない。
3. 取得された個人データは、処理目的に適合して処理、使用されなければならず、違法な目的や個人データ主体の権利、合法的利益を侵害する目的で使用してはならない。
4. 公共の場所での録音・録画、公共の活動から取得した個人データは、収集目的を達成するために必要な期間だけ保存され、法律で別段の規定がある場合を除きます。保存期限が過ぎた場合、個人データはこの法律の規定に従って削除または破棄されなければなりません。
5. 本条第1項で定める場合に録音・録画を実施し、録音・録画から得た個人データを処理する機関、組織、個人は、この法律および関連する法律の規定に従って個人データを保護する責任を負います。
5. 機関、組織、個人は、この条項第1項で規定された場合に録音や録画を行い、録音・録画から得られた個人データを処理する際には、この法律および関連する他の法律の規定に従って個人データを保護する責任がある。
第III章 個人データ保護を確保する力と条件
第33条 個人データ保護のための力
1. 個人データ保護のための力は以下を含みます：
a) 公安省に属する専門の個人データ保護機関;
b) 機関、組織内の個人データ保護部門、担当者;
c) 個人情報保護サービスを提供する組織・個人;
d) 個人情報保護に参加するよう動員される組織・個人。
2. 機関・組織は、個人情報を保護する能力のある部門・人員を指名するか、個人情報保護サービスを提供する組織・個人を雇う責任を負う。
3. 政府は、機関・組織内の個人情報保護部門・人員、個人情報保護サービスを提供する組織・個人、個人情報処理サービスの条件や任務について規定する。
第34条 個人情報保護のための標準および技術規範
1. 個人情報保護の標準は、情報システム、ハードウェア、ソフトウェア、管理、運用、処理、保護に関する標準であり、ベトナムで公表され、適用が認められるものである。
2. 個人データ保護に関する技術規範には、情報システム、ハードウェア、ソフトウェア、管理、運用、処理、個人データ保護に関する技術規範が含まれ、ベトナムで構築、公布、適用されます。
3. 個人データ保護に関する標準および技術規範の公布は、標準および技術規範に関する法律の規定に従って行われます。
第35条 個人データ保護の活動の検査
個人データ保護の活動の検査は、本法および政府の規定に従って実施されます。
第IV章 機関、組織、個人の責任
個人データ保護に関して
第36条 個人データ保護に関する国家管理の責任
1. 政府は、個人データ保護に関する国家管理の実施を統一して行います。
2. 警察庁は、国防省の管理範囲に属する内容を除き、個人データ保護に関する国家管理を実施する責任を政府に対して負う中心機関である。
3. 国防省は、管理範囲に属する個人データの保護に関する国家管理を実施する責任を政府に対して負う。
4. 各省、相当機関、政府所属機関は、法律および付与された職務・任務に従い、管理範囲に属する分野・領域に対して個人データ保護の国家管理を行う。
5. 省レベルの人民委員会は、法律および付与された職務・任務に従い、個人データ保護の国家管理を行う。
第37条 個人データ管理者、個人データ処理者、管理者兼処理者の責任
1. 個人データ管理者の責任は次の通りである:
a) 関係者がこの法律および関連法規に基づき個人データの処理に関して遵守すべき責任、権利および義務を明確に示すこと。
b) 個人データ主体との文書や契約において、個人データ処理の目的および手段を決定し、この法律の規定に従った原則および内容を確保すること。
c) 法律の規定に従い、個人データを保護するための適切な管理および技術的措置を実施し、必要に応じてこれらの措置を見直しおよび更新すること。
d) この法律第23条に基づき、個人データ保護の規定違反行為を通知すること。
đ) 個人データ処理のために適切なデータ処理者を選定すること。
e) この法律第4条に基づき、個人データ主体の権利を確保すること。
g) 個人データの処理過程によって生じた損害について、個人データ主体に対して責任を負うこと;
h) 自身のシステム、機器、サービスからの個人データの不正収集活動を防止すること;
i) 個人データの保護において公安省や権限を持つ国家機関と協力し、個人データ保護に関する法律違反行為の調査・処理に必要な情報を提供すること;
k) この法律および関連法規に従い、その他の責任を遂行すること。
2. 個人データ処理者の責任は以下の通りである:
a) 個人データ管理者との間で個人データ処理に関する合意または契約がある場合にのみ、個人データを受け取ることができる;
b) 個人データ管理者との間で締結した合意または契約に従って、個人データを処理すること;
c) 本法および関連法規の定めに従って、個人データ保護のためのすべての措置を実施すること；
d) 個人データ管理者、個人データ管理および処理者に対し、個人データ処理過程によって生じた損害について責任を負うこと；
đ) 自身のシステム、機器、サービスからの不正な個人データ収集活動を防止すること；
e) 個人データ保護に関して、公安省および権限を有する国家機関と協力し、個人データ保護に関する法律違反行為の調査・処理に必要な情報を提供すること；
g) 本法および関連法規の定めに従って、その他の責任を履行すること。
3. 個人データの管理および処理の責任者は、本条第1項および第2項に規定されたすべての条項を完全に実施する責任があります。
第V章 実施条項
第V章. 執行規定
第38条 執行の効力
1. 本法律は、2026年1月1日より施行されます。
2. 小規模企業およびスタートアップ企業は、本法律施行日から5年間、本法律第21条、第22条および第33条第2項の規定を実施するかしないかを選択することができます。但し、小規模企業およびスタートアップ企業であっても、個人データの処理サービスを営む企業、直接に機微な個人データを処理する企業、または多数の個人データ主体のデータを処理する企業はこの限りではありません。
3. 事業者、超小規模企業は、本法第21条、第22条および第33条第2項の規定を実施する必要はない。ただし、個人データ処理サービスを営む事業者、敏感な個人データを直接処理する事業者、または大量の個人データ主体のデータを処理する事業者はこの限りではない。
4. 政府は、本条第2項および第3項の詳細を規定する。
第39条. 移行規定
1. 個人データ主体の同意を得て実施されている、または2023年4月17日付政府令第13/2023/NĐ-CPの規定に従った合意に基づいて行われている個人データの処理活動が、本法施行前に行われていた場合、それらは継続して実施することができ、再度の同意取得や再合意は不要とする。
2. 個人データ処理影響評価の記録、個人データを国外に移転する影響評価の記録は、2023年4月17日付けで政府が発布した第13/2023/ND-CP号の政令の規定に従い、個人データ保護専門機関によって本法律施行日前に受理された場合は、引き続き使用でき、本法律の規定に従った個人データ処理影響評価の記録および越境個人データ影響評価の記録を作成する必要はない。これらの記録が法律施行日以降に更新される場合は、本法律の規定に従って行うものとする。
本法律は、ベトナム社会主義共和国国会第XV期第9回会議において、2025年6月26日に可決された。
国会議長
チャン・タイン・マン