政令356/2025/NĐ-CP – 個人データ保護法の施行細則

政府組織法第63/2025/QH15号法に基づき;

個人データ保護法第91/2025/QH15号に基づき;

デジタルデータ法60/2024/QH15に基づく;

公共調達法、官民パートナーシップによる投資法、税関法、付加価値税法、輸出入税法、投資法、公共投資法、公的資産の管理および使用法第90/2025/QH15号に関するいくつかの条項の修正・補充に関する法律に基づき、

公安省大臣の提案に従って；

政府は、個人データ保護法のいくつかの条項の詳細および施行措置を規定する政令を発布しました。

第I章 総則

第1条 適用範囲

この政令は、個人データ保護法の第2条第2項および第3項、第4条第5項、第6条第3項、第9条第5項、第17条第3項、第20条第7項、第21条第7項、第22条第4項、第23条第5項、第27条第3項、第30条第6項、第31条第4項b、第33条第3項、第35条、第38条第4項の詳細を規定し、個人データ保護法を実施するための措置、個人データ保護に関する研究およびソリューション開発、個人データ保護専門機関、個人データ保護に関する国家情報ポータルの設置、各省庁・部門・地方政府の個人データ保護における責任、個人データ保護活動を確保するための資金について規定する。

第2条 適用対象

1. ベトナム国内の機関、団体、個人;

2. ベトナムに所在する外国の機関、団体、個人;

3. ベトナム市民及び国籍が未確認でベトナムに居住しているベトナム系の個人の個人データ処理活動に直接関与する外国の機関、組織、個人は、身分証明書が発行されています。

第3条 基本個人データの一覧

基本的な個人データには以下が含まれます:

1. 姓、ミドルネーム、出生名、その他の呼称（ある場合）;

2. 生年月日、死亡または行方不明の日付;

3. 性別;

4. 出生地、出生登録地、常住登録地、一時居住登録地、現住所、故郷、連絡先住所;

5. 国籍;

6. 個人の画像;

7. 電話番号、個人識別番号、パスポート番号、運転免許証番号、車両ナンバープレート番号;

8. 婚姻状況;

9. 家族関係に関する情報（両親、子供、妻、夫）;

10. 個人口座番号に関する情報;

11. この政令第4条の規定に該当しない、特定の個人に関連する、または特定の個人を識別するのに役立つその他の情報。

第4条. 機微な個人データの一覧

1. 機微な個人データは以下を含む:

a) 人種的起源、民族的起源を明らかにするデータ;

b) 政治的見解、宗教、信仰についての見解;

c) 私生活、個人の秘密、家庭の秘密に関する情報;

d) 健康状態;

e) 生体認証データ、遺伝的特徴;

f) 個人の性生活、性的指向を明らかにするデータ;

g) 法執行機関によって収集、保存された犯罪、法令違反に関するデータ;

h) 位置情報サービスを通じて特定された個人の位置;

i) 個人の電子認証アカウントのユーザー名およびパスワード、身分証明書、国民IDカード、個人識別カードの画像;

k) 銀行口座のログイン名、アクセス用パスワード；銀行カード情報、銀行口座の取引履歴に関するデータ；金融、信用情報および信用機関、外国銀行の支店、決済仲介サービス、証券、保険、その他許可された機関における顧客の金融、証券、保険活動および取引履歴に関する情報；

l) 通信サービス、ソーシャルネットワーク、オンラインメディアサービスおよびその他のネット空間でのサービス利用行動の追跡データ；

m) 法律で秘密保持が求められる、または厳重な保護措置が必要とされるその他の個人データ。

2. 敏感な個人データを処理する過程において、機関や組織はアクセス制限の権限区分、処理手順および保護措置を確立しなければならない。

第II章 個人データ保護に関する要件および条件

第5条. 個人データ主体の権利の行使

1. 個人データ管理者および個人データ管理・処理を行う者は、個人データ主体の権利を行使するために、個人データの処理活動および関連部門の責任に適合した明確な手順、プロセス、フォームを作成し、個人データ主体が知ることができるようにしなければならない。

個人データ保護法第4条第1項に規定された権利を行使する手続き。

2. 個人データ主体の同意の撤回、個人データ処理の制限、個人データ処理への異議申し立ての要求を受け取った場合、個人データ管理者および個人データ管理・処理者は、個人データ主体の手続きに従い、2営業日以内に回答し、個人データ処理停止の手続きに関する十分な情報を個人データ主体に提供し、15日以内に実施するものとする。ただし、個人データの処理が個人データ主体の同意を必要としない場合は、個人情報保護法第19条の規定に従うものとする。個人データ処理者または第三者に個人データ主体のデータ処理を停止させる必要がある場合は、20日以内に実施するものとする。

要求の性質や複雑さの程度に応じて、処理時間の延長が必要な場合は、最大で1回の延長を行い、延長期間は15日を超えないものとします。個人データ管理者、個人データの管理および処理者は、延長が必要な理由を個人データ主体に通知し、延長が必要かつ合理的であることを証明する責任を負います。

3. 個人データの閲覧、修正、または修正要求を受け取った場合、個人データ主体の手続きに従って個人データを提供し、個人データ管理者および個人データの管理および処理者は、2営業日以内に回答し、手続きに関する完全な情報を個人データ主体に提供し、10日以内に実行するものとします。個人データの処理者や第三者に個人データ主体のデータの修正を依頼する必要がある場合は、15日以内に実施します。

性質や要求の複雑さの程度に応じて、処理時間の延長が必要な場合は、最長10日間の期間内で最大1回の延長が可能とし、個人データ管理者および個人データの管理・処理者は、個人データ主体に延長の必要な理由を通知し、延長が必要で合理的であることを証明する責任を負うものとする。

4. 個人データの主体による適切な手続きに従った個人データの削除要求を受け取った場合、個人データの管理者、管理および処理の担当者は

個人は、2営業日以内に回答し、手続きに関する十分な情報を個人データの主体に提供し、20日以内に実行しなければならない。個人データの主体のデータの提供、削除、処理制限をデータ処理者または第三者に要求する必要がある場合は、30日以内に実行する。

要件の性質や複雑さの程度に応じて、処理期限の延長が必要な場合は、最大で1回、20日を超えない期間で延長することができ、個人データの管理者、個人データの管理および処理者は、延長が必要な理由を個人データ主体に通知し、延長が必要で合理的であることを証明する責任を負う。

5. 個人データ主体の適正な手続きに従って、個人データの保護に関する措置・解決策の実施要請を受けた場合、権限のある機関または個人データの処理に関わる機関、組織、個人は、2営業日以内に回答し、手続きに関する完全な情報を個人データ主体に提供し、15日以内に実施するものとする。

要求の性質や複雑さの程度に応じて、処理時間の延長が必要な場合は、最大で1回の延長を行い、延長期間は15日を超えないものとします。個人データ管理者、個人データの管理および処理者は、延長が必要な理由を個人データ主体に通知し、延長が必要かつ合理的であることを証明する責任を負います。

第6条 個人データ主体の同意の表示方法

1. 個人データ主体の同意を得る方法は、個人データ主体が同意を行ったこと、同意の時点および同意された内容を検証可能であることを保証しなければならず、以下を含む:

a) 書面による;

b) 録音通話による;

c) 携帯メッセージでの同意の構文;

d) 電子メール、ウェブサイト、プラットフォーム、アプリケーション上で同意取得の技術的手段が設定されている場合による;

e) 印刷可能、書面でコピー可能なその他の適切な方法、電子形式または検証可能な形式を含む.

2. データ管理者および個人データを管理・処理する者は、個人データ主体の同意を保存しなければならない。争議がある場合、個人データ主体の同意を証明する責任はデータ管理者および個人データを管理・処理する者に属する。

3. 個人データ管理者は、個人データを管理および処理する側として、デフォルトで同意すると設定したり、不明確な指示を作成したりして、データ主体に同意か不同意かを誤解させてはなりません。デフォルトで用意されている設定は、個人データ保護の原則を確保し、データ主体の権利を尊重するものでなければなりません。

4. 敏感な個人データの処理について同意を求める場合、データ主体には、処理が必要なデータが敏感な個人データであることを通知する必要があります。

第7条 個人データの移転

1. 個人データ保護法第17条第1項のa、c、dに基づいて個人データを移転する団体または個人は、受領者との間で個人データ移転に関する契約を締結し、以下の内容を明記する必要があります。

a) 個人データの移転目的;

b) 個人データの主体および移転される個人データの種類が移転目的に適合していること;

c) 個人データの処理期間、移転目的が達成された後の個人データの削除、破棄の要件;

d) 個人データ移転の法的根拠;

đ) 個人データ移転および処理中の個人データ保護責任;

e) 個人データ主体の権利行使の責任;

g) 個人データ保護規則違反が発見された場合の各当事者の協力および遵守責任。

2. 機微な個人データの移転には、記録装置および伝送装置に対する物理的セキュリティ対策、暗号化、個人データの匿名化、およびその他の移転過程でのセキュリティ対策を講じる必要がある。

3. 個人データ保護法第17条第1項a項およびd項に従って、個人データの主体にサービスを提供するためまたは個人データの主体の合法的利益を目的として有償で個人データを移転する場合、組織や個人は以下の規定を遵守しなければなりません。

(a) 個人データの主体が、移転の目的、受領および処理する組織や個人を正確に理解した上で、移転ごとに正確かつ明確に同意できる透明な技術システムおよびメカニズムを確立しなければならない。

(b) 個人データは、個人データの主体が同意した移転の目的に沿って、登録された業種・事業に適合する方法でのみ処理されなければならない。

(c) 移転される個人データの種類は、移転の目的の範囲内に限定されなければならない。

d) 個人データの移転活動から個人データを収集、保存、データベース化して、データ主体が同意した目的以外の目的に使用してはならないこと。

đ) 個人データの移転活動における個人データ管理者、個人データ処理者、第三者の役割を明確にすること。

e) 個人データを移転・処理する前に、移転・処理に関する契約を結び、データ主体に対する責任と義務を確約すること。

4. 同一機関・組織内の部門間で個人データを、確立された処理目的に適した形で共有する場合、機関・組織は個人データの共有・使用を適正に管理する手続きを構築し、内部職員が個人データを第三者に違法に共有することを防止する措置を講じなければならない。

5. 個人データは、データ取引所で取引される前に匿名化されなければなりません。

6. 個人データ保護法第15条第2項に基づき、主体の具体的な要求に応じて個人データを提供する機関、組織、個人は、データの移転と見なされず、本条の規定に従う必要はありません。

第8条 金融・銀行活動および信用情報活動における個人データの保護

1. 金融、銀行、信用情報活動の分野で活動する組織や個人は、個人データ保護のための基準および技術規格、個人データの識別解除および匿名化の技術規格をベトナムで制定され、適用されているものを適用する責任があります。また、個人データ保護に関する規定への遵守評価を年1回行い、個人データ処理の全ての活動のログを記録すること。

2. 金融、銀行、信用情報活動の分野で活動する組織や個人は、個人データの管理者であり、個人データ主体の同意を得る際に個人データを管理・処理する側として、以下の点を明確に示すことを保証しなければなりません:

a) 個人データの処理目的には、スコアリング、信用格付け、信用情報の評価、必要に応じた信用信頼性の評価を含む。

b) 個人データの収集元および個人データを収集、共有する関連当事者;

c) 個人データの保存期間;

d) 同意の撤回の仕組み、方法および規定に従った個人データの削除、廃棄に関する方針。

3. 金融、銀行、信用情報活動の分野で個人データ主体の機密データの漏洩や紛失が発覚した後、72時間を超えない期間内に、個人データ主体から直接データを収集する組織や個人は、データ保護専門機関に通知する責任がある。

個人および個人データの主体。この通知の内容は、本規則第28条第1項に規定されている最低限の内容を確実に含める必要があります。

第9条 大規模データ処理における個人データの保護

1. 個人データを含むビッグデータの処理とは、個人データを大規模に処理する活動であり、継続的であり、さまざまなソースから統合され、行動を分析したり、トレンドを予測したり、ユーザーを分類する可能性があるものです。

2. 個人データを含むビッグデータを処理する場合、関係する機関、組織、個人は以下の責任を負います：

a) データ処理の開始時点から、個人データ保護に関する規定を遵守すること;

b) 個人データを収集、処理、保存する際には、特定の明確な目的に適合した範囲内でのみ行うこと;

c) 個人データの保存、削除、破棄に関する適切なポリシーを構築し、法令に従うこと。

d) 定期的に従業員に対して個人データの保護および個人データ保護対策に関する教育・周知・意識向上を行うこと、特に個人データを直接扱う人員について。組織内で個人データ保護の重要性に関する意識を高めること。

đ) 第三者、パートナーおよびサービス提供者と、個人データ保護に関する規定を完全に遵守することを保証する契約を結ぶこと。

e) 大規模データ分析システムで個人データが使用される場合に、データ主体に対して適切な通知および説明の機構を設けること。

3. 機関、組織、個人は、大規模データ処理の過程で個人データを保護する措置を適用すること、具体的には:

a) 個人データの保存、処理、伝送の過程で、サイバーセキュリティ、データ保護、個人データの漏えいや損失防止のための措置を適用すること。

b) 強力な認証方法を使用し、少なくとも多要素認証（パスワード、ワンタイムパスワードと組み合わせたPIN、デジタル署名デバイス、または生体認証要素）を要求し、個人データの機密性のレベルに適合させる; 分

アクセス権限は、権限を持つ者だけが個人データにアクセスできるようにするためのものです;

c) 個人データの暗号化および匿名化（特定の個人を識別できるデータを分離して別々に保存・保護するプロセスであり、このプロセス後の個人データは特定の個人を識別できない形で処理に使用される）を、個人データの転送や提供の過程で実施すること。ただし、専門分野の法律で別の規定がある場合、または犯罪防止、マネーロンダリング防止、国家安全保障の確保、顧客の苦情や紛争の処理のために平文のデータの形で処理が必要な場合はこの限りではない。このような場合、機関や組織は個人データが不正にアクセス・使用されないように追加のセキュリティ対策を適用しなければならない。

d) 個人データへのアクセス活動を監視し、異常行動を検出するために継続的な監視を行い、監視ツールを使用すること。

đ) 定期的なサイバーセキュリティおよびデータ保護のチェックと評価を実施し、セキュリティの脆弱性を発見、防止、修復すること。

第10条 人工知能および仮想空間システムにおける個人データの保護

1. 組織および個人は、学習アルゴリズム、人工知能システム、その他の自動システムの研究・開発のために個人データを使用する権利を有するが、個人データ保護に関する規定を遵守しなければならない。

2. 人工知能の推論結果から、特定の個人を識別または識別するのに使用できるデータについては、法律で定める個人データ保護措置を適用しなければならない。

3. 個人データ管理者は、個人データの処理者とともに、データ主体に対して自動的な個人データ処理について通知し、アルゴリズムの動作原理およびデータ主体の権利と合法的利益への影響を説明し、データ主体が参加しない権利を選択できるようにする責任があります。

4. 仮想宇宙（メタバース）とは、ソーシャルメディア、オンラインゲーム、拡張現実（AR）、仮想現実（VR）、インターネット、暗号通貨の要素を組み合わせて、ユーザーが仮想現実技術を使用して相互作用できるデジタル宇宙です。

5. 組織や個人は、人工知能システムや仮想宇宙において個人データ保護措置を適用します。

a) 人工知能システムのためのサイバーセキュリティ基準および包括的なデータ保護基準に対応するシステムを研究、構築、展開し、特に以下の要素に重点を置く：情報の機密性、アルゴリズムの信頼性、システムの安定性、およびサイバー攻撃への防御能力。

b) 人工知能システムの活動を二つの側面で監視する仕組みを確立する：権限を有する国家機関による監視、ならびにデータ主体に対する説明責任を担う個人データ管理者、個人データの管理および処理者による責任。

c) 適切な基準に従った個人データ保護の仕組みを構築し、サイバーセキュリティのリスクを早期に監視・警告するシステムを開発する。

d) 制度の仕組みを整えて、人工知能や仮想宇宙を利用して国家の安全や社会秩序を侵害する行為を防止すること。

đ) 個人データ保護に関する規定の遵守評価を、年1回定期的に実施すること。

6. 個人データの主体は、行動履歴を保存するプラットフォームがあっても、識別情報の修正、匿名化、削除を行う権利を有する。

第11条 ブロックチェーン技術における個人データの保護

1. 関連する機関、組織、個人は、ブロックチェーン技術において個人データを処理する際に、製品、サービス、アプリケーション、システムの研究開発および個人データの処理の過程で、個人データ保護に関する規定を遵守する責任を負う。

2. 機関、組織、個人は、ブロックチェーン技術において個人データを処理する際に、個人データを保護するための措置を適用することを含む。

a) 安全が保証される暗号化アルゴリズム、ハッシュアルゴリズム、署名アルゴリズムのみを適用すること。

b) 個人データをブロックチェーン上に直接保存せず、個人データが匿名化された場合、または個人データのハッシュ値を保存する場合のみ保存すること。

c) 個人データ保護規制への準拠の評価を年に1回定期的に実施すること。

第12条 クラウドコンピューティングにおける個人データの保護

1. 関係する行政機関、組織、個人は、クラウドコンピューティングサービスを導入する際、個人データが不正にアクセスされるのを防ぐための技術的および組織的な措置を適用しなければならない。

2. 個人データの処理に関してクラウドサービス提供者と契約を締結した組織および個人は、次の責任を負うものとする。

a) 契約内容の中で、個人データ保護に関するベトナムの法律の規定を遵守すること、個人データ保護の担当部門・担当者に関する情報を提供すること、法律の定めに従った個人データ保護に関連する行政手続きを遵守することを明記すること;

b) 個人データの処理フロー、クラウドサービス提供活動における各関係者の役割およびそれに対応する責任を明確にすること;

c) 契約において明確に定められた、セキュリティ、技術、組織上の対策に関する要件を含めること;

d) 個人データに影響を与える可能性のある変更があった場合、関係者に直ちに通知すること;

đ) 個人データ処理の期限、個人データの削除および破棄に関する要求を遵守すること;

e) 個人データ主体の権利を確実に行使することを保証すること;

g) 個人データへのアクセス権が合理的に階層化されるよう、技術的な対策を十分に実施すること.

3. クラウドコンピューティングサービスを提供する組織:

a) ベトナムの個人データ保護規定を遵守し、個人データ保護部門や担当者に関する情報を提供し、法律の定める個人データ保護に関する行政手続きを遵守すること。

b) 下請け業者に対し、法律の定める個人データ保護に関する規定および義務を実施するよう求めること。

c) 自らの個人データ処理の規模や程度に応じた技術的および組織的手段を適用すること。

d) 個人データ保護に関する規定の遵守評価を年1回、定期的に実施すること。

4. クラウド上の個人データは、保存時および転送時に暗号化され、厳格なアクセス権限管理を伴うこと。

第13条 個人データ保護担当者および機関・組織における個人データ保護部門の要件

1. 個人データ保護担当者または個人データ保護部門の指定は、当該機関・組織の公式文書で行わなければならない。文書には、個人データ保護業務に関する任務、職責、権限およびその他の要件の割り当てが明示されていること。

2. 機関・組織が指定する個人データ保護担当者は、以下の要件を満たす必要がある:

a) 高等専門学校以上の学歴を有すること;

b) 卒業時点から少なくとも2年間、法律、情報技術、サイバーセキュリティ、データセキュリティ、リスク管理、コンプライアンス管理、人事管理、組織管理のいずれかの分野に関連する業務経験を有すること;

c) 個人データ保護に関する法知識および専門技能の研修・訓練を受けていること。

3. 個人データ保護部門を設置する機関や組織の場合、その部門の人員は本条第2項に規定された能力要件を満たさなければならない。

4. 機関や組織は、個人データ保護担当者の評価および選定に責任を負う。

5. 機関や組織は、個人データ保護担当者と守秘義務に関する合意を締結し、保護される個人データに対する違反や損害が発生した場合の責任免除について合意することができる。

6. 機関や組織は、個人データ保護担当者や個人データ保護部門を指名し、個人データ保護担当者に対して個人データ保護に関する知識や技能の研修・育成を行う責任を負う。

第14条 個人データ保護部門および機関や組織内の個人データ保護担当者の職務

1. 個人データ保護部門の機能および職務は以下の通りである:

a) 個人データ保護に関する法律規制を遵守するための方針、手続き、規定、様式の整備を組織すること;

b) 個人データ主体の権利を実施することを組織すること;

c) 個人データ保護に関する法律遵守の現状を定期的に評価し、法律で定められた義務の履行度を評価する報告書を用いて、法律遵守の効果を高め、データ処理活動におけるリスクを防止・管理する措置を提案すること;

d) 国境を越える個人データの転送影響評価報告書、個人データ処理影響評価報告書の作成、個人データ保護違反の受付および報告、関連当局によるその他の要求事項の実行を行うこと;

đ) 組織内で個人データ保護に関する定期的な研修・訓練計画を策定し、実施すること;

e) 個人データを保護するための技術的措置、個人データ保護の基準・規格、個人データ保護の緊急対応計画を実施するための組織を展開すること。

g) 個人データ保護に関連する決定を研究し、提案すること。

2. 個人データ保護担当者の任務は以下の通りである:

a) 個人データ保護に関する法規制を遵守するための方針、手順、規則、様式の策定を助言すること。

b) 個人データ主体の権利を実施するために参加すること。

c) 定期的に活動に参加して、個人データ保護に関する法令遵守の現状を評価し、法令遵守の効果を高め、リスクを予防および管理するための措置を提案すること。

d) 個人データの国境を越えた移転に関する影響評価書、個人データ処理に関する影響評価書を作成し、受理および報告すること。

個人データの保護に関する違反および規定に従って権限を有する機関のその他の要求への対応

đ) 個人データ保護に関するプログラムや研修コースに参加すること;

e) 個人データ保護の技術的措置、個人データ保護に関する基準や規範、個人データ保護事故の緊急対応計画の実施に参加すること。

第15条 個人データ保護サービスを提供する個人

1. 個人情報保護サービスを提供する個人は、本条第2項に定める能力条件を満たし、機関または組織により個人情報保護担当者として雇用される者であること。

2. 個人情報保護サービスを提供する個人は、次の能力条件を十分に満たさなければならない:

a) 高等専門学校以上の学歴を有すること;

b) 法務、個人データの処理、サイバーセキュリティ、データセキュリティ、リスク管理、コンプライアンス管理のいずれかの分野に関して、少なくとも3年間の業務経験（卒業時から）を有すること;

c) 個人情報保護に関する法的知識および専門的技能について、専門的な研修・教育を受けていること。

3. 個人情報保護サービスを提供する個人を雇用する必要がある機関や組織は、本条第2項に従って能力条件を検討し、個人情報保護人材の使用契約を締結し、個人情報保護人材に関する情報を当該個人情報主体および関係者に公開するものとする。

4. 個人情報保護サービスを提供する個人は、以下の責任を負う。

a) 契約や合意に記載された範囲および任務に従ってサービスを実施すること。

b) サービス提供を利用して法令違反行為を行わないこと。

c) 契約完了後、かつ法令に従い、サービス提供中に処理した個人データを削除、廃棄すること。

第16条 個人情報保護サービスを提供する組織

1. 個人情報保護サービスを提供する組織は:

a) 個人データ保護規制の遵守に関する助言を行い、契約に基づいて個人データ保護の業務を実施するために、機関や組織から雇われる、技術、法務または技術・法務に関するコンサルティング業務を有する組織や企業であること。

b) 本法第15条第2項に定める能力条件を満たす最小3名の人員を有すること。

c) セキュリティ、サイバーセキュリティ、情報技術、標準評価、個人データ保護に関するコンサルティングに関連する製品またはサービスを提供したことがあること。

2. 個人データ保護サービスを提供する組織は、個人データを保護する能力を証明する能力書類を作成し、サービスの利用を希望する機関や組織に提供しなければなりません。書類には、業種、事業分野、規模、範囲、サービス提供の経験、サービス提供の方針、基準、人材の能力および関連する証明書や文書が明示されている必要があります。

3. 個人データ保護サービスを利用する必要がある機関や組織は、能力審査を行い、サービス利用契約を締結し、個人データの処理に関する契約を個人データ保護組織と結ぶ。また、当該個人データ保護組織の情報を個人データの主体や関係者に公開する。

4. 機関や組織は、必要に応じて、個人データ保護担当者や個人データ保護部門を同時に任命することができ、個人データ保護サービスを提供する個人や組織を雇用することもできる。

5. 個人データ保護サービスを利用する機関や組織との契約に基づき、個人データ保護サービス提供組織は、当該機関や組織の個人データ保護部門の業務を遂行する。

6. 個人データ保護サービス提供組織には次の責任がある:

a) 契約や合意に記載された範囲および任務に従ってサービスを実施すること。

b) サービス提供を利用して法令違反行為を行わないこと。

c) 契約完了後、かつ法令に従い、サービス提供中に処理した個人データを削除、廃棄すること。

第III章. 個人データに関する書類、手順、手続

第17条 個人データの越境移転

1. 個人データ管理者、個人データ管理・処理者、個人データ処理者および第三者は、次の場合に個人データの越境移転を実施する。

a) 個人データをベトナムで収集・保存した後、そのデータをベトナム社会主義共和国の領域外にあるサーバーシステムまたは海外のサービス提供者のクラウドサービスに移転して保存する行為。

b) ベトナムの機関、組織、個人から、海外の受取人である組織または個人に個人データを移転する行為。

c) ベトナムで収集された個人データを処理し、その後ベトナム社会主義共和国の領域外のプラットフォームに移転してさらに処理する行為。

2. 個人データ保護を専門に担当する機関は、以下の場合に越境個人データの提供者に対して越境個人データの提供を中止するよう要求することを決定する：

a) 提供された個人データが国防や国家安全保障を侵害する活動に使用されていることが判明した場合;

b) 個人データ保護に関する規定に違反する行為があり、それが国防や国家安全保障に損害を与える可能性がある場合。

3. 個人データ保護法第20条第6項のa、b、c号に定める場合を除く他のケースでは、越境個人データの影響評価に関する規定を実施する必要はない。これには次の場合が含まれる：

a) 法律に基づく報道・メディア活動;

b) 法律に基づき公開されている越境個人データの提供。

c) 緊急の状況において、個人の生命、健康および財産の安全を守るために国境を越えた個人データの提供が実際に必要である場合；法律で規定された任務や義務を遂行するため；

d) 労働規則、労働条件、及び集合的労働協約に従って、国境を越えた人事管理のために個人データを国境を越えて移転する活動；

đ) 契約を締結するため、または国境を越えた運送、物流、送金、決済、ホテル、ビザ申請、奨学金申請に関連する手続きを実行するための国境を越えた個人データの提供。

第18条 国境を越えた個人データ移転の影響評価に関する条件、手順、手続き、必要書類

1. 国境を越えた個人データの転送活動を行う機関、組織、個人は、個人データ保護法第20条第1項の規定に従い、この条に規定された国境を越えた個人データ転送の影響評価書を作成しなければならない。

2. 国境を越えた個人データ転送の影響評価書には以下が含まれる:

a) 本令の付属書にあるフォーマット番号09による国境を越えた個人データ転送影響評価報告書;

b) 国境を越えた個人データを転送する機関、組織、個人および受け取る側との間の拘束力や責任を示す個人データ転送契約書または文書の写し;

c) 国境を越えた個人データ転送活動を行う機関、組織、個人の個人データ保護に関する方針、手順、規定、フォームおよびその他関連文書。

3. 国境を越えた個人データ転送影響評価報告書には以下の内容が含まれる:

a) 個人データを移転する側、個人データを受け取る側、個人データを処理する側および個人データの越境移転に関連するその他の関係者の情報および連絡先の詳細。

b) 個人データ保護部門や担当者の連絡先、個人データ移転側および受領側が利用する個人データ保護サービスの組織・個人（ある場合）の詳細。

c) 個人データ越境移転の目的の説明と理由、越境転送される個人データの種類、個人データの越境移転および処理に関する詳細な活動、個人データ処理フロー図。

d) 個人データ主体の同意取得の実施方法、個人データの保存、削除、破棄に関するポリシーの説明と理由。

đ) 国境を越えて転送された後の個人データの安全性を保証するための方策、個人データの保護措置、適用される個人データ保護基準;

e) 国境を越えて個人データを受領した後の、個人データの保存・処理システムのシステム図および機能説明;

g) 国境を越えて個人データを受領した側が第三者に個人データを移転・提供する際の手順;

h) 国境を越えた個人データの転送活動を行う機関、組織、個人による個人データ保護規制遵守の自己評価結果;

i) 個人データの受領者による個人データ保護の程度評価、国境を越えた個人データの転送・処理による影響度・リスク評価、発生しうる望ましくない結果・損害およびそのリスクを軽減または排除するための措置。

4. 国境を越える個人データ移転の影響評価記録は、個人データ保護の専門機関による検査や評価活動にいつでも利用できるように整えておく必要があります。

国境を越える個人データ移転を行う側は、個人データ保護の専門機関に対し、この政令の附属書にある様式01a/01bを添えて、完全な記録の正本をオンライン、直接、または郵便サービスにより提出しなければならず、提出期限は国境を越える個人データの移転を行った日から60日以内です。

5. 個人データ保護の専門機関は、国境を越える個人データ移転の影響評価記録に対して評価を行い、要件を満たすか満たさないかの結果を15日以内に返答します。

6. 個人データ保護を専門とする機関は、個人データの越境移転に関する評価書が不完全または規定に適合していない場合、個人データの越境移転を行う者に対して、30日以内に越境個人データ移転の影響評価書を完成させるよう求めます。個人データを移転する者が規定に従って評価書を完成させない場合、個人データ保護を専門とする機関は、個人データ保護分野における行政罰規定の適用を検討します。

7. 個人データを越境移転する者は、本法第20条の規定に従って、越境個人データ移転の影響評価書を更新および補充します。

第19条 個人データ処理の影響評価の条件、手順、手続き、書類構成

1. 個人データ管理者、個人データ管理・処理者、個人データ処理者は、個人データの処理を開始した時点から、自身の個人データ処理影響評価（DPIA）の記録を作成・保存するものとする。

2. 個人データ管理者、個人データ管理・処理者、個人データ処理者の個人データ処理影響評価の記録には以下が含まれる:

a) この政令の付属書にある様式10に基づく個人データ処理影響評価報告書;

b) 個人データ処理に関する契約または合意の写しで、個人データ処理活動における組織や個人間の拘束力や責任を示すもの;

c) 個人データ管理者、個人データ管理・処理者、個人データ処理者の個人データ保護に関する方針、手順、規則、様式及びその他関連文書。

3. 個人データ処理影響評価報告書には以下の内容が含まれる:

a) 個人データ管理者、個人データ管理及び処理者、個人データ処理者、第三者の情報および連絡先の詳細;

b) 個人データ保護部門や担当者の連絡先、個人データ保護サービスを提供する組織や個人（存在する場合）の連絡先（個人データ管理者、個人データ管理及び処理者、個人データ処理者、第三者);

c) 個人データ処理の目的、処理される個人データの種類、個人データ処理の詳細な活動および個人データフロー図の記述と説明;

d) 個人データ主体の同意取得の実施方法、個人データの保存、削除、破棄に関するポリシーの説明と理由。

d) 個人データの安全確保計画、個人データ保護の手段、システム設計図、適用される個人データ保護基準;

e) 個人データ保護規制の遵守状況の評価結果;

g) 個人データの処理活動の影響度、リスクを評価し、発生する可能性のある不測の結果や損害、それらのリスクや危険を軽減または除去するための措置を明らかにすること。

4. 個人データ処理影響評価書は、個人データ保護を担当する機関による検査・評価活動に常に利用可能な状態にしておく必要があり、処理を行った日から60日以内に、本法令の付属書にある様式02a/02bを添えて、オンライン、直接、または郵便サービスで個人データ保護担当機関に正式コピーを提出しなければならない。

5. 個人データ保護専門機関は、個人データ処理影響評価書について、要件を満たしているかどうかを15日以内に評価し、結果を通知する。

6. 個人データ保護専門機関は、不完全または規定に適合していない場合、個人データ管理者、個人データ管理・処理者、個人データ処理者に対して、30日以内に個人データ処理影響評価書の完成を求めて評価を行う。個人データ管理者、個人データ管理・処理者、個人データ処理者が規定に従って書類を完成させない場合、個人データ保護専門機関は個人データ保護分野における行政違反処罰規定の適用を検討する。

7. 個人データ管理者、個人データ管理・処理者、個人データ処理者は、本法第20条の規定に従って、個人データ処理影響評価の記録を更新・補足する。

第20条. 個人データ処理影響評価の記録および越境個人データ移転影響評価の記録の更新

1. 個人データの越境移転記録および個人データ処理影響評価の記録は、初回提出時から6か月ごとに定期的に更新される。更新が必要な場合は以下の通りである:

a) 新たな個人データ移転の目的、新たな個人データ処理の目的が発生した場合;

b) 個人データ管理者、個人データ管理・処理者、個人データ処理者、第三者に変更が発生した場合。

2. 変更が発生した場合、10日以内に直ちに更新する必要がある場合は以下の通りである:

a) 機関、組織、部門が法律の規定に従って再編成される、活動を終了する、解散する、破産する場合;

b) 個人情報保護サービスを提供する組織または個人に関する情報が変更された場合;

c) 個人データ処理影響評価申請書、越境個人データ移転影響評価申請書に登録された個人データ処理に関連する産業、職業、事業サービスが発生または変更された場合。

3. 個人データ処理影響評価書および国境を越える個人データ移転影響評価書の更新は、本法令付属書の様式03a/03bに従って行われ、オンライン、直接、または郵便サービスを介して個人データ保護の専門機関に提出されます。

第21条 個人データ処理サービス

1. コントローラーの代わりに、またはコントローラーとプロセッサーが個人データを処理するために自動システムやソフトウェアを提供・運用するサービス。

2. データ主体の信用度をスコア化、ランキング付け、評価するサービス。

3. ウェブサイト、アプリケーション、ソフトウェア、ソーシャルネットワークからオンラインで個人データを収集・処理するサービス。

4. 健康管理、健康モニタリング、医療サービスのウェブサイト、アプリケーション、ソフトウェアを通じて個人データを収集・処理するサービス。

5. 出席確認、録画、行動評価、感情認識などの監視要素を含む教育用アプリケーションやソフトウェアを通じた個人データの収集・処理サービス。

6. 個人データの分析および活用サービス、以下を含む：個人データから情報、傾向、パターンを探すための分析ツールの使用；個人データから価値を抽出するためのデータマイニング手法の適用、ユーザー行動の予測またはサービスの最適化。

7. 個人データの送信および保存中の暗号化サービス。

8. ビッグデータ、人工知能、ブロックチェーン、仮想宇宙技術に基づく個人データの自動処理サービス。

9. 個人の位置情報を提供するアプリケーションプラットフォームサービス。

第22条 個人データ処理サービス事業者の条件

1. ベトナムの法律に基づき設立され、活動している組織または企業であり、本条に規定された条件を満たすこと。

2. 人員に関する条件:

a) 組織の個人データ処理に関する専門責任者はベトナム国籍を有し、ベトナムに常住していること;

b) 個人データ処理の専門要件を満たす管理・運営チームを有すること;

c) 本法令第13条第2項に規定された条件を満たす最低3名の人員を有すること。

3. 個人データ処理サービスに適したインフラ、設備、施設および技術を有すること。

4. 個人データ処理影響評価書と、越境個人データ処理の場合には越境データ影響評価書に対して要求事項を満たす結果を有すること。

第23条 個人データ処理サービス事業者の責任

1. 個人データ保護に関する法規制を完全に遵守すること。個人データを管理・処理する側および個人データを処理する側の責任と義務を履行すること。

2. 提供するサービスに適した個人データ保護リスクの管理枠組みを構築すること。

3. 個人データ保護の遵守状況および信頼性のレベルを定期的に（年1回）評価すること。

4. データセキュリティ、個人データ保護、サイバーセキュリティに関連する基準および規範を適用すること。

5. 個人データの処理における組織の責任と権限に関する規定を整備すること。

6. 個人データの処理を適切な目的で行い、収集、転送、保存を適法および適合的に制限すること。不正アクセス、収集、使用、開示、または個人データ処理活動における類似のリスクを防止すること。

7. 個人データを処理する側の場合、個人データを提供する前にデータ管理者に対してデータ主体の同意を求めることを義務付け、データ主体が処理される個人データの種類、処理目的、および個人データ処理サービスを提供する組織について知ることができるようにすることを保証する。

8. 個人データ処理サービスを提供する事業組織は、電子的な識別および認証に関する法律に基づき、組織の身元確認を行う。

第24条 個人データ処理サービスの提供事業の条件を満たしていることを証明する証明書の交付、再交付、変更、取り消しの権限

1. 内務省は、個人データ処理サービスを提供する条件を満たしていることを証明する証明書の交付、再交付、変更、取り消しを行う。

2. 公安大臣は、個人データ保護の専門機関に対し、規定に従って個人データ処理サービス提供の適格証明書の発行、再発行、更新、回収を行う責任を課す。

第25条 個人データ処理サービス事業適格証明書の発行に関する書類、手順、手続き

1. 個人データ処理サービス事業適格証明書の発行申請書類は以下の通りである:

a) 本政令の付属書にある様式番号04に従った、個人データ処理サービス事業適格証明書発行申請書;

b) 会社登記証明書の写し;

c) 個人データ保護部門の指名文書、または規定に従った個人データ保護サービス利用契約書;

d) 個人データ処理サービス事業適格証明書の発行を申請するための計画書.

đ) 本規定第22条第2項b項に掲げる人員の資格及びその他の証明書類;

e) 政府機関がデータベースを基に情報を取得できる場合、この項bで定める書類を提出する必要はない。

2. 個人データ処理サービス事業の適格証明書の発行を申請する計画書は、以下の内容を含むものとする:

a) 必要性、目的;

b) 承認を求める内容、分野;

c) 業種、事業分野、事業計画;

d) 想定される個人データ処理活動の規模;

đ) 個人データ保護に関するリスク管理の枠組み;

e) 個人データ保護の遵守状況および信頼性の定期評価計画;

g) データセキュリティ及び個人データ保護に関する基準・規格の適用;

h) 電子認証及び認証サービスの利用方針;

i) 個人データ処理における組織の責任および権限;

k) 規定に従った資格のある人員。

3. 組織は、個人データ処理サービスの営業許可証の交付を申請する書類一式を、オンライン、直接、または郵便サービスを通じて個人データ保護専門機関に提出する。

個人データ保護専門機関は、個人データ処理サービスの営業許可証交付申請書類の評価を、10日以内に適合か不適合かを判断する。書類が不完全または規定に沿っていない場合、個人データ保護専門機関は、組織に対して書面で通知し、15日以内に書類を補完・完成させるよう求め、その理由を明示する。

4. 正規の書類を受理した日から30日以内に、個人データ保護の専門機関は審査、検討を行い、本政令附則の様式第05に従った個人データ処理サービス事業適格証明書の発行を決定する。個人データ処理サービス提供適格証明書は紙媒体および電子媒体で発行される；紙媒体は、直接提出の場合、郵送サービスを通じた場合、またはオンラインで行政サービスポータルを通じて提出する際に要求があった場合に発行される。もし発行されない場合、個人データ保護の専門機関は組織に文書で通知し、その理由を明確に示す。

第26条 個人データ処理サービス事業適格証明書の再発行、更新発行に関する書類、手順、手続き

1. 紛失または破損した場合、個人データ処理サービス事業適格証明書の紙媒体を再発行する。

a) 組織が紙のコピーの再発行を希望する場合は、本法令の付録にある様式第05号の申請書を、オンライン、直接提出、または郵送サービスにより個人データ保護担当機関に送付するものとします。

b) 個人データ保護担当機関は、規定に従って申請書を受理した日から5営業日以内に、個人データ処理サービス事業適格証明書の再発行を審査・発行します。再発行できない場合は、理由を明記した文書による通知を行わなければなりません。

2. 情報の誤りや個人データ処理サービス事業適格証明書の内容変更があった場合の交換発行。

a) 書類は以下を含むものとする：本法令の付録にある様式第06による申請書；既に発行された証明書上の情報の誤りや情報内容の変更を証明する書類・資料。

b) 組織は、前項aで定める書類一式をオンライン、直接、または郵便サービスを通じて個人データ保護の専門機関に提出する。個人データ保護の専門機関は、前項aで規定された書類を完全に受け取った日から5労働日以内に、個人データ処理サービス事業の適格証明書の更新・交付について審査・決定するものとする。交付しない場合は、理由を明記した書面による通知を行わなければならない。

第27条 個人データ処理サービス事業の適格証明書の取り消し

1. 以下の場合に個人データ処理サービス事業の適格証明書を取り消すものとする:

a) 本規則第26条第1項および第2項に定められた条件のいずれかを満たさない場合;

b) 12か月以上サービスを営業していない場合;

c) 法律の規定に従って解散または破産した場合;

d) 権限を有する国家機関の要求に従い、個人データ保護、情報セキュリティ、ネットワークセキュリティ、データセキュリティに関する違反を是正しない場合;

e) 自ら停止または活動終了の申請を行った場合。

2. 個人データ保護専任機関は、本規則の付属書にある様式07に基づく個人データ処理サービス事業の適格証明書の取り消しを決定する。

3. 個人データ処理サービス事業者は、取り消し決定を受領した日から5営業日以内に、発行された証明書を個人データ保護専任機関に返却する責任を負う。

4. 個人データ保護の専門機関は、個人データ処理サービスの事業適格証明書の回収に関する決定を発行し、個人データ保護に関する国の情報ポータルで通知するものとする。

第28条 個人データ保護規定違反の通知内容

1. 個人データ保護規定違反の通知内容は、以下を含むものとする。

a) 個人データ保護規定違反の性質の説明、具体的には、時間、場所、行為、組織、個人、各種個人データおよび関連データの数量を含む。

b) 個人データ保護部門、担当者、または個人データ保護サービスを提供する組織、個人の連絡先の詳細。

c) 個人データ保護規定違反により発生しうる結果および損害の説明。

d) 個人データ保護規定違反行為の影響を解決または軽減するために講じられる措置の説明。

2. 個人データ管理者、個人データ管理・処理者、および第三者処理者は、この政令の付録にある様式第08号に従い、個人データ保護専門機関または国家個人データ保護情報ポータルを通じて、個人データに関する規則違反の通知を送付します。

第29条 個人の位置データおよび生体データに関する違反通知

1. 位置データまたは生体データに関連する個人データ違反事故が発生した場合、個人データ管理者または個人データ管理・処理者は次の責任を負います。

a) 違反発覚から72時間以内に影響を受けたデータ主体に通知すること。

b) 本法令第28条の規定に従い、権限を有する国家機関に報告すること;

c) 違反記録の記録、保存および更新を行い、監査、検査および処理業務に活用すること。組織は、事故が修復された日から最低5年間、違反記録を保存する必要がある。

2. 本条第1項a号に従いデータ主体に通知する場合、少なくとも以下の内容を含むものとする:

a) 違反の発見時点および方法;

b) 影響を受けたデータの種類（位置情報、生体情報、またはその両方）;

c) データ主体の権利および合法的利益に対する深刻度および起こり得るリスク;

d) 事故を修復し被害を軽減するために既に行った、現在行っているおよび今後行う措置;

đ) データ主体が今後の予防および防止措置を実施するための指導;

e) 個人データ保護部門の連絡先情報、個人データ保護責任者または個人データ保護サービスを提供する組織・個人; 組織内の個人データ事故の受付および対応部門。

3. 組織や個人が、技術的理由や緊急のために、本条第1項で定められた期間内に影響を受けた全ての個人データ主体に通知できない場合、以下を実施しなければならない:

a) 組織の公式電子媒体（ウェブサイト、アプリ）による公表通知;

b) 技術的条件が許す限り、関連する個人データ主体に速やかに通知を送付すること。

4. 組織や個人が期限内に通知を行わない、または意図的に通知義務の遅延や回避を行った場合、法律の規定に従って違反行為として処理されるものとする。

第IV章 個人データ保護業務の実施

第30条 個人データ保護に関する国際協力の実施責任

1. 個人データ保護に関する専門機関は、個人データ保護に関する国際協力を実施するにあたり、公安省を支援する責任を負う。

2. 省、中央省庁に相当する機関、政府所属機関は、法律の規定および与えられた職能・任務に従って、管理範囲に属する分野に対して個人データ保護に関する国際協力を実施する。

3. 省レベルの人民委員会は、法律の規定および与えられた職能・任務に従って、個人データ保護に関する国際協力を実施する。

第31条 個人データ保護活動の監査

1. 個人データ保護活動の監査は、通常、臨時に、次の場合に行われる。

a) 個人データ保護に関する法律違反の行為を疑う根拠がある場合。

b) 個人データ保護に関する国家管理権限を有する機関または者からの指示がある場合。

c) 法律の規定に従って国家管理業務を実施する場合。

2. 個人データ保護活動の検査対象には以下が含まれる:

a) 個人データを処理する活動を行う機関、組織、個人;

b) 個人データ処理サービスを提供する組織、個人;

c) 個人データ処理の影響評価および国境を越えた個人データ移転の影響評価を実施する義務のある機関、組織、個人;

d) 個人データ保護規則の違反に関連する機関、組織、個人。

3. 個人データ保護業務の検査内容:

a) 個人データ保護業務の遵守状況;

b) 個人データ処理の影響評価および国境を越えた個人データ移転の影響評価活動;

c) 個人データ処理サービスの事業活動。

4. 個人データ保護専門機関は、第2項に規定された検査対象に対し、検査の時間、内容、検査団の構成について、検査決定を発行し、少なくとも15日前に通知するものとする。ただし、個人データ保護に関する法令違反行為を迅速に確認、発見、阻止するために臨時検査を行う場合、個人データ保護専門機関は事前通知なしで直ちに検査を実施する権利を有する。

5. 検査対象者は、第3項に基づく規定および個人データ保護専門機関が発行する検査決定における具体的要求に従って、検査内容を十分に準備しなければならない。

第32条 個人データ保護のための研究、開発

個人情報保護のためのソリューションの研究、開発、応用に参加する機関、組織、企業および個人には、以下が含まれる：

1. 個人情報を保護するためのソフトウェアシステムおよび機器の構築；

2. 標準を満たす個人情報保護ソフトウェアおよび機器の評価方法；

3. 提供されたハードウェアおよびソフトウェアが正しい機能を実行しているかの検査方法；

4. 個人情報保護に関する規制の遵守の記録と管理；

5. 個人情報の漏えいおよび紛失のリスクへの対応；

6. 個人情報保護に関する意識とスキルを向上させる技術的イニシアチブ；

7. 統計および科学的業務のための個人データ処理；

8. 個人情報の主体が自分のデータを管理し、選択的開示のメカニズムに従ってデータを提供・共有するソリューション、高度技術および戦略技術を応用し、国際基準・規範に適合させる；

9. 個人情報保護のための標準；

10. 個人データ保護に関するその他の法律に適合する対策。

第33条 個人データ保護に関する国家管理の内容

1. 権限に基づき、または国家機関に提出して個人データ保護に関する法規範文書を公布することを行い、個人データ保護に関する法律を実施する組織。

2. 個人データ保護に関する戦略、政策、計画、プロジェクト、プログラム、計画を策定し、実行すること。

3. 法律に基づき、個人データ保護に関する手段、手順、基準、規範について、機関、組織、個人を指導すること。

4. 個人データ保護に関する法律の普及、教育を行い、個人データ保護に関する知識、スキルの伝達・普及を行うこと。

5. 個人データ保護に関する人材の育成、訓練、研修、開発を行うこと。

6. 個人データ保護に関する違法行為の監査、検査、表彰、苦情や告発の処理、および法律に基づく対応。

7. 個人データ保護の状況と個人データ保護に関する法律の実施に関する統計、情報、報告を権限ある国家機関に提供すること。

8. 個人データ保護に関する中間評価、総括、科学的研究の組織; 個人データ保護に関する科学技術の進歩の研究および応用。

9. 個人データ保護に関する国際協力。

第34条. 内務省の責任

1. 政府が個人データ保護に関する国家管理を統一して実施できるよう支援すること。

2. 個人データ保護に関する法律規定の実施を指導する法規文書の作成、発布、または権限ある国家機関への提出とその執行の指導を主導すること。

3. 個人データ保護活動の指導、実施、ならびに個人データの主体の権利を個人データ保護法の違反行為に対して保護すること。

4. 個人データ保護の技術標準および規範、個人データの非識別化および匿名化の技術規範を科学技術省と協力して作成し、ベトナムで制定および適用することを主導すること。

5. 個人データ保護に関する国家情報ポータルサイトの構築、管理、運営。

6. 個人データ保護に関する法律の普及啓発、教育、指導、および個人データ保護担当者に対する知識とスキルの研修を実施すること。

7. 個人データ保護に関わる機関、組織、個人の業務成果を評価し、暫定報告および総括を行うこと。

8. 個人データ保護に関する科学研究を促進すること。個人データ保護の分野で革新をもたらすため、個人データ保護に関する科学技術の進歩を研究・応用すること。

9. 個人データ保護に関する国際協力活動を展開すること。

第35条 国防省の責任

1. 内務省や関連機関・組織と協力し、個人データを保護するための人員や手段を配置し、個人データ保護に関する規定の違反行為を発見・阻止すること。

2. 職務の範囲内で、与えられた任務に従い、主導または公安部と協力して、管理の対象となる機関、組織、個人に対する個人データ保護業務の成果を評価する; 個人データ保護の措置の適用を促進する; 国防活動に役立つ個人データの処理および保護における先進的なセキュリティ技術を研究・応用する; 法律の規定に従い、管理の対象となる個人データ保護に関する国際協力を実施する。

3. 管理の対象となる将校、職業軍人、公務員、職員に対して、個人データ保護に関する法律および知識、スキルの宣伝、普及、教育を組織する。

4. 法律の規定および与えられた職務に従い、国防省の管理対象となる機関、組織、個人に対する個人データ保護に関する規定違反の監査、検査、監視、違反処理を行う。

第36条 科学技術省の責任

1. 個人データ保護のための基準、技術規格、個人データの非識別化、匿名化に関する技術規格の策定において、公安省と協力し、これらの技術規格がベトナムで発布・適用されるようにすること。

2. 公安省及び関連機関と協力して、先端技術、高度技術、戦略的技術を適用した個人データ保護措置の研究、開発、習得、適用を行い、科学技術プログラムを通じて、デジタル政府、デジタル経済、デジタル社会の発展過程での個人データ保護のためのソリューション、製品、サービスを形成すること。

第37条 省、同等機関、政府所属機関の責任

1. 法律の規定に従い、管理範囲に属する分野や領域における個人データ保護に関する国家管理を実施すること。

2. 本政令における個人データ保護の内容および任務を構築し、実施すること。

3. 各省庁の任務の構築および遂行において、個人データ保護に関する規定を補充すること。

4. 管理範囲内の各機関において個人データ保護の担当者および部門を配置し、法令に基づく個人データ保護の職務能力、職務に適した人材、および専門要件を満たすようにすること。

5. 現行の予算管理階層に従い、個人データ保護活動に必要な経費を配分すること。

6. 個人データ保護に関して、職員、公務員、官僚、および管理範囲内の各機関に対し、法令の普及啓発、専門知識および技能の研修を組織すること。

7. 管理範囲内の個人データ保護に関する規定違反の監査、点検、監視および処理において、公安省と協力すること。

8. 個人データ保護に関する基準および技術規範の作成と適用を指導し実施するにあたり、公安省や科学技術省と協力すること。これには、管理範囲に属する機関、組織、および個人が含まれる。

第38条 省および中央直轄都市人民委員会の責任

1. 個人データ保護に関する法律の定めに従い、管理する分野・業界に対して国家による管理を行うこと。

2. 本法令における個人データ保護の規定を実施すること。

3. 管理対象の単位において、個人データ保護の担当人員および部門を配置し、法令で定められた個人データ保護に関する能力条件、職務に適合した専門要件を満たすことを確保すること。

4. 現行の予算管理体系に従い、個人データ保護活動を支えるための経費を配置すること。

5. 地域内の職員、公務員、職務従事者、住民および企業に対して、個人データ保護に関する法律や知識、スキルの普及啓発を行うこと。

6. 各行政レベルで個人データ保護業務に従事するスタッフの能力向上のための研修を組織し、行政改革およびデジタル転換プログラムに個人データ保護の内容を組み込むこと。

7. 地方における個人データ保護の状況について、統計、集計および定期報告を作成し、個人データ保護の専門機関に規定に従って提出するシステムを構築すること。

第39条 個人データ保護専門機関および個人データ保護に関する国立情報ポータル

1. 個人データ保護専門機関は公安省に属する機関であり、公安省大臣が個人データ保護に関する国家管理機能を遂行するのを支援する責任を負う。

2. 個人データ保護に関する国のポータルサイトは、個人データ保護に関する党の方針、路線、政策、および国家の法律に関する広報情報を提供する場所である。機関、組織、個人に対して個人データ保護の指導、認識向上、スキル向上を支援し、関連する機関、組織、個人からの意見や提案を受け取り、処理する。また、個人データ保護に関する法律で定められたその他の活動を行う。

第40条 個人データ保護活動を保証するための経費

1. 個人データ保護の実施費用には、国家予算、国内外の機関・組織・個人からの寄付、個人データ保護サービスの提供活動からの収益、国際援助およびその他の合法的な収入源が含まれる。

2. 国家機関の個人データ保護費用は国家予算で保障され、毎年の国家予算の予算計画に組み入れられる。国家予算からの費用の管理および使用は、国家予算法の規定に従って行われる。

3. 組織や企業の個人データ保護費用は、各組織や企業が自主的に手配し、規定に従って実施する。

第V章 実施の組織

第41条 個人データ保護法第38条第2項および第3項の適用に関する規定

1. 小規模企業およびスタートアップ企業は、個人データ保護法の施行日から5年間、個人データ保護法の第21条、第22条および第33条第2項の規定を実施するかしないかを選択する権利を有する。ただし、小規模企業およびスタートアップ企業が個人データ処理サービスを提供する事業、直接的に機微な個人データを処理する事業、または累積処理した個人データの総量に基づき、個人データ主体が10万人以上となった時点で個人データを処理する事業はこの限りでない。

2. 個人事業主や超小規模企業は、個人データ保護法第21条、第22条および第33条第2項の規定を実施する必要はない。ただし、個人データの処理サービスを提供する個人事業主や超小規模企業、個人の機微なデータを直接処理する事業者、または処理した個人データの総量に基づき、100,000人以上の個人データ主体に達する規模となった時点から個人データを処理する事業者は除く。

第42条 効力および執行責任

1. 本法令は、2026年1月1日から施行する。

2. 個人データ保護に関する2023年4月17日付けの政府令第13/2023/NĐ-CP号は、本法令施行日から効力を失う。

3. 2025年6月30日付けの政府令第165/2025/NĐ-CP号の第16条第2項を、データ法の一部条項および施行手段を詳細に規定する次のように修正する:

「2. コアデータおよび重要データの保護は、個人データ保護法およびその実施を詳細に規定する文書の規定に従って個人データとして行われる。

コアデータおよび重要データを国境を越えて転送または処理する場合、それが個人データであるとき、コアデータおよび重要データの管理者は、個人データ処理影響評価および個人データの国境を越えた転送影響評価を、個人データ保護に関する法律の規定に従って実施するものとする。本法令の規定に従って、国境を越えたデータの転送および処理に関するリスク評価や影響評価を行う必要はない。」

4. 警察庁は、本法令の実施に関する指導、点検、督促の責任を負う。

5. 各省の大臣、省に準ずる機関の長、政府所属機関の長、各省直轄の人民委員会の委員長、および関連する機関、組織、個人は、この政令の施行に責任を負うものとする。

政府代表 首相代理

グエン・ホア・ビン