베트남 사회주의 공화국 국회 법률 제: 91/2025/QH15 독립 - 자유 - 행복
법률
개인 데이터 보호
베트남 사회주의 공화국 헌법을 근거로, 일부 조항이 203/2025/QH15 결의안에 따라 수정·보완되었다.
국회는 개인 데이터 보호법을 제정합니다.
제1장. 일반 규정
제1조. 적용 범위 및 대상
1. 이 법은 개인 데이터, 개인 데이터 보호 및 관련 기관, 조직, 개인의 권리, 의무, 책임에 대해 규정합니다.
2. 이 법은 다음에 적용됩니다:
a) 베트남 기관, 조직, 개인;
b) 베트남 내 외국 기관, 조직, 개인;
c) 베트남 시민과 국적이 아직 확인되지 않은 베트남 거주 베트남계인의 개인정보 처리 활동에 직접 참여하거나 관련된 외국 기관, 조직, 개인은 신분증을 발급받은 경우에 해당한다.
제2조 용어의 정의
이 법률에서 다음 용어는 다음과 같이 이해된다:
1. 개인정보란 특정 인물을 식별하거나 식별하는 데 도움이 되는 수치 데이터 또는 기타 형태의 정보를 말하며, 기본 개인정보와 민감한 개인정보를 포함한다. 개인정보를 비식별화한 후에는 개인정보가 아니다.
2. 기본 개인정보란 개인의 신원, 배경 요소를 반영하며, 거래와 사회적 관계에서 일반적으로 사용되는 개인정보로서 정부가 발행한 목록에 속한다.
3. 민감한 개인정보는 개인의 프라이버시와 관련된 개인 정보로, 침해될 경우 기관, 조직, 개인의 권리와 합법적 이익에 직접적인 영향을 미치며, 정부가 발행한 목록에 속하는 데이터입니다.
4. 개인정보 보호는 기관, 조직, 개인이 개인 정보 침해 활동을 예방하고 방지하기 위해 인력, 수단, 조치를 사용하는 것입니다.
5. 개인정보 주체는 개인정보가 반영되는 사람입니다.
6. 개인정보 처리는 개인정보에 영향을 미치는 활동으로, 다음 중 하나 이상의 활동을 포함합니다: 수집, 분석, 종합, 암호화, 복호화, 수정, 삭제, 파기, 식별 제거, 제공, 공개, 개인정보 이전 및 개인정보에 영향을 미치는 기타 활동.
7. 개인정보 처리자는 개인정보 처리의 목적과 수단을 결정하는 기관, 조직, 개인입니다.
8. 개인 데이터 처리자는 개인 데이터 관리자의 요청에 따라 또는 계약을 통해 개인 데이터를 관리하고 처리하는 기관, 조직, 개인입니다.
9. 개인 데이터 관리 및 처리자는 개인 데이터의 목적과 수단을 결정하고 직접 개인 데이터를 처리하는 기관, 조직, 개인입니다.
10. 제3자는 개인 데이터 주체, 개인 데이터 관리자, 개인 데이터 관리 및 처리자, 개인 데이터 처리자를 제외한 법률이 규정하는 개인 데이터 처리에 참여하는 조직 또는 개인입니다.
11. 개인 데이터 비식별화는 특정 사람을 식별하거나 식별하는 데 도움이 되지 않는 새로운 데이터를 생성하기 위해 정보를 변경하거나 삭제하는 과정입니다.
12. 개인정보 처리 영향 평가란 개인정보 처리 과정에서 발생할 수 있는 위험을 분석하고 평가하여 위험을 완화하고 개인정보를 보호하기 위한 조치를 적용하는 것입니다.
제3조. 개인정보 보호 원칙
1. 헌법, 이 법 및 관련 법률의 규정을 준수한다.
2. 법규를 준수하며 구체적이고 명확한 범위와 목적에 따라 개인정보를 수집하고 처리할 수 있다.
3. 개인정보의 정확성을 보장하며 필요할 경우 수정, 갱신, 보완할 수 있어야 하며, 법률에 달리 규정된 경우를 제외하고는 개인정보 처리 목적에 적합한 기간 동안 보관된다.
4. 개인정보를 보호하기 위해 제도적, 기술적, 인적 조치와 해결책을 효과적으로 통합하여 시행한다.
5. 개인정보 보호에 관한 법률 위반 행위를 예방, 발견, 차단, 투쟁하고, 신속하고 엄정하게 처리해야 한다.
6. 개인정보 보호는 국가, 민족의 이익을 보호하고, 경제·사회 발전에 기여하며, 국방, 안보 및 대외 관계를 보장하는 것과 연계되어야 한다; 개인정보 보호와 기관, 조직, 개인의 합법적 권리와 이익 보호 사이의 균형을 보장해야 한다.
제4조. 개인정보주체의 권리와 의무
1. 개인정보주체의 권리는 다음과 같다:
a) 개인정보 처리 활동에 대해 알 권리;
b) 개인정보 처리 허용에 대해 동의하거나 동의하지 않을 권리, 동의를 철회할 권리;
c) 개인정보를 열람, 수정하거나 수정 요구할 권리;
d) 개인정보 제공, 삭제, 처리 제한을 요청하거나 개인정보 처리에 반대할 권리를 요구할 권리;
라) 법률에 따라 불만 제기, 고발, 소송 제기, 손해 배상 청구 권리.
e) 개인정보 처리와 관련된 권한 있는 기관 또는 기관, 조직, 개인에게 자신이 보유한 개인정보를 법률 규정에 따라 보호하기 위한 조치와 해결책을 수행하도록 요구한다.
2. 개인정보 주체의 의무는 다음을 포함한다:
a) 자신의 개인정보를 스스로 보호한다;
b) 다른 사람의 개인정보를 존중하고 보호한다;
c) 법률, 계약 또는 자신의 개인정보 처리를 허용한 동의에 따라 자신의 개인정보를 충분하고 정확하게 제공한다;
d) 개인정보 보호에 관한 법률을 준수하고, 개인정보 침해 활동 예방 및 방지에 참여한다.
3. 개인정보 주체는 자신의 권리와 의무를 수행할 때 다음 원칙을 모두 준수해야 한다:
a) 법규를 준수하고 개인정보 주체의 계약상 의무를 준수한다. 개인정보 주체의 권리와 의무 이행은 해당 개인정보 주체의 권리와 합법적 이익을 보호하는 목적이어야 한다;
b) 개인정보 통제자, 개인정보 통제 및 처리자, 개인정보 처리자의 법적 권리와 의무 이행을 어렵게 하거나 방해해서는 안 된다;
c) 국가, 기관, 조직, 다른 개인의 권리와 합법적 이익을 침해해서는 안 된다.
4. 기관, 조직, 개인은 개인정보 주체가 법률에 따라 권리와 의무를 이행할 수 있도록 편의를 제공하고, 이를 어렵게 하거나 방해해서는 안 된다.
5. 개인정보주체가 본 조 제1항에 규정된 개인정보주체의 권리를 행사하기 위한 요청을 받을 경우, 개인정보 관리 주체 및 개인정보 관리·처리 주체는 법률에 따라 정해진 기간 내에 적시에 이행해야 한다.
정부는 본 항을 상세히 규정한다.
제5조 개인정보 보호 관련 법률의 적용
1. 베트남 사회주의 공화국 영토 내에서의 개인정보 보호 활동은 본 법 및 관련 법률의 다른 규정에 따라 수행된다.
2. 본 법 발효일 이전에 국회에서 제정된 법률·결의안이 개인정보 보호에 관해 구체적으로 규정하고, 본 법 규정에 따른 개인정보 보호 원칙에 위배되지 않는 경우, 해당 법률·결의안의 규정을 적용한다.
3. 이 법이 시행된 이후에 국회가 제정한 법률이나 결의안이 개인정보 보호에 대해 이 법과 다른 규정을 두고 있는 경우, 해당 법률이나 결의안에 따라 시행할 내용 또는 이 법 규정에 따라 시행하지 않을 내용을 구체적으로 규정해야 하며, 해당 법률이나 결의안의 규정에 따라 시행할 내용을 정해야 한다.
4. 기관, 조직, 개인이 이 법의 규정에 따라 개인정보 처리 영향 평가 또는 국경을 넘는 개인정보 이전 영향 평가를 수행하는 경우, 데이터 관련 법률에 따른 개인정보 처리 위험 평가나 국경을 넘는 개인정보 이전 영향 평가를 별도로 수행할 필요가 없다.
제6조. 개인정보 보호를 위한 국제 협력
1. 베트남 사회주의 공화국이 회원국인 국제 조약과 개인 데이터 보호에 관한 국제 합의를 평등, 상호 이익, 독립성, 주권 및 영토 보전을 존중하는 기초 위에서 준수한다.
2. 개인 데이터 보호에 관한 국제 협력 내용은 다음을 포함한다:
a) 개인 데이터 보호 법률을 효과적으로 시행할 수 있도록 국제 협력 메커니즘을 구축한다;
b) 다른 국가의 개인 데이터 보호에 관한 사법 지원에 참여한다;
c) 개인 데이터 침해 행위를 예방하고 대응한다;
d) 개인 데이터 보호와 관련하여 인력 양성, 과학 연구, 과학 기술 응용을 수행한다;
đ) 개인 데이터 보호 관련 법률의 제정 및 시행 경험을 교환한다;
e) 개인 데이터 보호를 위해 기술을 이전한다.
3. 정부는 개인 데이터 보호에 관한 국제 협력 수행 책임을 규정한다.
제7조 금지 행위
1. 사회주의 베트남 공화국에 반대하거나 국가 방위, 국가 안보, 사회 질서 및 안전, 기관·단체·개인의 권리와 합법적 이익에 영향을 미치기 위해 개인정보를 처리하는 행위.
2. 개인정보 보호 활동을 방해하는 행위.
3. 법을 위반하는 행위를 수행하기 위해 개인정보 보호 활동을 이용하는 행위.
4. 법규에 위반되게 개인정보를 처리하는 행위.
5. 다른 사람의 개인정보를 사용하거나 다른 사람이 자신의 개인정보를 사용하도록 하여 법규에 위반되는 행위를 수행하는 행위.
6. 법에 다른 규정이 있는 경우를 제외하고 개인정보를 사고파는 행위.
7. 개인정보를 횡령하거나, 고의로 유출하거나, 손실시키는 행위.
제8조 개인정보 보호 관련 법 위반 처리
1. 이 법 및 개인 데이터 보호와 관련된 기타 법률 규정을 위반한 행위를 한 조직이나 개인은 위반 행위의 성격, 정도, 결과에 따라 행정 처벌을 받거나 형사 책임을 추궁받을 수 있으며, 손해를 초래한 경우 법률 규정에 따라 배상해야 한다.
2. 개인 데이터 보호 분야의 행정 위반 처벌은 이 조항 제3항, 4항, 5항, 6항 및 7항과 행정 위반 처벌에 관한 법률의 규정에 따라 시행된다.
3. 개인 데이터의 매매 행위에 대한 행정법 위반 처벌에서 최대 과태료는 위반 행위로 얻은 금액의 10배이다; 위반 행위로 얻은 금액이 없거나 금액에 따라 산정한 과태료가 본 조 5항에서 규정한 최대 과태료보다 낮은 경우에는 본 조 5항에 따른 과태료를 적용한다.
4. 국경을 넘어 개인 데이터를 전송하는 행위로 위반한 기관에 대한 행정법 위반 처벌에서 최대 과태료는 해당 기관의 직전 연도 매출의 5%이다; 직전 연도 매출이 없거나 매출을 기준으로 산정한 과태료가 본 조 5항에서 규정한 최대 과태료보다 낮은 경우에는 본 조 5항에 따른 과태료를 적용한다.
5. 개인 데이터 보호 분야에서 다른 위반 행위에 대한 행정 위반 처벌의 최대 벌금은 3억 동이다.
6. 이 조 제3, 4, 5항에서 규정한 최대 벌금은 조직에 적용되며, 동일한 위반 행위를 수행한 개인의 경우 벌금 최대 한도는 조직에 대한 벌금의 절반이다.
7. 정부는 개인 데이터 보호에 관한 법률 위반 행위로부터 얻은 수익의 계산 방법을 규정한다.
제 II장. 개인 데이터 보호
제1절. 개인 데이터 보호
개인 데이터 처리 과정에서
제9조. 개인정보 주체의 동의
1. 개인정보 주체의 동의란, 개인정보 주체가 자신의 개인정보 처리를 허용하는 것으로, 법률에 다른 규정이 있는 경우는 제외한다.
2. 개인정보 주체의 동의는 다음의 정보에 대한 자발적이고 충분한 이해를 기반으로 할 때에만 유효합니다:
a) 처리되는 개인정보의 종류와 개인정보 처리 목적;
b) 개인정보의 관리 주체 또는 개인정보 관리 및 처리 주체;
c) 개인정보 주체의 권리와 의무.
3. 개인정보 주체의 동의는 명확하고 구체적이며, 출력하거나 서면으로 복사할 수 있는 방식으로 표현되어야 하며, 전자 형식이나 검증 가능한 형식도 포함됩니다.
4. 개인정보 주체의 동의는 다음 원칙을 준수해야 합니다:
a) 각 목적에 대한 동의를 표시할 것;
b) 합의 내용과 다른 목적에 대한 동의를 강제 조건으로 붙여서는 안 됨;
c) 개인정보 주체가 동의를 변경할 때까지 또는 법률에 따라 다른 규정이 있을 때까지 동의는 유효함.
d) 침묵하거나 응답하지 않는 것은 동의로 간주되지 않는다.
5. 정부는 이 조 항목 3에 대해 상세히 규정한다.
제10조. 동의 철회 요구, 개인 데이터 처리 제한 요구
1. 개인 데이터 주체는 자신의 개인 데이터 처리 허용 동의를 철회하거나, 개인 데이터 처리 범위, 목적 또는 개인 데이터의 정확성에 의문이 있을 경우 개인 데이터 처리 제한을 요구할 권리가 있으며, 이 법 제19조에 규정된 경우나 법률상 다른 규정이 있는 경우는 제외한다.
2. 개인정보 주체의 동의 철회 요청, 개인정보 처리 제한 요청은 문서로 작성되어야 하며, 전자 형식이나 인증 가능한 형식을 포함하고, 개인정보를 관리하는 측 및 개인정보를 관리·처리하는 측에 제출되어야 합니다. 개인정보 주체의 동의 철회 요청, 개인정보 처리 제한 요청은 법률 규정 및 당사자 간의 합의에 따라 수행됩니다.
3. 개인정보를 관리하는 측, 개인정보를 관리·처리하는 측은 개인정보 주체의 동의 철회 요청과 개인정보 처리 제한 요청을 접수하고 실행하며, 개인정보 처리 측에 이러한 요청을 이행하도록 요구하며, 이는 법률이 정한 기간 내에 이루어집니다.
4. 동의 철회 요청 또는 개인정보 처리 제한 요청의 실행은 개인정보 주체가 동의 철회 또는 개인정보 처리 제한을 요청하기 이전의 개인정보 처리 활동에는 적용되지 않습니다.
제11조. 개인정보 수집, 분석, 종합
1. 개인정보는 수집 전에 개인정보 주체의 동의를 받아야 하며, 법률에 다른 규정이 있는 경우는 제외됩니다.
2. 권한 있는 당·국가 기관은 직접 수집한 데이터 또는 공유, 제공, 이전, 활용, 사용된 데이터를 분석하고 종합하여 법률 규정에 따라 국가의 지도·감독·관리, 경제사회 발전을 위해 사용할 수 있습니다.
3. 제2항의 규정에 속하지 않는 기관, 조직, 개인은 법률 규정에 따라 처리할 수 있는 개인정보 출처로부터 개인정보를 분석하고 종합할 수 있다.
제12조. 개인정보 암호화 및 복호화
1. 개인정보 암호화는 복호화되지 않으면 개인정보를 인식할 수 없는 형태로 개인정보를 전환하는 것이며, 암호화된 개인정보는 여전히 개인정보로 간주된다.
2. 국가기밀인 개인정보는 국가기밀 보호법과 암호법에 따라 암호화 및 복호화되어야 한다.
3. 기관, 조직, 개인은 개인정보 처리 활동에 적합하게 개인정보의 암호화 및 복호화를 결정한다.
제13조. 개인정보 수정
1. 개인정보 주체는 개인정보 관리 책임자와 합의한 일부 개인정보에 대해 스스로 개인정보를 수정할 수 있으며, 개인정보 관리 책임자 및 개인정보 처리자에게 자신의 개인정보 수정을 요청할 수 있다.
2. 개인정보 관리 책임자 및 개인정보 처리자는 개인정보 주체가 요청한 후 또는 법률에 따라 개인정보를 수정하며, 개인정보 처리자 또는 제3자에게 개인정보 주체의 개인정보 수정을 요청할 수 있다.
3. 개인정보 수정은 정확성을 보장해야 한다. 정당한 사유로 개인정보를 수정할 수 없는 경우, 개인정보 관리 책임자 및 개인정보 처리자는 요청한 기관, 조직, 개인에게 통지해야 한다.
제14조. 개인 데이터 삭제, 폐기, 식별 제거
1. 개인 데이터의 삭제 및 폐기는 다음과 같은 경우에 수행된다:
a) 개인정보 주체가 자신의 자신에게 발생할 수 있는 위험과 손해를 요구하고 수용하는 경우. 이 경우 개인정보 주체의 요구는 본 법 제4조 제3항에 규정된 원칙을 충분히 준수해야 한다;
b) 개인정보 처리 목적이 완료된 경우;
c) 법률에 따라 저장 기간이 만료된 경우;
d) 권한 있는 국가기관의 결정에 따라 행하는 경우;
đ) 계약에 따라 수행하는 경우;
e) 법률에 따라 달리 규정된 경우.
2. 본 법 제19조에 규정된 경우 또는 본 법 제4조 제3항의 규정을 위반하여 개인정보의 삭제, 파기를 요구하는 개인정보 주체의 요구는 이행하지 않는다.
3. 개인정보 처리자는 본 조 제1항에 따라 개인정보를 삭제·파기하거나, 개인정보 처리자에게 요청하여 제3자가 개인정보를 삭제·파기하도록 할 수 있다. 개인정보의 삭제·파기는 안전한 방법으로 수행되어야 하며, 삭제·파기된 개인정보에 대한 무단 침입 및 복구를 방지해야 한다.
4. 기관, 조직, 개인은 삭제·파기된 개인정보를 고의로 무단 복구해서는 안 된다.
5. 개인정보 처리자, 개인정보의 관리 및 처리를 담당하는 자, 개인정보 처리자는 본 법규를 준수할 책임이 있다. 개인정보 주체로부터 요청을 받은 후 정당한 사유로 개인정보를 삭제·파기할 수 없는 경우, 개인정보 처리자 및 개인정보의 관리·처리자는 개인정보 주체에게 이를 통지해야 한다.
6. 개인 데이터의 비식별화는 다음과 같이 규정됩니다:
a) 개인 데이터를 비식별화하는 기관, 조직, 개인은 개인 데이터의 비식별화 과정을 철저히 통제하고 감독할 책임이 있으며, 비식별화 과정에서 개인 데이터에 대한 무단 접근, 복제, 탈취, 유출, 손실을 방지해야 합니다;
b) 법률에서 달리 규정하는 경우를 제외하고, 비식별화된 개인 데이터를 재식별해서는 안 됩니다;
c) 개인 데이터의 비식별화는 본 법과 관련 법률의 규정을 준수해야 합니다.
제15조. 개인 데이터 제공
1. 개인 데이터 주체는 법률의 규정이나 해당 기관, 조직, 개인과의 합의에 따라 기관, 조직, 개인에게 개인 데이터를 제공합니다.
2. 개인 데이터의 통제자, 데이터 통제 및 처리자는 다음의 경우에 개인 데이터를 제공합니다:
a) 개인 데이터 주체의 요청에 따라 법률 규정과 개인 데이터 주체와의 합의에 맞게 개인 데이터 주체에게 제공하며, 단 제공이 국가 방위, 국가 안보, 사회 질서 및 안전에 해를 끼치거나 타인의 생명, 건강, 재산을 침해할 수 있는 경우는 제외한다.
b) 개인 데이터 주체가 동의한 경우에 다른 기관, 조직, 개인에게 제공하며, 단 법률에서 달리 규정하는 경우는 제외한다.
제16조. 개인 데이터 공개
1. 개인 데이터는 특정 목적을 위해서만 공개될 수 있습니다. 공개 범위와 공개되는 개인 데이터의 종류는 공개 목적에 적합해야 합니다. 개인 데이터를 공개하는 행위는 데이터 주체의 권리와 합법적 이익을 침해해서는 안 됩니다.
2. 개인 데이터는 다음의 경우에만 공개될 수 있습니다:
a) 데이터 주체의 동의가 있는 경우;
b) 법률 규정에 따른 경우;
c) 본 법 제19조 제1항 b호에 규정된 경우;
d) 계약에 따른 의무를 이행하는 경우.
3. 공개되는 개인 데이터는 원본 데이터 출처로부터의 개인 데이터를 정확하게 반영해야 하며, 기관, 조직, 개인이 접근, 활용, 사용하기 쉽도록 해야 합니다.
4. 개인정보 공개 형태에는 전자 정보 웹사이트, 전자 정보 포털, 대중 매체에 데이터를 게시하는 것 및 법률 규정에 따른 기타 형태가 포함된다.
5. 개인 정보를 공개하는 기관, 조직, 개인은 공개된 개인정보가 목적, 범위 및 법률 규정을 정확히 준수하도록 개인정보 공개를 엄격히 통제하고 감시해야 하며, 자신이 가진 능력과 조건 내에서 공개된 개인정보에 대한 접근, 사용, 공개, 복사, 수정, 삭제, 파기 또는 기타 불법적 처리 행위를 방지해야 한다.
제17조. 개인정보 이전
1. 개인정보의 이전은 다음과 같은 경우에 이루어진다:
a) 정보 주체의 동의가 있는 경우 개인정보를 이전하는 경우;
b) 동일 기관, 조직 내 부서 간에 개인 데이터 처리 목적에 맞게 개인 데이터를 처리하기 위해 개인 데이터를 공유하는 것;
c) 기관, 조직, 행정 단위의 분할, 분리, 합병 혹은 재편, 국영 기업 소유권 형태 전환의 경우, 개인 데이터를 계속 처리하기 위해 개인 데이터를 이전하는 것; 단위, 조직의 분할, 합병, 통합, 활동 종료; 다른 단위, 조직의 활동 종료를 기반으로 설립된 단위, 조직의 경우;
d) 개인 데이터 관리자가 개인 데이터 처리 및 관리자와 개인 데이터를 처리하는 자가 규정에 따라 개인 데이터를 처리하기 위해 데이터 처리자, 제3자에게 개인 데이터를 이전하는 것;
đ) 권한 있는 국가 기관의 요구에 따라 개인 데이터를 이전하는 것;
e) 본 법 제19조 1항에 규정된 경우에 개인 데이터를 이전하는 것.
2. 본 조 제1항에 규정된 경우에 개인 데이터의 이전은 유료이든 무상이든 개인 데이터의 매매로 간주되지 않는다.
3. 정부는 이 조항을 구체적으로 규정한다.
제18조 개인 데이터 처리의 기타 활동
1. 개인 데이터 통제자, 개인 데이터 통제 및 처리자, 개인 데이터 처리자, 제3자는 각자의 활동 형태에 적합하게 개인 데이터를 저장하며, 법률이 규정하는 바에 따라 저장 과정에서 개인 데이터를 보호하는 조치를 취해야 한다.
2. 개인 데이터의 저장, 접근, 검색, 연결, 조정, 확인, 인증 및 개인 데이터에 영향을 미치는 기타 활동은 본 법, 데이터 관련 법률, 관련 법률의 기타 규정 및 당사자 간 합의에 따라 수행되어야 한다.
3. 우선적으로 개인 데이터를 활용하고 사용하여 국가 관리 업무 및 공공기관의 활동을 지원하며, 일부 특별한 메커니즘과 정책을 시범적으로 적용하여 과학, 기술, 혁신 및 국가 디지털 전환의 발전에 돌파구를 마련한다.
제19조. 개인 데이터 주체의 동의 없이 개인 데이터를 처리하는 경우
1. 개인 데이터 주체의 동의 없이 개인 데이터를 처리할 수 있는 경우는 다음과 같다:
a) 긴급한 상황에서 개인 데이터 주체 또는 다른 사람의 생명, 건강, 명예, 인격, 권리, 합법적 이익을 보호하기 위해;
자신, 타인 또는 국가, 기관 조직의 정당한 권리나 이익을 보호하기 위해, 앞서 언급한 이익 침해 행위에 대해 필요한 경우. 개인정보를 통제하는 자, 개인정보를 처리하는 자, 개인정보를 통제하고 처리하는 자, 제3자는 이 경우를 입증할 책임이 있다;
b) 긴급 상황을 해결하기 위해; 국가 안보를 위협할 위험이 있으나 비상사태 선포 수준에는 미치지 못한 경우; 폭동, 테러 방지, 범죄 및 법률 위반 방지;
c) 법률에 따라 국가 기관의 활동, 국가 행정 관리를 수행하기 위해;
d) 법률 규정에 따라 개인정보 주체가 관련 기관, 조직, 개인과 체결한 협정을 이행하기 위해;
đ) 법률 규정에 따른 기타 경우.
2. 관련 기관, 조직, 개인은 개인정보 주체의 동의가 필요하지 않은 상황에서 개인정보를 처리할 때 감시 메커니즘을 구축해야 하며, 이는 다음을 포함한다:
a) 개인정보 처리 절차와 규정을 수립하고, 개인정보 처리 과정에서 기관, 조직, 개인의 책임을 명확히 한다;
b) 적절한 개인정보 보호 조치를 시행하고, 개인정보 처리 과정에서 발생할 수 있는 위험을 정기적으로 평가한다;
c) 개인정보 처리에 관한 법률, 절차, 규정 준수 여부를 정기적으로 점검하고 평가한다;
d) 관련 기관, 조직, 개인으로부터의 의견 및 건의를 접수하고 처리할 수 있는 메커니즘을 갖춘다.
제20조. 개인정보의 국경 간 이전
1. 개인정보의 국경 간 이전 사례는 다음과 같다:
a) 베트남에 저장된 개인 데이터를 베트남 사회주의 공화국 영토 밖에 위치한 데이터 저장 시스템으로 이전하는 것;
b) 베트남의 기관, 조직, 개인이 해외의 기관, 개인에게 개인 데이터를 이전하는 것;
c) 베트남 또는 해외의 기관, 조직, 개인이 베트남에서 수집된 개인 데이터를 처리하기 위해 베트남 사회주의 공화국 영토 밖의 플랫폼을 사용하는 것.
2. 개인 정보를 국경을 넘어 전송하는 기관, 조직, 개인은 본 조 1항에 규정된 활동을 수행할 경우 영향 평가 기록을 작성해야 합니다.
개인 데이터를 국경을 넘어 이전하고, 국경을 넘어 개인 데이터를 이전한 첫날로부터 60일 이내에 개인 데이터 보호 담당 기관에 원본 1부를 제출해야 하며, 이 조 제6항에 규정된 경우는 제외한다.
3. 개인 데이터의 국경 간 이전에 대한 영향 평가는 해당 기관, 조직, 개인의 전체 활동 기간 동안 1회 수행되며, 본 법 제22조의 규정에 따라 갱신됩니다.
4. 개인정보 보호 전담 기관은 연 1회를 초과하지 않는 정기적으로 개인정보의 국경 간 이전을 점검하거나, 개인정보 보호에 관한 법률 위반 행위가 발견되거나 개인정보 유출·분실 사고가 발생한 경우에 수시 점검을 결정한다.
5. 개인정보 보호 전담 기관은 국방·국가 안보에 해를 끼칠 수 있는 활동에 사용될 목적으로 개인정보가 이전되는 것을 발견한 경우, 기관, 조직, 개인의 개인정보 국경 간 이전을 중단하도록 요구할 것을 결정한다.
6. 개인정보 국경 간 이전 영향 평가 규정을 수행하지 않아도 되는 경우는 다음과 같다:
a) 권한 있는 국가 기관의 개인정보 국경 간 이전;
b) 해당 기관, 조직의 직원 개인정보를 클라우드 서비스에 저장하는 기관, 조직.
c) 개인 데이터 주체가 자신의 개인 데이터를 국경을 넘어 전송하는 경우;
d) 정부 규정에 따라 다른 경우.
7. 정부는 본 조항 제1항, 제5항 및 제6항을 상세히 규정하며, 국경을 넘어 개인 데이터 전송에 대한 영향 평가의 서류 구성, 조건, 절차 및 절차를 규정한다.
제21조. 개인 데이터 처리 영향 평가
1. 개인 데이터의 관리자인 데이터 관리자, 데이터 관리자 및 처리자는 개인 데이터 처리 영향 평가 기록을 작성하고 보관하며, 개인 데이터 처리를 처음 시작한 날로부터 60일 이내에 개인 데이터 보호를 전담하는 기관에 1부 원본을 제출한다. 단, 본 조 제6항에서 규정한 경우는 제외한다.
2. 개인 데이터 처리 영향 평가는 데이터 관리자, 데이터 관리자 및 처리자의 활동 전체 기간 동안 한 번 수행되며, 본 법 제22조에 따라 갱신된다.
3. 개인정보 처리자는 개인정보 통제자와의 협의에 따라 개인정보 처리 영향 평가서를 작성하고 저장하며, 본 조 6항에 규정된 경우를 제외한다.
4. 개인정보 보호 전문 기관은 평가를 수행하고, 평가서가 불완전하거나 법규에 맞지 않는 경우 개인정보 통제자, 개인정보 통제 및 처리자, 개인정보 처리자에게 개인정보 처리 영향 평가서를 보완하도록 요구한다.
5. 개인정보 통제자, 개인정보 통제 및 처리자, 개인정보 처리자는 개인정보 보호 전문 기관에 제출한 평가서 내용에 변경이 있을 경우 평가서를 갱신 및 보충한다.
6. 권한 있는 정부 기관은 본 조에 규정된 개인정보 처리 영향 평가 규정을 수행할 필요가 없다.
7. 정부는 개인 데이터 처리 영향 평가 서류의 구성, 조건, 절차 및 개인 데이터 처리 영향 평가 절차를 규정한다.
제22조. 개인 데이터 처리 영향 평가 서류 및 국경 간 개인 데이터 전송 영향 평가 서류의 업데이트
1. 개인 데이터 처리 영향 평가 서류와 국경 간 개인 데이터 전송 영향 평가 서류는 변경이 있거나 이 조 제2항에 규정된 경우 즉시 업데이트할 때 6개월마다 정기적으로 업데이트한다.
2. 즉시 업데이트해야 하는 변경 사항은 다음과 같다:
a) 기관, 조직, 단위가 조직을 개편하거나, 활동을 종료하거나, 해산하거나, 법률에 따라 파산할 경우;
b) 개인정보 보호 서비스를 제공하는 조직이나 개인에 대한 정보가 변경될 경우;
c) 개인정보 영향 평가 기록, 국경 간 개인정보 전송 영향 평가 기록에 등록된 개인정보 처리와 관련된 업종, 직업, 서비스가 발생하거나 변경될 경우.
3. 개인정보 처리 영향 평가 기록과 국경 간 개인정보 전송 영향 평가 기록의 갱신은 국가 개인정보 보호 정보 포털이나 개인정보 보호 전담 기관에서 이루어진다.
4. 정부는 본 조문의 세부 사항을 규정합니다.
제23조. 개인정보 보호 규정 위반 통지
1. 개인정보를 통제하는 기관, 개인정보를 통제하고 처리하는 기관, 제3자가 국가 방위, 국가 안보, 질서, 사회 안전에 피해를 줄 수 있는 개인정보 보호 규정 위반이나 개인정보 주체의 생명, 건강, 명예, 인격, 재산을 침해할 수 있는 위반을 발견한 경우, 위반 행위를 발견한 시점으로부터 늦어도 72시간 이내에 개인정보 보호 전담 기관에 통보해야 한다. 개인정보를 처리하는 기관이 위반 행위를 발견한 경우, 개인정보를 통제하는 기관 또는 개인정보를 통제 및 처리하는 기관에 즉시 통보해야 한다.
2. 개인정보를 통제하는 기관, 개인정보를 통제하고 처리하는 기관은 개인정보 보호 규정 위반 행위 발생에 대한 확인 기록을 작성하고, 개인정보 보호 전담 기관과 협력하여 위반 행위를 처리해야 한다.
3. 기관, 조직, 개인은 다음과 같은 경우에 개인 데이터 보호 전문 기관에 통지해야 합니다:
a) 개인 데이터 보호 규정을 위반하는 행위를 발견한 경우;
b) 개인 데이터가 개인 데이터 주체와 데이터 관리자, 데이터 관리자 및 처리자 간의 합의에 맞지 않게 잘못 처리된 경우;
c) 개인 데이터 주체의 권리를 보장하지 못하거나 권리를 올바르게 행사하지 못한 경우;
d) 법률에 따라 규정된 기타 경우.
4. 개인정보 보호를 담당하는 기관은 개인정보 보호 규정 위반에 대한 통지를 접수하고 위반 행위를 처리할 책임이 있습니다. 개인정보를 통제하는 기관, 개인정보를 통제하고 처리하는 기관, 제3자 및 관련 기관, 조직, 개인은 위반 행위를 방지하고 발생한 결과를 시정하며, 개인정보 보호를 담당하는 기관과 협력하여 개인정보 보호 규정 위반 행위를 처리할 책임이 있습니다.
5. 정부는 개인정보 보호 규정 위반 통지의 내용을 규정합니다.
제2장 일부 활동에서의 개인정보 보호
제24조 아동, 행위능력이 상실되거나 제한된 사람, 인지 및 행동 통제에 어려움이 있는 사람의 개인정보 보호
1. 아동, 행위능력이 상실되거나 제한된 사람, 인지에 어려움이 있는 사람의 개인 데이터를 보호하고, 행동을 관리하는 것은 본 법의 규정에 따라 수행해야 합니다.
2. 어린이, 민사행위능력을 상실하거나 제한받은 사람 또는 인지 능력이나 행동 통제에 어려움이 있는 사람에 대해서는 법정대리인이 개인 데이터 주체의 권리를 대신하여 행사하며, 이 법 제19조 제1항에 규정된 경우는 제외한다. 7세 이상 어린이의 생활, 개인 비밀에 관한 정보를 공개하거나 누설하기 위한 어린이에 대한 개인 데이터 처리에는 어린이와 법정대리인의 동의가 필요하다.
3. 다음의 경우에는 어린이, 민사행위능력을 상실하거나 제한받은 사람, 인지 능력이나 행동 통제에 어려움이 있는 사람의 개인 데이터 처리를 중단한다:
a) 이 조 제2항에 따른 규정을 동의한 사람은 법률에 다른 규정이 있는 경우를 제외하고, 아동, 민사 행위능력이 상실되었거나 제한된 사람, 인지, 행동 통제에 어려움이 있는 사람의 개인정보 처리에 대한 동의를 철회할 수 있습니다;
b) 법률에 다른 규정이 있는 경우를 제외하고, 아동, 민사 행위능력이 상실되었거나 제한된 사람, 인지, 행동 통제에 어려움이 있는 사람의 권리, 합법적 이익을 침해할 수 있는 개인정보 처리를 증명할 충분한 근거가 있는 경우, 권한 있는 기관의 요구에 따라 개인정보를 처리할 수 있습니다.
제25조. 직원 채용, 관리, 사용에 있어 개인정보 보호
1. 노동자 채용에 있어서 기관, 조직, 개인의 개인정보 보호 책임은 다음과 같이 규정됩니다:
a) 기관, 조직, 채용 개인이 법률 규정에 맞게 채용 목적을 위해서만 정보 제공을 요구할 수 있으며, 제공된 정보는 채용 목적 및 법률 규정에 따라 합의된 다른 목적에만 사용되어야 한다;
b) 제공된 정보는 법률 규정에 따라 처리되어야 하며, 지원자의 동의를 받아야 한다;
c) 채용되지 않은 경우, 별도의 합의가 있는 경우를 제외하고 지원자가 제공한 정보를 삭제하거나 파기해야 한다;
2. 근로자 관리 및 사용에 있어 기관, 조직, 개인의 개인정보 보호 책임은 다음과 같이 규정한다:
a) 이 법, 노동법, 고용법, 데이터 관련 법률 및 기타 관련 법률 규정을 준수해야 한다;
b) 근로자의 개인정보는 법률에 규정된 기간 또는 합의에 따라 보관해야 한다;
c) 근로계약 종료 시, 합의 또는 법률에 다른 규정이 있는 경우를 제외하고 근로자의 개인정보를 삭제하거나 파기해야 한다.
3. 근로자 관리에서 기술적, 공학적 수단으로 수집된 근로자의 개인정보 처리는 다음과 같이 규정된다:
a) 근로자가 그 수단을 명확히 인지한 것을 전제로, 법률 규정을 준수하고 개인정보 주체의 권리와 이익을 보장하는 기술적, 공학적 수단만 적용할 수 있다;
b) 법률 규정에 위반되는 기술적, 공학적 수단으로 수집된 개인정보는 처리하거나 사용할 수 없다.
제26조. 건강 정보 및 보험업 활동에서의 개인정보 보호
1. 건강 정보 및 보험 업무 활동과 관련된 개인 데이터 보호는 다음과 같이 규정됩니다:
a) 개인 데이터 수집 및 처리 과정에서 데이터 주체의 동의를 얻어야 하며, 이 법 제19조 1항에 규정된 경우는 제외한다;
b) 개인정보 보호 관련 규정과 관련 법률의 다른 규정을 전부 적용한다.
2. 의료 분야에서 활동하는 기관, 조직, 개인은 개인 데이터 주체의 서면 요청이 있거나 이 법 제19조 1항에 규정된 경우를 제외하고, 제3자인 건강 관리 서비스 제공자 또는 건강 보험, 생명 보험 서비스 제공자에게 개인 데이터를 제공해서는 안 된다.
3. 의료 관련 애플리케이션 또는 보험 영업 애플리케이션을 개발하는 조직과 개인은 개인정보 보호 규정을 완전히 준수해야 한다.
4. 재보험 영업을 하는 기업이 재보험 양도 및 개인 데이터를 파트너에게 이전하는 경우, 고객과의 계약에서 이를 명확히 명시해야 한다.
제27조. 금융, 은행 및 신용 정보 활동에서 개인 데이터 보호
1. 금융, 은행 및 신용 정보 활동 분야에서 활동하는 조직 및 개인은 다음과 같은 책임을 진다:
a) 법률에 따라 금융 및 은행 활동에서 민감한 개인 데이터 보호, 안전 및 보안 기준을 충분히 준수할 것;
b) 개인 데이터 주체의 동의 없이 개인 데이터 주체의 신용 정보를 이용하여 신용 점수 산정, 신용 등급 평가, 신용 정보 평가, 개인 데이터 주체의 신용 신뢰도 평가를 하지 않을 것;
c) 본 법 및 관련 법률 규정에 적합한 출처에서만 신용 정보 활동에 필요한 개인 데이터를 수집할 것;
d) 은행 계좌, 금융, 신용, 신용 정보와 관련된 정보가 유출되거나 분실된 경우 개인 데이터 주체에게 통지합니다.
2. 신용 정보 활동을 수행하는 조직 및 개인은 본 법의 규정을 준수할 책임이 있습니다; 고객의 개인 데이터를 무단으로 접근, 사용, 공개, 수정하는 것을 방지하는 조치를 적용합니다; 분실된 경우 고객의 개인 데이터를 복원할 수 있는 방안을 마련합니다; 신용 정보 평가를 위해 고객의 개인 데이터를 수집, 제공, 처리하는 과정에서 보안을 유지합니다.
3. 정부는 이 조항을 구체적으로 규정한다.
제28조. 광고 서비스 사업에서의 개인 데이터 보호
1. 광고 서비스 영업을 하는 조직이나 개인은 개인정보를 자신의 영업 활동을 통해 수집하거나, 개인정보 관리 주체, 개인정보 관리 및 처리 주체가 합의에 따라 이전한 고객의 개인정보만을 광고 서비스 영업에 사용할 수 있습니다. 개인정보의 수집, 사용, 이전은 이 법 제4조에 규정된 개인정보 주체의 권리를 보장해야 합니다.
2. 개인정보 관리 주체, 개인정보 관리 및 처리 주체는 법률에 규정된 경우에 한하여 광고 서비스 영업을 하는 조직이나 개인에게 개인정보를 이전할 수 있습니다.
3. 광고 서비스 영업을 위해 고객의 개인정보를 처리하려면 고객의 동의를 받아야 하며, 고객이 제품 소개 내용, 방법, 형태, 빈도를 명확히 알고 있을 것을 전제로 하고, 고객이 광고 정보를 수신하지 않도록 선택할 수 있는 방법을 제공해야 합니다.
4. 개인 데이터를 광고에 사용하는 것은 불법 스팸 메시지, 스팸 이메일, 스팸 전화 방지에 관한 법률과 광고에 관한 법률 규정을 준수해야 합니다.
5. 개인정보 주체는 광고 서비스로부터 정보를 수신하지 않도록 요청할 권리가 있습니다. 광고 서비스를 영위하는 조직이나 개인은 개인정보 주체의 요청에 따라 광고를 중단하고 이를 위한 메커니즘을 제공해야 합니다.
6. 광고 서비스를 영위하는 조직이나 개인은 개인정보를 활용한 광고 서비스를 전적으로 다른 조직이나 개인에게 재임대하거나 위임할 수 없습니다.
7. 광고 서비스를 영위하는 조직이나 개인은 고객의 개인정보를 광고 목적으로 사용하는 것을 증명할 책임이 있으며, 본 조 제1, 2, 3, 4항 및 광고 관련 법규를 준수해야 합니다.
8. 조직이나 개인이 행동 기반 광고, 특정 목표 광고 또는 맞춤형 광고를 위해 개인정보를 사용할 경우, 본 조항과 다음 규정을 준수해야 합니다:
a) 개인정보 주체의 동의 없이 정보 웹사이트, 전자 포털, 애플리케이션을 통한 개인정보 수집 금지;
b) 개인정보 주체가 데이터 공유를 거부할 수 있는 방법을 마련하고, 저장 기간을 정하며, 불필요 시 데이터를 삭제 또는 파기해야 합니다.
제29조. 소셜 네트워크 플랫폼, 온라인 미디어 서비스에 대한 개인정보 보호
소셜 네트워크 서비스, 온라인 미디어 서비스를 제공하는 조직이나 개인은 다음과 같은 책임을 집니다:
1. 개인 데이터 주체가 소셜 네트워크 및 온라인 미디어 서비스를 설치하고 사용할 때 수집되는 개인 데이터의 내용을 명확히 공지하며, 고객과의 합의 범위를 벗어나거나 불법적으로 개인 데이터를 수집하지 않아야 합니다.
2. 계정 인증 요소로서 신분증의 전체 또는 일부를 포함한 이미지, 비디오를 제공하도록 요구할 수 없습니다.
3. 사용자가 데이터 파일(쿠키라고 함)의 수집 및 공유를 거부할 수 있는 선택권을 제공해야 합니다.
4. “추적 금지” 선택권을 제공하거나 사용자의 동의가 있는 경우에만 소셜 네트워크 및 온라인 미디어 서비스 사용 활동을 추적할 수 있습니다.
5. 법률에서 달리 규정하는 경우를 제외하고, 개인 데이터 주체의 동의 없이 통화를 도청, 몰래 듣기, 녹음하거나 문자 메시지를 읽을 수 없습니다.
6. 개인정보 처리방침을 공개하고, 개인정보 수집, 이용 및 공유 방식을 명확히 설명하며; 사용자에게 접근, 수정, 삭제할 수 있는 수단을 제공
개인 데이터에 대한 데이터 및 개인정보 설정, 보안 및 개인정보 침해 보고; 국경 간 데이터 전송 시 베트남 시민의 개인 데이터 보호; 신속하고 효율적인 개인 데이터 보호 위반 처리 절차 구축.
제30조. 빅데이터, 인공지능, 블록체인, 가상현실, 클라우드 컴퓨팅에서 개인 데이터 보호
1. 빅데이터, 인공지능, 블록체인, 가상현실 및 클라우드 컴퓨팅 환경에서의 개인 데이터는 목적에 맞게 처리되어야 하며, 필요한 범위 내에서만 제한적으로 처리되어야 하고, 개인 데이터 주체의 권리와 합법적인 이익을 보장해야 한다.
2. 빅데이터, 인공지능, 블록체인, 가상현실 및 클라우드 컴퓨팅 환경에서의 개인 데이터 처리는 이 법과 관련 법규를 준수해야 하며, 베트남의 윤리 기준과 전통 관습에 부합해야 한다.
3. 빅데이터, 인공지능, 블록체인, 가상현실 및 클라우드 컴퓨팅을 사용하는 시스템과 서비스는 적절한 개인 데이터 보호 조치를 통합해야 하며, 개인 데이터를 처리하기 위해 적절한 인증, 식별 방법과 접근 권한 부여를 사용해야 한다.
4. 인공지능을 통한 개인 데이터 처리의 경우, 개인 데이터 보호를 위한 조치를 마련하기 위해 위험 수준에 따라 분류하여 수행해야 한다.
5. 개인 데이터를 이용하여 국방, 국가 안보, 질서, 사회 안전에 해를 끼치거나 타인의 생명, 건강, 명예, 인격, 재산을 침해하기 위해 빅데이터 처리 시스템, 인공지능, 블록체인, 가상 우주, 클라우드 컴퓨팅을 사용하거나 개발해서는 안 된다.
6. 이 조항의 세부 사항은 정부가 규정한다.
제31조. 위치 개인정보, 생체 데이터에 대한 개인정보 보호
1. 위치 개인정보는 특정인을 식별할 수 있도록 위치를 알아내기 위해 위치 기술을 통해 확인되는 데이터이다.
2. 생체 데이터는 특정인을 식별하기 위해 개인의 신체적 속성, 개별적이고 안정적인 생물학적 특징에 관한 데이터이다.
3. 위치 개인정보에 대한 개인정보 보호는 다음과 같이 규정된다:
a) 무선 주파수 식별(RFID) 카드 및 기타 기술을 통한 위치 추적은 개인 데이터 주체의 동의가 있거나 법률에 따라 권한 있는 기관의 요구가 있는 경우 또는 법률에 다른 규정이 있는 경우를 제외하고 적용하지 않는다;
b) 모바일 애플리케이션 플랫폼을 제공하는 기관이나 개인은 개인 위치 데이터 사용에 대해 사용자에게 고지해야 하며, 관련 없는 기관이나 개인이 개인 위치 데이터를 수집하는 것을 방지하는 조치를 취하고, 사용자에게 개인 위치 추적 옵션을 제공해야 한다.
4. 생체 인식 데이터 보호는 다음과 같이 규정된다:
a) 생체 데이터 수집 및 처리 기관, 조직, 개인은 자신의 생체 데이터 저장 및 전송 장치에 대해 물리적 보안 조치를 취해야 하며, 생체 데이터 접근 권한을 제한하고, 생체 데이터 침해 행위를 예방하고 감지하기 위한 모니터링 시스템을 갖추어야 하며, 관련 법규 및 국제 표준을 준수해야 한다;
b) 생체 데이터 처리가 개인 데이터 주체에게 손해를 초래하는 경우, 생체 데이터를 수집하고 처리하는 조직 또는 개인은 정부 규정에 따라 해당 개인 데이터 주체에게 통지해야 한다.
제32조. 공공장소에서의 녹음·녹화 활동 및 공공 활동에서 수집된 개인 데이터 보호
1. 기관, 조직, 개인은 다음과 같은 경우에 공공장소에서의 녹음, 녹화 활동 및 공공 활동에서 수집된 개인 데이터에 대해 데이터 주체의 동의 없이 해당 데이터를 녹음, 녹화 및 처리할 수 있습니다.
a) 국방 임무를 수행하고 국가 안보를 보호하며, 사회 질서와 안전을 보장하고, 기관, 조직, 개인의 합법적인 권리와 이익을 보호하기 위해;
b) 공공 활동에서 얻은 음성, 영상, 기타 식별 정보에는 회의, 세미나, 체육 경기 활동, 예술 공연 및 개인 데이터 주체의 명예, 인격, 평판을 훼손하지 않는 기타 공공 활동이 포함됩니다;
c) 법률에 따라 다른 경우.
2. 본 조 제1항 규정에 따른 녹음, 녹화의 경우, 기관, 조직, 개인은 개인 데이터 주체가 자신이 녹음 또는 녹화되고 있음을 알 수 있도록 통지하거나 다른 형태의 정보 제공을 책임지며, 법률에 다른 규정이 있는 경우는 제외됩니다.
3. 수집된 개인 데이터는 처리 목적에 적합하게만 처리 및 사용될 수 있으며, 법률에 위반되거나 개인 데이터 주체의 권리와 합법적 이익을 침해하는 목적으로 사용될 수 없습니다.
4. 공공장소에서의 녹음, 녹화 활동 및 공공 활동에서 수집된 개인 데이터는 수집 목적을 위해 필요한 기간 동안만 저장될 수 있으며, 법률에 다른 규정이 있는 경우는 예외로 한다. 저장 기간이 종료되면, 개인 데이터는 본 법률의 규정에 따라 삭제 또는 파기되어야 한다.
5. 이 조 제1항에 규정된 경우에 녹음, 녹화 및 이를 통해 수집된 개인 데이터를 처리하는 기관, 조직, 개인은 본 법률 및 관련 법규에 따라 개인 데이터를 보호할 책임이 있다.
5. 이 조항 제1항에 규정된 경우에 개인의 녹음, 녹화, 그리고 그로부터 얻은 개인 데이터 처리 행위를 수행하는 기관, 조직, 개인은 이 법 및 관련 법률 규정에 따라 개인 데이터를 보호할 책임이 있다.
제3장. 개인 데이터 보호를 위한 인력 및 조건
제33조. 개인 데이터 보호 인력
1. 개인 데이터 보호 인력에는 다음이 포함된다:
a) 공안부 소속 개인 데이터 전문 보호 기관;
b) 기관, 조직 내 개인 데이터 보호를 담당하는 부서 및 직원.
c) 개인 데이터 보호 서비스를 제공하는 조직 및 개인;
d) 개인 데이터 보호에 참여하도록 동원된 조직 및 개인.
2. 기관, 조직은 개인 데이터 보호 역량을 갖춘 부서 및 인력을 지정하거나 개인 데이터 보호 서비스를 제공하는 조직 및 개인을 고용할 책임이 있다.
3. 정부는 기관, 조직 내 개인 데이터 보호 부서 및 인력, 개인 데이터 보호 서비스를 제공하는 조직 및 개인, 개인 데이터 처리 서비스의 조건과 임무를 규정한다.
제34조. 개인 데이터 보호에 관한 기준 및 기술 규격
1. 개인 데이터 보호 기준에는 베트남에서 공표되고 인정되어 적용되는 정보 시스템, 하드웨어, 소프트웨어, 관리, 운영, 처리, 개인 데이터 보호에 대한 기준이 포함된다.
2. 개인정보 보호에 대한 기술 기준에는 정보 시스템, 하드웨어, 소프트웨어, 관리, 운영, 처리, 보호에 관한 기술 기준이 포함되며, 이는 베트남에서 구축, 공포 및 적용된다.
3. 개인정보 보호에 대한 표준 및 기술 기준의 공포는 표준 및 기술 기준에 관한 법률 규정에 따라 이루어진다.
제35조. 개인정보 보호 활동의 점검
개인정보 보호 활동의 점검은 본 법률과 정부 규정에 따라 이루어진다.
제 IV 장. 기관, 조직, 개인의 책임
개인 데이터 보호에 대하여
제36조. 개인정보 보호에 대한 국가 관리 책임
1. 정부는 개인정보 보호에 대한 국가 관리를 일관되게 수행한다.
2. 경찰청은 국방부 관리 범위에 속하는 내용을 제외하고 개인 데이터 보호에 대한 국가 관리 업무를 수행할 책임이 있는 정부의 중앙 기관이다.
3. 국방부는 관리 범위에 속하는 개인 데이터 보호에 대한 국가 관리 업무를 수행할 책임이 있는 정부 기관이다.
4. 각 부, 동급 기관, 정부 소속 기관은 법률 및 부여된 기능, 임무에 따라 관리 범위에 속하는 분야에 대한 개인 데이터 보호에 대한 국가 관리 업무를 수행한다.
5. 도(省) 인민위원회는 법률 및 부여된 기능, 임무에 따라 개인 데이터 보호에 대한 국가 관리 업무를 수행한다.
제37조. 개인 데이터 관리책임자, 개인 데이터 처리자, 개인 데이터 관리 및 처리자의 책임
1. 개인 데이터 관리책임자의 책임은 다음과 같다:
a) 명확히 규정된 책임, 권리 및 준수해야 할 의무를 본 법 및 관련 법률 규정에 따라 개인 데이터 처리와 관련된 계약이나 협약 당사자에게 명시한다;
b) 개인 데이터 주체와의 문서, 협약에서 개인 데이터 처리의 목적과 수단을 결정하며, 본 법의 규정에 따른 원칙과 내용을 준수하도록 보장한다;
c) 법률 규정에 따라 개인 데이터를 보호하기 위해 적합한 관리 및 기술적 조치를 수행하고, 필요시 이러한 조치를 검토하고 업데이트한다;
d) 본 법 제23조에 따라 개인 데이터 보호 규정 위반 행위를 통지한다;
đ) 개인 데이터를 처리하기 위해 적합한 데이터 처리자를 선택한다;
e) 본 법 제4조에 따라 개인 데이터 주체의 권리를 보장한다;
g) 개인 데이터 운영 주체에 대해 개인 데이터 처리 과정에서 발생한 손해에 대해 책임을 진다;
h) 자신의 시스템, 장비, 서비스에서 불법적으로 개인 데이터를 수집하는 활동을 방지한다;
i) 개인 데이터 보호를 위해 공안부, 권한 있는 국가 기관과 협력하고, 개인 데이터 보호 관련 법 위반 행위 조사 및 처리에 필요한 정보를 제공한다;
k) 이 법 및 관련 법규에 따른 기타 책임을 수행한다.
2. 개인 데이터를 처리하는 측의 책임은 다음과 같다:
a) 개인 데이터 관리 측과 개인 데이터 처리에 관한 협약 또는 계약이 체결된 후에만 개인 데이터를 수령할 수 있다;
b) 개인 데이터 관리 측과 체결한 협약 또는 계약에 따라 개인 데이터를 처리한다;
c) 이 법 및 관련 법규에 따라 개인정보 보호 조치를 충분히 이행한다;
d) 개인정보 처리 과정에서 발생한 손해에 대해 개인정보 관리·처리자에게 책임을 진다;
đ) 시스템, 장비, 서비스에서 불법적으로 개인정보를 수집하는 활동을 방지한다;
e) 개인정보 보호와 관련하여 경찰청 및 권한 있는 국가 기관과 협력하고, 개인정보 보호 법규 위반 행위 조사와 처리를 위해 정보를 제공한다;
g) 이 법 및 관련 법규에 따라 기타 책임을 이행한다.
3. 개인정보를 감독하고 처리하는 측은 본 조 제1항 및 제2항에 규정된 사항을 충분히 이행할 책임이 있습니다.
제5장. 시행 조항
제38조. 시행 효력
1. 이 법은 2026년 1월 1일부터 시행된다.
2. 소기업 및 창업기업은 이 법 시행일부터 5년간 제21조, 제22조 및 제33조 2항의 규정을 이행할지 여부를 선택할 권리가 있다, 단
개인 데이터 처리 서비스를 영위하는 소기업, 스타트업 기업으로서, 민감한 개인 데이터를 직접 처리하거나 다수의 개인 데이터 주체의 데이터를 처리하는 경우.
3. 소규모 사업자, 초소규모 기업은 본 법 제21조, 제22조 및 제33조 제2항의 규정을 이행할 필요가 없으며, 단 개인정보 처리 서비스 사업을 영위하거나, 민감한 개인정보를 직접 처리하거나, 다수의 개인정보 주체의 개인정보를 처리하는 소규모 사업자, 초소규모 기업은 제외한다.
4. 정부는 본 조 제2항 및 제3항을 상세히 규정한다.
제39조. 경과 규정
1. 본 법 시행일 이전인 2023년 4월 17일자 정부의 13/2023/NĐ-CP호 시행령 규정에 따라 개인정보 주체의 동의를 받았거나 합의에 따라 수행 중인 개인정보 처리 활동은 계속 수행하며, 다시 동의 또는 합의를 받을 필요가 없다.
2. 개인 데이터 처리 영향 평가 기록, 해외로의 개인 데이터 전송 영향 평가 기록이 2023년 4월 17일자 정부의 13/2023/NĐ-CP령에 따라 개인 데이터 보호 전담 기관에 본 법률 발효 이전에 접수된 경우, 계속 사용 가능하며 본 법률에 따라 개인 데이터 처리 영향 평가 기록, 국경 간 개인 데이터 전송 영향 평가 기록을 새로 작성할 필요가 없다; 본 법률 발효 이후 기존에 작성된 상기 기록의 갱신은 본 법률의 규정에 따라 수행한다./.
이 법은 베트남 사회주의공화국 국회 제15기 제9차 회의에서 2025년 6월 26일에 통과되었다.
국회의장
전 탄 민