사회주의 베트남 공화국 정부
이 법은 베트남 사회주의공화국 국회 제15기 제10차 회의에서 2025년 12월 10일에 통과되었다.
________ 독립 - 자유 - 행복
번호: 356/2025/NĐ-CP _______________________________________
령
하노이, 2025년 12월 31일
개인 데이터 보호법 일부 조항 및 시행 조치 세부 규정
정부 조직법 63/2025/QH15호를 근거로;
개인 데이터 보호법 제91/2025/QH15호에 근거하여
디지털 데이터 법 60/2024/QH15를 근거로;
조달법, 민관 협력 방식 투자법, 관세법, 부가가치세법, 수출입세법, 투자법, 공공투자법, 공공자산 관리 및 사용법 90/2025/QH15 일부 조항을 수정, 보완하는 법률에 근거하여;
공안부 장관의 제안에 따라;
정부는 개인정보 보호법의 일부 조항 및 시행 조치를 상세히 규정하는 명령을 발령한다.
제1장 일반 규정
제1조. 적용 범위
이 법령은 개인 데이터 보호법의 제2조 2항, 3항; 제4조 5항; 제6조 3항; 제9조 5항; 제17조 3항; 제20조 7항; 제21조 7항; 제22조 4항; 제23조 5항; 제27조 3항; 제30조 6항; 제31조 4항 b목; 제33조 3항; 제35조; 제38조 4항을 상세히 규정하고, 개인 데이터 보호를 위한 솔루션 연구 및 개발, 개인 데이터 보호 전담 기관, 개인 데이터 보호 국가 포털의 실행 조치를 규정하며, 개인 데이터 보호에 대한 부처, 기관, 지방자치단체의 책임 및 개인 데이터 보호 활동 보장을 위한 경비를 규정한다.
제2조 적용 대상
1. 베트남 내 기관, 조직, 개인;
2. 베트남 내 외국 기관, 조직, 개인;
3. 외국 기관, 조직, 개인이 직접 참여하거나 베트남 시민과 베트남에서 거주하는 국적이 아직 확인되지 않은 베트남계 사람들의 개인정보 처리 활동과 관련된 경우, 신분증을 발급받은 사람에 대해.
제3조. 기본 개인정보 목록
기본 개인정보에는 다음이 포함됩니다:
1. 성, 중간 이름 및 출생 이름, 다른 이름(있는 경우);
2. 생년월일; 사망 또는 실종일;
3. 성별;
4. 출생지, 출생 등록지, 영구 거주지 등록지, 임시 거주지 등록지, 현재 거주지, 고향, 연락 주소;
5. 국적;
6. 개인의 사진;
7. 전화번호, 개인 식별 번호, 여권 번호, 운전 면허 번호, 차량 등록 번호;
8. 결혼 상태;
9. 가족 관계 정보(부모, 자녀, 배우자);
10. 개인 계좌 정보;
11. 특정한 개인과 관련되거나 특정한 개인을 식별하는 데 도움이 되는 기타 정보는 본 법령 제4조의 규정에 속하지 않습니다.
제4조. 민감 개인 데이터 목록
1. 민감 개인 데이터에는 다음이 포함됩니다:
a) 인종적 기원, 민족적 기원을 밝히는 데이터;
b) 정치적 견해, 종교, 신념;
c) 사생활, 개인 비밀, 가족 비밀에 대한 정보;
d) 건강 상태;
dd) 생체 인식 데이터, 유전적 특징;
e) 개인의 성생활, 성적 성향을 밝히는 데이터;
f) 법 집행 기관이 수집하고 저장한 범죄 및 법 위반 관련 데이터;
g) 위치 기반 서비스를 통해 확인된 개인의 위치;
h) 개인 전자식별 계정 접속을 위한 사용자 이름 및 비밀번호 정보; 신분증, 주민등록증, 신분 확인 카드 이미지;
k) 은행 계좌의 로그인 이름, 접근 비밀번호; 은행 카드 정보, 은행 계좌 거래 내역 데이터; 금융 정보, 신용 정보 및 신용 기관, 외국 은행 지점, 결제 중개 서비스 제공 기관, 증권, 보험 및 기타 허가 받은 기관에서 고객의 재무 활동, 거래 기록과 관련된 모든 정보;
l) 통신 서비스, 소셜 네트워크, 온라인 미디어 서비스 및 기타 사이버 공간에서의 서비스 이용 행위 및 활동 추적 데이터;
m) 법률에 따라 비밀로 유지해야 하거나 엄격한 보안 조치가 필요한 기타 개인 데이터.
2. 민감한 개인 데이터를 처리하는 과정에서 기관 및 조직은 접근 권한 제한, 처리 절차 및 보안 조치를 규정해야 한다.
제2장. 개인 데이터 보호 요구사항 및 조건
제5조. 개인정보 주체의 권리 행사
1. 개인정보를 통제하는 자, 개인정보를 통제하고 처리하는 자는 개인정보 주체의 권리 행사를 위해 개인정보 처리 활동 및 관련 부서의 책임에 적합하게 명확한 절차, 절차서, 양식을 마련해야 하며, 개인정보 주체가 알 수 있도록 보장해야 한다.
개인정보 보호법 제4조 제1항에 규정된 권리를 행사하는 절차.
2. 개인정보 처리 동의 철회, 개인정보 처리 제한, 개인정보 처리 반대 요청을 개인정보 주체의 절차에 따라 받는 경우, 개인정보를 관리하는 자 및 개인정보를 관리·처리하는 자는 근무일 기준 2일 이내에 회신하고, 개인정보 주체에게 개인정보 처리 중단 절차에 대한 충분한 정보를 제공하며, 15일 이내에 이를 수행해야 하며, 개인정보 보호법 제19조에 따라 개인정보 주체의 동의가 필요 없는 개인정보 처리의 경우는 제외된다. 개인정보를 처리하는 자 또는 제3자에게 개인정보 주체의 개인정보 처리 중단을 요청해야 하는 경우에는 20일 이내에 수행한다.
요청의 성격과 복잡성 수준에 따라, 처리 시간을 연장할 필요가 있는 경우 최대 1회, 15일을 초과하지 않는 범위 내에서 연장할 수 있으며, 개인정보 관리 책임자와 개인정보 처리 및 관리자는 연장 사유를 개인정보 주체에게 통지하고 연장이 필요하며 합리적임을 증명할 책임이 있습니다.
3. 개인정보 열람, 수정 요구 또는 데이터 수정 요구를 받은 경우, 개인정보 주체의 절차에 따라 개인정보를 제공하며, 개인정보 관리 책임자와 개인정보 처리 및 관리자는 2영업일 내에 응답하고, 개인정보 주체에게 절차에 대한 충분한 정보를 제공하며 10일 내에 이행해야 합니다. 개인정보 처리자 또는 제3자가 개인정보 주체의 데이터를 수정해야 하는 경우에는 15일 내에 수행해야 합니다.
요청의 성격과 복잡도에 따라, 처리 기간 연장이 필요한 경우 최대 1회, 10일을 초과하지 않는 범위 내에서 연장할 수 있으며, 개인정보를 통제하는 측과 개인정보를 통제 및 처리하는 측은 개인정보 주체에게 연장이 필요한 이유를 알리고, 연장이 필요하고 합리적임을 입증할 책임을 집니다.
4. 개인정보 주체의 적절한 절차에 따라 개인정보 삭제 요청을 받으면, 개인정보를 통제하는 측, 개인정보를 통제하고 처리하는 측은
개인은 2영업일 이내에 회신해야 하며, 개인 데이터 주체에게 절차에 대한 충분한 정보를 제공하고 20일 이내에 이를 수행해야 합니다. 개인 데이터 처리자, 제3자가 개인 데이터 주체의 데이터를 제공, 삭제, 처리 제한을 요청해야 하는 경우에는 30일 이내에 수행합니다.
요청의 성격과 복잡도에 따라 처리 기간을 연장해야 하는 경우, 최대 1회까지 연장할 수 있으며, 연장 기간은 20일을 초과할 수 없습니다. 개인정보를 통제하는 측, 개인정보를 통제하고 처리하는 측은 연장이 필요한 이유를 개인정보 주체에게 통지하고, 연장이 필요하고 합리적임을 증명할 책임이 있습니다.
5. 개인정보 주체의 정식 절차에 따라 개인정보 보호 조치 및 해결책을 요구받은 경우, 권한 있는 기관 또는 개인정보 처리와 관련된 기관, 조직, 개인은 2근무일 내에 답변해야 하며, 개인정보 주체에게 절차에 관한 모든 정보를 제공하고 15일 내에 이를 이행해야 합니다.
요청의 성격과 복잡성 수준에 따라, 처리 시간을 연장할 필요가 있는 경우 최대 1회, 15일을 초과하지 않는 범위 내에서 연장할 수 있으며, 개인정보 관리 책임자와 개인정보 처리 및 관리자는 연장 사유를 개인정보 주체에게 통지하고 연장이 필요하며 합리적임을 증명할 책임이 있습니다.
제6조 개인정보 주체의 동의 표시 방식
1. 개인정보 주체의 동의를 얻는 방법은 개인정보 주체가 동의를 했음을 확인할 수 있고, 동의한 시점과 내용을 검증할 수 있는 방식이어야 하며, 다음을 포함한다:
가) 문서로;
나) 녹음된 통화로;
다) 휴대전화 문자 메시지를 통한 동의 구문으로;
라) 이메일, 웹사이트, 플랫폼, 애플리케이션에서 기술적으로 동의를 요청하도록 설정된 방식으로;
마) 전자 형식 또는 검증 가능한 형식을 포함하여 문서화, 인쇄, 복사가 가능한 기타 적합한 방식으로.
2. 데이터 통제자, 데이터 통제 및 처리자는 개인정보 주체의 동의를 보관해야 한다. 분쟁이 발생할 경우, 개인정보 주체의 동의 증명 책임은 데이터 통제자와 데이터 통제 및 처리자에게 있다.
3. 개인정보 통제자는 개인정보를 통제하고 처리하는 측이 동의의 기본 설정 방식을 설정하거나, 데이터 주체가 동의와 비동의를 혼동할 수 있는 명확하지 않은 지침을 생성해서는 안 됩니다. 기본 제공 설정은 개인정보 보호 원칙을 준수하고, 데이터 주체의 권리를 존중해야 합니다.
4. 민감한 개인정보 처리에 대한 동의를 구할 때, 데이터 주체는 처리해야 할 데이터가 민감한 개인정보임을 통보받아야 합니다.
제7조 개인정보 이전
1. 개인정보보호법 제17조 제1항 a, c, d호에 따라 개인정보를 이전하는 기관 및 개인은 개인정보 수신자와 개인정보 이전에 관한 합의를 체결해야 하며, 그 안에 다음 내용을 명확히 명시해야 합니다:
a) 개인정보 이전의 목적;
b) 이전 목적에 부합하는 개인정보 주체와 이전되는 개인정보의 종류;
c) 개인정보 처리 기간, 이전 목적 달성 후 개인정보 삭제 및 파기 요구 사항;
d) 개인정보 이전의 법적 근거;
đ) 개인정보 이전 및 처리 과정에서 개인정보 보호 책임;
e) 개인정보 주체의 권리 행사의 책임;
g) 개인정보 보호 규정 위반 발견 시 각 당사자의 협력 및 준수 책임.
2. 민감한 개인정보의 이전은 저장 장치와 전송 장치에 대한 물리적 보안 조치, 암호화, 익명화 및 이전 과정에서의 기타 보안 조치를 갖추어야 한다.
3. 개인 데이터 보호법 제17조 1항 a호, d호에 따라 개인 데이터의 이전이 개인 데이터 소유자에게 서비스를 제공하기 위한 유료 제공이나 개인 데이터 소유자의 합법적 이익을 위해 이루어지는 경우, 조직과 개인은 다음 규정을 준수해야 합니다:
a) 개인 데이터 소유자가 각 이전 시마다 정확하고 명확하게 동의할 수 있도록 기술 시스템과 투명한 메커니즘을 구축해야 하며, 이전 목적, 데이터를 받는 조직 및 개인, 데이터 처리를 정확히 알 수 있는 기반을 마련해야 합니다.
b) 개인 데이터 소유자가 동의한 이전 목적에 맞게, 사업 등록된 업종 및 직업에 적합하게만 개인 데이터를 처리해야 합니다.
c) 이전되는 개인 데이터의 종류는 이전 목적 범위 내로 제한해야 합니다.
d) 개인 데이터 전송 활동으로부터 개인 데이터베이스를 수집, 저장, 형성하여 개인 데이터 주체가 동의한 목적 이외의 용도로 사용하는 것은 금지됩니다;
d) 개인 데이터 전송 활동에서 개인 데이터 관리자의 역할, 개인 데이터 처리자의 역할, 제3자의 역할을 명확히 정의해야 합니다;
e) 전송 및 처리를 하기 전에 개인 데이터 전송·처리 계약을 체결하고, 개인 데이터 주체에 대한 책임과 의무를 다할 것을 약속해야 합니다.
4. 동일 기관 또는 조직 내 부서 간에 개인 데이터를 공유하여 확립된 처리 목적에 맞게 데이터를 처리하는 경우, 기관 또는 조직은 개인 데이터 공유 및 사용을 규정에 맞게 관리하는 절차를 마련해야 하며, 내부 직원이 제3자와 개인 데이터를 무단으로 공유하는 것을 방지·대응할 수 있는 조치를 갖추어야 합니다.
5. 개인 데이터는 데이터 거래소에서 거래되기 전에 비식별화되어야 합니다.
6. 기관, 조직, 개인이 개인정보 보호법 제15조 2항에 따른 개인 데이터를 제공하는 경우, 데이터 주체의 개별 요구에 따라 제공하는 경우에는 데이터 이전으로 간주되지 않으며, 본 조항에 따른 규정을 준수할 필요가 없습니다.
제8조. 금융, 은행, 신용 정보 활동에서의 개인정보 보호
1. 금융, 은행 분야 및 신용 정보 활동을 수행하는 조직과 개인은 개인 데이터 보호를 위한 기준과 기술 규범을 적용할 책임이 있으며; 베트남에서 제정되고 적용되는 개인 데이터 비식별화 및 익명화 기술 규범을 준수해야 하며; 개인 데이터 보호 규정을 준수하는지를 연 1회 평가해야 하며; 개인 데이터 처리 모든 활동을 기록해야 합니다.
2. 금융, 은행 분야 및 신용 정보 활동을 수행하는 조직과 개인이 개인 데이터 관리자인 경우, 개인 데이터 주체의 동의를 얻을 때 다음 사항을 명확히 해야 합니다:
a) 신용 점수 매기기, 신용 등급 평가, 신용 정보 평가, 신용 신뢰도 평가 등 개인 데이터를 처리하는 목적(있는 경우)
b) 개인 데이터 수집 원천 및 관련된 개인 데이터를 수집, 공유하는 당사자;
c) 개인 데이터 보관 기간;
d) 동의 철회 메커니즘 및 방법과 관련 규정에 따른 개인 데이터 삭제, 폐기 정책.
3. 금융, 은행, 신용 정보 활동 분야에서 개인정보 주체의 민감한 데이터가 유출되거나 손실된 사실을 발견한 후 72시간 이내에, 개인정보 주체의 데이터를 직접 수집하는 기관 또는 개인은 데이터 보호를 담당하는 기관에 이를 통보할 책임이 있다.
개인 및 개인 데이터 주체. 통지 내용은 본 규정 제28조 제1항에 규정된 최소한의 내용을 보장해야 합니다.
제9조. 빅데이터 처리에서 개인정보 보호
1. 개인 데이터를 포함하는 빅데이터 처리는 대규모로 이루어지는 개인 데이터 처리 활동으로, 지속적이며, 다양한 출처에서 통합되고, 행동을 분석하거나, 트렌드를 예측하거나, 사용자를 분류할 수 있는 활동입니다.
2. 개인 데이터를 포함하는 빅데이터를 처리하는 경우, 관련 기관, 조직 및 개인은 다음의 책임을 집니다:
a) 데이터 처리 시작 시점부터 개인 데이터 보호 규정을 준수할 것;
b) 구체적이고 명확한 목적에 맞게 개인 데이터를 수집, 처리 및 저장할 것;
c) 관련 법규에 맞게 개인 데이터를 저장, 삭제, 파기할 정책을 수립할 것;
d) 정기적으로 직원들에게 개인정보 보호와 개인정보 보호 조치에 대한 교육, 보급 및 인식을 제고하며, 특히 개인정보를 직접 처리하는 인력을 대상으로 합니다. 조직 내에서 개인정보 보호의 중요성에 대한 인식을 강화합니다.
d) 개인정보 보호 규정을 준수하도록 제3자, 파트너 및 서비스 제공자와 협약을 체결합니다.
e) 데이터 주체에게 그들의 개인정보가 빅데이터 분석 시스템에서 사용되는 것에 대해 적절한 통보와 설명을 제공하는 메커니즘을 갖춥니다.
3. 기관, 조직, 개인은 빅데이터를 처리하는 과정에서 개인정보 보호 조치를 적용하며, 다음을 포함합니다:
a) 개인정보를 저장, 처리, 전송하는 과정에서 사이버 보안, 데이터 보안, 개인정보 유출 방지 조치를 적용합니다.
b) 강력한 인증 방식을 사용하고, 최소한 다중 요소 인증(비밀번호, 비밀번호와 결합된 PIN, 일회용 비밀번호, 전자 서명 장치 또는 생체 인식 요소)을 요구하며, 개인 데이터의 민감도 수준에 적합하게; 분
개인 데이터에 접근할 수 있는 권한을 보장하여 권한이 있는 사람만 접근할 수 있도록 합니다;
c) 개인 데이터의 암호화 및 익명화를 수행한다(특정 개인을 식별할 수 있는 데이터를 분리하여 별도로 저장하고 보호하는 과정으로, 이 과정을 거친 후의 개인 데이터는 특정인을 식별할 수 없는 상태로 처리에 사용된다) 개인 데이터를 전송하거나 제공하는 과정에서, 단 전문 법률에 달리 규정되어 있는 경우나 범죄 방지, 자금 세탁 방지, 국가 안보 보장, 고객 불만 및 분쟁 처리 등을 위해 명시적 데이터 형태로 처리가 필요한 경우를 제외한다. 이러한 경우 기관 및 조직은 개인 데이터가 무단 접근 및 사용되지 않도록 추가적인 보안 조치를 적용해야 한다;
d) 지속적인 모니터링을 수행하고, 개인 데이터 접근 활동을 추적하며 이상 행위를 감지하기 위해 모니터링 도구를 사용한다;
đ) 정기적으로 사이버 보안과 데이터 보안에 대한 점검 및 평가를 수행하여 보안 취약점을 발견, 예방 및 수정한다.
제10조. 인공지능 및 가상 우주 시스템에서 개인정보 보호
1. 기관과 개인은 학습 알고리즘, 인공지능 시스템 및 기타 자동화 시스템을 연구하고 개발하기 위해 개인정보를 사용할 권리가 있으나, 개인정보 보호 규정을 준수해야 한다.
2. 인공지능 추론 결과 데이터가 특정 개인을 식별하거나 식별하는 데 사용할 수 있는 경우, 법률에 규정된 개인정보 보호 조치를 적용해야 한다.
3. 개인정보 관리자 측은 개인정보 처리와 관련하여 데이터 주체에게 자동화된 개인정보 처리에 대해 알리고, 알고리즘의 작동 원리와 데이터 주체의 권리 및 합법적 이익에 대한 영향을 설명하며, 데이터 주체가 참여하지 않을 권리를 선택할 수 있는 옵션을 제공할 책임이 있습니다.
4. 가상 우주(메타버스)는 소셜 미디어, 온라인 게임, 증강 현실(AR), 가상 현실(VR), 인터넷 및 암호화폐의 요소를 결합하여 사용자가 가상 현실 기술을 사용하여 상호작용할 수 있는 디지털 우주입니다.
5. 조직 및 개인은 인공지능 시스템, 가상 우주에서 개인정보를 보호하기 위한 조치를 적용합니다. 여기에는 다음이 포함됩니다:
a) 인공지능 시스템을 위한 사이버 보안 기준과 종합 데이터 보호 기준을 충족하는 시스템을 연구, 구축 및 실행하며, 특히 다음 요소에 중점을 둔다: 정보 보안, 알고리즘 신뢰성, 시스템 안정성 및 사이버 공격 방지 능력;
b) 인공지능 시스템의 운영을 두 가지 측면에서 감독하는 메커니즘을 마련한다: 권한 있는 국가 기관의 감독; 개인 데이터 주체에 대한 책임 추궁, 개인정보를 관리하는 주체, 개인정보를 관리 및 처리하는 주체.
c) 적절한 기준에 따라 개인정보 보호 메커니즘을 구축하고, 사이버 보안 위험을 조기에 감지하고 경고할 수 있는 감시 시스템을 개발한다;
d) 인공지능, 가상 우주를 국가 안보 및 사회 질서 침해 활동에 이용하는 것을 통제하고 방지하는 메커니즘을 구축한다;
đ) 개인정보 보호 규정을 준수하는 평가를 매년 1회 실시한다.
6. 개인정보 주체는 기록 보관 플랫폼에 행동 기록을 저장하더라도 식별 정보를 수정, 익명 처리, 삭제할 권리를 가진다.
제11조 블록체인 기술에서의 개인정보 보호
1. 기관, 조직, 개인은 블록체인 기술에서 개인정보를 처리할 때, 블록체인 기술을 이용한 제품, 서비스, 애플리케이션, 시스템 연구 및 개발 과정과 개인정보 처리 과정에서 개인정보 보호 규정을 준수할 책임이 있다.
2. 기관, 조직, 개인은 블록체인 기술에서 개인정보를 처리할 때 개인정보를 보호하기 위한 조치를 적용한다. 이를 포함한다:
a) 안전을 보장하는 암호화 알고리즘, 해시 알고리즘, 디지털 서명 알고리즘만 적용한다;
b) 개인 데이터를 블록체인에 직접 저장하지 않고, 개인 데이터가 익명화되었거나 개인 데이터의 해시 값이 저장된 경우에만 저장한다;
c) 개인 데이터 보호 관련 규정을 준수하는지에 대한 평가를 연 1회 정기적으로 수행한다.
제12조 클라우드 컴퓨팅에서의 개인 데이터 보호
1. 관련 기관, 조직, 개인은 클라우드 컴퓨팅 서비스를 배포할 때 개인 데이터가 무단 접근되는 것을 방지하기 위해 기술적 및 조직적 조치를 적용해야 한다.
2. 개인 데이터 처리를 위해 클라우드 서비스 제공 기관과 계약을 체결한 조직, 개인은 다음과 같은 책임을 진다:
a) 계약 내용에 베트남 법률에서 규정한 개인정보 보호 관련 법규 준수, 개인정보 보호 부서 및 인력에 대한 정보 제공, 개인정보 보호 관련 행정 절차 규정 준수 사항을 명확히 명시할 것;
b) 개인정보 처리 흐름, 클라우드 서비스 제공 활동에서 각 당사자의 역할 및 이에 상응하는 책임을 명확히 규정할 것;
c) 보안, 기술적, 조직적 조치 요구사항을 계약서에 명확히 기재할 것;
d) 개인정보에 영향을 미칠 수 있는 모든 변경 사항을 즉시 관련 당사자에게 통보할 것;
đ) 개인정보 처리 기한과 개인정보 삭제, 폐기 요구사항을 준수할 것;
e) 개인정보 주체의 권리 이행을 보장할 것;
g) 개인정보 접근 권한이 합리적으로 계층화되도록 기술적 조치를 충분히 시행할 것.
3. 클라우드 컴퓨팅 서비스 제공 기관:
a) 베트남의 개인정보 보호 규정을 준수하고, 개인정보 보호 부서와 인력에 대한 정보를 제공하며, 법률 규정에 따라 개인정보 보호와 관련된 행정 절차 규정을 준수한다;
b) 하청업체에게 법률 규정에 따른 개인정보 보호 규정과 의무를 준수하도록 요청한다;
c) 자신의 개인정보 처리 규모와 수준에 적합한 기술적 및 조직적 조치를 적용한다;
d) 개인정보 보호 규정 준수 평가를 연 1회 정기적으로 수행한다.
4. 클라우드 상의 개인정보는 저장 상태와 전송 상태 모두 암호화되어야 하며, 엄격한 접근 권한 관리와 함께 관리되어야 한다.
제13조. 개인정보 보호 담당자 및 기관, 조직 내 개인정보 보호 부서의 조건
1. 개인정보 보호 담당자 또는 개인정보 보호 부서의 지정은 해당 기관, 조직의 공식 문서로 이루어져야 하며, 기관, 조직 내 개인정보 보호 업무에 대한 배치, 기능과 임무, 권한 및 기타 요구사항을 명확히 해야 한다.
2. 기관, 조직이 지정한 개인정보 보호 담당자는 다음과 같은 능력 조건을 충족해야 한다:
a) 전문대학 이상 학력
b) 졸업 시점부터 최소 2년 이상의 관련 업무 경험(법률, 정보기술, 사이버 보안, 데이터 보안, 위험 관리, 준수 관리, 인사 관리, 조직 관리 분야 중 하나 이상 관련)
c) 개인정보 보호에 관한 법률 지식과 전문 기술에 대한 교육 및 연수 수료
3. 기관이나 조직이 개인정보 보호 부서를 설립하는 경우, 해당 부서의 인력은 본 조 2항에서 규정한 능력 요건을 충족해야 합니다.
4. 기관이나 조직은 개인정보 보호 인력을 평가하고 선발할 책임이 있습니다.
5. 기관이나 조직은 개인정보 보호 인력과 비밀 유지 책임에 대한 협약을 체결해야 하며, 개인정보 보호 위반이나 손해 발생 시 책임 면제의 경우에 대해 협의할 수 있습니다.
6. 기관이나 조직은 개인정보 보호 인력 또는 개인정보 보호 부서를 지정하여, 개인정보 보호에 대한 지식과 기술을 교육하고 연수할 책임을 갖습니다.
제14조. 기관 및 조직 내 개인정보 보호 부서와 개인정보 보호 인력의 임무
1. 개인정보 보호 부서는 다음과 같은 기능과 임무를 갖습니다:
a) 개인 데이터 보호에 관한 법규를 준수하기 위해 정책, 절차, 규정, 양식을 수립하고 조직한다;
b) 개인 데이터 주체의 권리를 실행하기 위해 조직을 운영한다;
c) 조직의 개인 데이터 보호 법규 준수 현황을 정기적으로 평가하며, 법규상 의무 이행 수준 평가 보고서를 통해 법규 준수 효율성을 높이고, 개인 데이터 처리 활동에서 위험을 예방하고 통제할 수 있는 조치를 제안한다;
d) 국경 간 개인 데이터 전송 영향 평가, 개인 데이터 처리 영향 평가 문서를 작성하고, 개인 데이터 보호 위반 사항을 접수 및 보고하며, 규정에 따라 권한 있는 기관의 기타 요구사항을 수행한다;
đ) 기관 및 조직 내에서 개인 데이터 보호에 관한 정기적인 교육 및 연수 계획을 수립하고 시행한다;
e) 개인정보 보호 기술 조치, 개인정보 보호 기준 및 규범, 개인정보 보호 사고 긴급 대응 계획을 조직하여 실행한다;
g) 개인정보 보호와 관련된 결정을 연구하고 제안한다.
2. 개인정보 보호 담당 인력의 업무는 다음과 같다:
a) 개인정보 보호 관련 법규 준수를 위한 정책, 절차, 규정, 양식을 작성하는 데 자문한다;
b) 개인정보 주체의 권리 실행에 참여한다;
c) 개인 데이터 보호 관련 법률 준수 실태를 평가하는 정기적인 활동에 참여하고, 법률 준수의 효율성을 높이고 위험을 예방 및 통제하기 위한 조치를 제안한다;
d) 국경 간 개인정보 전송 영향 평가서 작성, 개인정보 처리 영향 평가서 작성, 접수 및 보고 수행
개인 데이터 보호 위반 및 규정에 따라 권한 있는 기관의 기타 요구 사항을 이행하는 것;
đ) 개인 데이터 보호에 관한 프로그램과 보충 교육 과정에 참여한다;
e) 개인 데이터 보호를 위한 기술적 보안 조치, 기준, 규범, 비상사태 대응 계획을 실행하는 데 참여한다.
제15조. 개인 데이터 보호 서비스를 제공하는 개인
1. 개인정보 보호 서비스를 제공하는 개인은 본 조 제2항에서 규정한 능력 조건을 충족하고, 기관이나 조직으로부터 개인정보 보호 인력으로 고용된 사람을 말한다.
2. 개인정보 보호 서비스를 제공하는 개인은 다음과 같은 능력 조건을 충족해야 한다:
a) 전문대학 이상 학력
b) 법률, 개인정보 처리, 사이버 보안, 데이터 보안, 리스크 관리, 준수 통제 등 분야 중 하나와 관련하여 최소 3년 이상의 근무 경험을 보유한 사람(졸업 시점부터 계산);
c) 개인정보 보호에 관한 법률 지식과 전문 기술에 대해 심화 교육을 받고 훈련을 받은 사람.
3. 개인 데이터 보호 서비스를 제공하기 위해 개인을 고용하려는 기관 및 조직은 본 조 제2항에 따른 역량 조건을 검토하고, 개인 데이터 보호 인력을 사용하는 계약을 체결하며, 개인 데이터 보호 인력에 대한 정보를 데이터 주체 및 관련 당사자가 알 수 있도록 공개한다.
4. 개인 데이터 보호 서비스를 제공하는 개인은 다음과 같은 책임을 진다:
a) 계약 및 협약에서 정한 범위와 임무에 따라 서비스를 수행할 것;
b) 서비스를 제공하는 것을 이용하여 법률을 위반하는 행위를 하지 않을 것;
c) 계약을 완료한 후 및 법률에 따라 서비스 제공 과정에서 처리된 개인 데이터를 삭제, 파기할 것.
제16조. 개인 데이터 보호 서비스 제공 조직
1. 개인 데이터 보호 서비스를 제공하는 조직:
a) 데이터 보호 규정을 준수하도록 컨설팅하고, 합의에 따라 개인정보 보호 업무를 수행하기 위해 기관이나 조직에 의해 고용된 기술, 법률 또는 기술·법률 컨설팅 분야의 기능, 임무 또는 업종, 사업 분야를 가진 조직, 기업;
b) 본 명령 제15조 2항의 능력 요건을 충족하는 최소 3명의 인력을 보유한 경우;
c) 보안, 사이버 보안, 정보 기술, 표준 평가, 개인정보 보호 컨설팅과 관련된 제품 및 서비스를 제공한 적이 있는 경우.
2. 개인정보 보호 서비스를 제공하는 조직은 개인정보를 보호할 수 있는 능력을 입증하는 역량 자료를 작성하여 서비스를 필요로 하는 기관이나 조직에 제공해야 합니다. 자료에는 업종, 사업 분야; 서비스 제공 규모, 범위, 경험; 서비스 제공 정책; 인력의 기준, 수준, 능력; 관련 문서와 증빙 자료가 포함되어야 합니다.
3. 개인정보 보호 서비스를 임대할 필요가 있는 기관 및 조직은 역량 서류를 검토하고, 서비스 이용 계약을 체결하며, 개인정보 처리에 대한 합의를 개인정보 보호 조직과 진행하고, 해당 개인정보 보호 조직에 대한 정보를 개인정보 주체 및 관련 당사자에게 공개합니다.
4. 기관 및 조직은 필요에 따라 동시에 개인정보 보호 인력, 개인정보 보호 부서를 지정하고, 개인정보 보호 서비스를 제공하는 개인 및 조직을 임대할 수 있습니다.
5. 개인정보 보호 서비스 이용 기관과의 합의를 바탕으로, 개인정보 보호 서비스를 제공하는 조직은 해당 기관을 위한 개인정보 보호 부서의 업무를 수행합니다.
6. 개인정보 보호 서비스를 제공하는 조직은 다음과 같은 책임이 있습니다:
a) 계약 및 협약에서 정한 범위와 임무에 따라 서비스를 수행할 것;
b) 서비스를 제공하는 것을 이용하여 법률을 위반하는 행위를 하지 않을 것;
c) 계약을 완료한 후 및 법률에 따라 서비스 제공 과정에서 처리된 개인 데이터를 삭제, 파기할 것.
제3장. 개인정보에 관한 서류, 절차, 절차
제17조. 개인 데이터의 국경 간 이전
1. 개인 데이터 관리 주체, 개인 데이터 관리 및 처리 주체, 개인 데이터 처리자 및 제3자는 다음과 같은 경우에 개인 데이터의 국경 간 이전을 수행한다:
a) 베트남에서 수집 및 저장된 개인 데이터를 베트남 사회주의 공화국 영토 밖에 위치한 서버 시스템 또는 해외 제공자의 클라우드 서비스로 이전하면서 데이터를 저장하는 경우;
b) 베트남의 기관, 조직, 개인으로부터 해외의 기관 또는 개인에게 개인 데이터를 이전하는 경우;
c) 베트남에서 수집된 개인 데이터를 베트남 사회주의 공화국 영토 밖의 플랫폼으로 이전하여 계속 처리하는 경우.
2. 개인정보 보호 전담 기관은 다음과 같은 경우 국경 간 개인정보 이전을 중단하도록 데이터 이전 당사자에게 요구할 수 있습니다:
a) 이전된 개인정보가 국방, 국가 안보를 침해하는 활동에 사용되는 것이 발견된 경우;
b) 국방, 국가 안보에 피해를 줄 수 있는 개인정보 보호 규정 위반 행위가 있는 경우.
3. 개인정보 보호법 제20조 6항 a, b, c호 규정에 따른 경우 외, 국경 간 개인정보 이전 영향 평가 규정을 적용하지 않아도 되는 경우는 다음과 같습니다:
a) 법률에 따른 보도, 언론 활동;
b) 법률에 따라 공개된 국경 간 개인정보 이전.
c) 긴급 상황에서 개인의 생명, 건강 및 재산 안전을 보호하기 위해 국경을 넘어 개인 데이터를 제공하는 것이 실제로 필요한 경우; 법률에 규정된 임무와 의무를 수행하기 위해;
d) 법률에 따라 국경을 넘어 인사 관리를 수행하기 위해, 규칙, 노동 규정, 단체협약에 따라 국경을 넘어 개인 데이터를 이전하는 활동;
d) 국경을 넘는 운송, 물류, 송금, 결제, 호텔, 비자 신청, 장학금 신청과 관련된 계약 체결 또는 절차를 수행하기 위한 개인 데이터 제공.
제18조. 국경을 넘는 개인 데이터 전송 영향 평가의 조건, 순서, 절차, 서류 구성
1. 국경 간 개인 데이터 전송 활동을 수행하는 기관, 조직, 개인은 개인 데이터 보호법 제20조 제1항에 따라 이 법에서 규정한 바에 따라 국경 간 개인 데이터 전송 영향 평가 문서를 작성해야 합니다.
2. 국경 간 개인 데이터 전송 영향 평가 문서에는 다음이 포함됩니다:
a) 이 법령 부록의 양식 09에 따른 국경 간 개인 데이터 전송 영향 평가 보고서;
b) 국경 간 개인 데이터 전송에 관한 계약서 또는 문서 사본으로, 데이터 전송을 수행하는 조직 및 개인과 수신 조직 및 개인 간의 의무와 책임을 명시;
c) 국경 간 개인 데이터 전송 활동을 수행하는 기관, 조직, 개인의 개인 데이터 보호와 관련된 정책, 절차, 규정, 양식 및 기타 자료.
3. 국경 간 개인 데이터 전송 영향 평가 보고서에는 다음 내용이 포함됩니다:
a) 개인 데이터 이전 당사자, 개인 데이터 수신 당사자, 개인 데이터 처리 당사자 및 국경 간 개인 데이터 이전 활동과 관련된 기타 당사자의 정보 및 연락처 세부사항;
b) 개인 데이터 보호 부서 및 인력, 개인 데이터 보호 서비스를 제공하는 조직 또는 개인(있는 경우)의 연락처 세부사항;
c) 국경 간 개인 데이터 이전의 목적에 대한 설명과 근거, 국경 간 이전되는 개인 데이터의 종류, 개인 데이터 이전 및 처리 활동의 세부사항 및 개인 데이터 처리 흐름도;
d) 개인 데이터 주체의 동의 획득 수행에 대한 설명과 근거, 개인 데이터의 저장, 삭제 및 파기 정책;
ㄷ) 국경을 넘어 전송된 후 개인 데이터의 안전을 보장하기 위한 방안, 개인 데이터 보호 조치, 적용되는 개인 데이터 보호 기준;
ㄹ) 시스템 도식, 국경을 넘어 전송된 개인 데이터를 수신한 후 저장 및 처리하는 시스템의 기능 설명;
ㄱ) 국경을 넘어 전송된 개인 데이터를 수신한 측이 제3자에게 개인 데이터를 전달하거나 제공하는 절차;
ㅎ) 국경을 넘어 개인 데이터를 전송하는 활동을 하는 기관, 조직, 개인의 개인 데이터 보호 규정 준수 자기 평가 결과;
ㅣ) 개인 데이터를 수신한 측의 개인 데이터 보호 수준 평가; 국경을 넘어 개인 데이터를 전송 및 처리할 때의 영향 수준, 위험; 발생 가능성이 있는 원치 않는 결과, 손해, 해당 위험을 완화하거나 제거하기 위한 조치.
4. 국경 간 개인 데이터 전송 영향 평가 서류는 개인 데이터 보호 전담 기관의 점검 및 평가 활동을 위해 항상 준비되어 있어야 한다.
국경 간 개인 데이터 전송자는 이 서류의 완전한 원본 1부를 온라인, 직접 제출 또는 우편 서비스를 통해 개인 데이터 보호 전담 기관에 제출하고, 이 법령 부록의 양식 01a/01b를 함께 첨부하여, 국경 간 개인 데이터 전송을 수행한 날로부터 60일 이내에 제출해야 한다.
5. 개인 데이터 보호 전담 기관은 국경 간 개인 데이터 전송 영향 평가 서류를 평가하고, 15일 이내에 해당 서류가 요건을 충족하는지 또는 충족하지 않는지 결과를 회신한다.
6. 개인정보 보호 전담 기관은 개인정보를 국경 간 이전하는 자에게, 평가 서류가 불완전하거나 규정에 맞지 않는 경우에는 30일 이내에 개인정보 국경 간 이전 영향 평가 서류를 완성하도록 요구하고 평가한다. 만약 개인정보를 국경 간 이전하는 자가 규정에 따라 서류를 완성하지 않을 경우, 개인정보 보호 전담 기관은 개인정보 보호 분야에서 행정처분 규정을 적용하는 것을 검토한다.
7. 개인정보를 국경 간 이전하는 자는 이 법령 제20조의 규정에 따라 개인정보 국경 간 이전 영향 평가 서류를 갱신하고 보완한다.
제19조. 개인정보 처리 영향 평가의 조건, 절차, 처리 절차, 서류 구성
1. 개인정보 관리 책임자, 개인정보 관리 및 처리자, 개인정보 처리자는 개인정보 처리를 시작한 시점부터 개인정보 처리 영향 평가 기록을 작성하고 보관해야 합니다.
2. 개인정보 관리 책임자, 개인정보 관리 및 처리자, 개인정보 처리자의 개인정보 처리 영향 평가 기록에는 다음이 포함됩니다:
a) 본 법령 부속서의 양식 10에 따른 개인정보 처리 영향 평가 보고서;
b) 개인정보 처리에 관한 계약서 또는 합의서 사본으로, 개인정보 처리 활동에서 조직 및 개인 간의 구속력과 책임을 보여주는 문서;
c) 개인정보 관리 책임자, 개인정보 관리 및 처리자, 개인정보 처리자의 개인정보 보호와 관련된 정책, 절차, 규정, 양식 및 기타 문서.
3. 개인정보 처리 영향 평가 보고서에는 다음 내용이 포함됩니다:
a) 개인정보 관리 주체, 개인정보 관리 및 처리 주체, 개인정보 처리자, 제3자의 정보 및 연락처 세부 사항;
b) 개인정보 보호 부서 및 담당자 연락처 세부 사항; 개인정보 보호 서비스를 제공하는 조직 또는 개인(있는 경우) 의 정보, 개인정보 관리 주체, 개인정보 관리 및 처리 주체, 개인정보 처리자, 제3자의 정보;
c) 개인정보 처리 목적에 대한 설명 및 근거, 처리되는 개인정보 유형, 개인정보 처리 활동 세부 사항 및 개인정보 흐름도;
d) 개인 데이터 주체의 동의 획득 수행에 대한 설명과 근거, 개인 데이터의 저장, 삭제 및 파기 정책;
d) 개인정보 안전 확보 방안, 개인정보 보호 조치, 시스템 설계도, 적용되는 개인정보 보호 기준;
e) 개인정보 보호 규정 준수 평가 결과;
g) 개인정보 처리 활동의 영향 수준과 위험을 평가하고; 발생할 수 있는 원하지 않는 결과와 손해, 해당 위험을 줄이거나 제거하기 위한 조치를 평가한다.
4. 개인정보 처리 영향 평가 기록은 개인정보 보호 전담 기관의 점검 및 평가 활동을 위해 항상 준비되어 있어야 하며, 개인정보 처리일로부터 60일 이내에 본 포맷 02a/02b를 첨부하여 온라인, 직접, 또는 우편 서비스를 통해 개인정보 보호 전담 기관에 1부 원본을 제출해야 합니다.
5. 개인정보 보호 전문 기관은 개인정보 처리 영향 평가서가 요구 사항을 충족하는지 여부에 대해 평가하고 15일 이내에 결과를 회신한다.
6. 개인정보 보호 전문 기관은 개인정보 관리자, 개인정보 관리 및 처리자, 개인정보 처리자에게 평가서가 미비하거나 규정에 맞지 않는 경우 30일 이내에 개선을 요구하여 개인정보 처리 영향 평가서를 완성하도록 한다. 개인정보 관리자, 개인정보 관리 및 처리자, 개인정보 처리자가 규정에 따라 평가서 완료를 이행하지 않을 경우, 개인정보 보호 전문 기관은 개인정보 보호 분야에서의 행정 위반 처벌 규정을 적용하는 것을 검토한다.
7. 개인정보 관리자, 개인정보 관리 및 처리자, 개인정보 처리자는 본 규정 제20조에 따라 개인정보 처리 영향 평가 기록을 갱신 및 보완한다.
제20조. 개인정보 처리 영향 평가 기록 및 국경 간 개인정보 이전 영향 평가 기록의 갱신
1. 개인정보의 국경 간 이전 기록 및 개인정보 처리 영향 평가 기록은 최초 제출일로부터 6개월마다 다음의 경우에 정기적으로 갱신된다:
a) 새로운 개인정보 이전 목적이나 새로운 개인정보 처리 목적이 발생할 때;
b) 개인정보 관리자, 개인정보 관리 및 처리자, 개인정보 처리자 또는 제3자가 발생하거나 변경될 때.
2. 변경 사항 중 10일 이내에 즉시 갱신해야 하는 경우는 다음과 같다:
a) 기관, 조직, 단위가 조직을 개편하거나, 활동을 종료하거나, 해산하거나, 법률에 따라 파산할 경우;
b) 개인정보 보호 서비스를 제공하는 조직이나 개인에 대한 정보가 변경될 경우;
c) 개인정보 영향 평가 기록, 국경 간 개인정보 전송 영향 평가 기록에 등록된 개인정보 처리와 관련된 업종, 직업, 서비스가 발생하거나 변경될 경우.
3. 개인 데이터 처리 영향 평가 기록과 국경 간 개인 데이터 전송 영향 평가 기록의 업데이트는 본 법령 부속서에 있는 03a/03b 양식에 따라 수행되며, 온라인, 직접 제출 또는 우편 서비스를 통해 개인정보 보호 전담 기관에 제출한다.
제21조. 개인 데이터 처리 서비스
1. 통제 기관을 대신하여, 통제 기관과 처리 기관이 개인 데이터를 처리할 수 있도록 시스템과 자동 소프트웨어를 제공하고 운영하는 서비스.
2. 개인 데이터 주체의 신뢰도 수준을 점수화, 등급화, 평가하는 서비스.
3. 웹사이트, 애플리케이션, 소프트웨어 및 소셜 네트워크에서 온라인으로 개인 데이터를 수집하고 처리하는 서비스.
4. 건강 관리, 건강 모니터링, 의료 서비스 관련 웹사이트, 애플리케이션, 소프트웨어를 통해 개인 데이터를 수집하고 처리하는 서비스.
5. 점호, 녹화, 행동 점수 평가, 감정 인식과 같은 감시 요소가 포함된 교육용 애플리케이션, 소프트웨어를 통해 개인 데이터를 수집하고 처리하는 서비스.
6. 개인 데이터를 분석하고 활용하는 서비스, 포함: 개인 데이터에서 정보를 찾고, 추세와 패턴을 찾기 위해 분석 도구를 사용하는 것; 개인 데이터에서 가치를 추출하고 사용자 행동을 예측하거나 서비스를 최적화하기 위해 데이터 마이닝 기법을 적용하는 것.
7. 전송 및 저장 과정에서 개인 데이터를 암호화하는 서비스.
8. 빅데이터, 인공지능, 블록체인, 가상 세계 기술에 기반하여 자동으로 개인 데이터를 처리하는 서비스.
9. 개인 위치 데이터를 제공하는 애플리케이션 플랫폼 서비스.
제22조. 개인 데이터 처리 서비스 사업자의 조건
1. 베트남 법에 따라 설립되고 운영되는 기관, 기업으로서, 이 조항에서 규정한 조건을 충족하는 것.
2. 인력 조건:
a) 기관의 개인정보 처리 전문을 담당하는 책임자는 베트남 시민으로 베트남에 거주해야 한다;
b) 개인정보 처리 전문 요구를 충족할 수 있는 관리, 운영 팀을 보유해야 한다;
c) 본령 제13조 2항에 규정된 최소 3명의 적격 인력을 갖추어야 한다.
3. 개인정보 처리 서비스에 적합한 인프라, 장비 시스템, 시설 및 기술을 갖추어야 한다.
4. 개인정보 처리 영향 평가 서류 및 국경 간 개인정보 전송 영향 평가 서류(국경 간 전송이 있는 경우)에 대해 요구사항을 충족하는 결과를 가져야 한다.
제23조. 개인정보 처리 서비스 사업자의 책임
1. 개인정보 보호에 관한 법규를 충분히 준수하며, 개인정보를 통제하고 처리하는 측과 개인정보를 처리하는 측의 책임과 의무를 이행합니다.
2. 제공하는 서비스에 적합한 개인정보 보호 위험 관리 체계를 구축합니다.
3. 개인정보 보호 준수 상태와 신뢰도 수준을 1년에 한 번 정기적으로 평가합니다.
4. 데이터 보안, 개인정보 보호, 정보 보안과 관련된 기준과 규정을 적용합니다.
5. 개인정보 처리에 대한 조직의 책임과 권한에 관한 규정을 마련합니다.
6. 개인정보를 목적에 맞게 처리하고, 수집, 전달, 저장을 적절히 제한하며 법규에 따라 처리하며, 불법적인 접근, 수집, 사용, 공개 또는 데이터 처리 활동에서 유사한 위험을 방지합니다.
7. 개인정보를 처리하는 측인 경우, 조직은 개인정보를 제공하기 전에 개인정보 통제 측에 데이터 주체의 동의를 요청하며, 데이터 주체가 처리되는 개인정보의 유형, 처리 목적 및 개인정보 처리 서비스를 제공하는 조직에 대해 알 수 있도록 보장해야 합니다.
8. 개인정보 처리 서비스 사업 조직은 전자 인증 및 신원 확인에 관한 법률 규정에 따라 조직의 신원을 확인해야 합니다.
제24조. 개인정보 처리 서비스 사업 적격증명서의 발급, 재발급, 변경, 회수 권한
1. 공안부는 개인정보 처리 서비스 제공 적격증명서를 발급, 재발급, 변경 및 회수합니다.
2. 공안부 장관은 개인정보 보호 전담 기관에게 개인정보 처리 서비스 제공 적격증명서의 발급, 재발급, 변경 발급, 회수 업무를 규정에 따라 수행하도록 책임을 부여한다.
제25조. 개인정보 처리 서비스 제공 적격증명서의 발급에 관한 서류, 절차, 과정
1. 개인정보 처리 서비스 제공 적격증명서 발급 신청 서류는 다음과 같다:
a) 이 법령 부속서에 있는 서식 04에 따른 개인정보 처리 서비스 제공 적격증명서 발급 신청서;
b) 사업자 등록증 사본;
c) 개인정보 보호 부서 지정 문서 또는 규정에 따른 개인정보 보호 서비스 이용 계약서;
d) 개인정보 처리 서비스 제공 적격증명서 발급 신청 계획서;
d) 본 법령 제22조 2항 b호에 규정된 인력의 학위 및 기타 증빙서류;
e) 정부 기관이 데이터베이스를 기반으로 이를 확인할 수 있는 경우, 기관은 본 항 b호에 규정된 서류를 제출할 필요가 없음.
2. 개인정보 처리 서비스 사업 적합성 인증서 발급 신청서는 다음 내용을 포함해야 함:
a) 필요성과 목표;
b) 승인 요청 내용 및 분야;
c) 업종, 사업 분야, 사업 계획;
d) 예상 개인정보 처리 활동 규모;
đ) 개인정보 보호 위험 관리 체계;
e) 개인정보 보호 준수 현황 평가 및 신뢰 수준 정기 평가 계획;
g) 데이터 보안 및 개인정보 보호 관련 표준 및 규정 적용;
h) 전자 신원 확인 및 인증 서비스 활용 계획;
i) 개인 데이터 처리에 대한 조직의 책임과 권한;
k) 규정에 따른 적격 인력.
3. 조직은 개인 데이터 처리 서비스 사업 적격 증명서 발급을 요청하는 신청서를 온라인, 직접 또는 우편 서비스를 통해 개인 데이터 보호 전문 기관에 제출한다.
개인 데이터 보호 전문 기관은 10일 이내에 개인 데이터 처리 서비스 사업 적격 증명서 발급 신청서가 요구 사항을 충족하는지 여부를 평가한다. 신청서가 불완전하거나 규정을 준수하지 않는 경우, 개인 데이터 보호 전문 기관은 문서로 조직에게 15일 이내에 보완 및 수정할 것을 통지하고 그 이유를 명시한다.
4. 협회가 유효한 서류를 모두 받은 날로부터 30일 이내에 개인 데이터 보호 전문 기관은 심사, 검토하여 이 법령 부록의 양식 05에 따른 개인 데이터 처리 서비스 사업 자격 증명서 발급 여부를 결정한다. 개인 데이터 처리 서비스 제공 자격 증명서는 종이본과 전자본으로 발급되며, 종이본은 직접 제출하거나 우편 서비스로 제출하거나 온라인 공공서비스 포털을 통해 제출할 경우 요청에 따라 발급된다. 발급하지 않는 경우, 개인 데이터 보호 전문 기관은 서면으로 조직에 통지하고 그 사유를 명확히 밝힌다.
제26조. 개인 데이터 처리 서비스 사업 자격 증명서 재발급 및 교체에 관한 서류, 절차 및 절차
1. 개인 데이터 처리 서비스 사업 자격 증명서의 종이 본을 분실하거나 손상된 경우 재발급한다.
a) 기관이 서면 증명서 재발급이 필요한 경우, 본 규정 부속서의 양식 05에 따라 온라인, 직접 또는 우편 서비스를 통해 개인정보 보호 전담 기관에 신청서를 제출한다.
b) 전담 기관은 규정에 따라 신청서를 접수한 날로부터 5근무일 이내에 검토하여 개인정보 처리 서비스 사업 적격 증명서를 재발급하며, 발급하지 않는 경우에는 사유를 명시한 서면 통지를 해야 한다.
2. 개인정보 처리 서비스 사업 적격 증명서의 정보가 잘못되었거나 내용이 변경된 경우에는 교체 발급한다.
a) 서류에는 다음이 포함됩니다: 본 법령 부속서의 양식 06에 따른 신청서; 이미 발급된 증명서상의 정보 오류 또는 정보 변경 내용을 증명하는 서류 및 자료.
b) 기관은 상기 1부 서류를 온라인, 직접 제출 또는 우편 서비스를 통해 개인정보 보호 전담 기관에 제출합니다. 전담 기관은 이 항목 a에 규정된 충분한 서류를 받은 날로부터 5근무일 이내에 개인정보 처리 서비스 사업 적격 인증서 발급 여부를 검토·결정하며, 발급하지 않을 경우 이유를 명시한 서면 통지를 해야 합니다.
제27조. 개인정보 처리 서비스 사업 적격 인증서의 회수
1. 다음 경우에는 개인정보 처리 서비스 사업 적격 인증서를 회수합니다:
a) 이 법령 제26조 제1항, 제2항의 조건 중 하나라도 충족하지 못할 경우;
b) 12개월 이상 서비스 영업을 하지 않을 경우;
c) 법률 규정에 따라 해산되거나 파산한 경우;
d) 권한 있는 국가 기관의 요구에 따라 개인 데이터 보호, 정보 안전, 사이버 보안, 데이터 보안 위반을 시정하지 않을 경우;
đ) 자발적으로 업무 중단 또는 종료를 요청한 경우.
2. 개인 데이터 보호 전담기관은 본 법령 부록의 양식 07에 따라 개인 데이터 처리 서비스 영업 적격 증명서 회수를 결정한다.
3. 개인 데이터 처리 서비스 사업자는 회수 결정 통지를 받은 날로부터 5근무일 이내에 발급받은 증명서를 개인 데이터 보호 전담기관에 제출할 책임이 있다.
4. 개인정보 보호 전담 기관은 개인정보 처리 서비스 사업 적격성 증명서 회수 결정을 내릴 때, 이를 개인정보 보호 국가 정보 포털에 공지합니다.
제28조. 개인정보 보호 규정 위반 공지 내용
1. 개인정보 보호 규정 위반 공지 내용에는 다음이 포함됩니다:
a) 위반 행위의 성격 설명, 포함 내용: 시간, 장소, 행위, 조직, 개인, 관련 개인정보 종류 및 수량;
b) 개인정보 보호 부서, 인력 또는 개인정보 보호 서비스를 제공하는 조직 및 개인의 연락처 상세 정보;
c) 개인정보 보호 규정 위반으로 발생할 수 있는 결과 및 피해 설명;
d) 개인정보 보호 규정 위반 행위로 인한 손해를 해결하거나 최소화하기 위해 취한 조치 설명.
2. 개인정보 관리자는 개인정보를 관리하고 처리하는 자, 제3자 처리자는 개인정보 보호 전문기관이나 본 법령 부속서의 양식 08에 따라 국가 개인정보 보호 포털을 통해 개인정보 관련 규정 위반을 통지한다.
제29조 개인 위치 데이터 및 생체 데이터 위반 통지
1. 위치 데이터 또는 생체 데이터와 관련된 개인정보 위반 사고가 발생한 경우, 개인정보 관리자는 개인정보를 관리하고 처리하는 자 혹은 그 관리 및 처리자는 다음과 같은 책임이 있다:
a) 위반 사실을 발견한 시점으로부터 72시간 이내에 영향을 받는 데이터 주체에게 통지할 것;
b) 본 법령 제28조에 규정된 대로 관할 공공기관에 보고한다;
c) 위반 기록을 확인, 보관 및 업데이트하여 감사, 검사 및 처리 업무에 활용한다. 조직은 문제를 해결한 날로부터 최소 5년간 위반 기록을 보관해야 한다.
2. 본 조 제1항 a호에 따라 데이터 주체에게 통지할 경우, 최소한 다음 내용을 포함해야 한다:
a) 위반을 발견한 시점과 방식;
b) 영향을 받은 데이터의 종류(위치, 생체정보 또는 둘 다);
c) 데이터 주체의 합법적 권리 및 이익에 발생할 수 있는 심각성과 위험;
d) 문제 해결 및 피해 최소화를 위해 이미 수행했거나 수행 중이거나 수행할 조치;
ㄷ) 데이터 주체가 다음 예방 조치를 시행할 수 있도록 안내.
e) 개인 데이터 보호 부서, 인력 또는 개인 데이터 보호 서비스를 제공하는 조직, 개인의 연락처 정보; 조직에서 개인 데이터 사고를 접수하고 처리하는 부서.
3. 조직이나 개인이 기술적 사유 또는 긴급 상황으로 인해 이 조항 제1항에서 정한 기간 내에 영향을 받은 모든 개인 데이터 주체에게 통보할 수 없는 경우에는 다음을 수행해야 한다:
a) 조직의 공식 전자 매체를 통해 웹사이트, 애플리케이션 등에서 공시;
b) 기술적 조건이 허용되는 즉시 관련 개인 데이터 주체에게 통지 발송.
4. 조직이나 개인이 통지를 제때 수행하지 않거나 의도적으로 통지 의무를 지연하거나 회피하는 경우, 법률 규정에 따라 위반 행위로 간주되어 처리가 검토된다.
제4장. 개인 데이터 보호 업무의 실행
제30조. 개인 데이터 보호에 관한 국제 협력 이행 책임
1. 개인정보 보호를 위한 전문 기관은 공안부가 개인정보 보호에 관한 국제 협력을 수행하도록 지원할 책임이 있다.
2. 부, 동급 기관, 정부 소속 기관은 법률 및 부여된 기능과 임무에 따라 관리 범위에 속하는 산업 및 분야에서 개인정보 보호에 관한 국제 협력을 수행한다.
3. 지방 인민위원회는 법률 및 부여된 기능과 임무에 따라 개인정보 보호에 관한 국제 협력을 수행한다.
제31조. 개인정보 보호 활동의 점검
1. 개인정보 보호 활동의 점검은 다음과 같은 경우에 정기적, 수시로 수행된다:
a) 개인정보 보호 법률 위반 행위에 대한 의심 근거가 있을 때;
b) 개인정보 보호에 대한 국가 관리 권한을 가진 기관 또는 사람의 지시가 있을 때;
c) 법률에 따라 국가 관리 업무를 수행할 때.
2. 개인정보 보호 활동 점검 대상에는 다음이 포함됩니다:
a) 개인정보 처리 활동을 수행하는 기관, 조직, 개인;
b) 개인정보 처리 서비스 사업을 영위하는 조직, 개인;
c) 개인정보 처리 영향 평가 및 국경 간 개인정보 이전 영향 평가를 수행해야 하는 기관, 조직, 개인;
d) 개인정보 보호 규정을 위반한 사건, 사안과 관련된 기관, 조직, 개인.
3. 개인정보 보호 업무 점검 내용:
a) 개인정보 보호 업무 준수 현황;
b) 개인정보 처리 영향 평가 및 국경 간 개인정보 이전 영향 평가 활동;
c) 개인 데이터 처리 서비스 사업 활동.
4. 개인 데이터 보호 전담 기관은 검사 결정을 내리고 검사 대상자에게 검사 시간, 내용 및 검사단 구성에 대해 본 조 제2항에 규정된 바에 따라 15일 전에 통보한다. 단, 개인 데이터 보호 관련 법률 위반 행위를 신속히 확인, 발견, 방지하기 위한 즉각 검사인 경우, 개인 데이터 보호 전담 기관은 사전 통보 없이 즉시 검사를 진행할 권리가 있다.
5. 검사 대상자는 본 조 제3항에 따른 검사 내용과 개인 데이터 보호 전담 기관이 발행한 검사 결정에 따른 구체적인 요구 사항을 충분히 준비해야 한다.
제32조. 개인 데이터 보호 솔루션 연구 및 개발
기관, 조직, 기업 및 개인은 다음을 포함하여 개인 데이터 보호 솔루션의 연구, 개발 및 적용에 참여합니다:
1. 개인 데이터 보호를 위한 소프트웨어 시스템 및 장비 구축;
2. 표준에 부합하는 개인 데이터 보호 소프트웨어 및 장비 평가 방법;
3. 제공된 하드웨어 및 소프트웨어가 올바른 기능을 수행하는지 검증하는 방법;
4. 개인 데이터 보호 규정 준수 기록 및 관리;
5. 개인 데이터 유출 또는 손실 위험 해결;
6. 개인 데이터 보호에 대한 인식과 기술을 향상시키는 기술적 이니셔티브;
7. 통계 및 과학 연구를 위한 개인 데이터 처리;
8. 개인 데이터 주체가 자신의 데이터를 통제하고, 선택적 공개 메커니즘에 따라 데이터를 제공 및 공유하며, 국제 기준과 규정을 준수하는 고급 기술 및 전략 기술 적용 솔루션;
9. 개인 데이터 보호 기준;
10. 법률 규정에 적합한 개인 데이터 보호를 위한 기타 해결책.
제33조. 개인 데이터 보호에 관한 국가 관리의 내용
1. 권한에 따라 또는 권한 있는 국가 기관에 개인 데이터 보호에 관한 법규 문서를 발행하도록 제출한다; 개인 데이터 보호에 관한 법을 시행한다.
2. 개인 데이터 보호에 관한 전략, 정책, 계획안, 프로젝트, 프로그램, 계획을 수립하고 실행한다.
3. 법률 규정에 따라 기관, 조직, 개인에게 개인 데이터 보호의 조치, 절차, 기준, 규칙을 안내한다.
4. 개인 데이터 보호에 관한 법률을 홍보하고 교육한다; 개인 데이터 보호 지식과 기술을 알리고 보급한다.
5. 개인 데이터 보호에 관한 인력을 구축, 교육, 양성 및 개발한다.
6. 개인정보 보호에 관한 법률 위반 사항을 감사, 점검, 포상, 민원 처리, 고발 처리 및 처리한다.
7. 개인정보 보호 현황과 개인정보 보호 법률 이행에 대한 통계, 정보, 보고를 권한 있는 국가 기관에 제공한다.
8. 개인정보 보호에 대한 중간 평가, 종합 평가, 과학적 연구를 조직하고, 개인정보 보호에 관한 과학 기술의 진보를 연구하고 적용한다.
9. 개인정보 보호 분야에서 국제 협력을 수행한다.
제34조. 경찰청의 책임
1. 정부가 개인정보 보호에 관한 국가 관리 업무를 통일적으로 수행할 수 있도록 지원한다.
2. 개인 데이터 보호에 관한 법률 규정의 실행을 안내하는 법규 문서의 작성, 발행 또는 관할 국가 기관에 제출하여 발행을 주관하고 집행을 안내한다.
3. 개인 데이터 보호 활동을 지도하고 시행하며, 개인 데이터 보호법 위반 행위에 대해 데이터 주체의 권리를 보호한다.
4. 과학기술부와 협력하여 개인 데이터 보호 기준 및 기술 규범, 개인 데이터 비식별화 기술 규범, 개인 데이터 익명화 규범을 수립하며, 이는 베트남에서 발행되고 적용된다.
5. 개인 데이터 보호에 관한 국가 정보 포털을 구축, 관리 및 운영한다.
6. 개인 데이터 보호에 관한 법률을 홍보, 보급, 교육하고, 방어 인력을 대상으로 개인 데이터 보호 지식과 기술을 안내하고 보강한다.
7. 관련 기관, 조직, 개인의 개인정보 보호 업무 결과를 평가하고, 개요를 작성하며, 총결산을 수행한다.
8. 개인정보 보호에 대한 과학적 연구를 촉진하고; 개인정보 보호에 대한 과학 및 기술의 진보를 연구하고 적용하여 개인정보 보호 분야에서 혁신을 추진한다.
9. 개인정보 보호에 관한 국제 협력 활동을 전개한다.
제35조. 국방부의 책임
1. 국방부는 경찰부 및 관련 기관, 조직과 협력하여 개인정보를 보호하고, 개인정보 보호 규정 위반 행위를 발견하고 차단할 수 있도록 인력과 수단을 배치한다.
2. 기능과 임무의 범위 내에서, 지휘하며, 경찰부와 협력하여 관리 범위에 속하는 기관, 조직, 개인에 대한 개인 데이터 보호 업무 성과를 평가하고; 개인 데이터 보호 조치의 적용을 촉진하며; 국방 활동을 위해 개인 데이터를 처리하고 보호하는 데 있어 최신 보안 기술을 연구하고 적용하며; 법률 규정에 따라 관리 범위에 속하는 개인 데이터 보호에 관한 국제 협력을 수행한다.
3. 관리 범위에 속하는 장교, 전문 군인, 공무원, 직원에게 개인 데이터 보호에 관한 법률, 지식 및 기술을 홍보, 보급, 교육한다.
4. 법률 규정 및 부여된 기능과 임무에 따라 국방부 관리 범위에 속하는 기관, 조직, 개인에 대한 개인 데이터 보호 규정 위반을 감사, 점검, 감독 및 처리한다.
제36조. 과학기술부의 책임
1. 개인 데이터 보호 기술 기준, 개인 데이터 비식별화 기술 기준, 개인 데이터 익명화 기술 기준을 구성하고 베트남에서 공포 및 적용되도록 경찰부와 협력한다.
2. 경찰부 및 관련 기관과 협력하여 첨단 기술, 고급 기술, 전략 기술을 적용한 개인 데이터 보호 조치를 연구, 개발, 습득, 적용하고, 디지털 정부, 디지털 경제, 디지털 사회 발전 과정에서 개인 데이터 보호를 위한 솔루션, 제품, 서비스를 과학기술 프로그램을 통해 형성한다.
제37조. 부처, 부처에 준하는 기관, 정부 소속 기관의 책임
1. 법률 규정에 따라 관리 범위에 속하는 산업 및 분야에 대한 개인 데이터 보호에 대한 국가 관리를 수행한다.
2. 이 법령에 따라 개인정보 보호와 관련된 내용과 임무를 수립하고 시행한다.
3. 각 부처와 기관의 임무를 수립하고 시행할 때 개인정보 보호 규정을 추가한다.
4. 관리 범위 내 각 단위에 개인정보 보호 담당 인력과 부서를 배치하고, 법률에서 규정한 개인정보 보호 관련 직무 요건과 전문성에 맞게 능력을 충족하도록 보장한다.
5. 현행 예산 관리 계층에 따라 개인정보 보호 활동을 위한 경비를 배정한다.
6. 관리 범위 내 공무원, 직원 및 단위에 대해 법률 홍보, 전문성 및 기술 교육을 조직한다.
7. 관리 범위 내 개인정보 보호 규정 위반에 대한 감사, 점검, 감독 및 처리를 위해 경찰청과 협력한다.
8. 개인정보 보호에 관한 기술 기준과 규격을 적용하기 위한 지침을 개발하고 시행하는 데 있어, 경찰부, 과학기술부와 협력한다. 이는 관리 범위에 속하는 기관, 조직, 개인에게 적용된다.
제38조. 중앙직할시와 성(省) 인민위원회의 책임
1. 개인정보 보호에 관한 법률 규정에 따라 관리하는 각 부문 및 분야에 대해 개인정보 보호에 관한 국가 관리 업무를 수행한다.
2. 본 법령의 개인정보 보호 규정을 시행한다.
3. 관리 범위 내의 각 기관에 개인정보 보호 담당 인력과 부서를 배치하고, 법률 규정에 따라 개인정보 보호에 필요한 전문 역량과 직무 적합성을 갖추도록 한다.
4. 현행 예산 관리 체계에 따라 개인정보 보호 활동에 필요한 예산을 배정한다.
5. 개인 데이터 보호에 대한 법률과 지식, 기술을 공무원, 공직자, 민간인 및 지역 내 기업에게 홍보하고 보급한다.
6. 각 행정 단계에서 개인 데이터 보호 업무를 수행하는 인력의 역량 향상을 위한 연수를 개최하며, 행정 개혁 및 디지털 전환 프로그램에 개인 데이터 보호 내용을 통합한다.
7. 지방에서의 개인 데이터 보호 상황에 대한 통계, 종합, 정기 보고 시스템을 구축하여 규정에 따라 담당 기관에 제출한다.
제39조. 개인 데이터 보호 전문 기관 및 국가 개인 데이터 보호 포털
1. 개인 데이터 보호 전문 기관은 공안부 산하 기관으로, 공안부 장관이 개인 데이터 보호에 관한 국가 관리 기능을 수행하도록 지원할 책임이 있다.
2. 국가 개인정보 보호 포털은 당의 방침, 정책, 국가의 개인정보 보호 관련 법률을 홍보하는 정보를 제공하는 곳이며; 기관, 조직, 개인에게 개인정보 보호에 대한 지도, 인식 제고, 기술 향상을 지원하며; 관련 기관, 조직, 개인으로부터의 의견 제출과 건의를 접수하고 처리하며; 개인정보 보호에 관한 법률에 따라 기타 활동을 수행한다.
제40조. 개인정보 보호 활동을 보장하기 위한 경비
1. 개인 데이터 보호 실행 비용에는 국가 예산; 국내외 기관, 조직, 개인의 기부; 개인 데이터 보호 서비스 제공 활동에서 발생하는 수익; 국제 원조 및 기타 합법적인 수입원이 포함됩니다.
2. 국가 기관의 개인 데이터 보호 비용은 국가 예산으로 보장되며, 매년 국가 예산 내역에 편성됩니다. 국가 예산으로부터의 비용 관리 및 사용은 국가 예산에 관한 법률 규정에 따라 수행됩니다.
3. 조직, 기업의 개인 데이터 보호 비용은 해당 조직, 기업이 자체적으로 편성하고 규정에 따라 실행합니다.
제5장. 실행 조직
제41조. 개인 데이터 보호법 제38조 제2항 및 제3항의 적용에 관한 규정
1. 중소기업과 스타트업은 개인정보 보호법 시행일로부터 5년 동안 제21조, 제22조 및 제33조 2항의 규정을 이행할지 여부를 선택할 권리가 있으며, 단 개인정보 처리 서비스업을 영위하거나 민감한 개인정보를 직접 처리하거나 처리한 개인정보의 누적 총량을 기준으로 데이터 주체가 10만 명 이상에 달하는 시점부터 개인정보를 처리하는 중소기업과 스타트업은 예외로 한다.
2. 소규모 사업체, 초소형 기업은 개인정보 보호법 제21조, 제22조 및 제33조 제2항의 규정을 이행할 필요가 없으며, 단, 개인정보 처리 서비스를 제공하거나 민감 개인정보를 직접 처리하거나, 처리한 총 개인정보 양의 누적 결과를 바탕으로 개인정보 주체 수가 10만 이상에 도달한 시점부터 개인정보를 처리하는 소규모 사업체, 초소형 기업은 제외한다.
제42조. 발효 및 집행 책임
1. 본 법령은 2026년 1월 1일부터 시행된다.
2. 2023년 4월 17일에 제정된 개인정보 보호에 관한 13/2023/ND-CP 법령은 본 법령이 시행되는 날부터 효력을 상실한다.
3. 2025년 6월 30일에 제정된 165/2025/ND-CP 법령 제16조 제2항을 다음과 같이 개정한다:
“2. 핵심 데이터, 중요한 데이터의 보호는 개인정보 보호법 및 시행 세부 규정에 따라 수행된다.
핵심 데이터, 중요한 데이터가 국경을 넘어서 전송되거나 처리되는 경우 이는 개인정보에 해당하며, 핵심 데이터와 중요한 데이터의 관리자(주무 부서)는 개인정보 처리 영향 평가 및 국경 간 개인정보 전송 영향 평가를 개인정보 보호법 규정에 따라 수행해야 한다; 이 경우, 본 법령 규정에 따른 국경 간 데이터 전송 및 처리에 대한 위험 평가, 영향 평가를 수행할 필요는 없다.”
4. 공안부는 본 법령의 시행에 대한 안내, 점검, 촉구에 책임이 있다.
5. 각 부처 장관, 부처급 기관장, 정부 산하 기관, 중앙 직할시·성 인민위원회 위원장 및 관련 기관, 조직, 개인은 본령 시행에 대한 책임을 진다.
정부 대표, 국무총리 권한대행, 부총리
응우옌 화 빈