НАЦИОНАЛЬНОЕ СОБРАНИЕ СОЦИАЛИСТИЧЕСКОЙ РЕСПУБЛИКИ ВЬЕТНАМ Закон № 91/2025/QH15 Независимость - Свобода - Счастье
ЗАКОН
ЗАЩИТА ЛИЧНЫХ ДАННЫХ
На основании Конституции Социалистической Республики Вьетнам с внесенными изменениями и дополнениями некоторых статей согласно Резолюции № 203/2025/QH15;
Национальное собрание принимает Закон о защите личных данных.
Глава I. ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Область регулирования и объекты применения
1. Этот закон регулирует вопросы персональных данных, защиту персональных данных, а также права, обязанности и ответственность органов, организаций и физических лиц, которые имеют отношение к этому.
2. Этот закон применяется к:
a) органам, организациям и физическим лицам Вьетнама;
b) иностранным органам, организациям и физическим лицам во Вьетнаме;
c) Иностранные органы, организации, физические лица, непосредственно участвующие или имеющие отношение к обработке персональных данных граждан Вьетнама и лиц вьетнамского происхождения, гражданство которых не установлено, проживающих во Вьетнаме и получивших удостоверение личности.
Статья 2. Толкование терминов
В настоящем Законе следующие термины понимаются следующим образом:
1. Персональные данные — это цифровые данные или информация в другой форме, определяющая или помогающая определить конкретного человека, включая: основные персональные данные и чувствительные персональные данные. Данные, после удаления идентифицирующей информации, больше не считаются персональными.
2. Основные персональные данные — это персональные данные, отражающие общие сведения о личности и биографии, часто используемые в сделках и социальных отношениях, входящие в перечень, утвержденный Правительством.
3. Чувствительные персональные данные — это персональные данные, связанные с личной конфиденциальностью, при нарушении которых прямо затрагиваются права и законные интересы органов, организаций и физических лиц, и которые относятся к списку, установленному Правительством.
4. Защита персональных данных — это деятельность органов, организаций и физических лиц по использованию сил, средств и мер для предотвращения и противодействия нарушению персональных данных.
5. Субъект персональных данных — это лицо, которому отражены персональные данные.
6. Обработка персональных данных — это деятельность, воздействующая на персональные данные, включающая одну или несколько из следующих операций: сбор, анализ, обобщение, шифрование, расшифровка, редактирование, удаление, уничтожение, дезидентификация, предоставление, обнародование, передача персональных данных и другая деятельность, воздействующая на персональные данные.
7. Сторона, контролирующая персональные данные — это орган, организация или физическое лицо, определяющее цели и средства обработки персональных данных.
8. Субъект обработки персональных данных — это орган, организация или физическое лицо, осуществляющее обработку персональных данных по запросу субъекта контроля за персональными данными или субъект контроля и обработки персональных данных по договору.
9. Субъект контроля и обработки персональных данных — это орган, организация или физическое лицо, которое определяет цель, средства и непосредственно обрабатывает персональные данные.
10. Третья сторона — это организация или лицо, не являющееся субъектом персональных данных, контролирующей персональные данные стороной, стороной, контролирующей и обрабатывающей персональные данные, стороной, обрабатывающей персональные данные, участвующей в обработке персональных данных в соответствии с требованиями закона.
11. Деидентификация персональных данных — это процесс изменения или удаления информации для создания новых данных, которые невозможно идентифицировать или которые не могут помочь идентифицировать конкретного человека.
12. Оценка воздействия обработки персональных данных — это анализ и оценка рисков, которые могут возникнуть в процессе обработки персональных данных, с целью применения мер по снижению рисков и защите персональных данных.
Статья 3. Принципы защиты персональных данных
1. Соблюдать положения Конституции, данного Закона и других соответствующих законодательных актов.
2. Собирать и обрабатывать персональные данные только в пределах, для конкретных, ясных целей, обеспечивая соблюдение требований законодательства.
3. Обеспечивать точность персональных данных и при необходимости их корректировать, обновлять, дополнять; хранить их в течение срока, соответствующего цели обработки персональных данных, за исключением случаев, предусмотренных законом.
4. Эффективно и синхронно внедрять меры и решения в области институциональной, технической и человеческой защиты персональных данных.
5. Активно предотвращать, обнаруживать, блокировать, бороться и своевременно, строго пресекать все действия, нарушающие закон о защите персональных данных.
6. Защита персональных данных связана с защитой национальных и государственных интересов, содействует социально-экономическому развитию, обеспечивает национальную оборону, безопасность и внешние связи; обеспечивает гармонизацию между защитой персональных данных и защитой законных прав и интересов органов, организаций и физических лиц.
Статья 4. Права и обязанности субъекта персональных данных
1. Права субъекта персональных данных включают:
a) Быть информированным о деятельности по обработке персональных данных;
b) Соглашаться или не соглашаться, требовать отзыва согласия на обработку персональных данных;
c) Просматривать, редактировать или требовать исправления персональных данных;
d) Требовать предоставления, удаления, ограничения обработки персональных данных; направлять запрос на возражение против обработки персональных данных;
đ) Жаловаться, заявлять, подавать иск, требовать возмещения ущерба в соответствии с законом;
e) Требовать от компетентных органов или органов, организаций, физических лиц, участвующих в обработке персональных данных, принять меры и решения для защиты своих персональных данных в соответствии с законодательством.
2. Обязанности субъекта персональных данных включают:
a) Самостоятельно защищать свои персональные данные;
b) Уважать и защищать персональные данные других лиц;
c) Предоставлять полные и точные персональные данные в соответствии с законодательством, договором или при согласии на обработку своих персональных данных;
d) Соблюдать законодательство о защите персональных данных и участвовать в предотвращении и противодействии деятельности, нарушающей персональные данные.
3. Субъект персональных данных при осуществлении своих прав и обязанностей должен полностью соблюдать следующие принципы:
a) Действовать в соответствии с законодательством; соблюдать обязанности субъекта персональных данных по договору. Осуществление прав и обязанностей субъекта персональных данных должно быть направлено на защиту прав и законных интересов самого субъекта персональных данных;
b) Не создавать трудностей или препятствий для осуществления прав и юридических обязанностей стороны контроля персональных данных, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные;
c) Не нарушать права и законные интересы Государства, органов, организаций и других физических лиц.
4. Органы, организации и физические лица обязаны создавать благоприятные условия, не создавать трудностей и препятствий для осуществления прав и обязанностей субъекта персональных данных в соответствии с законодательством.
5. При получении запроса субъекта персональных данных на реализацию прав субъекта персональных данных, предусмотренных в пункте 1 настоящей статьи, сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, должна своевременно выполнить его в сроки, установленные законодательством.
Правительство детально регулирует данный пункт.
Статья 5. Применение законодательства о защите персональных данных
1. Деятельность по защите персональных данных на территории Социалистической Республики Вьетнам осуществляется в соответствии с положениями настоящего Закона и другими соответствующими нормативными актами.
2. В случае, если закон или резолюция Национального собрания, принятые до вступления в силу настоящего Закона, содержат конкретные положения о защите персональных данных и не противоречат принципам защиты персональных данных, установленным настоящим Законом, применяются положения того закона или резолюции.
3. В случае если закон, резолюция Национального собрания, принятые после вступления в силу настоящего Закона, содержат положения о защите персональных данных, отличающиеся от положений настоящего Закона, должно быть конкретно указано, какие положения следует выполнять или не выполнять в соответствии с настоящим Законом, а какие — в соответствии с положениями этого закона или резолюции.
4. В случае если орган, организация или физическое лицо осуществляет оценку воздействия обработки персональных данных, оценку воздействия трансграничной передачи персональных данных в соответствии с положениями настоящего Закона, не требуется проводить оценку рисков обработки персональных данных, оценку воздействия трансграничной передачи персональных данных в соответствии с законодательством о данных.
Статья 6. Международное сотрудничество в области защиты персональных данных
1. Соблюдать законы Вьетнама, международные договоры, участником которых является Социалистическая Республика Вьетнам, и международные соглашения о защите персональных данных на основе равноправного и взаимовыгодного сотрудничества, уважать независимость, суверенитет и целостность территории.
2. Содержание международного сотрудничества в области защиты персональных данных включает:
a) Создание механизма международного сотрудничества для обеспечения эффективного применения законов о защите персональных данных;
b) Участие во взаимной правовой помощи по защите персональных данных других стран;
c) Предупреждение и борьба с нарушениями персональных данных;
d) Обучение кадров, научные исследования, применение науки и технологий в защите персональных данных;
đ) Обмен опытом в разработке и применении законодательства о защите персональных данных;
e) Передача технологий для защиты персональных данных.
3. Правительство определяет ответственность за осуществление международного сотрудничества в области защиты персональных данных.
Статья 7. Действия, строго запрещенные
1. Обработка персональных данных с целью противодействия Социалистической Республике Вьетнам, влияющая на национальную оборону, государственную безопасность, общественный порядок и безопасность, права и законные интересы органов, организаций, физических лиц.
2. Препятствование деятельности по защите персональных данных.
3. Использование деятельности по защите персональных данных для совершения действий, нарушающих закон.
4. Обработка персональных данных в нарушение требований законодательства.
5. Использование персональных данных других лиц, предоставление другим лицам возможности использовать свои персональные данные для совершения действий в нарушение требований законодательства.
6. Покупка и продажа персональных данных, за исключением случаев, предусмотренных законом.
7. Присвоение, умышленное раскрытие или потеря персональных данных.
Статья 8. Обработка нарушений законодательства о защите персональных данных
1. Организации и физические лица, которые нарушают положения настоящего Закона и другие положения законодательства, относящиеся к защите персональных данных, в зависимости от характера, степени и последствий нарушения могут быть подвергнуты административной ответственности или уголовному преследованию; в случае причинения ущерба необходимо возместить его в соответствии с положениями закона.
2. Применение административных наказаний за нарушения в области защиты персональных данных осуществляется в соответствии с положениями пунктов 3, 4, 5, 6 и 7 настоящей статьи и законодательства о рассмотрении административных правонарушений.
3. Максимальный размер денежного штрафа при административном наказании за действия по покупке или продаже персональных данных составляет 10-кратную сумму дохода, полученного от нарушения; в случае отсутствия дохода от нарушения или если размер штрафа, рассчитанный исходя из дохода от нарушения, меньше максимального денежного штрафа, установленного в пункте 5 настоящей статьи, применяется денежный штраф в соответствии с положениями пункта 5 настоящей статьи.
4. Максимальный размер денежного штрафа при административном наказании организаций за нарушение правил трансграничной передачи персональных данных составляет 5% дохода за предшествующий календарный год этой организации; в случае отсутствия дохода за предшествующий календарный год или если размер штрафа, рассчитанный на основе дохода, меньше максимального денежного штрафа, установленного в пункте 5 настоящей статьи, применяется денежный штраф в соответствии с положениями пункта 5 настоящей статьи.
5. Максимальный размер штрафа за административные правонарушения за другие нарушения в области защиты персональных данных составляет 3 миллиарда донгов.
6. Максимальный размер штрафа, установленный в пунктах 3, 4 и 5 настоящей статьи, применяется к организациям; для физических лиц, которые совершают то же нарушение, максимальный штраф составляет половину размера штрафа для организаций.
7. Правительство определяет метод расчета суммы, полученной от совершения нарушений законодательства о защите персональных данных.
Глава II. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
Раздел 1. ЗАЩИТА ЛИЧНЫХ ДАННЫХ
В ПРОЦЕССЕ ОБРАБОТКИ ЛИЧНЫХ ДАННЫХ
Статья 9. Согласие субъекта персональных данных
1. Согласие субъекта персональных данных — это разрешение субъекта персональных данных на обработку своих персональных данных, за исключением случаев, когда закон предусматривает иное.
2. Согласие субъекта персональных данных имеет силу только при условии, что оно основано на добровольности и полном осознании следующей информации:
a) Вид персональных данных, подлежащих обработке, цель обработки персональных данных;
b) Субъект, контролирующий персональные данные, или субъект, контролирующий и обрабатывающий персональные данные;
c) Права и обязанности субъекта персональных данных.
3. Согласие субъекта персональных данных выражается ясным, конкретным способом, может быть распечатано, скопировано в письменном виде, включая электронный или проверяемый формат.
4. Согласие субъекта персональных данных должно обеспечивать соблюдение следующих принципов:
a) Выражение согласия по каждой цели;
b) Не должно сопровождаться условием обязательного согласия с другими целями, отличными от содержания соглашения;
c) Согласие действует до тех пор, пока субъект персональных данных не изменит своё согласие или в соответствии с законодательством.
d) Молчание или отсутствие ответа не рассматриваются как согласие.
5. Правительство устанавливает подробности пункта 3 настоящей статьи.
Статья 10. Требование отзыва согласия, требование ограничения обработки персональных данных
1. Субъект персональных данных имеет право требовать отзыва согласия на обработку своих персональных данных, требовать ограничения обработки своих персональных данных в случае сомнений в объеме, цели обработки персональных данных или точности персональных данных, за исключением случаев, предусмотренных статьей 19 настоящего Закона или иными случаями, предусмотренными законодательством.
2. Требование отозвать согласие, требование ограничить обработку персональных данных субъекта персональных данных должно быть представлено в письменной форме, включая электронный вид или удостоверяемый формат, и направлено контролирующей стороне персональных данных, стороне, контролирующей и обрабатывающей персональные данные. Требование об отзыве согласия, требование ограничить обработку персональных данных субъекта осуществляется в соответствии с законодательством и соглашением между сторонами.
3. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, принимает, выполняет и требует от стороны, обрабатывающей персональные данные, выполнения требования об отзыве согласия, ограничения обработки персональных данных субъекта в срок, установленный законом.
4. Выполнение требования об отзыве согласия, требования ограничить обработку персональных данных не применяется к деятельности по обработке персональных данных до момента, когда субъект персональных данных предъявил требование об отзыве согласия или требование об ограничении обработки персональных данных.
Статья 11. Сбор, анализ, обобщение персональных данных
1. Персональные данные могут собираться только с согласия субъекта персональных данных до их сбора, за исключением случаев, предусмотренных законом.
2. Полномочные органы Партии и государства имеют право анализировать и обобщать персональные данные из источников, собранных самостоятельно или переданных, предоставленных, переданных, использованных и эксплуатируемых для целей руководства, управления государством, развития экономики и общества в соответствии с законодательством.
3. Органы, организации, лица, не подпадающие под положения пункта 2 настоящей статьи, анализируют и обобщают персональные данные из источников персональных данных, разрешённых для обработки в соответствии с законодательством.
Статья 12. Кодирование и декодирование персональных данных
1. Кодирование персональных данных — это преобразование персональных данных в форму, при которой данные невозможно идентифицировать без декодирования; данные остаются персональными после кодирования.
2. Персональные данные, являющиеся государственной тайной, должны кодироваться и декодироваться в соответствии с законодательством о защите государственной тайны и законодательством о шифровании.
3. Органы, организации, лица принимают решение о кодировании и декодировании персональных данных в соответствии с деятельностью по обработке персональных данных.
Статья 13. Редактирование персональных данных
1. Субъект персональных данных имеет право самостоятельно изменять свои персональные данные в отношении некоторых видов персональных данных по соглашению с контролирующей персональные данные стороной, стороной, осуществляющей контроль и обработку персональных данных; предлагать контролирующей персональные данные стороне, стороне, осуществляющей контроль и обработку персональных данных, изменить свои персональные данные.
2. Контролирующая персональные данные сторона, сторона, осуществляющая контроль и обработку персональных данных, изменяет персональные данные после запроса субъекта персональных данных или изменяет персональные данные в соответствии с законом; требует от стороны, обрабатывающей персональные данные, или третьих лиц изменить персональные данные субъекта персональных данных.
3. Изменение персональных данных должно обеспечивать их точность. В случае невозможности изменения персональных данных по уважительной причине, контролирующая персональные данные сторона, сторона, осуществляющая контроль и обработку персональных данных, обязана уведомить об этом орган, организацию или физическое лицо, сделавшее запрос.
Статья 14. Удаление, уничтожение, обезличивание персональных данных
1. Удаление и уничтожение персональных данных осуществляется в следующих случаях:
a) Субъект персональных данных запрашивает и принимает риски, возможный ущерб, который может возникнуть для него. Требование субъекта персональных данных в этом случае должно полностью соответствовать принципам, установленным в пункте 3 статьи 4 настоящего Закона;
b) Цель обработки персональных данных достигнута;
c) Срок хранения истек в соответствии с законодательством;
d) Выполняется по решению компетентного государственного органа;
đ) Выполняется согласно соглашению;
e) Другие случаи в соответствии с законодательством.
2. Не выполнять требование субъекта персональных данных о удалении или уничтожении персональных данных в случаях, установленных в статье 19 настоящего Закона, либо если удаление или уничтожение персональных данных нарушает положения пункта 3 статьи 4 настоящего Закона.
3. Контролирующая сторона персональных данных, сторона, контролирующая и обрабатывающая персональные данные, удаляет, уничтожает персональные данные в случаях, предусмотренных пунктом 1 настоящей статьи, или по требованию стороны, обрабатывающей персональные данные, либо третьей стороны удаляет, уничтожает персональные данные субъекта персональных данных. Удаление и уничтожение персональных данных должно осуществляться с применением безопасных мер; предотвращать несанкционированное вмешательство и восстановление удалённых или уничтоженных персональных данных.
4. Организации, учреждения и физические лица не имеют права намеренно восстанавливать удалённые или уничтоженные персональные данные незаконным образом.
5. Контролирующая сторону персональных данных, сторона, контролирующая и обрабатывающая персональные данные, а также сторона, обрабатывающая персональные данные, несут ответственность за соблюдение положений настоящего Закона. В случае, если по уважительной причине невозможно удалить или уничтожить персональные данные после получения запроса от субъекта персональных данных, контролирующая сторона персональных данных, сторона, контролирующая и обрабатывающая персональные данные, обязана уведомить субъекта персональных данных.
6. Процедура деидентификации персональных данных регулируется следующим образом:
а) Органы, организации и лица, занимающиеся деидентификацией персональных данных, несут ответственность за строгий контроль и надзор за процессом деидентификации персональных данных; предотвращение несанкционированного доступа, копирования, присвоения, утечки и утраты персональных данных в процессе деидентификации;
б) После деидентификации персональных данных не допускается их повторная идентификация, за исключением случаев, предусмотренных законом;
в) Процедура деидентификации персональных данных должна соответствовать положениям настоящего Закона и другим применимым нормативным правовым актам.
Статья 15. Предоставление персональных данных
1. Субъект персональных данных предоставляет свои персональные данные органам, организациям или лицам в соответствии с законодательством или на основании соглашения с этими органами, организациями или лицами.
2. Контролер персональных данных, а также лица, осуществляющие контроль и обработку персональных данных, предоставляют персональные данные в следующих случаях:
a) Предоставлять субъекту персональных данных персональные данные по запросу субъекта персональных данных в соответствии с положениями законодательства, соглашением с субъектом данных, за исключением случаев, когда такое предоставление может причинить ущерб национальной обороне, национальной безопасности, общественному порядку, общественной безопасности или нарушить жизнь, здоровье, имущество других лиц;
b) Предоставлять другим органам, организациям, физическим лицам при согласии субъекта персональных данных, за исключением случаев, когда закон предусматривает иное.
Статья 16. Открытость персональных данных
1. Личные данные могут быть обнародованы только для конкретной цели. Объем обнародования, тип публикуемых личных данных должны соответствовать цели обнародования. Обнародование личных данных не должно нарушать права и законные интересы субъекта личных данных.
2. Личные данные могут быть обнародованы только в следующих случаях:
а) С согласия субъекта личных данных;
б) В соответствии с требованиями закона;
в) В случаях, предусмотренных пунктом б, части 1, статьи 19 настоящего Закона;
г) Для выполнения обязательств по контракту.
3. Публикуемые личные данные должны точно отражать личные данные из исходного источника и облегчать доступ, использование и эксплуатацию для органов, организаций и физических лиц.
4. Формы публичного раскрытия персональных данных включают: размещение данных на веб-сайте, на электронном информационном портале, в средствах массовой информации и других формах в соответствии с законодательством.
5. Орган, организация или физическое лицо, раскрывающее персональные данные, должны строго контролировать и отслеживать процесс публичного раскрытия персональных данных, чтобы гарантировать соблюдение цели, объема и положений законодательства; предотвращать несанкционированный доступ, использование, раскрытие, копирование, изменение, удаление, уничтожение или другие незаконные действия с опубликованными персональными данными в пределах своих возможностей и условий.
Статья 17. Передача персональных данных
1. Передача персональных данных осуществляется в следующих случаях:
а) Передача персональных данных при наличии согласия субъекта персональных данных;
b) Совместное использование персональных данных между отделами одного и того же органа, организации для обработки персональных данных в соответствии с установленной целью обработки;
c) Передача персональных данных для дальнейшей обработки персональных данных в случае разделения, отделения, слияния органов, организаций, административных единиц и реорганизации, изменения формы собственности государственных предприятий; разделения, отделения, слияния, объединения, прекращения деятельности единиц, организаций; единиц, организаций, создаваемых на основе прекращения деятельности других единиц, организаций;
d) Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, передает персональные данные стороне, обрабатывающей персональные данные, третьей стороне для обработки персональных данных в соответствии с законодательством;
đ) Передача персональных данных по требованию уполномоченного государственного органа;
e) Передача персональных данных в случаях, предусмотренных пунктом 1 статьи 19 настоящего Закона.
2. Передача персональных данных в случаях, предусмотренных в пункте 1 настоящей статьи, независимо от того, взимается за нее плата или нет, не считается покупкой или продажей персональных данных.
3. Правительство регулирует детали настоящей статьи.
Статья 18. Другие виды деятельности при обработке персональных данных
1. Контролер персональных данных, контролер и обработчик персональных данных, обработчик персональных данных, третья сторона, хранящая персональные данные, делают это в форме, соответствующей их деятельности, и принимают меры по защите персональных данных в процессе хранения в соответствии с требованиями законодательства.
2. Хранение, доступ, извлечение, соединение, координация, подтверждение, аутентификация персональных данных и иные действия, влияющие на персональные данные, осуществляются в соответствии с положениями настоящего Закона, законодательства о данных, другими соответствующими правовыми нормами и по соглашению между сторонами.
3. Отдавать приоритет использованию и эксплуатации персональных данных в деятельности по управлению государством, деятельности государственных учреждений для проведения пилотных проектов некоторых специальных механизмов и политик, создающих прорыв в развитии науки, технологий, инноваций и национальной цифровой трансформации.
Статья 19. Обработка персональных данных в случаях, когда согласие субъекта персональных данных не требуется
1. Случаи обработки персональных данных без согласия субъекта персональных данных включают:
a) Для защиты жизни, здоровья, чести, достоинства, прав и законных интересов субъекта персональных данных или другого лица в чрезвычайной ситуации; защита
защиты своих законных прав или законных интересов других лиц или интересов государства, органов и организаций в необходимых случаях перед действиями, нарушающими указанные интересы. Субъект, контролирующий персональные данные, субъект, обрабатывающий персональные данные, субъект, контролирующий и обрабатывающий персональные данные, третье лицо обязаны доказать этот случай;
б) Для решения чрезвычайной ситуации; угрозы национальной безопасности, но не до уровня введения чрезвычайного положения; предотвращения и противодействия мятежу, терроризму, предотвращения преступлений и правонарушений;
в) Обслуживание деятельности государственных органов, осуществление государственного управления в соответствии с законами;
г) Выполнение соглашения субъекта персональных данных с соответствующими органами, организациями, физическими лицами в соответствии с законодательством;
д) Другие случаи в соответствии с законодательством.
2. Ведомства, организации и индивидуальные лица, имеющие отношение к делу, должны установить механизмы наблюдения при обработке персональных данных в случаях, когда согласие субъекта персональных данных не требуется, включая:
a) Установление процедур и правил обработки персональных данных и определение ответственности ведомств, организаций и индивидуальных лиц в процессе обработки персональных данных;
b) Внедрение соответствующих мер защиты персональных данных; регулярная оценка возможных рисков, возникающих в процессе обработки персональных данных;
c) Проведение проверок и периодическая оценка соблюдения требований законодательства, процедур и правил обработки персональных данных;
d) Наличие механизма приема и обработки обращений и предложений от ведомств, организаций и индивидуальных лиц, имеющих отношение к делу.
Статья 20. Передача персональных данных через границу
1. Случаи передачи персональных данных через границу включают:
a) Перенос персональных данных, хранящихся во Вьетнаме, в систему хранения данных, расположенную за пределами территории Социалистической Республики Вьетнам;
b) Органы, организации, физические лица во Вьетнаме передают персональные данные организациям, физическим лицам за границей;
c) Органы, организации, физические лица во Вьетнаме или за границей используют платформу за пределами территории Социалистической Республики Вьетнам для обработки персональных данных, собранных во Вьетнаме.
2. Орган, организация или физическое лицо, передающее персональные данные через границу, осуществляющее действия, предусмотренные в пункте 1 настоящей статьи, обязаны составить отчет об оценке воздействия
передавать личные данные через границу и отправлять 01 оригинал ответственному органу по защите личных данных в течение 60 дней с даты первой передачи личных данных через границу, за исключением случаев, предусмотренных в пункте 6 настоящей статьи.
3. Оценка воздействия на перенос персональных данных через границу проводится один раз на весь период деятельности данного органа, организации или лица и обновляется в соответствии с положениями Статьи 22 настоящего Закона.
4. Специализированный орган по защите персональных данных принимает решение о проведении периодической проверки трансграничной передачи персональных данных не более одного раза в год или внеплановой проверки при обнаружении нарушений законодательства о защите персональных данных либо при возникновении инцидента утечки или потери персональных данных.
5. Специализированный орган по защите персональных данных принимает решение о требовании прекратить трансграничную передачу персональных данных органом, организацией или физическим лицом при обнаружении передачи персональных данных для использования в деятельности, которая может причинить вред обороне или национальной безопасности.
6. Случаи, когда не требуется выполнять правило по оценке воздействия трансграничной передачи персональных данных, включают:
a) трансграничную передачу персональных данных уполномоченными государственными органами;
b) хранение персональных данных работников органа или организации теми же органами или организациями на облачных вычислительных сервисах;
c) Субъект персональных данных самостоятельно передает свои персональные данные через границу;
d) Другие случаи в соответствии с положениями Правительства.
7. Правительство устанавливает подробности пунктов 1, 5 и 6 настоящей статьи; устанавливает состав документов, условия, порядок и процедуры оценки воздействия трансграничной передачи персональных данных.
Статья 21. Оценка воздействия обработки персональных данных
1. Сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая персональные данные, составляет и хранит документы по оценке воздействия обработки персональных данных и направляет 01 оригинал в специализированный орган по защите персональных данных в течение 60 дней с момента начала обработки персональных данных, за исключением случаев, указанных в пункте 6 настоящей статьи.
2. Оценка воздействия обработки персональных данных проводится однократно на весь период деятельности стороны, контролирующей персональные данные, или стороны, контролирующей и обрабатывающей персональные данные, и обновляется в соответствии с положениями статьи 22 настоящего Закона.
3. Сторона, обрабатывающая персональные данные, составляет и хранит документы по оценке воздействия обработки персональных данных в соответствии с соглашением со стороной, контролирующей персональные данные, стороной, контролирующей и обрабатывающей персональные данные, за исключением случаев, предусмотренных в пункте 6 настоящей статьи.
4. Специализированный орган по защите персональных данных оценивает и требует от стороны, контролирующей персональные данные, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные, доработать документы по оценке воздействия обработки персональных данных в случае, если документы неполные или не соответствуют требованиям.
5. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, сторона, обрабатывающая персональные данные, обновляют и дополняют документы по оценке воздействия обработки персональных данных при изменении содержания документов, отправленных в специализированный орган по защите персональных данных.
6. Государственный орган, обладающий соответствующими полномочиями, не обязан выполнять требования по оценке воздействия обработки персональных данных, указанные в настоящей статье.
7. Правительство определяет состав документов, условия, порядок и процедуры оценки воздействия обработки персональных данных.
Статья 22. Обновление документов по оценке воздействия обработки персональных данных и документов по оценке воздействия трансграничной передачи персональных данных
1. Документы по оценке воздействия обработки персональных данных и документы по оценке воздействия трансграничной передачи персональных данных обновляются регулярно каждые 6 месяцев при наличии изменений или обновляются немедленно в случаях, предусмотренных в пункте 2 настоящей статьи.
2. Случаи изменений, требующих немедленного обновления, включают:
a) Когда орган, организация, подразделение реорганизуется, прекращает деятельность, ликвидируется, объявляет банкротство в соответствии с законодательством;
b) Когда происходят изменения информации о организации или индивидуальном лице, предоставляющем услуги по защите персональных данных;
c) Когда возникают или изменяются отрасли, профессии, бизнес-услуги, связанные с обработкой персональных данных, которые были зарегистрированы в документации по оценке воздействия обработки персональных данных, документации по оценке воздействия трансграничной передачи персональных данных.
3. Обновление документации по оценке воздействия обработки персональных данных и документации по оценке воздействия трансграничной передачи персональных данных осуществляется на Национальном портале защиты персональных данных или в уполномоченном органе по защите персональных данных.
4. Правительство регулирует подробности этого положения.
Статья 23. Уведомление о нарушениях требований по защите персональных данных
1. Сторона, контролирующая личные данные, сторона, контролирующая и обрабатывающая личные данные, а также третья сторона, обнаружившая нарушение правил защиты личных данных, которое может причинить ущерб обороне, национальной безопасности, общественному порядку, безопасности или нарушить жизнь, здоровье, честь, достоинство, имущество субъекта личных данных, обязаны уведомить специализированный орган по защите личных данных не позднее 72 часов с момента выявления нарушения. В случае если сторона, обрабатывающая личные данные, обнаруживает нарушение, она обязана своевременно уведомить сторону, контролирующую личные данные, или сторону, контролирующую и обрабатывающую личные данные.
2. Сторона, контролирующая личные данные, сторона, контролирующая и обрабатывающая личные данные, должны составить акт о факте совершения нарушения правил защиты личных данных и сотрудничать со специализированным органом по защите личных данных для устранения нарушения.
3. Орган, организация, физическое лицо уведомляет орган, отвечающий за защиту персональных данных, в следующих случаях:
а) Обнаружение нарушения положений о защите персональных данных;
б) Персональные данные обрабатываются не по назначению, не в соответствии с соглашением между субъектом персональных данных и контролером персональных данных, контролером и обработчиком персональных данных;
в) Не обеспечиваются права или неправильно осуществляются права субъекта персональных данных;
г) Другие случаи в соответствии с законодательством.
4. Ответственный орган по защите персональных данных несет ответственность за прием уведомлений и обработку нарушений правил защиты персональных данных. Стороны, контролирующие персональные данные, стороны, контролирующие и обрабатывающие персональные данные, третьи лица, а также органы, организации и физические лица, имеющие отношение к этому, обязаны предотвращать нарушения, устранять последствия и сотрудничать с ответственным органом по защите персональных данных при рассмотрении нарушений правил защиты персональных данных.
5. Правительство устанавливает содержание уведомлений о нарушениях правил защиты персональных данных.
Раздел 2. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ В НЕКОТОРЫХ ВИДАХ ДЕЯТЕЛЬНОСТИ
Статья 24. Защита персональных данных детей, лиц, утративших или ограниченных в дееспособности, лиц с трудностями в познании и самоконтроле
1. Защита персональных данных детей, лиц, утративших или ограниченных в дееспособности, лиц с трудностями в восприятии и контроле поведения в соответствии с положениями настоящего Закона.
2. Для детей, лиц, утративших или ограниченных в дееспособности, или лиц с трудностями в познании и контроле поведения, права субъекта персональных данных от их имени осуществляет законный представитель, за исключением случаев, предусмотренных пунктом 1 статьи 19 настоящего Закона. Обработка персональных данных детей с целью раскрытия или публикации информации о частной жизни, личных тайнах детей старше 7 лет должна осуществляться с согласия ребенка и его законного представителя.
3. Прекращение обработки персональных данных детей, лиц, утративших или ограниченных в дееспособности, лиц с трудностями в познании и контроле поведения в следующих случаях:
a) Лицо, которое согласилось с положениями пункта 2 настоящей Статьи, отзывает свое согласие на обработку персональных данных детей, лиц, утративших или ограниченных в гражданской дееспособности, лиц с трудностями в восприятии и контроле поведения, за исключением случаев, предусмотренных законом;
b) По требованию уполномоченного органа, при наличии достаточных оснований полагать, что обработка персональных данных может нарушить права и законные интересы детей, лиц, утративших или ограниченных в гражданской дееспособности, лиц с трудностями в восприятии и контроле поведения, за исключением случаев, предусмотренных законом.
Статья 25. Защита персональных данных при найме, управлении и использовании работников
1. Ответственность за защиту персональных данных органов, организаций и физических лиц при найме работников регулируется следующим образом:
a) Требуется предоставлять только информацию, необходимую для целей найма государственными органами, организациями или частными лицами-работодателями в соответствии с законодательством; предоставленная информация может использоваться только для целей найма и других целей по соглашению, соответствующему законодательству;
b) Предоставленная информация должна обрабатываться в соответствии с законодательством и с согласия кандидата;
c) Необходимо удалять или уничтожать предоставленную информацию кандидата в случае, если он не был принят на работу, за исключением случаев, когда имеется иное соглашение с кандидатом;
2. Ответственность за защиту персональных данных государственных органов, организаций и частных лиц при управлении и использовании работников определяется следующим образом:
a) Соблюдать положения настоящего Закона, трудового законодательства, законодательства о занятости, законодательства о данных и других соответствующих законодательных норм;
b) Персональные данные работника должны храниться в течение срока, установленного законодательством или согласно соглашению;
c) Персональные данные работника должны быть удалены или уничтожены после прекращения трудового договора, за исключением случаев, предусмотренных соглашением или законодательством.
3. Обработка персональных данных работников, собранных с помощью технологических и технических средств в управлении работниками, регулируется следующим образом:
a) Разрешается применять только такие технологические и технические меры, которые соответствуют требованиям законодательства и обеспечивают права и интересы субъекта персональных данных, на основании того, что работник четко осознает эти меры;
b) Запрещается обрабатывать или использовать персональные данные, собранные с помощью технологических и технических средств, противоречащих положениями законодательства.
Статья 26. Защита персональных данных в отношении информации о здоровье и в сфере страхового бизнеса
1. Защита персональных данных в отношении информации о здоровье и в деятельности страхового бизнеса регулируется следующим образом:
a) Необходимо получить согласие субъекта персональных данных в процессе сбора и обработки персональных данных, за исключением случаев, предусмотренных пунктом 1 статьи 19 настоящего Закона;
b) Полное соблюдение положений о защите персональных данных, а также других применимых положений законодательства.
2. Органы, организации и лица, действующие в сфере здравоохранения, не предоставляют персональные данные третьим лицам, являющимся организациями, предоставляющими услуги медицинского обслуживания или страхования здоровья, страхования жизни, за исключением случаев, когда есть письменное требование субъекта персональных данных или случаев, предусмотренных пунктом 1 статьи 19 настоящего Закона.
3. Организации и лица, разрабатывающие медицинские приложения или приложения для страхового бизнеса, должны полностью соблюдать положения о защите персональных данных.
4. В случае, если предприятие занимается перестрахованием или сублицензированным перестрахованием и передает персональные данные партнёрам, это должно быть четко указано в договоре с клиентом.
Статья 27. Защита персональных данных в финансовой, банковской деятельности и деятельности по кредитной информации
1. Организации и физические лица, осуществляющие деятельность в области финансов, банков и кредитной информации, несут следующие обязанности:
а) Полностью соблюдать положения о защите чувствительных персональных данных, стандарты безопасности и конфиденциальности в финансовой и банковской деятельности в соответствии с законодательством;
б) Не использовать кредитную информацию субъекта персональных данных для выставления оценок, рейтингов, оценки кредитной информации или определения кредитоспособности субъекта персональных данных без согласия субъекта персональных данных;
в) Собирать только те персональные данные, которые необходимы для деятельности по кредитной информации, из источников, соответствующих требованиям настоящего Закона и другим применимым нормам законодательства;
d) Уведомлять субъект данных о случаях утечки или потери информации о банковском, финансовом, кредитном счетах, кредитной информации.
2. Организации и физические лица, осуществляющие деятельность по предоставлению кредитной информации, обязаны соблюдать положения этого Закона; применять меры по предотвращению и борьбе с несанкционированным доступом, использованием, раскрытием, изменением персональных данных клиентов; иметь решения для восстановления персональных данных клиентов в случае их утраты; обеспечивать конфиденциальность при сборе, предоставлении, обработке персональных данных клиентов для оценки кредитной информации.
3. Правительство регулирует детали настоящей статьи.
Статья 28. Защита персональных данных в сфере рекламной деятельности
1. Организации и индивидуальные предприниматели, занимающиеся услугами рекламы, могут использовать персональные данные клиентов только в том случае, если эти данные предоставлены контролёром персональных данных, переданы контролёром и обработчиком персональных данных по соглашению или собраны в рамках их собственной коммерческой деятельности для оказания рекламных услуг. Сбор, использование и передача персональных данных должны обеспечивать права субъекта персональных данных, установленные в статье 4 данного Закона.
2. Контролёр персональных данных и контролёр с обработчиком персональных данных могут передавать персональные данные организациям и индивидуальным предпринимателям, занимающимся рекламными услугами, только в соответствии с законодательством.
3. Обработка персональных данных клиентов для оказания рекламных услуг должна осуществляться с согласия клиента на основе его полного ознакомления с содержанием, методами, формой и частотой представления продуктов; необходимо предоставить клиенту способ, с помощью которого он может отказаться от получения рекламной информации.
4. Использование персональных данных для рекламы должно соответствовать законодательству о защите от спама, нежелательных электронных писем, нежелательных звонков, а также законодательству о рекламе.
5. Субъект персональных данных имеет право требовать прекращения получения информации от рекламной службы. Организация или физическое лицо, предоставляющее рекламные услуги, обязаны предоставить механизм и прекратить рекламу по требованию субъекта персональных данных.
6. Организация или физическое лицо, предоставляющее рекламные услуги, не имеют права сдавать в субаренду или заключать соглашения, позволяющие другой организации или физическому лицу выполнять всю рекламную деятельность с использованием персональных данных от их имени.
7. Организация или физическое лицо, предоставляющее рекламные услуги, несет ответственность за доказательство использования персональных данных клиентов для рекламы; соблюдение положений пунктов 1, 2, 3, 4 настоящей статьи и законодательства о рекламе.
8. Организации и частные лица, использующие персональные данные для поведенческой или целевой рекламы либо для персонализированной рекламы, должны соблюдать положения этой статьи и следующие нормы:
а) Персональные данные могут собираться только через отслеживание веб-страниц, электронных порталов и приложений с согласия субъекта персональных данных;
б) Необходимо установить метод, позволяющий субъекту персональных данных отказаться от предоставления данных; определить сроки хранения; удалять или уничтожать данные, когда они больше не нужны.
Статья 29. Защита персональных данных на платформах социальных сетей и в службах онлайн-коммуникаций
Организации и лица, предоставляющие услуги социальных сетей и онлайн-медиа, несут следующую ответственность:
1. Четко уведомлять о содержании личных данных, собираемых при установке и использовании социальной сети, онлайн-медиа сервиса; не собирать личные данные незаконно и за пределами согласованных с клиентом условий;
2. Не запрашивать предоставление изображений, видео с полными или частичными документами, удостоверяющими личность, в качестве элемента подтверждения аккаунта;
3. Предоставлять пользователю возможность отказаться от сбора и обмена файлами данных (называемыми cookies);
4. Предоставлять опцию «не отслеживать» или отслеживать активность использования социальной сети, онлайн-медиа сервиса только с согласия пользователя;
5. Не прослушивать, не записывать звонки и не читать текстовые сообщения без согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством.
6. Открыто публиковать политику конфиденциальности, ясно объяснять способы сбора, использования и передачи персональных данных; предоставлять пользователям механизмы доступа, редактирования и удаления
данные и настройка конфиденциальности для персональных данных, отчетность о нарушениях безопасности и конфиденциальности; защита персональных данных граждан Вьетнама при передаче данных через границу; разработка процедур быстрого и эффективного реагирования на нарушения защиты персональных данных.
Статья 30. Защита персональных данных при обработке больших данных, искусственного интеллекта, блокчейна, виртуальной вселенной, облачных вычислений
1. Персональные данные в среде больших данных, искусственного интеллекта, блокчейна, виртуальной вселенной и облачных вычислений должны обрабатываться по назначению и ограничиваться необходимым объемом, обеспечивая права и законные интересы субъекта персональных данных.
2. Обработка персональных данных в среде больших данных, искусственного интеллекта, блокчейна, виртуальной вселенной и облачных вычислений должна соответствовать положениям настоящего Закона и другим связанным законодательным нормам; соответствовать нормам этики, обычаям и традициям Вьетнама.
3. Системы и услуги, использующие большие данные, искусственный интеллект, блокчейн, виртуальную вселенную и облачные вычисления, должны включать меры по защите персональных данных; необходимо использовать подходящие методы аутентификации, идентификации и разграничения доступа для обработки персональных данных.
4. Обработка персональных данных с помощью искусственного интеллекта должна проводиться с классификацией по уровню риска для применения соответствующих мер защиты персональных данных.
5. Не использовать и не развивать системы обработки больших данных, искусственный интеллект, блокчейн, виртуальную вселенную, облачные вычисления с использованием персональных данных для причинения ущерба обороне, национальной безопасности, общественному порядку и безопасности или для посягательства на жизнь, здоровье, честь, достоинство, имущество других лиц.
6. Правительство устанавливает подробные положения этой статьи.
Статья 31. Защита персональных данных относительно данных о личном местоположении, биометрических данных
1. Данные о личном местоположении — это данные, определяемые с помощью технологий позиционирования для определения местоположения и идентификации конкретного человека.
2. Биометрические данные — это данные о физических характеристиках, индивидуальных и стабильных биологических особенностях человека для его идентификации.
3. Защита персональных данных в отношении данных о личном местоположении регулируется следующим образом:
a) Не применять отслеживание местоположения через идентификационные карты радиочастот и другие технологии, за исключением случаев, когда есть согласие субъекта персональных данных или в случае требования уполномоченного органа в соответствии с законодательством или когда закон предусматривает иное;
b) Организации и лица, предоставляющие платформу мобильного приложения, должны уведомлять пользователей о использовании данных о местоположении; принимать меры для предотвращения сбора данных о местоположении лицами или организациями, не имеющими отношения к этому; предоставлять пользователям варианты отслеживания личного местоположения.
4. Защита биометрических данных регулируется следующим образом:
a) Организации, учреждения и физические лица, собирающие и обрабатывающие биометрические данные, должны обеспечивать физическую защиту своих устройств хранения и передачи биометрических данных; ограничивать доступ к биометрическим данным; иметь систему мониторинга для предотвращения и выявления нарушений биометрических данных; соблюдать требования законодательства и соответствующие международные стандарты;
b) В случае, если обработка биометрических данных причиняет ущерб субъекту персональных данных, организации и физические лица, собирающие и обрабатывающие биометрические данные, должны уведомить этого субъекта персональных данных в соответствии с правилами, установленными Правительством.
Статья 32. Защита персональных данных, полученных в результате аудио- или видеозаписи в общественных местах, а также в ходе публичных мероприятий
1. Орган, организация, физическое лицо имеют право записывать аудио, видео и обрабатывать персональные данные, полученные в результате аудиозаписи и видеозаписи в общественных местах, общественной деятельности без согласия субъекта персональных данных в следующих случаях:
а) для выполнения задач национальной обороны, обеспечения национальной безопасности, поддержания общественного порядка и безопасности, защиты прав и законных интересов органов, организаций и физических лиц;
b) Звуки, изображения и другие идентифицирующие сведения, полученные от общественных мероприятий, включая конференции, семинары, спортивные соревнования, художественные представления и другие общественные мероприятия, при этом не нанося ущерба чести, достоинству и репутации субъекта персональных данных;
c) Другие случаи, предусмотренные законом.
2. В случае аудио- или видеозаписи в соответствии с положениями пункта 1 настоящей статьи, органы, организации и лица обязаны уведомлять или иным способом информировать субъекта персональных данных о том, что он записывается на аудио или видео, за исключением случаев, когда закон устанавливает иное.
3. Полученные персональные данные должны обрабатываться и использоваться только в соответствии с целями обработки, не могут использоваться для незаконных целей или нарушать права и законные интересы субъекта персональных данных.
4. Личные данные, полученные в результате записи звука и изображения в общественных местах, а также в ходе публичной деятельности, могут храниться только в течение времени, необходимого для обслуживания
цель сбора, за исключением случаев, предусмотренных законом. По истечении срока хранения персональные данные должны быть удалены или уничтожены в соответствии с требованиями настоящего Закона.
5. Орган, организация, физическое лицо, осуществляющие аудиозапись, видеозапись, обработку персональных данных, полученных в ходе аудиозаписи и видеозаписи в случаях, предусмотренных пунктом 1 настоящей статьи, несут ответственность за защиту персональных данных в соответствии с положениями настоящего Закона и иными нормами соответствующего законодательства.
Глава III. СИЛЫ, УСЛОВИЯ ГАРАНТИРОВАНИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 33. Силы по защите персональных данных
1. Силы по защите персональных данных включают:
а) Специализированный орган по защите персональных данных при Министерстве общественной безопасности;
б) Подразделение, персонал по защите персональных данных в органе, организации;
c) Организации, физические лица, предоставляющие услуги по защите персональных данных;
d) Организации, физические лица, привлекаемые для участия в защите персональных данных.
2. Органы, организации несут ответственность за назначение подразделения, персонала, обладающего достаточной компетенцией для защиты персональных данных, или за привлечение организаций, физических лиц, предоставляющих услуги по защите персональных данных.
3. Правительство регулирует условия, обязанности подразделений и персонала по защите персональных данных в органах и организациях; организаций, физических лиц, предоставляющих услуги по защите персональных данных; услуг по обработке персональных данных.
Статья 34. Стандарты и технические регламенты по защите персональных данных
1. Стандарты по защите персональных данных включают стандарты для информационных систем, аппаратного и программного обеспечения, управления, эксплуатации, обработки и защиты персональных данных, опубликованные и признанные применимыми во Вьетнаме.
2. Технические стандарты по защите персональных данных включают технические стандарты для информационных систем, аппаратного обеспечения, программного обеспечения, управления, эксплуатации, обработки и защиты персональных данных, которые разрабатываются, принимаются и применяются во Вьетнаме.
3. Принятие стандартов и технических норм по защите персональных данных осуществляется в соответствии с законодательством о стандартах и технических нормах.
Статья 35. Проверка деятельности по защите персональных данных
Проверка деятельности по защите персональных данных осуществляется в соответствии с положениями настоящего Закона и положениями Правительства.
Глава IV. ОТВЕТСТВЕННОСТЬ ОРГАНОВ, ОРГАНИЗАЦИЙ И ЛИЦ
ЗА ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Статья 36. Ответственность государственного управления за защиту персональных данных
1. Правительство осуществляет единую государственную политику по управлению защитой персональных данных.
2. Министерство общественной безопасности является основной организацией, отвечающей перед Правительством за осуществление государственного управления защитой персональных данных, за исключением содержания, находящегося в ведении Министерства обороны.
3. Министерство обороны несет ответственность перед Правительством за осуществление государственного управления защитой персональных данных в пределах своей компетенции.
4. Министерства, ведомства, равно как и органы при Правительстве, осуществляют государственное управление защитой персональных данных в отраслях и сферах, входящих в их компетенцию, в соответствии с законодательством и возложенными функциями и обязанностями.
5. Народные комитеты провинциального уровня осуществляют государственное управление защитой персональных данных в соответствии с законодательством и возложенными на них функциями и обязанностями.
Статья 37. Ответственность контролера персональных данных, обработчика персональных данных, а также контролера и обработчика персональных данных.
1. Ответственность контролера персональных данных заключается в следующем:
a) Четко указывать ответственность, права и обязанности сторон по соблюдению положений соглашения или контракта, связанных с обработкой персональных данных в соответствии с настоящим Законом и другими применимыми юридическими нормами;
b) Определять цель и средства обработки персональных данных в документах и соглашениях с субъектом персональных данных, обеспечивая соблюдение принципов и положений, установленных настоящим Законом;
c) Применять соответствующие управленческие и технические меры для защиты персональных данных в соответствии с законодательством, проверять и обновлять эти меры по мере необходимости;
d) Сообщать о нарушениях правил защиты персональных данных в соответствии со статьей 23 настоящего Закона;
đ) Выбирать подходящего обработчика персональных данных для обработки персональных данных;
e) Обеспечивать права субъекта персональных данных в соответствии со статьей 4 настоящего Закона;
g) Нести ответственность перед субъектом персональных данных за ущерб, причиненный в процессе обработки персональных данных;
h) Предотвращать незаконный сбор персональных данных из своих систем, оборудования, сервисов;
i) Сотрудничать с Министерством внутренних дел и государственными органами, имеющими соответствующие полномочия, в защите персональных данных, предоставлять информацию для расследования и пресечения нарушений законодательства о защите персональных данных;
k) Выполнять другие обязанности в соответствии с положениями настоящего Закона и другими нормативными актами, имеющими отношение к закону.
2. Ответственность стороны, обрабатывающей персональные данные, заключается в следующем:
a) Принимать персональные данные только после заключения соглашения или контракта на обработку персональных данных с субъектом, контролирующим данные, либо с субъектом, который контролирует и обрабатывает данные;
b) Обрабатывать персональные данные в соответствии с соглашением или контрактом, заключенным с субъектом, контролирующим данные, либо с субъектом, который контролирует и обрабатывает данные;
в) Осуществлять все меры по защите персональных данных в соответствии с положениями настоящего Закона и другими соответствующими правовыми нормами;
г) Нести ответственность перед субъектом контроля персональных данных, а также перед субъектом контроля и обработки персональных данных за ущерб, причиненный процессом обработки персональных данных;
д) Предотвращать незаконный сбор персональных данных с собственных систем, оборудования и услуг;
е) Сотрудничать с Министерством общественной безопасности и компетентными государственными органами в защите персональных данных, предоставлять информацию для проведения расследований и рассмотрения нарушений законодательства о защите персональных данных;
ж) Выполнять другие обязанности в соответствии с положениями настоящего Закона и другими соответствующими правовыми нормами.
3. Сторона, контролирующая и обрабатывающая персональные данные, несет ответственность за полное выполнение положений пунктов 1 и 2 настоящей статьи.
Глава V. ИСПОЛНИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Статья 38. Вступление в силу
1. Этот закон вступает в силу с 01 января 2026 года.
2. Малые предприятия и стартапы имеют право выбирать, выполнять или не выполнять положения Статьи 21, Статьи 22 и пункта 2 Статьи 33 настоящего Закона в течение 5 лет с даты вступления настоящего Закона в силу, за исключением
малые предприятия, стартапы, предоставляющие услуги по обработке персональных данных, которые напрямую обрабатывают чувствительные персональные данные или обрабатывают персональные данные большого числа субъектов персональных данных.
3. Малые предприятия и микробизнесы не обязаны выполнять положения Статьи 21, Статьи 22 и пункта 2 Статьи 33 этого Закона, за исключением малых предприятий и микробизнесов, занимающихся услугами по обработке персональных данных, непосредственно обрабатывающих конфиденциальные персональные данные или обрабатывающих персональные данные большого числа субъектов персональных данных.
4. Правительство определяет подробно пункты 2 и 3 настоящей статьи.
Статья 39. Переходные положения
1. Деятельность по обработке персональных данных, которая осуществляется с согласия субъекта персональных данных или по соглашению в соответствии с положениями Постановления № 13/2023/ND-CP от 17 апреля 2023 года Правительства до вступления в силу настоящего Закона, продолжается без необходимости повторного получения согласия или пересмотра соглашения.
2. Досье по оценке воздействия обработки персональных данных, досье по оценке воздействия передачи персональных данных за границу в соответствии с положениями Декрета № 13/2023/ND-CP от 17 апреля 2023 года, принятые уполномоченным органом по защите персональных данных до вступления в силу настоящего Закона, могут продолжать использоваться и не требуют составления досье по оценке воздействия обработки персональных данных, досье по оценке воздействия трансграничной передачи персональных данных в соответствии с положениями настоящего Закона; обновление указанных выше досье после вступления в силу настоящего Закона осуществляется в соответствии с положениями настоящего Закона./.
Настоящий Закон принят Национальным собранием Социалистической Республики Вьетнам XV созыва, 9-й сессии 26 июня 2025 года.
ПРЕДСЕДАТЕЛЬ НАЦИОНАЛЬНОГО СОБРАНИЯ
Чан Тань Ман