Декрет 356/2025/NĐ-CP – применение Закона о защите персональных данных

На основании Закона о структуре Правительства № 63/2025/QH15;

На основании Закона о защите персональных данных № 91/2025/QH15;

На основании Закона о цифровых данных № 60/2024/QH15;

Основываясь на Законе о внесении изменений и дополнений в некоторые статьи Закона о государственных закупках, Закона об инвестировании по модели государственно-частного партнерства, Таможенного кодекса, Закона о налоге на добавленную стоимость, Закона о налоге на экспорт и импорт, Закона об инвестициях, Закона об общественных инвестициях, Закона о управлении и использовании государственных активов № 90/2025/QH15;

По предложению Министра внутренних дел;

Правительство выпускает Декрет, устанавливающий подробные положения о некоторых статьях и меры по выполнению Закона о защите персональных данных.

Глава I. ОБЩИЕ ПОЛОЖЕНИЯ

Статья 1. Сфера регулирования

Этот указ детализирует пункты 2 и 3 статьи 2; пункт 5 статьи 4; пункт 3 статьи 6; пункт 5 статьи 9; пункт 3 статьи 17; пункт 7 статьи 20; пункт 7 статьи 21; пункт 4 статьи 22; пункт 5 статьи 23; пункт 3 статьи 27; пункт 6 статьи 30; подпункт б пункта 4 статьи 31; пункт 3 статьи 33; статью 35; пункт 4 статьи 38 Закона о защите персональных данных и устанавливает меры для организации исполнения Закона о проведении исследований и разработке решений по защите персональных данных, специализированного органа по защите персональных данных, Национального портала по защите персональных данных; ответственность министерств, отраслей и местных органов власти за защиту персональных данных; финансирование обеспечения деятельности по защите персональных данных.

Статья 2. Объекты применения

1. Вьетнамские органы, организации и физические лица;

2. Зарубежные органы, организации и физические лица во Вьетнаме;

3. Иностранные органы, организации, физические лица, которые непосредственно участвуют или имеют отношение к обработке персональных данных граждан Вьетнама и лиц вьетнамского происхождения, чья гражданство не определено, проживающих во Вьетнаме, которым выдано удостоверение личности.

Статья 3. Перечень основных персональных данных

Основные персональные данные включают:

1. Фамилия, отчество и имя при рождении, другие имена (если есть);

2. Дата, месяц, год рождения; дата, месяц, год смерти или исчезновения;

3. Пол;

4. Место рождения, место регистрации акта о рождении, место постоянной регистрации, место временной регистрации, текущее местожительство, родное место, контактный адрес;

5. Гражданство;

6. Изображение личности;

7. Номер телефона, идентификационный номер, номер паспорта, номер водительского удостоверения, номер регистрационного знака автомобиля;

8. Семейное положение;

9. Информация о семейных отношениях (родители, дети, жена, муж);

10. Информация о персональных счетах.

11. Другая информация, связанная с конкретным человеком или помогающая идентифицировать конкретного человека, не подпадает под положения Статьи 4 настоящего Положения.

Статья 4. Перечень чувствительных персональных данных

1. К чувствительным персональным данным относятся:

а) данные, раскрывающие расовое или этническое происхождение;

б) политические, религиозные взгляды, вероисповедание;

в) информация о частной жизни, личной тайне, семейной тайне;

г) состояние здоровья;

д) биометрические данные, генетические характеристики;

е) данные, раскрывающие сексуальную жизнь, сексуальную ориентацию человека;

ж) данные о преступлениях, нарушениях закона, собранные и хранящиеся правоохранительными органами;

з) местоположение человека, определяемое через сервисы геолокации;

и) информация о имени пользователя и пароле для доступа к электронной идентификационной учетной записи; изображения удостоверений личности, свидетельств о рождении, гражданских удостоверений личности;

k) Имя пользователя, пароль для доступа к банковскому счету; информация о банковской карточке, данные о истории операций по банковскому счету; финансовая и кредитная информация, а также информация о деятельности, истории финансовых, ценных бумаг, страховых операций клиентов в кредитных организациях, филиалах иностранных банков, организациях, предоставляющих услуги посредничества в расчетах, ценных бумагах, страховании, и других разрешенных организациях;

l) Данные о поведении и активности при использовании услуг связи, социальных сетей, онлайн-медиа и других услуг в сети;

m) Другие личные данные, которые в соответствии с законом должны оставаться конфиденциальными или требуют строгих мер безопасности.

2. В процессе обработки чувствительных персональных данных органы и организации должны установить правила разграничения доступа, процедуры обработки и меры безопасности.

Глава II. ТРЕБОВАНИЯ И УСЛОВИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 5. Осуществление прав субъекта персональных данных

1. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, должна разработать четкие процедуры, инструкции и формы для осуществления прав субъекта персональных данных в соответствии с деятельностью по обработке персональных данных и обязанностями соответствующих подразделений; обеспечивать, чтобы субъект персональных данных был информирован о

процедура осуществления прав, предусмотренных пунктом 1 статьи 4 Закона о защите персональных данных.

2. При получении запроса на отзыв согласия на обработку персональных данных, ограничение обработки персональных данных, возражение против обработки персональных данных в соответствии с процедурой субъекта персональных данных, сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, должна ответить в течение 02 рабочих дней, предоставить субъекту персональных данных полную информацию о процедуре прекращения обработки персональных данных и выполнить это в течение 15 дней, за исключением случаев, когда обработка персональных данных не требует согласия субъекта персональных данных в соответствии со статьей 19 Закона о защите персональных данных. В случае необходимости запроса к стороне, обрабатывающей персональные данные, третьему лицу о прекращении обработки персональных данных субъекта персональных данных, это должно быть выполнено в течение 20 дней.

В зависимости от характера и степени сложности запроса, в случае необходимости продления срока обработки, срок может быть продлен максимум один раз, но не более чем на 15 дней; сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая персональные данные, уведомляет субъекта персональных данных о причинах продления и несет ответственность за доказательство того, что продление необходимо и разумно.

3. При получении запроса на просмотр, редактирование или запрос на исправление персональных данных, предоставление персональных данных в соответствии с процедурой субъекта персональных данных, сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая персональные данные, должны ответить в течение 2 рабочих дней, предоставив субъекту персональных данных полную информацию о процедуре и выполнить запрос в течение 10 дней. В случае необходимости запроса к стороне, обрабатывающей персональные данные, или третьей стороне для редактирования персональных данных субъекта персональных данных, это должно быть выполнено в течение 15 дней.

В зависимости от характера и степени сложности запроса, в случае необходимости продления срока обработки, он может быть продлен максимум один раз на срок не более 10 дней, при этом сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая персональные данные, уведомляет субъект персональных данных о причине необходимости продления и несет ответственность за доказательство того, что продление является необходимым и разумным.

4. При получении запроса на удаление персональных данных в соответствии с установленной процедурой субъекта персональных данных, сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая данные...

индивидуум должен ответить в течение 2 рабочих дней, предоставив полную информацию субъекту персональных данных о процедуре и осуществить в течение 20 дней. В случае необходимости запроса к обработчику персональных данных, третьей стороне о предоставлении, удалении, ограничении обработки данных субъекта персональных данных, это осуществляется в течение 30 дней.

В зависимости от характера и степени сложности запроса, в случае необходимости продления срока обработки, продление может быть выполнено максимум один раз на срок не более 20 дней, сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, уведомляет субъект персональных данных о причине необходимости продления и несет ответственность за доказательство того, что продление необходимо и обосновано.

5. При получении запроса на выполнение мер и решений по защите своих персональных данных в соответствии с процедурой субъекта персональных данных, уполномоченный орган или орган, организация, или лицо, участвующее в обработке персональных данных, обязаны ответить в течение 02 рабочих дней, предоставить полную информацию субъекту персональных данных о процедуре и выполнить её в срок до 15 дней.

В зависимости от характера и степени сложности запроса, в случае необходимости продления срока обработки, срок может быть продлен максимум один раз, но не более чем на 15 дней; сторона, контролирующая персональные данные, а также сторона, контролирующая и обрабатывающая персональные данные, уведомляет субъекта персональных данных о причинах продления и несет ответственность за доказательство того, что продление необходимо и разумно.

Статья 6. Способы выражения согласия субъекта персональных данных

1. Методы получения согласия субъекта персональных данных должны обеспечивать возможность проверки того, что субъект персональных данных дал согласие, а также времени и содержания согласия, включая:

а) В письменной форме;

б) С помощью записанного телефонного звонка;

в) Согласие в виде текстового сообщения;

г) С помощью электронной почты, на веб-странице, платформе, приложении с технической настройкой запроса согласия;

д) С помощью других подходящих методов, которые могут быть распечатаны, скопированы в письменной форме, включая электронные или проверяемые форматы.

2. Контролер данных, а также лица, контролирующие и обрабатывающие персональные данные, должны хранить согласие субъекта данных. В случае спора обязанность доказать согласие субъекта данных лежит на контролере данных, а также лицах, контролирующих и обрабатывающих персональные данные.

3. Сторона, осуществляющая контроль за персональными данными, а также сторона, которая контролирует и обрабатывает персональные данные, не должна устанавливать метод по умолчанию для согласия или создавать неясные указания, вызывающие недопонимание между согласием и несогласием у субъекта данных. Доступные настройки по умолчанию должны гарантировать соблюдение принципов защиты персональных данных и уважение прав субъекта персональных данных.

4. При получении согласия на обработку чувствительных персональных данных субъект данных должен быть уведомлен о том, что данные, которые необходимо обработать, являются чувствительными персональными данными.

Статья 7. Передача персональных данных

1. Организация или физическое лицо, передающее персональные данные в соответствии с пунктом a, пунктом c, пунктом d части 1 Статьи 17 Закона о защите персональных данных, должны заключить соглашение о передаче персональных данных с получателем персональных данных, которое должно содержать следующие положения:

a) Цель передачи персональных данных;

b) Субъект персональных данных и тип передаваемых персональных данных соответствуют цели передачи;

c) Срок обработки персональных данных, требования к удалению, уничтожению персональных данных после достижения цели передачи;

d) Правовая основа передачи персональных данных;

đ) Ответственность за защиту персональных данных в процессе передачи и обработки персональных данных;

e) Ответственность за осуществление прав субъекта персональных данных;

g) Ответственность за координацию и соблюдение сторонами требований в случае выявления нарушений правил защиты персональных данных.

2. Передача чувствительных персональных данных должна сопровождаться физическими мерами безопасности для устройств хранения и передачи, мерами шифрования, анонимизации персональных данных и другими мерами безопасности в процессе передачи.

3. В случае передачи личных данных в соответствии с пунктами a и d части 1 статьи 17 Закона о защите личных данных за плату для предоставления услуг субъекту личных данных или в интересах субъекта личных данных, организации и физические лица должны соблюдать следующие положения:

а) Должны создать техническую систему и прозрачный механизм, чтобы субъект личных данных давал точное и ясное согласие при каждой передаче на основе точного знания цели передачи, организации или физического лица, получающего и обрабатывающего личные данные;

б) Личные данные могут обрабатываться только в соответствии с целью передачи, на которую дал согласие субъект личных данных, и в соответствии с зарегистрированным видом деятельности;

в) Тип передаваемых личных данных должен быть ограничен рамками цели передачи;

d) Нельзя собирать, хранить, создавать базы данных личной информации через деятельность передачи личных данных для использования в целях, отличных от целей, на которые согласился субъект личных данных;

đ) Четко определить роль стороны, контролирующей личные данные, стороны, обрабатывающей личные данные, третьей стороны в деятельности передачи личных данных;

e) Должно быть соглашение о передаче и обработке личных данных до передачи, а также обязательство по ответственности и обязанностям перед субъектом личных данных.

4. В случае обмена личными данными между отделами одной и той же организации для обработки личных данных в соответствии с установленной целью обработки, организация должна разработать процедуру контроля за обменом и использованием личных данных в соответствии с нормами; принять меры по предотвращению и пресечению незаконного обмена личными данными с третьими лицами сотрудниками организации.

5. Персональные данные должны быть деидентифицированы перед совершением сделок на платформе данных.

6. Орган, организация, физическое лицо, осуществляющие предоставление персональных данных в соответствии с пунктом 2 Статьи 15 Закона о защите персональных данных на основе конкретных требований субъектов данных, не считаются передачей данных и не обязаны выполнять положения настоящей статьи.

Статья 8. Защита персональных данных в финансовой, банковской деятельности и деятельности по кредитной информации

1. Организации и индивидуальные лица, действующие в области финансов, банковского дела, кредитной информации, несут ответственность за применение стандартов и технических норм защиты персональных данных; технических норм деидентификации персональных данных, анонимизации персональных данных, принятых и применяемых во Вьетнаме; проведение оценки соответствия требованиям защиты персональных данных ежегодно; ведение журнала всех операций по обработке персональных данных.

2. Организации и индивидуальные лица, действующие в области финансов, банковского дела, кредитной информации, являются контролерами персональных данных, контролирующими и обрабатывающими персональные данные и при получении согласия субъекта персональных данных должны обеспечить четкое указание:

a) Целей обработки персональных данных, включая деятельность по оценке, рейтингу кредитоспособности, оценке кредитной информации, оценке степени кредитного доверия, если это применимо;

b) Источники сбора персональных данных и стороны, которые собирают или обмениваются соответствующими персональными данными;

c) Срок хранения персональных данных;

d) Механизм, способ отзыва согласия и политика удаления, уничтожения персональных данных в соответствии с положениями.

3. В течение не более чем 72 часов после обнаружения утечки или потери конфиденциальных данных субъекта персональных данных в сфере финансов, банковского дела, деятельности по кредитной информации, организация или физическое лицо, непосредственно собирающее персональные данные субъекта, обязано уведомить специализированный орган по защите данных.

физическое лицо и субъект персональных данных. Содержание уведомления должно как минимум включать положения, предусмотренные пунктом 1 статьи 28 настоящего указа.

Статья 9. Защита персональных данных при обработке больших данных

1. Обработка больших данных, содержащих персональные данные, является деятельностью по обработке персональных данных в крупном масштабе, которая носит непрерывный характер, интегрируется из различных источников, имеет возможность анализа поведения, прогнозирования тенденций или классификации пользователей.

2. В случае обработки больших данных, содержащих персональные данные, организации, учреждения и отдельные лица, имеющие отношение к этому, несут ответственность:

a) Соблюдать нормы защиты персональных данных в процессе обработки данных с самого начала обработки;

b) Собственно собирать, обрабатывать и хранить персональные данные в пределах допустимого объема, соответствовать конкретной, ясной цели;

c) Разрабатывать политику хранения, удаления и уничтожения персональных данных, соответствующую и законную.

d) Организовывать обучение, распространение и повышение осведомленности о защите персональных данных и мерах защиты персональных данных для сотрудников на регулярной основе, особенно для персонала, непосредственно обрабатывающего персональные данные. Повышать осведомленность о важности защиты персональных данных в организации;

đ) Иметь соглашения с третьими сторонами, партнерами и поставщиками услуг, обеспечивающими полное соблюдение положений о защите персональных данных;

e) Иметь соответствующие механизмы уведомления и разъяснения субъектам данных о том, что их персональные данные используются в системе анализа больших данных.

3. Органы, организации, физические лица применяют меры по защите персональных данных в процессе обработки больших данных, включая:

a) Применение мер обеспечения кибербезопасности, защиты данных, предотвращения утечек персональных данных в процессе хранения, обработки и передачи персональных данных;

b) Использовать методы сильной аутентификации, требуя как минимум многофакторную аутентификацию (пароль, PIN в сочетании с одноразовым паролем, устройство для цифровой подписи или биометрический фактор), в соответствии с уровнем чувствительности личных данных; phân

доступ, чтобы гарантировать, что только уполномоченные лица могут получать доступ к личным данным;

c) Выполнять шифрование и анонимизацию персональных данных (процесс отделения данных, которые идентифицируют конкретного человека, для хранения и обеспечения их отдельной безопасности, после этого процесса персональные данные используются для обработки без возможности идентификации конкретного человека) при передаче и предоставлении персональных данных, за исключением случаев, когда специализированное законодательство предусматривает иное или когда обработка требует данных в открытой форме для предотвращения преступлений, борьбы с отмыванием денег, обеспечения национальной безопасности, обработки жалоб и споров клиентов. В этих случаях органы и организации должны применять дополнительные меры безопасности, чтобы обеспечить защиту персональных данных от несанкционированного доступа и использования;

d) Осуществлять постоянный мониторинг, используя инструменты наблюдения для отслеживания доступа к персональным данным и выявления необычных действий;

д) Проводить периодические проверки и оценку кибербезопасности и защиты данных для выявления, предотвращения и устранения уязвимостей в безопасности.

Статья 10. Защита персональных данных в системах искусственного интеллекта и виртуальной вселенной

1. Организации и лица имеют право использовать персональные данные для исследования, разработки алгоритмов самообучения, систем искусственного интеллекта и других автоматизированных систем, но при этом необходимо соблюдать нормы по защите персональных данных.

2. Данные, полученные в результате выводов искусственного интеллекта, если их можно использовать для идентификации или помощи в идентификации конкретного человека, должны защищаться мерами по охране персональных данных в соответствии с законодательством.

3. Сторона, контролирующая личные данные, сторона, контролирующая и обрабатывающая личные данные, обязана уведомлять субъекта данных о автоматической обработке личных данных, объяснять принципы работы алгоритма и влияние на права и законные интересы субъекта данных; предоставлять варианты, чтобы субъект данных имел право не участвовать.

4. Виртуальная вселенная (метавселенная) — это цифровая вселенная, объединяющая аспекты социальных сетей, онлайн-игр, дополненной реальности (AR), виртуальной реальности (VR), Интернета и криптовалюты, позволяющая пользователям использовать технологии виртуальной реальности для взаимодействия.

5. Организации, индивидуальные лица применяют меры по защите личных данных в системах искусственного интеллекта, виртуальной вселенной, включая:

a) Исследовать, разрабатывать и внедрять систему, соответствующую стандартам кибербезопасности и всеобъемлющей защите данных для систем искусственного интеллекта, с особым вниманием к следующим элементам: информационная безопасность, надежность алгоритмов, стабильность системы и способность противостоять кибератакам;

b) Создать механизм мониторинга деятельности системы искусственного интеллекта по двум направлениям: мониторинг со стороны уполномоченных государственных органов; ответственность за действия перед субъектом персональных данных со стороны контролера персональных данных, а также обработчика персональных данных;

c) Разработать механизм защиты персональных данных в соответствии с соответствующими стандартами, развивать систему мониторинга и раннего предупреждения о рисках кибербезопасности;

d) Установить механизм контроля и предотвращения использования искусственного интеллекта и виртуальной вселенной в действиях, нарушающих национальную безопасность и общественный порядок;

đ) Проводить оценку соблюдения правил защиты персональных данных ежегодно.

6. Субъект персональных данных имеет право редактировать, анонимизировать, удалять идентификационные записи, даже если платформа хранит историю поведения.

Статья 11. Защита персональных данных в технологии блокчейн

1. Организации и лица, участвующие в обработке персональных данных с использованием технологии блокчейн, обязаны соблюдать правила защиты персональных данных на этапе исследования и разработки продуктов, услуг, приложений и систем, использующих технологию блокчейн, а также в процессе обработки персональных данных.

2. Организации и лица применяют меры защиты персональных данных при обработке персональных данных в технологии блокчейн, включая:

a) Применять только алгоритмы шифрования, хэширования и цифровой подписи, обеспечивающие безопасность;

b) Не хранить персональные данные напрямую в блокчейне, хранить их только после обезличивания или хэш-значение персональных данных;

c) Проводить оценку соответствия требованиям защиты персональных данных регулярно раз в год.

Статья 12. Защита персональных данных в облачных вычислениях

1. Государственные органы, организации и лица, имеющие отношение, должны применять технические и организационные меры для предотвращения несанкционированного доступа к персональным данным при развертывании облачных услуг.

2. Организации и лица, заключившие договор, связанный с обработкой персональных данных с организациями, предоставляющими облачные услуги, несут следующие обязанности:

a) Четко указать в содержании договора соблюдение положений законодательства Вьетнама о защите персональных данных; предоставить информацию о подразделении и сотрудниках, ответственных за защиту персональных данных; соблюдать требования административных процедур, связанных с защитой персональных данных в соответствии с законодательством;

b) Четко определить поток обработки персональных данных, роли сторон в деятельности по предоставлению облачных вычислительных услуг и соответствующие обязанности;

c) Включать требования о мерах безопасности, технических и организационных, и четко указанные в договоре;

d) Немедленно уведомлять заинтересованные стороны о любых изменениях, которые могут повлиять на персональные данные;

đ) Соблюдать сроки обработки персональных данных, требования по удалению и уничтожению персональных данных;

e) Обеспечить реализацию прав субъекта персональных данных;

g) Полностью выполнять технические меры для обеспечения разумного уровня распределения прав доступа к персональным данным.

3. Организации, предоставляющие услуги облачных вычислений:

а) Соблюдают правила по защите персональных данных Вьетнама, предоставляют информацию о подразделении и сотрудниках, отвечающих за защиту персональных данных, соблюдают правила административных процедур, связанных с защитой персональных данных в соответствии с законодательством;

б) Требуют от субподрядчиков выполнять правила и обязанности по защите персональных данных в соответствии с законодательством;

в) Применяют технические и организационные меры на уровне, соответствующем масштабу и степени обработки своих персональных данных;

г) Проводят оценку соответствия требованиям по защите персональных данных регулярно – один раз в год.

4. Персональные данные в облачных вычислениях должны быть зашифрованы в состоянии покоя и при передаче, с строгим разграничением доступа.

Статья 13. Условия для персонала по защите персональных данных, подразделения по защите персональных данных в органах и организациях

1. Назначение персонала по защите персональных данных или подразделения по защите персональных данных должно осуществляться официальным письменным документом соответствующего органа или организации; документ должен отражать распределение обязанностей, функции, полномочия и другие требования к работе по защите персональных данных в этом органе или организации.

2. Персонал по защите персональных данных, назначаемый органом или организацией, должен соответствовать следующим требованиям по квалификации:

а) иметь высшее образование или среднее профессиональное;

б) иметь не менее 2 лет опыта работы (с момента окончания учебного заведения), связанного с одной из областей: юридическое обеспечение, информационные технологии, кибербезопасность, защита данных, управление рисками, контроль соблюдения нормативных требований, управление персоналом, кадровая организация;

в) пройти обучение и повышение квалификации по правовым знаниям и профессиональным навыкам в области защиты персональных данных.

3. В случае, если орган или организация создаёт отдел защиты персональных данных, сотрудники этого отдела должны соответствовать всем требованиям компетентности, указанным в пункте 2 настоящей статьи.

4. Орган или организация несет ответственность за оценку и отбор персонала для защиты персональных данных.

5. Орган или организация подписывает соглашение о конфиденциальности с сотрудниками, занимающимися защитой персональных данных, и может оговаривать случаи освобождения от ответственности при возникновении нарушений или ущерба для защищаемых персональных данных.

6. Орган или организация назначает сотрудников по защите персональных данных или отдел по защите персональных данных, которые несут ответственность за обучение и повышение квалификации сотрудников по защите персональных данных.

Статья 14. Обязанности отдела по защите персональных данных и сотрудников по защите персональных данных в органе или организации

1. Отдел по защите персональных данных выполняет следующие функции и задачи:

a) Организация разработки политики, процедур, правил, форм для соблюдения законодательных требований по защите персональных данных;

b) Организация реализации прав субъектов персональных данных;

c) Периодическое проведение оценки фактического соблюдения законодательства по защите персональных данных в организации с помощью отчета об оценке степени выполнения обязанностей в соответствии с законодательством для предложения мер по повышению эффективности соблюдения закона, предотвращению и контролю рисков при обработке персональных данных;

d) Проведение оценки воздействия трансграничной передачи персональных данных, оценки воздействия обработки персональных данных, прием и отчет о нарушениях защиты персональных данных и выполнение других требований компетентных органов в соответствии с законом;

đ) Разработка плана и проведение периодического обучения и повышения квалификации по защите персональных данных в органе, организации;

e) Организация внедрения мер технической защиты персональных данных, стандартов, норм охраны персональных данных, плана экстренного реагирования на инциденты защиты персональных данных;

g) Исследование и предложение решений, связанных с защитой персональных данных.

2. Сотрудники по защите персональных данных выполняют следующие обязанности:

a) Консультирование в разработке политики, процессов, правил, форм для соблюдения законодательных требований по защите персональных данных;

b) Участие во внедрении реализации прав субъектов персональных данных;

c) Участвовать в регулярной деятельности по оценке текущего состояния соблюдения законодательства о защите персональных данных и предлагать меры по повышению эффективности соблюдения законодательства, предотвращению и контролю рисков;

d) Проводить подготовку документов по оценке воздействия трансграничной передачи персональных данных, документов по оценке воздействия обработки персональных данных, прием и отчетность

нарушение защиты персональных данных и выполнение других требований компетентных органов в соответствии с положениями;

д) Участвовать в программах и учебных курсах по повышению квалификации в области защиты персональных данных;

е) Участвовать в реализации технических мер по обеспечению безопасности персональных данных, стандартов, норм по защите персональных данных, плана действий при чрезвычайных ситуациях по защите персональных данных.

Статья 15. Лица, предоставляющие услуги по защите персональных данных

1. Лицо, предоставляющее услуги по защите персональных данных, является лицом, которое соответствует требованиям квалификации, установленным в пункте 2 настоящей статьи, и нанято органом или организацией для выполнения функций по защите персональных данных.

2. Лицо, предоставляющее услуги по защите персональных данных, должно соответствовать следующим требованиям квалификации:

а) иметь высшее образование или среднее профессиональное;

b) Иметь как минимум 03 года опыта работы (с момента окончания учебного заведения), связанного с одной из областей: законодательство, обработка персональных данных, кибербезопасность, защита данных, управление рисками, контроль соответствия;

c) Прошло обучение и углубленную подготовку по правовым знаниям и профессиональным навыкам в области защиты персональных данных.

3. Орган, организация, имеющие потребность в найме лица для предоставления услуг по защите персональных данных, проводят проверку условий и возможностей в соответствии с пунктом 2 настоящей статьи, заключают контракт на использование персонала для защиты персональных данных; публично предоставляют информацию о персонале, защищающем персональные данные, субъектам персональных данных и заинтересованным сторонам.

4. Лицо, предоставляющее услуги по защите персональных данных, несет ответственность за:

a) Выполнение услуги в соответствии с объемом и обязанностями, указанными в контракте или соглашении;

b) Не использовать предоставление услуг для совершения действий, нарушающих закон;

c) Удаление и уничтожение персональных данных, обработанных в процессе оказания услуги, после выполнения контракта и в соответствии с законодательством.

Статья 16. Организация, предоставляющая услуги по защите персональных данных

1. Организация, предоставляющая услуги по защите персональных данных:

a) Это организация или предприятие, имеющее функции, задачи или область деятельности в сфере технологий, права или консультирования по вопросам технологий и права, нанятые органами или организациями для консультирования по соблюдению требований защиты персональных данных и выполнения задач по защите персональных данных в соответствии с соглашением;

b) Имеет как минимум 03 сотрудника, соответствующих всем требованиям компетенции согласно пункту 2 статьи 15 данного постановления;

c) Уже предоставляло продукты или услуги, связанные с безопасностью, кибербезопасностью, информационными технологиями, оценкой стандартов и консультированием по вопросам защиты персональных данных.

2. Организация, предоставляющая услуги по защите персональных данных, должна разработать досье компетенций, подтверждающее способность защищать персональные данные, и предоставлять его органам или организациям, заинтересованным в использовании услуг. Досье должно отражать отрасль, сферу деятельности; масштаб, охват, опыт предоставления услуг; политику предоставления услуг; стандарты, квалификацию, компетенцию персонала; соответствующие документы и подтверждающие бумаги.

3. Органы и организации, нуждающиеся в найме услуг по защите персональных данных, проводят рассмотрение документов о квалификации, заключают договор на использование услуг и соглашение об обработке персональных данных с организацией по защите персональных данных; публикуют информацию об этой организации по защите персональных данных для сведения субъектов персональных данных и заинтересованных сторон.

4. В зависимости от потребностей органы и организации могут одновременно назначить сотрудников по защите персональных данных, отдел защиты персональных данных и нанимать физических лиц или организации, предоставляющие услуги по защите персональных данных.

5. На основании соглашения с органом или организацией, нанимающими услуги по защите персональных данных, организация, предоставляющая услуги по защите персональных данных, выполняет задачи отдела по защите персональных данных для этой организации.

6. Организация, предоставляющая услуги по защите персональных данных, несет ответственность:

a) Выполнение услуги в соответствии с объемом и обязанностями, указанными в контракте или соглашении;

b) Не использовать предоставление услуг для совершения действий, нарушающих закон;

c) Удаление и уничтожение персональных данных, обработанных в процессе оказания услуги, после выполнения контракта и в соответствии с законодательством.

Глава III. ДОКУМЕНТАЦИЯ, ПРОЦЕДУРЫ И ФОРМАЛЬНОСТИ В СФЕРЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 17. Передача персональных данных через границу

1. Контролер персональных данных, субъект, осуществляющий контроль и обработку персональных данных, Обработчик персональных данных и Третья сторона осуществляют передачу персональных данных через границу в следующих случаях:

а) Хранение персональных данных с передачей персональных данных, собранных и хранящихся во Вьетнаме, на серверные системы, расположенные за пределами территории Социалистической Республики Вьетнам, или в облачные сервисы поставщика услуг за рубежом;

б) Передача персональных данных от органов, организаций, физических лиц во Вьетнаме получателю в виде организации или физического лица за границей;

в) Обработка персональных данных, собранных во Вьетнаме, с их передачей на платформу за пределами территории Социалистической Республики Вьетнам для продолжения обработки.

2. Уполномоченный орган по защите персональных данных может принять решение потребовать от стороны, осуществляющей трансграничную передачу данных, прекратить трансграничную передачу персональных данных в случае:

а) Когда обнаружено, что передаваемые персональные данные используются в деятельности, нарушающей оборону или национальную безопасность;

б) При наличии нарушений положений о защите персональных данных, которые могут нанести ущерб обороне или национальной безопасности.

3. Другие случаи, кроме случаев, указанных в пунктах a, b, c части 6 статьи 20 Закона о защите персональных данных, не требуют проведения оценки воздействия трансграничной передачи персональных данных, включая:

а) Журналистская и медийная деятельность в соответствии с законодательством;

б) Трансграничная передача персональных данных, которая была обнародована в соответствии с законодательством;

c) В экстренных случаях действительно необходимо предоставлять персональные данные через границу для защиты жизни, здоровья и безопасности имущества физических лиц; для выполнения задач и обязанностей в соответствии с законом;

d) Деятельность по трансграничной передаче персональных данных для управления персоналом через границу в соответствии с правилами, трудовыми положениями и коллективными договорами в соответствии с законодательством;

đ) Предоставление персональных данных через границу для заключения контрактов или выполнения процедур, связанных с трансграничными перевозками, логистикой, переводами, оплатой, гостиницами, получением виз, получением стипендий.

Статья 18. Условия, порядок, процедуры, состав документов для оценки воздействия трансграничной передачи персональных данных

1. Орган, организация, индивидуальное лицо, осуществляющее трансграничную передачу персональных данных в соответствии с пунктом 1 статьи 20 Закона о защите персональных данных, обязаны подготовить досье оценки влияния трансграничной передачи персональных данных в соответствии с положениями настоящей статьи.

2. Досье оценки влияния трансграничной передачи персональных данных включает:

a) Отчет об оценке влияния трансграничной передачи персональных данных по образцу № 09, приведенному в приложении к настоящему постановлению;

b) Копию договора или документа о передаче персональных данных, отражающего обязательства и ответственность между организациями или физическими лицами, передающими и получающими персональные данные через границу;

c) Политику, процедуры, регламенты, формы и другие документы, связанные с защитой персональных данных органа, организации или физического лица, осуществляющего трансграничную передачу персональных данных.

3. Отчет об оценке влияния трансграничной передачи персональных данных включает следующие содержательные разделы:

a) Информация и контактные данные стороны, передающей персональные данные, стороны, получающей персональные данные, стороны, обрабатывающей персональные данные, и других сторон, связанных с деятельностью по трансграничной передаче персональных данных;

b) Контактные данные отдела, персонала по защите персональных данных; организации, физических лиц, предоставляющих услуги по защите персональных данных (если есть), стороны, передающей персональные данные, стороны, получающей персональные данные;

c) Описание и обоснование цели трансграничной передачи персональных данных, видов персональных данных, передаваемых через границу, подробности операций по передаче и обработке персональных данных через границу и схема потока обработки персональных данных;

d) Описание и обоснование процедуры получения согласия субъекта персональных данных, политика хранения, удаления и уничтожения персональных данных;

д) Варианты обеспечения безопасности персональных данных после трансграничной передачи, меры защиты персональных данных, применяемые стандарты защиты персональных данных;

е) Схема системы, описание функций системы хранения и обработки персональных данных после получения трансграничных персональных данных;

г) Процедура передачи или предоставления персональных данных третьей стороне при трансграничной передаче персональных данных получателем;

д) Результаты самооценки соответствия требованиям по защите персональных данных органами, организациями, физическими лицами, осуществляющими трансграничную передачу персональных данных;

ё) Оценка уровня защиты персональных данных получателем; степень воздействия, риски трансграничной передачи и обработки персональных данных; возможные нежелательные последствия и ущерб, меры по снижению или устранению этих рисков.

4. Документация по оценке воздействия передачи персональных данных через границу должна всегда быть доступна для проведения проверок и оценок органами, ответственными за защиту персональных данных.

Сторона, передающая персональные данные через границу, подает 1 оригинал полной документации в электронном виде или лично либо через почтовую службу в орган, ответственный за защиту персональных данных, вместе с Формой № 01a/01b, указанной в Приложении к настоящему Декрету, в течение 60 дней с даты начала передачи персональных данных через границу.

5. Орган, ответственный за защиту персональных данных, оценивает и предоставляет результат по документации по оценке воздействия передачи персональных данных через границу, указывая, соответствует ли она требованиям или не соответствует им, в течение 15 дней.

6. Специализированный орган по защите персональных данных оценивает и требует от стороны, передающей персональные данные через границу, завершить файл оценки воздействия передачи персональных данных через границу в течение 30 дней в случае, если файл неполный или не соответствует требованиям. В случае, если сторона, передающая персональные данные, не выполняет завершение файла в соответствии с требованиями, специализированный орган по защите персональных данных рассматривает применение положений о наложении административных штрафов в области защиты персональных данных.

7. Сторона, передающая персональные данные через границу, обновляет и дополняет файл оценки воздействия передачи персональных данных через границу в соответствии с положениями статьи 20 данного постановления.

Статья 19. Условия, порядок, процедуры и состав файла оценки воздействия обработки персональных данных

1. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, сторона, обрабатывающая персональные данные, составляет и сохраняет Реестр оценки влияния обработки персональных данных с момента начала обработки персональных данных.

2. Реестр оценки влияния обработки персональных данных стороны, контролирующей персональные данные, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные, включает:

a) Отчет об оценке влияния обработки персональных данных по Форме №10, приведенной в Приложении к настоящему Постановлению;

b) Копию договора или соглашения о обработке персональных данных, отражающую обязательства и ответственность между организациями и физическими лицами в процессе обработки персональных данных;

c) Политику, процедуры, правила, формы и другие документы, связанные с защитой персональных данных стороны, контролирующей персональные данные, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные.

3. Отчет об оценке воздействия обработки персональных данных включает следующие материалы:

а) Информация и контактные данные субъекта контроля персональных данных, субъекта контроля и обработки персональных данных, субъектов обработки персональных данных, третьих лиц;

б) Контактные данные подразделения, лица, отвечающего за защиту персональных данных; организации, физические лица, предоставляющие услуги по защите персональных данных (если есть) у субъекта контроля персональных данных, субъекта контроля и обработки персональных данных, субъектов обработки персональных данных, третьих лиц;

в) Описание и обоснование целей обработки персональных данных, типов обрабатываемых персональных данных, подробности деятельности по обработке персональных данных и схема потоков персональных данных;

d) Описание и обоснование процедуры получения согласия субъекта персональных данных, политика хранения, удаления и уничтожения персональных данных;

г) Меры обеспечения безопасности персональных данных, меры защиты персональных данных, схема проектирования системы, применяемые стандарты защиты персональных данных;

д) Результаты оценки соблюдения законодательства о защите персональных данных;

г) Оценка степени влияния, рисков деятельности по обработке персональных данных; возможные нежелательные последствия и убытки, меры по снижению или устранению этих рисков.

4. Досье по оценке воздействия обработки персональных данных должно всегда быть доступно для проведения проверок и оценок Органом, ответственным за защиту персональных данных, и предоставлено в 1 оригинальной копии онлайн или лично, либо через почтовую службу в соответствующий орган по защите персональных данных вместе с Формой № 02а/02b из Приложения к настоящему Постановлению в течение 60 дней с момента начала обработки персональных данных.

5. Специализированный орган по защите персональных данных оценивает и выдаёт результаты по Досье оценки воздействия обработки персональных данных, соответствуют ли они требованиям или не соответствуют, в течение 15 дней.

6. Специализированный орган по защите персональных данных оценивает и требует от стороны, контролирующей персональные данные, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные, дополнения Досье оценки воздействия обработки персональных данных в течение 30 дней в случае, если досье неполное и не соответствует требованиям. В случае, если сторона, контролирующая персональные данные, стороны, контролирующие и обрабатывающие персональные данные, сторона, обрабатывающая персональные данные, не выполняют дополнение досье в соответствии с требованиями, специализированный орган по защите персональных данных рассматривает применение положений о наложении административных штрафов в области защиты персональных данных.

7. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, сторона, обрабатывающая персональные данные, обновляет и дополняет Отчёт об оценке влияния обработки персональных данных в соответствии с положениями Статьи 20 настоящего Декрета.

Статья 20. Обновление отчёта об оценке влияния обработки персональных данных и отчёта об оценке влияния трансграничной передачи персональных данных

1. Отчёт о трансграничной передаче персональных данных и отчёт об оценке влияния обработки персональных данных обновляются каждые 6 месяцев с момента первого предоставления отчёта в следующих случаях:

a) При возникновении новой цели передачи персональных данных, новой цели обработки персональных данных;

b) При появлении или изменении стороны, контролирующей персональные данные, стороны, контролирующей и обрабатывающей персональные данные, стороны, обрабатывающей персональные данные, третьей стороны.

2. Случаи изменений, требующие немедленного обновления в течение 10 дней, включают:

a) Когда орган, организация, подразделение реорганизуется, прекращает деятельность, ликвидируется, объявляет банкротство в соответствии с законодательством;

b) Когда происходят изменения информации о организации или индивидуальном лице, предоставляющем услуги по защите персональных данных;

c) Когда возникают или изменяются отрасли, профессии, бизнес-услуги, связанные с обработкой персональных данных, которые были зарегистрированы в документации по оценке воздействия обработки персональных данных, документации по оценке воздействия трансграничной передачи персональных данных.

3. Обновление записей оценки воздействия обработки персональных данных и записей оценки воздействия трансграничной передачи персональных данных осуществляется согласно Форме № 03a/03b в приложении к настоящему Декрету и представляется в электронном виде, лично или через почтовую службу в орган, отвечающий за защиту персональных данных.

Статья 21. Услуги обработки персональных данных

1. Услуги предоставления и эксплуатации системы, программного обеспечения для автоматической обработки персональных данных от имени контролирующей стороны, контролирующей стороны и обработчика.

2. Услуги оценки, ранжирования, определения уровня доверия субъекта персональных данных.

3. Услуги сбора и обработки персональных данных онлайн с веб-сайтов, приложений, программного обеспечения и социальных сетей.

4. Услуги сбора и обработки персональных данных через веб-сайты, приложения, программное обеспечение для ухода за здоровьем, мониторинга здоровья и медицинские услуги.

5. Услуги по сбору и обработке персональных данных через приложения, образовательное программное обеспечение с элементами контроля, такими как отметка посещаемости, видеозапись, оценка поведения, распознавание эмоций.

6. Услуги по анализу и использованию персональных данных, включая: использование аналитических инструментов для поиска информации, тенденций и шаблонов в персональных данных; применение методов добычи данных для извлечения ценности из персональных данных, прогнозирования поведения пользователей или оптимизации услуг.

7. Услуги шифрования персональных данных при передаче и хранении.

8. Услуги автоматической обработки персональных данных на основе технологий больших данных, искусственного интеллекта, блокчейна, виртуальной вселенной.

9. Платформенные услуги приложений, предоставляющих данные о личном местоположении.

Статья 22. Условия для организаций, предоставляющих услуги обработки персональных данных

1. Является организацией или предприятием, созданным и действующим в соответствии с законодательством Вьетнама, и удовлетворяет условиям, предусмотренным в настоящей статье.

2. Условия касательно персонала:

a) Руководитель, ответственный за профессиональную обработку персональных данных организации, является гражданином Вьетнама и постоянно проживает во Вьетнаме;

b) Наличие управленческой команды, способной выполнять профессиональные требования по обработке персональных данных;

c) Наличие не менее 03 сотрудников, соответствующих квалификационным требованиям, предусмотренным в пункте 2 статьи 13 настоящего постановления.

3. Наличие инфраструктуры, системы оборудования, материально-технической базы и технологий, соответствующих услугам обработки персональных данных.

4. Достижение результатов, удовлетворяющих требованиям для документов по оценке воздействия обработки персональных данных и документов по оценке воздействия трансграничной передачи персональных данных в случае их осуществления.

Статья 23. Обязанности организаций, оказывающих услуги по обработке персональных данных

1. Полное соблюдение законов о защите персональных данных; обязанности и ответственность контролирующей и обрабатывающей стороны персональных данных, стороны, обрабатывающей персональные данные.

2. Создание рамок управления рисками в области защиты персональных данных, соответствующих предоставляемому сервису.

3. Проведение ежегодной оценки текущего состояния соблюдения требований и уровня доверия к защите персональных данных.

4. Применение стандартов и нормативов, связанных с безопасностью данных, защитой персональных данных и кибербезопасностью.

5. Разработка правил ответственности и полномочий организации при обработке персональных данных.

6. Обеспечение обработки персональных данных в соответствии с целью, ограничение сбора, передачи, хранения данных законными способами; предотвращение несанкционированного доступа, сбора, использования, раскрытия или аналогичных рисков в деятельности по обработке персональных данных.

7. В случае, если организация является обработчиком персональных данных, она обязана запросить у контролера персональных данных согласие субъекта данных в соответствии с положениями закона до предоставления услуги, обеспечивая, чтобы субъект данных был проинформирован о типе обрабатываемых персональных данных, целях обработки и организации, предоставляющей услугу по обработке персональных данных.

8. Организация, занимающаяся коммерческой деятельностью по предоставлению услуг обработки персональных данных, должна проводить проверку идентичности организации в соответствии с законодательством о цифровой идентификации и аутентификации.

Статья 24. Компетенция по выдаче, повторной выдаче, замене и отзыву Свидетельства о соответствии требованиям для ведения деятельности по предоставлению услуг обработки персональных данных

1. Министерство общественной безопасности выдает, повторно выдает, заменяет и отзывает Свидетельство о соответствии требованиям для предоставления услуг обработки персональных данных.

2. Министр общественной безопасности поручает специализированному органу по защите персональных данных осуществлять выдачу, повторную выдачу, замену и аннулирование Сертификата о соответствии требованиям для предоставления услуг по обработке персональных данных в соответствии с законодательством.

Статья 25. Документы, порядок и процедуры выдачи Сертификата о соответствии требованиям для ведения деятельности по предоставлению услуг по обработке персональных данных

1. Пакет документов для подачи запроса на получение Сертификата о соответствии требованиям для ведения деятельности по предоставлению услуг по обработке персональных данных включает:

a) Заявление о выдаче Сертификата о соответствии требованиям для ведения деятельности по предоставлению услуг по обработке персональных данных по Форме № 04 в Приложении к настоящему Декрету;

b) Копию Сертификата о регистрации предприятия;

c) Документ о назначении отдела защиты персональных данных или договор на использование услуг по защите персональных данных в соответствии с законодательством;

d) Проект предложения о выдаче Сертификата о соответствии требованиям для ведения деятельности по предоставлению услуг по обработке персональных данных;

д) Дипломы и другие документы, подтверждающие квалификацию персонала, предусмотренные в пункте с статьи 2 статьи 22 настоящего декрета;

е) Организация не обязана предоставлять документы, предусмотренные в пункте б настоящего пункта, в случае, если государственный орган может получить их на основе базы данных.

2. Проект, подаваемый для получения Сертификата соответствия требованиям ведения деятельности по обработке персональных данных, включает следующие элементы:

а) Необходимость и цели;

б) Содержание, сфера, на получение согласия на которые подается заявление;

в) Виды деятельности, сфера бизнеса, бизнес-план;

г) Предполагаемый масштаб обработки персональных данных;

д) Рамки управления рисками в области защиты персональных данных;

е) План оценки текущего состояния соблюдения требований и уровня доверия к защите персональных данных на регулярной основе;

ж) Применение стандартов и нормативов, связанных с безопасностью данных и защитой персональных данных;

з) План использования услуг идентификации и электронной аутентификации;

i) Ответственность и полномочия организации по обработке персональных данных;

k) Персонал, соответствующий установленным требованиям.

3. Организация подает один комплект документов с заявлением о выдаче Сертификата о соответствии условиям ведения деятельности по обработке персональных данных онлайн, лично или через почтовые услуги в специализированный орган по защите персональных данных.

Специализированный орган по защите персональных данных оценивает поданную заявку на выдачу Сертификата о соответствии условиям ведения деятельности по обработке персональных данных, соответствие требованиям или несоответствие в течение 10 дней. В случае если документы неполные или не соответствуют установленным требованиям, специализированный орган по защите персональных данных уведомляет организацию в письменной форме о необходимости дополнить и усовершенствовать документы в течение 15 дней с указанием причин.

4. В течение 30 дней с даты получения полного и действительного пакета документов, специализированный орган по защите персональных данных проводит оценку, рассмотрение и принимает решение о выдаче Сертификата соответствия для ведения бизнеса по оказанию услуг обработки персональных данных по форме № 05 в приложении к настоящему Декрету. Сертификат соответствия для предоставления услуг обработки персональных данных может быть в бумажной и электронной форме; бумажная форма выдается в случае подачи документов лично или через почтовую службу, либо по требованию при подаче документов онлайн через портал государственных услуг. В случае отказа в выдаче специализированный орган по защите персональных данных уведомляет организацию в письменной форме и указывает причины.

Статья 26. Документы, порядок и процедуры по переоформлению и замене Сертификата соответствия для ведения бизнеса по оказанию услуг обработки персональных данных

1. Переоформление в случае утери или повреждения бумажного экземпляра Сертификата соответствия для ведения бизнеса по оказанию услуг обработки персональных данных.

a) В случае, если организация нуждается в повторной выдаче бумажной копии, она подает заявление по форме №05, приведенной в приложении к этому указу, через онлайн-метод, лично или через почтовую службу в уполномоченный орган по защите персональных данных.

b) В течение 5 рабочих дней с момента получения заявления в установленном порядке, уполномоченный орган по защите персональных данных рассматривает заявление и повторно выдает свидетельство о соответствии условиям ведения деятельности по обработке персональных данных; в случае отказа должно быть направлено письменное уведомление с указанием причин.

2. Замена свидетельства в случае ошибки в информации или изменения содержания свидетельства о соответствии условиям ведения деятельности по обработке персональных данных.

a) Дело включает: Заявление по Форме № 06 в Приложении к настоящему Декрету; документы, материалы, подтверждающие неправильность информации или изменение содержания информации в выданном Сертификате.

b) Организация подает 01 комплект вышеуказанных документов способом онлайн, лично или через почтовую службу в орган, ответственный за защиту персональных данных. В течение 05 рабочих дней с момента получения полного комплекта документов, указанного в пункте a настоящего подпункта, орган, ответственный за защиту персональных данных рассматривает и принимает решение о выдаче нового Сертификата о допустимости ведения деятельности по обработке персональных данных; в случае отказа должна быть предоставлена письменная информация с указанием причин.

Статья 27. Отзыв Сертификата о допуске к ведению деятельности по обработке персональных данных

1. Сертификат о допуске к ведению деятельности по обработке персональных данных отзывается в следующих случаях:

a) Когда не выполняется одно из условий, указанных в пунктах 1 и 2 статьи 26 настоящего Постановления;

b) Не ведется бизнес по предоставлению услуг в течение 12 месяцев и более;

c) Прекращена деятельность или признана банкротом в соответствии с законодательством;

d) Не устранены нарушения в области защиты персональных данных, информационной безопасности, кибербезопасности и безопасности данных по требованию уполномоченного государственного органа;

đ) Самостоятельно подано предложение о приостановлении или прекращении деятельности.

2. Специализированный орган по защите персональных данных принимает решение о отзыве Сертификата соответствия условиям ведения деятельности по обработке персональных данных по Форме №07 в Приложении к настоящему Постановлению.

3. Организация, предоставляющая услуги по обработке персональных данных, обязана вернуть выданный Сертификат в специализированный орган по защите персональных данных в течение 5 рабочих дней с момента получения решения о его отзыве.

4. Специальный орган по защите персональных данных при принятии Решения о отзыве Свидетельства о допуске к бизнесу по обработке персональных данных и уведомлении на Национальном портале по защите данных.

Статья 28. Содержание уведомления о нарушении правил защиты персональных данных

1. Содержание уведомления о нарушении правил защиты персональных данных включает:

a) Описание характера нарушения правил защиты персональных данных, включая: время, место, действия, организацию, физических лиц, виды персональных данных и количество затронутых данных;

b) Контактные данные подразделения или сотрудников по защите персональных данных либо организации, физических лиц, предоставляющих услуги по защите данных;

c) Описание возможных последствий и ущерба в результате нарушения правил защиты персональных данных;

d) Описание принятых мер для решения проблемы и уменьшения вреда от нарушения правил защиты персональных данных.

2. Сторона, контролирующая персональные данные, сторона, контролирующая и обрабатывающая персональные данные, сторона, обрабатывающая данные третьей стороны, направляет уведомление о нарушении правил по персональным данным в специализированный орган по защите персональных данных или через Национальный портал защиты персональных данных согласно Форме № 08 в Приложении к настоящему Декрету.

Статья 29. Уведомление о нарушениях в отношении данных о местоположении и биометрических данных

1. В случае инцидента нарушения персональных данных, связанного с данными о местоположении или биометрическими данными, сторона, контролирующая персональные данные, или сторона, контролирующая и обрабатывающая персональные данные, обязана:

а) Уведомить субъекта данных, на которого оказано влияние, не позднее чем через 72 часа с момента обнаружения нарушения;

b) Сообщать компетентным государственным органам в порядке, установленном в статье 28 данного постановления;

с) Фиксировать, архивировать и обновлять документы о нарушениях для целей инспекции, проверки и принятия мер. Организация должна хранить документы о нарушениях как минимум 5 лет с даты устранения инцидента.

2. Уведомление субъекта данных согласно пункту a части 1 настоящей статьи должно как минимум включать следующие сведения:

a) Время и способ обнаружения нарушения;

б) Тип затронутых данных (местоположение, биометрические данные или и то, и другое);

в) Степень серьезности и возможные риски для законных прав и интересов субъекта данных;

г) Меры, которые были, осуществляются и будут предприняты для устранения инцидента и минимизации ущерба;

д) Руководство для субъекта данных по выполнению превентивных мер и предотвращению дальнейших нарушений;

e) Контактная информация отдела, сотрудников по защите персональных данных или организации, физического лица, предоставляющего услуги по защите персональных данных; отдела приема и обработки инцидентов с персональными данными в организации.

3. В случае если организация или физическое лицо не может уведомить всех субъектов персональных данных, затронутых инцидентом, в срок, указанный в пункте 1 настоящей статьи, по техническим или неотложным причинам, необходимо:

a) Сделать публичное уведомление через официальные электронные средства организации на информационном сайте, в приложении;

b) Отправить уведомление соответствующим субъектам персональных данных сразу после того, как технические условия это позволят.

4. В случае если организация или физическое лицо не выполняет уведомление в установленный срок или намеренно задерживает, уклоняется от выполнения обязанности по уведомлению, будет рассматриваться нарушение и применяться меры ответственности в соответствии с законодательством.

Глава IV. РЕАЛИЗАЦИЯ ДЕЯТЕЛЬНОСТИ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Статья 30. Ответственность за выполнение международного сотрудничества в области защиты персональных данных

1. Орган, отвечающий за защиту персональных данных, несет ответственность за содействие Министерству общественной безопасности в осуществлении международного сотрудничества по защите персональных данных.

2. Министерства, органы на уровне министерств, органы при Правительстве осуществляют международное сотрудничество по защите персональных данных в отношении отраслей и сфер, находящихся в пределах их управленческих полномочий в соответствии с законом и возложенными функциями и обязанностями.

3. Народные комитеты провинциального уровня осуществляют международное сотрудничество по защите персональных данных в соответствии с законодательством и возложенными функциями и обязанностями.

Статья 31. Контроль за деятельностью по защите персональных данных

1. Контроль за деятельностью по защите персональных данных проводится регулярно, внезапно, в следующих случаях:

а) При наличии оснований подозревать нарушение законодательства о защите персональных данных;

б) При наличии указания органа или лица, уполномоченного на государственное управление защитой персональных данных;

в) При осуществлении государственного управления в соответствии с законодательством.

2. Объекты проверки деятельности по защите персональных данных включают:

a) Органы, организации, физические лица, осуществляющие обработку персональных данных;

b) Организации, физические лица, предоставляющие услуги по обработке персональных данных;

c) Органы, организации, физические лица, обязанные проводить оценку воздействия обработки персональных данных и оценку воздействия передачи персональных данных через границу;

d) Органы, организации, физические лица, связанные с делами о нарушении норм защиты персональных данных.

3. Содержание проверки работы по защите персональных данных:

a) Текущее состояние соблюдения работы по защите персональных данных;

b) Деятельность по оценке воздействия обработки персональных данных и оценке воздействия передачи персональных данных через границу;

c) Деятельность по оказанию услуг обработки персональных данных.

4. Специализированный орган по защите персональных данных издает решение о проверке и уведомляет проверяемое лицо, предусмотренное в пункте 2 настоящей статьи, за 15 дней о времени, содержании и составе проверочной комиссии. В случае внеплановой проверки для своевременного выявления, обнаружения и пресечения действий, нарушающих закон о защите персональных данных, специализированный орган по защите персональных данных имеет право проводить проверку немедленно без предварительного уведомления.

5. Проверяемое лицо обязано полностью подготовить материалы проверки в соответствии с положениями пункта 3 настоящей статьи и в соответствии с конкретными требованиями решения о проверке, изданного специализированным органом по защите персональных данных.

Статья 32. Исследование, разработка решений по защите персональных данных

Органы, организации, предприятия и физические лица, участвующие в исследовании, разработке и применении решений по защите персональных данных, включая:

1. Создание систем программного обеспечения и оборудования для защиты персональных данных;

2. Методы оценки программного обеспечения и оборудования для защиты персональных данных на соответствие стандартам;

3. Методы проверки аппаратного и программного обеспечения, предоставленного для выполнения своих функций;

4. Регистрация и управление соблюдением правил защиты персональных данных;

5. Устранение рисков утечки и потери персональных данных;

6. Технические инициативы по повышению осведомленности и навыков в области защиты персональных данных;

7. Обработка персональных данных для статистических и научных целей;

8. Решения для субъектов персональных данных по контролю своих данных, предоставлению и обмену данными в соответствии с механизмом выборочного раскрытия, с применением высоких технологий и стратегических технологий в соответствии с международными стандартами и нормативами;

9. Стандарты защиты персональных данных;

10. Другие решения по защите персональных данных, соответствующие законодательным требованиям.

Статья 33. Содержание государственного управления в области защиты персональных данных

1. Издавать в пределах своей компетенции или представлять государственному органу, имеющему соответствующие полномочия, проекты нормативно-правовых актов о защите персональных данных; организовывать исполнение законодательства о защите персональных данных.

2. Разрабатывать и организовывать реализацию стратегий, политик, проектов, программ, планов по защите персональных данных.

3. Руководить органами, организациями, физическими лицами в отношении мер, процедур, стандартов, норм по защите персональных данных в соответствии с законодательством.

4. Проводить информационно-просветительскую работу и правовое обучение по защите персональных данных; распространять знания и навыки по защите персональных данных.

5. Создавать, обучать, повышать квалификацию и развивать кадровый потенциал в области защиты персональных данных.

6. Инспектирование, проверка, награждение, рассмотрение жалоб, заявлений и привлечение к ответственности за нарушение законодательства о защите персональных данных в соответствии с законом.

7. Статистика, информация, отчетность о состоянии защиты персональных данных и выполнении законодательства о защите персональных данных для уполномоченных государственных органов.

8. Организация промежуточного и итогового анализа, научные исследования по защите персональных данных; исследование и применение научно-технического прогресса в области защиты персональных данных.

9. Международное сотрудничество в области защиты персональных данных.

Статья 34. Ответственность Министерства общественной безопасности

1. Помогать Правительству координированно осуществлять государственное управление в области защиты персональных данных.

2. Руководить разработкой, изданием или представлением органам государственной власти с целью издания и обеспечивать руководство по исполнению нормативных правовых актов, регулирующих выполнение положений законодательства о защите персональных данных.

3. Руководить и осуществлять деятельность по защите персональных данных, защищать права субъекта данных от действий, нарушающих законодательство о защите персональных данных.

4. Руководить и сотрудничать с Министерством науки и технологий в разработке стандартов и технических норм по защите персональных данных; стандарты и технические нормы по обезличиванию персональных данных, анонимизации данных, которые издаются и применяются во Вьетнаме.

5. Разрабатывать, управлять и эксплуатировать Национальный информационный портал по защите персональных данных.

6. Реализовывать пропаганду, распространение, юридическое просвещение и руководство, а также повышать знания и навыки в области защиты персональных данных для лиц, занимающихся защитой персональных данных.

7. Оценка, предварительный и итоговый анализ результатов работы по защите персональных данных органов, организаций и лиц, имеющих отношение к этому.

8. Содействие научным исследованиям по защите персональных данных; изучение и применение научных и технологических достижений в области защиты персональных данных для инноваций в этой области.

9. Проведение международного сотрудничества в области защиты персональных данных.

Статья 35. Ответственность Министерства обороны

1. Координация с Министерством внутренних дел, соответствующими органами и организациями в размещении сил и средств для защиты персональных данных, выявления и предотвращения нарушений правил защиты персональных данных в пределах своей компетенции.

2. В пределах своих функций и задач организует и координирует с Министерством внутренних дел оценку результатов работы по защите персональных данных в отношении организаций, учреждений и физических лиц, находящихся под управлением; способствует применению мер по защите персональных данных; исследует и внедряет передовые технологии безопасности при обработке и защите персональных данных в интересах деятельности национальной обороны; осуществляет международное сотрудничество по защите персональных данных, находящихся под управлением, в соответствии с законодательством.

3. Организует пропаганду, распространение, юридическое образование и обучение знаниям и навыкам защиты персональных данных для офицеров, профессиональных военных, сотрудников и государственных служащих, находящихся под управлением.

4. Проводит инспекции, проверки, мониторинг и пресечение нарушений правил по защите персональных данных в отношении организаций, учреждений и физических лиц, находящихся под управлением Министерства обороны, в соответствии с законодательством и возложенными функциями и задачами.

Статья 36. Ответственность Министерства науки и технологий

1. Координировать с Министерством общественной безопасности в разработке стандартов, технических нормативов по защите персональных данных; технических нормативов по деидентификации персональных данных, анонимизации персональных данных, которые изданы и применяются во Вьетнаме.

2. Координировать с Министерством общественной безопасности и соответствующими органами в исследовании, разработке, освоении и применении мер по защите персональных данных с использованием передовых технологий, высоких технологий, стратегических технологий, формируя решения, продукты и услуги по защите персональных данных в процессе развития цифрового правительства, цифровой экономики, цифрового общества через научно-технические программы.

Статья 37. Ответственность министерств, ведомств, органов правительства

1. Осуществлять государственное управление защитой персональных данных в отраслях и сферах, находящихся в их ведении, в соответствии с законодательством.

2. Разрабатывать и внедрять содержание и задачи по защите персональных данных в соответствии с этим Декретом.

3. Дополнительно включать положения о защите персональных данных при разработке и выполнении задач министерствами и ведомствами.

4. Организовать кадровое и структурное обеспечение защиты персональных данных в подразделениях, находящихся в зоне управления; обеспечивать соответствие квалификации, должностным требованиям и профессиональным требованиям по защите персональных данных в соответствии с законодательством.

5. Выделять финансирование для деятельности по защите персональных данных в соответствии с текущей бюджетной иерархией управления.

6. Организовывать пропаганду и распространение законодательства, повышение квалификации, навыков для государственных служащих, сотрудников и подразделений, находящихся в зоне управления, по вопросам защиты персональных данных.

7. Сотрудничать с Министерством общественной безопасности в вопросах инспекции, проверки, мониторинга и пресечения нарушений требований по защите персональных данных в зоне управления.

8. Сотрудничать с Министерством общественной безопасности и Министерством науки и технологий в разработке руководств и внедрении применения стандартов и технических норм по защите персональных данных для подразделений, организаций и физических лиц, подпадающих под сферу управления.

Статья 38. Ответственность Народных комиссариатов провинций и городов центрального подчинения

1. Осуществлять государственное управление защитой персональных данных в отраслях и сферах управления в соответствии с законодательством о защите персональных данных.

2. Внедрять положения о защите персональных данных, установленные в этом Декрете.

3. Организовать персонал и подразделения по защите персональных данных в подразделениях, подпадающих под сферу управления; обеспечить соответствие квалификации, соответствие занимаемой должности и профессиональным требованиям по защите персональных данных в соответствии с законодательством.

4. Выделять финансирование для деятельности по защите персональных данных в соответствии с действующей бюджетной системой распределения.

5. Организовывать пропаганду, распространение законодательства и знаний, навыков защиты персональных данных среди сотрудников, гражданских служащих, государственных служащих, населения и предприятий на данной территории.

6. Организовывать повышение квалификации для команды, занимающейся защитой персональных данных на всех уровнях администрации; включать содержание по защите персональных данных в программы административной реформы и цифровой трансформации.

7. Создавать систему статистики, обобщения и регулярной отчетности о состоянии защиты персональных данных в регионе и направлять её в уполномоченные органы по защите персональных данных в соответствии с нормативными актами.

Статья 39. Уполномоченный орган по защите персональных данных и Национальный портал информационных ресурсов по защите персональных данных

1. Уполномоченный орган по защите персональных данных — это подразделение, входящее в состав Министерства внутренних дел, которое несет ответственность за помощь Министру внутренних дел в осуществлении государственной функции по защите персональных данных.

2. Национальный портал по защите персональных данных является местом предоставления информации и пропаганды политики, курса, руководящих принципов Партии, законодательства государства о защите персональных данных; оказывает поддержку в руководстве, повышении осведомленности и навыков защиты персональных данных для органов, организаций, физических лиц; принимает и обрабатывает отзывы и предложения от связанных органов, организаций и физических лиц; выполняет другие действия в соответствии с законодательством о защите персональных данных.

Статья 40. Финансирование обеспечения деятельности по защите персональных данных

1. Финансирование реализации защиты персональных данных включает государственный бюджет; поддержку со стороны органов, организаций, физических лиц внутри страны и за рубежом; доходы от оказания услуг по защите персональных данных; международную помощь и другие законные источники доходов.

2. Финансирование защиты персональных данных государственных органов осуществляется за счет государственного бюджета и планируется в ежегодных бюджетных проектах. Управление и использование средств из государственного бюджета осуществляется в соответствии с положениями законодательства о государственном бюджете.

3. Финансирование защиты персональных данных организаций и предприятий осуществляется самими организациями и предприятиями и реализуется в соответствии с законом.

Глава V. ОРГАНИЗАЦИЯ РЕАЛИЗАЦИИ

Статья 41. Положения о применении пунктов 2 и 3 статьи 38 Закона о защите персональных данных.

1. Малые предприятия и стартапы имеют право выбирать, выполнять или не выполнять положения статьи 21, статьи 22 и пункта 2 статьи 33 Закона о защите персональных данных в течение 5 лет с момента вступления в силу Закона о защите персональных данных, за исключением малых предприятий и стартапов, занимающихся обработкой персональных данных, непосредственно обрабатывающих чувствительные персональные данные или обрабатывающих персональные данные с момента, когда их масштаб достиг 100 тысяч субъектов персональных данных и более на основе накопленного общего объема обработанных персональных данных.

2. Малые предпринимательские субъекты и микро-компании не обязаны выполнять положения Статьи 21, Статьи 22 и пункта 2 Статьи 33 Закона о защите персональных данных, за исключением тех малых предпринимательских субъектов и микро-компаний, которые предоставляют услуги по обработке персональных данных, непосредственно обрабатывают чувствительные персональные данные или обрабатывают персональные данные с момента достижения масштаба от 100 тысяч субъектов персональных данных и более на основе накопленного объема обработанных персональных данных.

Статья 42. Вступление в силу и ответственность за исполнение

1. Настоящее постановление вступает в силу с 1 января 2026 года.

2. Постановление № 13/2023/ND-CP от 17 апреля 2023 года правительства о защите персональных данных утрачивает силу с даты вступления в силу настоящего постановления.

3. Внести изменения в пункт 2 Статьи 16 Постановления № 165/2025/ND-CP от 30 июня 2025 года правительства, устанавливающего подробности некоторых положений и меры по исполнению Закона о данных, следующим образом:

2. Защита основных данных, важных данных является защитой персональных данных и осуществляется в соответствии с положениями Закона о защите персональных данных и нормативными актами, регулирующими его исполнение.

Случаи передачи, обработки ключевых данных, важной трансграничной информации являются персональными данными; владельцы ключевых и важнейших данных осуществляют подготовку оценки воздействия обработки персональных данных, оценки воздействия трансграничной передачи персональных данных в соответствии с законодательством о защите персональных данных; проводить оценку рисков, оценку воздействия передачи и обработки данных через границу в соответствии с положениями данного Указа не требуется.

4. Министерство внутренних дел несет ответственность за руководство, проверку и контроль за выполнением этого Декрета.

5. Министры, руководители ведомств равного уровня, органов, подчинённых Правительству, Председатели Народных комитетов провинций и городов центрального подчинения, а также соответствующие органы, организации и лица несут ответственность за выполнение настоящего Декрета.

От имени ПРАВИТЕЛЬСТВА, от имени ПРЕМЬЕР-МИНИСТРА, Вице-премьер

Нгуен Хоа Бинь