รัฐสภาสาธารณรัฐสังคมนิยมเวียดนาม กฎหมายหมายเลข: 91/2025/QH15 เสรีภาพ - อิสรภาพ - ความสุข
กฎหมาย
การคุ้มครองข้อมูลส่วนบุคคล
อ้างอิงตามรัฐธรรมนูญของสาธารณรัฐสังคมนิยมเวียดนามที่ได้รับการแก้ไขและเพิ่มเติมข้อบางข้อตามมติที่ 203/2025/QH15
รัฐสภาออกกฎหมายคุ้มครองข้อมูลส่วนบุคคล
บทที่ I. ข้อกำหนดทั่วไป
มาตรา 1 ขอบเขตการปรับปรุงและกลุ่มเป้าหมาย
1. กฎหมายนี้กำหนดเกี่ยวกับข้อมูลส่วนบุคคล การคุ้มครองข้อมูลส่วนบุคคล และสิทธิ หน้าที่ ความรับผิดชอบของหน่วยงาน องค์กร และบุคคลที่เกี่ยวข้อง
2. กฎหมายนี้ใช้บังคับกับ:
ก) หน่วยงาน องค์กร และบุคคลของเวียดนาม;
ข) หน่วยงาน องค์กร และบุคคลต่างประเทศในเวียดนาม;
c) หน่วยงาน องค์กร บุคคลต่างประเทศที่เข้าร่วมโดยตรงหรือเกี่ยวข้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของพลเมืองเวียดนามและคนเชื้อสายเวียดนามที่ยังไม่ได้ระบุสัญชาติซึ่งอาศัยอยู่ในเวียดนามและได้รับบัตรประจำตัวประชาชนแล้ว
มาตรา 2 นิยามคำ
ในกฎหมายฉบับนี้ คำศัพท์ดังต่อไปนี้มีความหมายดังนี้:
1. ข้อมูลส่วนบุคคลคือข้อมูลตัวเลขหรือข้อมูลในรูปแบบอื่นที่สามารถระบุหรือช่วยระบุตัวบุคคลได้ ซึ่งรวมถึง: ข้อมูลส่วนบุคคลพื้นฐานและข้อมูลส่วนบุคคลที่ละเอียดอ่อน ข้อมูลส่วนบุคคลหลังจากการลบการระบุตัวตนแล้วจะไม่ถือเป็นข้อมูลส่วนบุคคลอีกต่อไป
2. ข้อมูลส่วนบุคคลพื้นฐานคือข้อมูลส่วนบุคคลที่สะท้อนถึงปัจจัยทางประวัติส่วนตัวและภูมิหลังทั่วไป ซึ่งใช้บ่อยในธุรกรรมและความสัมพันธ์ทางสังคม และอยู่ในรายการที่รัฐบาลกำหนด
3. ข้อมูลส่วนบุคคลที่ละเอียดอ่อนคือข้อมูลส่วนบุคคลที่เกี่ยวข้องกับความเป็นส่วนตัวของบุคคล เมื่อถูกละเมิดจะส่งผลโดยตรงต่อสิทธิประโยชน์ทางกฎหมายของหน่วยงาน องค์กร บุคคล อยู่ในรายการที่รัฐบาลประกาศ
4. การปกป้องข้อมูลส่วนบุคคลคือการที่หน่วยงาน องค์กร บุคคล ใช้กำลัง เครื่องมือ มาตรการในการป้องกันและต่อต้านกิจกรรมการละเมิดข้อมูลส่วนบุคคล
5. ผู้มีข้อมูลส่วนบุคคลคือบุคคลที่ข้อมูลส่วนบุคคลสะท้อนถึง
6. การประมวลผลข้อมูลส่วนบุคคลคือกิจกรรมที่ส่งผลต่อข้อมูลส่วนบุคคล รวมถึงกิจกรรมหนึ่งหรือหลายกิจกรรมดังต่อไปนี้: การเก็บรวบรวม การวิเคราะห์ การสังเคราะห์ การเข้ารหัส การถอดรหัส การแก้ไข การลบ การทำลาย การลบการระบุตัวตน การให้ การเปิดเผย การโอนข้อมูลส่วนบุคคล และกิจกรรมอื่นที่ส่งผลต่อข้อมูลส่วนบุคคล
7. ฝ่ายที่ควบคุมข้อมูลส่วนบุคคลคือหน่วยงาน องค์กร บุคคลที่ตัดสินใจเกี่ยวกับวัตถุประสงค์และวิธีการประมวลผลข้อมูลส่วนบุคคล
8. ฝ่ายที่ดำเนินการประมวลผลข้อมูลส่วนบุคคลคือหน่วยงาน องค์กร หรือบุคคลที่ดำเนินการประมวลผลข้อมูลส่วนบุคคลตามคำขอของฝ่ายควบคุมข้อมูลส่วนบุคคล หรือฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลตามสัญญา
9. ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลคือหน่วยงาน องค์กร หรือบุคคลที่ตัดสินใจวัตถุประสงค์ วิธีการ และดำเนินการประมวลผลข้อมูลส่วนบุคคลโดยตรง
10. บุคคลที่สามคือองค์กรหรือบุคคลที่อยู่ภายนอกเจ้าของข้อมูลส่วนบุคคล ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายดำเนินการประมวลผลข้อมูลส่วนบุคคลที่เข้าร่วมในการประมวลผลข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
11. การลบตัวตนของข้อมูลส่วนบุคคลคือกระบวนการเปลี่ยนแปลงหรือแก้ไขข้อมูลเพื่อสร้างข้อมูลใหม่ที่ไม่สามารถระบุหรือไม่สามารถช่วยระบุบุคคลเฉพาะได้
12. การประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลคือการวิเคราะห์และประเมินความเสี่ยงที่อาจเกิดขึ้นในกระบวนการประมวลผลข้อมูลส่วนบุคคลเพื่อใช้มาตรการลดความเสี่ยง และปกป้องข้อมูลส่วนบุคคล
ข้อ 3 หลักการคุ้มครองข้อมูลส่วนบุคคล
1. ปฏิบัติตามข้อกำหนดของรัฐธรรมนูญ ข้อกำหนดของกฎหมายฉบับนี้ และข้อกำหนดอื่น ๆ ของกฎหมายที่เกี่ยวข้อง
2. สามารถเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลได้เฉพาะในขอบเขตและวัตถุประสงค์ที่ชัดเจนและเฉพาะเจาะจง โดยมั่นใจว่าปฏิบัติตามข้อกำหนดของกฎหมาย
3. รับรองความถูกต้องของข้อมูลส่วนบุคคลและทำการแก้ไข ปรับปรุง หรือเพิ่มเติมเมื่อจำเป็น; ข้อมูลจะถูกเก็บรักษาเป็นเวลาที่เหมาะสมกับวัตถุประสงค์ของการประมวลผลข้อมูลส่วนบุคคล ยกเว้นกรณีที่กฎหมายกำหนดอื่น
4. ดำเนินมาตรการและแนวทางด้านสถาบัน เทคนิค และบุคคลอย่างมีประสิทธิภาพและสอดคล้องกันเพื่อปกป้องข้อมูลส่วนบุคคล
5. ดำเนินการเชิงรุกในการป้องกัน ตรวจพบ ยับยั้ง ต่อสู้ และจัดการอย่างทันท่วงทีและเข้มงวดกับทุกพฤติกรรมที่ละเมิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
6. การคุ้มครองข้อมูลส่วนบุคคลต้องสอดคล้องกับการคุ้มครองประโยชน์ของชาติและประชาชน สนับสนุนการพัฒนาเศรษฐกิจ-สังคม และรับประกันความมั่นคงทางการทหาร ความมั่นคง และความสัมพันธ์ระหว่างประเทศ; รับประกันความสมดุลระหว่างการคุ้มครองข้อมูลส่วนบุคคลกับการคุ้มครองสิทธิและประโยชน์ที่ชอบด้วยกฎหมายของหน่วยงาน องค์กร และบุคคล
มาตรา 4 สิทธิและหน้าที่ของเจ้าของข้อมูลส่วนบุคคล
1. สิทธิของเจ้าของข้อมูลส่วนบุคคลประกอบด้วย:
ก) มีสิทธิรู้เกี่ยวกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
ข) ยอมรับหรือไม่ยอมรับ และขอถอนความยินยอมในการอนุญาตให้ประมวลผลข้อมูลส่วนบุคคล
ค) ดู แก้ไข หรือขอให้แก้ไขข้อมูลส่วนบุคคล
ง) ขอให้จัดหา ลบ หรือจำกัดการประมวลผลข้อมูลส่วนบุคคล; ส่งคำขอคัดค้านการประมวลผลข้อมูลส่วนบุคคล
จ) ร้องเรียน ฟ้องร้อง เรียกร้องค่าเสียหายตามที่กฎหมายกำหนด
e) ร้องขอให้หน่วยงานที่มีอำนาจ หรือหน่วยงาน องค์กร บุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ดำเนินมาตรการหรือวิธีแก้ปัญหาเพื่อปกป้องข้อมูลส่วนบุคคลของตนตามกฎหมาย
2. หน้าที่ของเจ้าของข้อมูลส่วนบุคคลประกอบด้วย:
a) ปกป้องข้อมูลส่วนบุคคลของตนเอง;
b) เคารพและปกป้องข้อมูลส่วนบุคคลของผู้อื่น;
c) ให้ข้อมูลส่วนบุคคลของตนอย่างครบถ้วนและถูกต้องตามที่กฎหมายกำหนด ตามสัญญา หรือเมื่อยินยอมให้มีการประมวลผลข้อมูลส่วนบุคคลของตน;
d) ปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลและเข้าร่วมในการป้องกันและต่อต้านกิจกรรมที่ละเมิดข้อมูลส่วนบุคคล
3. เจ้าของข้อมูลส่วนบุคคล เมื่อปฏิบัติสิทธิและหน้าที่ของตน ต้องปฏิบัติตามหลักการดังต่อไปนี้อย่างครบถ้วน:
a) ปฏิบัติตามข้อกำหนดของกฎหมาย; ปฏิบัติตามหน้าที่ของเจ้าของข้อมูลส่วนบุคคลตามสัญญา การใช้สิทธิและหน้าที่ของเจ้าของข้อมูลส่วนบุคคลต้องมีวัตถุประสงค์เพื่อคุ้มครองสิทธิและผลประโยชน์ที่ถูกต้องตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลนั้น;
b) ห้ามสร้างความยากลำบากหรือขัดขวางการใช้สิทธิและหน้าที่ทางกฎหมายของฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล ฝ่ายประมวลผลข้อมูลส่วนบุคคล;
c) ห้ามละเมิดสิทธิและผลประโยชน์ที่ถูกต้องตามกฎหมายของรัฐ หน่วยงาน องค์กร หรือบุคคลอื่น
4. หน่วยงาน องค์กร บุคคลมีหน้าที่อำนวยความสะดวก ไม่สร้างความยากลำบากหรือขัดขวางการใช้สิทธิและหน้าที่ของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด
5. เมื่อได้รับคำขอจากเจ้าของข้อมูลส่วนบุคคลเพื่อใช้สิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่กำหนดในวรรค 1 ของบทนี้ ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการทันเวลาในระยะเวลาที่กฎหมายกำหนด
รัฐบาลกำหนดรายละเอียดของวรรคนี้
มาตรา 5 การบังคับใช้กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
1. กิจกรรมการคุ้มครองข้อมูลส่วนบุคคลในดินแดนของสาธารณรัฐสังคมนิยมเวียดนามให้เป็นไปตามบทบัญญัติของกฎหมายนี้และข้อกำหนดอื่น ๆ ของกฎหมายที่เกี่ยวข้อง
2. ในกรณีที่กฎหมายหรือมติของสภาผู้แทนราษฎรก่อนวันที่กฎหมายนี้มีผลบังคับใช้มีข้อกำหนดเฉพาะเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลซึ่งไม่ขัดกับหลักการคุ้มครองข้อมูลส่วนบุคคลตามที่กำหนดในกฎหมายนี้ ให้ใช้ข้อกำหนดของกฎหมายหรือมติดังกล่าว
3. กรณีที่กฎหมาย, มติของรัฐสภาที่ออกหลังจากวันที่กฎหมายนี้มีผลบังคับใช้ มีข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลที่แตกต่างจากข้อกำหนดของกฎหมายนี้ จะต้องระบุเนื้อหาการปฏิบัติอย่างชัดเจนว่าปฏิบัติตามหรือไม่ปฏิบัติตามข้อกำหนดของกฎหมายนี้ และเนื้อหาที่ปฏิบัติตามให้เป็นไปตามกฎหมายหรือมตินั้น
4. กรณีที่หน่วยงาน องค์กร หรือบุคคลปฏิบัติการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล หรือประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดของกฎหมายนี้ ไม่ต้องทำการประเมินความเสี่ยงในการประมวลผลข้อมูลส่วนบุคคล หรือประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดของกฎหมายว่าด้วยข้อมูล
ข้อ 6. ความร่วมมือระหว่างประเทศเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล
1. ปฏิบัติตามกฎหมายของเวียดนาม สนธิสัญญาระหว่างประเทศที่สาธารณรัฐสังคมนิยมเวียดนามเป็นภาคี และข้อตกลงระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลบนพื้นฐานของความเท่าเทียม ผลประโยชน์ร่วมกัน การเคารพเอกราช อธิปไตย และความสมบูรณ์ของดินแดน
2. เนื้อหาการร่วมมือระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลประกอบด้วย:
a) สร้างกลไกความร่วมมือระหว่างประเทศเพื่อเอื้อต่อการบังคับใช้กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างมีประสิทธิภาพ;
b) มีส่วนร่วมในการให้ความช่วยเหลือทางกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของประเทศอื่น;
c) ป้องกันและต่อสู้กับการละเมิดข้อมูลส่วนบุคคล;
d) ฝึกอบรมบุคลากร วิจัยวิทยาศาสตร์ และประยุกต์ใช้วิทยาศาสตร์และเทคโนโลยีในการคุ้มครองข้อมูลส่วนบุคคล;
đ) แลกเปลี่ยนประสบการณ์ในการสร้างและบังคับใช้กฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล;
e) โอนย้ายเทคโนโลยีเพื่อสนับสนุนการคุ้มครองข้อมูลส่วนบุคคล.
3. รัฐบาลกำหนดความรับผิดชอบในการดำเนินความร่วมมือระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
มาตรา 7 พฤติกรรมที่ถูกห้าม
1. การจัดการข้อมูลส่วนบุคคลเพื่อคัดค้านรัฐสังคมนิยมเวียดนาม ส่งผลกระทบต่อการป้องกันประเทศ ความมั่นคงของชาติ ระบบความสงบเรียบร้อย ความปลอดภัยของสังคม สิทธิประโยชน์ทางกฎหมายของหน่วยงาน องค์กร และบุคคล
2. ขัดขวางการดำเนินกิจกรรมปกป้องข้อมูลส่วนบุคคล
3. ใช้ประโยชน์จากกิจกรรมปกป้องข้อมูลส่วนบุคคลเพื่อกระทำการละเมิดกฎหมาย
4. การจัดการข้อมูลส่วนบุคคลโดยฝ่าฝืนข้อกำหนดของกฎหมาย
5. การใช้ข้อมูลส่วนบุคคลของบุคคลอื่น หรือให้บุคคลอื่นใช้ข้อมูลส่วนบุคคลของตนเพื่อกระทำการละเมิดกฎหมาย
6. ซื้อ ขายข้อมูลส่วนบุคคล ยกเว้นในกรณีที่กฎหมายมีข้อกำหนดต่างออกไป
7. ยึดครอง ตั้งใจเปิดเผย ทำหายข้อมูลส่วนบุคคล
มาตรา 8 การดำเนินการกับการละเมิดกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล
1. องค์กรหรือบุคคลที่มีพฤติกรรมละเมิดข้อกำหนดของกฎหมายฉบับนี้และข้อกำหนดอื่นของกฎหมายที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคล ขึ้นอยู่กับลักษณะ ระดับ ความรุนแรง และผลลัพธ์ของการละเมิด อาจถูกลงโทษทางปกครองหรือถูกดำเนินคดีอาญา; หากเกิดความเสียหายต้องชดใช้ตามข้อกำหนดของกฎหมาย
2. การลงโทษการละเมิดทางปกครองในด้านการคุ้มครองข้อมูลส่วนบุคคลให้ดำเนินการตามข้อกำหนดในวรรค 3, 4, 5, 6 และ 7 ของมาตรานี้และกฎหมายว่าด้วยการดำเนินการละเมิดทางปกครอง
3. โทษปรับสูงสุดในการลงโทษทางปกครองสำหรับการกระทำของการซื้อหรือขายข้อมูลส่วนบุคคลคือ 10 เท่าของรายได้ที่ได้รับจากการกระทำผิด; กรณีไม่มีรายได้จากการกระทำผิดหรือโทษปรับคำนวณตามรายได้ที่ได้รับจากการกระทำผิดต่ำกว่าโทษปรับสูงสุดที่กำหนดในวรรค 5 ของข้อกฎหมายนี้ ให้ใช้โทษปรับตามที่กำหนดในวรรค 5 ของข้อกฎหมายนี้
4. โทษปรับสูงสุดในการลงโทษทางปกครองสำหรับองค์กรที่มีการละเมิดข้อกำหนดเกี่ยวกับการโอนข้อมูลส่วนบุคคลข้ามพรมแดนคือ 5% ของรายได้ของปีที่แล้วขององค์กรนั้น; กรณีไม่มีรายได้ของปีที่แล้วหรือโทษปรับคำนวณตามรายได้ต่ำกว่าโทษปรับสูงสุดตามที่กำหนดในวรรค 5 ของข้อกฎหมายนี้ ให้ใช้โทษปรับตามที่กำหนดในวรรค 5 ของข้อกฎหมายนี้.
5. โทษปรับสูงสุดในการลงโทษการละเมิดกฎหมายปกครองสำหรับการกระทำละเมิดอื่น ๆ ในด้านการคุ้มครองข้อมูลส่วนบุคคลคือ 3 พันล้านด่ง
6. โทษปรับสูงสุดที่กำหนดในวรรค 3, 4 และ 5 ของมาตรานี้จะใช้กับนิติบุคคล; สำหรับบุคคลธรรมดาที่กระทำการละเมิดเดียวกัน โทษปรับสูงสุดจะเท่ากับครึ่งหนึ่งของโทษปรับสำหรับนิติบุคคล
7. รัฐบาลกำหนดวิธีการคำนวณรายได้ที่เกิดขึ้นจากการกระทำละเมิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
บทที่ 2. การคุ้มครองข้อมูลส่วนบุคคล
หมวด 1. การคุ้มครองข้อมูลส่วนบุคคล
ในกระบวนการประมวลผลข้อมูลส่วนบุคคล
มาตรา 9. ความยินยอมของเจ้าของข้อมูลส่วนบุคคล
1. ความยินยอมของเจ้าของข้อมูลส่วนบุคคลหมายถึงการที่เจ้าของข้อมูลส่วนบุคคลอนุญาตให้ประมวลผลข้อมูลส่วนบุคคลของตน เว้นแต่ในกรณีที่กฎหมายกำหนดไว้แตกต่างออกไป
2. การยินยอมของเจ้าของข้อมูลส่วนบุคคลจะมีผลก็ต่อเมื่อมีพื้นฐานจากความสมัครใจและเข้าใจข้อมูลต่อไปนี้อย่างชัดเจน:
a) ประเภทของข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล;
b) ผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคล;
c) สิทธิและหน้าที่ของเจ้าของข้อมูลส่วนบุคคล
3. การยินยอมของเจ้าของข้อมูลส่วนบุคคลจะแสดงออกด้วยวิธีการที่ชัดเจน เฉพาะเจาะจง สามารถพิมพ์ ทำสำเนาเป็นลายลักษณ์อักษร รวมถึงในรูปแบบอิเล็กทรอนิกส์หรือรูปแบบที่สามารถตรวจสอบได้
4. การยินยอมของเจ้าของข้อมูลส่วนบุคคลต้องรับประกันหลักการดังต่อไปนี้:
a) แสดงการยินยอมต่อแต่ละวัตถุประสงค์;
b) ไม่ต้องมีเงื่อนไขที่บังคับให้ยินยอมต่อวัตถุประสงค์อื่นนอกเหนือจากข้อตกลง;
c) การยินยอมมีผลจนกว่าเจ้าของข้อมูลส่วนบุคคลจะเปลี่ยนแปลงการยินยอมนั้นหรือเป็นไปตามข้อกำหนดของกฎหมาย
d) ความเงียบหรือการไม่ตอบสนองจะไม่ถือว่าเป็นความยินยอม
5. รัฐบาลกำหนดรายละเอียดข้อ 3 ของบทนี้
มาตรา 10. การขอถอนความยินยอม การขอจำกัดการประมวลผลข้อมูลส่วนบุคคล
1. เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์ขอถอนความยินยอมในการอนุญาตให้ประมวลผลข้อมูลส่วนบุคคล ขอจำกัดการประมวลผลข้อมูลส่วนบุคคลของตนเมื่อมีข้อสงสัยเกี่ยวกับขอบเขต วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล หรือความถูกต้องของข้อมูลส่วนบุคคล เว้นแต่กรณีที่กำหนดไว้ในมาตรา 19 ของกฎหมายนี้ หรือกรณีที่กฎหมายกำหนดไว้เป็นอย่างอื่น
2. คำขอเพิกถอนความยินยอม คำขอจำกัดการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลต้องแสดงเป็นลายลักษณ์อักษร รวมถึงในรูปแบบอิเล็กทรอนิกส์หรือรูปแบบที่สามารถตรวจสอบได้ และส่งไปยังผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคล คำขอเพิกถอนความยินยอม คำขอจำกัดการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจะดำเนินการตามกฎหมายและตามข้อตกลงระหว่างคู่สัญญา
3. ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลจะรับดำเนินการและขอให้ผู้ประมวลผลข้อมูลส่วนบุคคลดำเนินการตามคำขอเพิกถอนความยินยอม การจำกัดการประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลภายในระยะเวลาที่กฎหมายกำหนด
4. การดำเนินการตามคำขอถอนความยินยอม คำขอจำกัดการประมวลผลข้อมูลส่วนบุคคล จะไม่ถูกนำไปใช้กับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลก่อนเวลาที่เจ้าของข้อมูลส่วนบุคคลยื่นคำขอถอนความยินยอมหรือคำขอจำกัดการประมวลผลข้อมูลส่วนบุคคล
มาตรา 11 การเก็บรวบรวม วิเคราะห์ และสรุปข้อมูลส่วนบุคคล
1. ข้อมูลส่วนบุคคลที่เก็บรวบรวมต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลก่อนการเก็บรวบรวม ยกเว้นกรณีที่กฎหมายกำหนดไว้เป็นอย่างอื่น
2. หน่วยงานของพรรคและรัฐที่มีอำนาจสามารถวิเคราะห์และสรุปข้อมูลส่วนบุคคลจากแหล่งข้อมูลที่เก็บรวบรวมเองหรือได้รับการแบ่งปัน จัดหา ส่งต่อ ใช้งาน เพื่อใช้ในการนำ การชี้นำ การบริหารรัฐ และการพัฒนาเศรษฐกิจ-สังคมตามที่กฎหมายกำหนด
3. หน่วยงาน องค์กร หรือบุคคลที่ไม่อยู่ในข้อกำหนดตามวรรค 2 ของบทความนี้ สามารถวิเคราะห์และรวบรวมข้อมูลส่วนบุคคลจากแหล่งข้อมูลส่วนบุคคลที่ได้รับอนุญาตให้ประมวลผลตามกฎหมาย
บทความ 12. การเข้ารหัสและการถอดรหัสข้อมูลส่วนบุคคล
1. การเข้ารหัสข้อมูลส่วนบุคคลคือการเปลี่ยนแปลงข้อมูลส่วนบุคคลให้เป็นรูปแบบที่ไม่สามารถจดจำข้อมูลส่วนบุคคลได้หากไม่ได้รับการถอดรหัส; ข้อมูลส่วนบุคคลหลังจากที่เข้ารหัสแล้วยังคงเป็นข้อมูลส่วนบุคคล
2. ข้อมูลส่วนบุคคลที่เป็นความลับของรัฐต้องถูกเข้ารหัสและถอดรหัสตามกฎหมายว่าด้วยการปกป้องความลับของรัฐและกฎหมายด้านวิทยาการด้านความมั่นคง
3. หน่วยงาน องค์กร หรือบุคคลเป็นผู้ตัดสินใจเกี่ยวกับการเข้ารหัสและถอดรหัสข้อมูลส่วนบุคคลให้สอดคล้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคล
บทความ 13. การแก้ไขข้อมูลส่วนบุคคล
1. เจ้าของข้อมูลส่วนบุคคลสามารถแก้ไขข้อมูลส่วนบุคคลของตนเองในบางประเภทของข้อมูลส่วนบุคคลตามข้อตกลงกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคล; เสนอให้ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคลแก้ไขข้อมูลส่วนบุคคลของตนเอง
2. ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคลแก้ไขข้อมูลส่วนบุคคลหลังจากที่เจ้าของข้อมูลส่วนบุคคลร้องขอหรือแก้ไขข้อมูลส่วนบุคคลตามกฎหมาย; ร้องขอให้ผู้ประมวลผลข้อมูลส่วนบุคคลหรือบุคคลที่สามแก้ไขข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล
3. การแก้ไขข้อมูลส่วนบุคคลต้องรับประกันความถูกต้อง กรณีที่ไม่สามารถแก้ไขข้อมูลส่วนบุคคลได้ด้วยเหตุผลที่สมควร ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องแจ้งให้องค์กร หน่วยงาน หรือบุคคลที่ร้องขอทราบ
มาตรา 14 การลบ ทำลาย การระบุตัวตนของข้อมูลส่วนบุคคล
1. การลบหรือทำลายข้อมูลส่วนบุคคลจะดำเนินการในกรณีดังต่อไปนี้:
a) เจ้าของข้อมูลส่วนบุคคลได้ร้องขอและยอมรับความเสี่ยง ความเสียหายที่อาจเกิดแก่ตนเอง คำร้องขอของเจ้าของข้อมูลส่วนบุคคลในกรณีนี้ต้องปฏิบัติตามหลักการที่กำหนดในวรรค 3 มาตรา 4 ของกฎหมายนี้อย่างครบถ้วน;
b) ได้บรรลุวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคลแล้ว;
c) หมดระยะเวลาการเก็บรักษาตามที่กฎหมายกำหนด;
d) ดำเนินการตามคำสั่งของหน่วยงานรัฐที่มีอำนาจ;
đ) ดำเนินการตามข้อตกลง;
e) กรณีอื่นตามที่กฎหมายกำหนด.
2. ไม่ดำเนินการตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับการลบ ทำลายข้อมูลส่วนบุคคลในกรณีที่กำหนดในมาตรา 19 ของกฎหมายนี้ หรือการลบ ทำลายข้อมูลส่วนบุคคลที่ฝ่าฝืนบทบัญญัติในวรรค 3 มาตรา 4 ของกฎหมายนี้.
3. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลจะลบหรือทำลายข้อมูลส่วนบุคคลในกรณีที่กำหนดไว้ในวรรค 1 ของมาตรานี้ หรือเมื่อมีคำขอจากฝ่ายที่ประมวลผลข้อมูลส่วนบุคคล ฝ่ายที่สามให้ลบหรือทำลายข้อมูลส่วนบุคคลของเจ้าของข้อมูล การลบหรือทำลายข้อมูลส่วนบุคคลต้องดำเนินการด้วยมาตรการที่ปลอดภัย; ป้องกันการเข้าถึงและการกู้คืนข้อมูลส่วนบุคคลที่ถูกลบหรือทำลายโดยไม่ได้รับอนุญาต
4. หน่วยงาน องค์กร หรือบุคคลต้องไม่กู้คืนข้อมูลส่วนบุคคลที่ถูกลบหรือทำลายโดยไม่ชอบด้วยเจตนา
5. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายที่ประมวลผลข้อมูลส่วนบุคคล มีหน้าที่ปฏิบัติตามข้อกำหนดของกฎหมายนี้ ในกรณีที่ไม่สามารถลบหรือทำลายข้อมูลส่วนบุคคลได้ด้วยเหตุผลที่สมควร หลังจากได้รับคำขอจากเจ้าของข้อมูล ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล ต้องแจ้งให้เจ้าของข้อมูลทราบ
6. การลบการระบุข้อมูลส่วนบุคคลมีข้อกำหนดดังนี้:
ก) หน่วยงาน องค์กร หรือบุคคลที่ลบการระบุข้อมูลส่วนบุคคลมีหน้าที่ควบคุมและตรวจสอบอย่างเข้มงวดกระบวนการลบการระบุข้อมูลส่วนบุคคล; ป้องกันการเข้าถึง การคัดลอก การยึดครอง การรั่วไหล หรือการสูญหายของข้อมูลส่วนบุคคลในกระบวนการลบการระบุ;
ข) ไม่สามารถระบุข้อมูลส่วนบุคคลใหม่หลังจากที่ได้ลบการระบุแล้ว เว้นแต่จะมีข้อกำหนดอื่นตามกฎหมาย;
ค) การลบการระบุข้อมูลส่วนบุคคลต้องปฏิบัติตามบทบัญญัติของกฎหมายนี้และข้อกำหนดอื่นที่เกี่ยวข้องของกฎหมาย
มาตรา 15. การให้ข้อมูลส่วนบุคคล
1. เจ้าของข้อมูลส่วนบุคคลให้ข้อมูลส่วนบุคคลแก่หน่วยงาน องค์กร หรือบุคคล ตามกฎหมาย หรือ ตามข้อตกลงกับหน่วยงาน องค์กร หรือบุคคลนั้น
2. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลให้ข้อมูลส่วนบุคคลในกรณีต่อไปนี้:
a) จัดให้เจ้าของข้อมูลส่วนบุคคลตามคำขอของเจ้าของข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด ตกลงกับเจ้าของข้อมูล ยกเว้นกรณีที่การจัดให้นั้นอาจก่อให้เกิดอันตรายต่อการป้องกันประเทศ ความมั่นคงของชาติ ความสงบเรียบร้อย สังคม หรือละเมิดชีวิต สุขภาพ หรือทรัพย์สินของผู้อื่น;
b) จัดให้หน่วยงาน องค์กร หรือบุคคลอื่นเมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ยกเว้นกรณีที่กฎหมายกำหนดไว้แตกต่าง
ข้อ 16. การเปิดเผยข้อมูลส่วนบุคคล
1. ข้อมูลส่วนบุคคลจะเปิดเผยต่อสาธารณะได้เฉพาะเพื่อวัตถุประสงค์ที่เจาะจง ขอบเขตของการเปิดเผย ประเภทของข้อมูลส่วนบุคคลที่เปิดเผยต้องสอดคล้องกับวัตถุประสงค์ของการเปิดเผย การเปิดเผยข้อมูลส่วนบุคคลจะต้องไม่ละเมิดสิทธิ์หรือผลประโยชน์ที่ชอบด้วยกฎหมายของเจ้าของข้อมูลส่วนบุคคล
2. ข้อมูลส่วนบุคคลจะเปิดเผยต่อสาธารณะได้เฉพาะในกรณีดังต่อไปนี้:
ก) เมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล;
ข) กระทำตามบทบัญญัติของกฎหมาย;
ค) กรณีที่ระบุไว้ในข้อ ข. วรรค 1 มาตรา 19 ของกฎหมายฉบับนี้;
ง) ปฏิบัติตามภาระหน้าที่ตามสัญญา
3. ข้อมูลส่วนบุคคลที่เปิดเผยต่อสาธารณะต้องสะท้อนข้อมูลส่วนบุคคลจากแหล่งข้อมูลต้นฉบับอย่างถูกต้องและอำนวยความสะดวกต่อหน่วยงาน องค์กร และบุคคลในการเข้าถึง ใช้ประโยชน์ และใช้ข้อมูล
4. รูปแบบการเปิดเผยข้อมูลส่วนบุคคล รวมถึง: การเผยแพร่ข้อมูลบนเว็บไซต์ พอร์ทัลข้อมูล สื่อมวลชน และรูปแบบอื่นตามที่กฎหมายกำหนด
5. หน่วยงาน องค์กร หรือบุคคลที่เปิดเผยข้อมูลส่วนบุคคลต้องควบคุมและตรวจสอบการเปิดเผยข้อมูลส่วนบุคคลอย่างเข้มงวดเพื่อให้มั่นใจในการปฏิบัติตามวัตถุประสงค์ ขอบเขต และข้อกำหนดของกฎหมาย ป้องกันการเข้าถึง การใช้งาน การเปิดเผย การคัดลอก การแก้ไข การลบ การทำลาย หรือการกระทำที่ไม่ชอบด้วยกฎหมายอื่น ๆ ต่อข้อมูลส่วนบุคคลที่ได้เปิดเผยออกไปตามทรัพยากรและเงื่อนไขของตน
มาตรา 17 การถ่ายโอนข้อมูลส่วนบุคคล
1. การถ่ายโอนข้อมูลส่วนบุคคลจะดำเนินการในกรณีดังต่อไปนี้:
ก) การถ่ายโอนข้อมูลส่วนบุคคลเมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
b) แบ่งปันข้อมูลส่วนบุคคลระหว่างหน่วยงานภายในองค์กรเดียวกันเพื่อประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับวัตถุประสงค์ของการประมวลผลที่ได้กำหนดไว้;
c) โอนข้อมูลส่วนบุคคลเพื่อต่อเนื่องในการประมวลผลข้อมูลส่วนบุคคลในกรณีการแบ่ง แยก รวม หน่วยงาน องค์กร หน่วยงานบริหาร และการจัดระเบียบใหม่ การเปลี่ยนรูปแบบการเป็นเจ้าของของรัฐวิสาหกิจ; การแบ่ง แยก รวม รวมตัว ยุติกิจกรรมของหน่วยงาน องค์กร; หน่วยงาน องค์กรที่จัดตั้งขึ้นบนพื้นฐานของการยุติกิจกรรมของหน่วยงาน องค์กรอื่น;
d) ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลโอนข้อมูลส่วนบุคคลให้กับฝ่ายประมวลผลข้อมูลส่วนบุคคล ฝ่ายที่สามเพื่อประมวลผลข้อมูลส่วนบุคคลตามข้อกำหนด;
đ) โอนข้อมูลส่วนบุคคลตามคำขอของหน่วยงานรัฐที่มีอำนาจ;
e) โอนข้อมูลส่วนบุคคลในกรณีที่กำหนดไว้ในวรรค 1 มาตรา 19 ของกฎหมายนี้.
2. การโอนข้อมูลส่วนบุคคลในกรณีที่กำหนดไว้ในวรรค 1 ของมาตรานี้ ไม่ว่าจะเรียกเก็บค่าธรรมเนียมหรือไม่เรียกเก็บค่าธรรมเนียม จะไม่ถือว่าเป็นการซื้อขายข้อมูลส่วนบุคคล
3. รัฐบาลกำหนดรายละเอียดของข้อบังคับนี้
มาตรา 18 กิจกรรมอื่น ๆ ในการประมวลผลข้อมูลส่วนบุคคล
1. ฝ่ายที่ควบคุมข้อมูลส่วนบุคคล ฝ่ายที่ควบคุมและประมวลผลข้อมูลส่วนบุคคล ฝ่ายประมวลผลข้อมูลส่วนบุคคล และบุคคลที่สามที่เก็บข้อมูลส่วนบุคคล ต้องเก็บข้อมูลส่วนบุคคลในรูปแบบที่เหมาะสมกับกิจกรรมของตนและมีมาตรการปกป้องข้อมูลส่วนบุคคลในระหว่างการเก็บรักษาตามที่กฎหมายกำหนด
2. การเก็บ การเข้าถึง การค้นคืน การเชื่อมโยง การประสานงาน การยืนยัน การตรวจสอบข้อมูลส่วนบุคคล และกิจกรรมอื่นที่มีผลต่อข้อมูลส่วนบุคคล ต้องดำเนินการตามที่กฎหมายนี้ กฎหมายเกี่ยวกับข้อมูล และข้อกำหนดอื่น ๆ ของกฎหมายที่เกี่ยวข้อง รวมทั้งตามข้อตกลงระหว่างคู่สัญญา
3. ให้ความสำคัญกับการใช้และการจัดการข้อมูลส่วนบุคคลในกิจกรรมที่เกี่ยวข้องกับการบริหารงานของรัฐ กิจกรรมของหน่วยงานสาธารณะเพื่อสนับสนุนการทดลองใช้กลไกและนโยบายพิเศษบางประการเพื่อสร้างความก้าวหน้าด้านวิทยาศาสตร์ เทคโนโลยี นวัตกรรม และการเปลี่ยนแปลงดิจิทัลระดับชาติ
มาตรา 19. การจัดการข้อมูลส่วนบุคคลในกรณีที่ไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
1. กรณีที่สามารถจัดการข้อมูลส่วนบุคคลโดยไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ได้แก่:
ก) เพื่อปกป้องชีวิต สุขภาพ เกียรติยศ ศักดิ์ศรี สิทธิประโยชน์ที่ถูกต้องตามกฎหมายของเจ้าของข้อมูลส่วนบุคคลหรือผู้อื่นในกรณีฉุกเฉิน; การ
ปกป้องสิทธิหรือผลประโยชน์ที่ชอบด้วยกฎหมายของตนเอง ของผู้อื่น หรือผลประโยชน์ของรัฐ ของหน่วยงาน องค์กร อย่างจำเป็นต่อการกระทำที่ละเมิดผลประโยชน์ดังกล่าว ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายประมวลผลข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และบุคคลที่สามมีหน้าที่พิสูจน์กรณีนี้;
ข) เพื่อแก้ไขสถานการณ์ฉุกเฉิน; ความเสี่ยงที่คุกคามความมั่นคงของชาติแต่ยังไม่ถึงกับประกาศสถานการณ์ฉุกเฉิน; ป้องกันและต่อต้านการจลาจล การก่อการร้าย ป้องกันอาชญากรรมและการละเมิดกฎหมาย;
ค) สนับสนุนการดำเนินงานของหน่วยงานรัฐ การบริหารราชการแผ่นดินตามที่กฎหมายกำหนด;
ง) ดำเนินการตามข้อตกลงของเจ้าของข้อมูลส่วนบุคคลกับหน่วยงาน องค์กร หรือบุคคลที่เกี่ยวข้องตามที่กฎหมายกำหนด;
จ) กรณีอื่นตามที่กฎหมายกำหนด.
2. หน่วยงาน องค์กร บุคคลที่เกี่ยวข้องต้องจัดตั้งกลไกการกำกับดูแลเมื่อมีการดำเนินการประมวลผลข้อมูลส่วนบุคคลในกรณีที่ไม่จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ซึ่งรวมถึง:
a) จัดทำกระบวนการและข้อกำหนดในการประมวลผลข้อมูลส่วนบุคคล และกำหนดความรับผิดชอบของหน่วยงาน องค์กร บุคคลในกระบวนการประมวลผลข้อมูลส่วนบุคคล;
b) ดำเนินมาตรการปกป้องข้อมูลส่วนบุคคลให้เหมาะสม; ประเมินความเสี่ยงที่อาจเกิดขึ้นในกระบวนการประมวลผลข้อมูลส่วนบุคคลอย่างสม่ำเสมอ;
c) ทำการตรวจสอบและประเมินผลเป็นระยะเกี่ยวกับการปฏิบัติตามกฎหมาย กระบวนการ และข้อกำหนดในการประมวลผลข้อมูลส่วนบุคคล;
d) มีระบบรับและจัดการข้อเสนอแนะ ข้อร้องเรียนจากหน่วยงาน องค์กร บุคคลที่เกี่ยวข้อง
ข้อ 20. การโอนข้อมูลส่วนบุคคลข้ามพรมแดน
1. กรณีการโอนข้อมูลส่วนบุคคลข้ามพรมแดนรวมถึง:
a) โอนข้อมูลส่วนบุคคลที่เก็บไว้ในประเทศเวียดนามไปยังระบบจัดเก็บข้อมูลที่ตั้งอยู่นอกอาณาเขตของสาธารณรัฐสังคมนิยมเวียดนาม;
b) หน่วยงาน องค์กร หรือบุคคลในประเทศเวียดนามโอนข้อมูลส่วนบุคคลให้แก่องค์กรหรือบุคคลในต่างประเทศ;
c) หน่วยงาน องค์กร หรือบุคคลในประเทศเวียดนามหรือต่างประเทศใช้แพลตฟอร์มที่อยู่นอกอาณาเขตของสาธารณรัฐสังคมนิยมเวียดนามเพื่อประมวลผลข้อมูลส่วนบุคคลที่เก็บรวบรวมในประเทศเวียดนาม.
2. หน่วยงาน องค์กร หรือบุคคลที่ส่งข้อมูลส่วนบุคคลข้ามพรมแดนและดำเนินกิจกรรมตามที่กำหนดในวรรค 1 ของมาตรานี้ ต้องจัดทำเอกสารการประเมินผลกระทบ
โอนข้อมูลส่วนบุคคลข้ามพรมแดนและส่งสำเนาฉบับจริง 01 ชุดให้หน่วยงานที่รับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคลภายใน 60 วันนับจากวันที่เริ่มต้นการโอนข้อมูลส่วนบุคคลข้ามพรมแดน ยกเว้นกรณีที่กำหนดในวรรค 6 ของมาตรานี้
3. การประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดนจะดำเนินการเพียงครั้งเดียวตลอดระยะเวลาการดำเนินงานของหน่วยงาน องค์กร หรือบุคคลนั้น และจะได้รับการปรับปรุงตามข้อกำหนดในมาตรา 22 ของกฎหมายนี้
4. หน่วยงานเฉพาะทางในการคุ้มครองข้อมูลส่วนบุคคลตัดสินใจเกี่ยวกับการตรวจสอบการโอนข้อมูลส่วนบุคคลข้ามพรมแดนเป็นประจำไม่เกิน 1 ครั้งต่อปี หรือการตรวจสอบเฉพาะกิจเมื่อพบการกระทำที่ละเมิดกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล หรือเมื่อเกิดเหตุข้อมูลส่วนบุคคลรั่วไหลหรือสูญหาย
5. หน่วยงานเฉพาะทางในการคุ้มครองข้อมูลส่วนบุคคลตัดสินใจในการเรียกร้องให้หยุดการโอนข้อมูลส่วนบุคคลข้ามพรมแดนของหน่วยงาน องค์กร หรือบุคคล เมื่อพบว่าข้อมูลส่วนบุคคลถูกโอนเพื่อใช้ในการดำเนินกิจกรรมที่อาจเป็นอันตรายต่อการป้องกันประเทศและความมั่นคงของชาติ
6. กรณีที่ไม่จำเป็นต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน ได้แก่:
ก) การโอนข้อมูลส่วนบุคคลข้ามพรมแดนของหน่วยงานรัฐที่มีอำนาจ
ข) หน่วยงาน องค์กร ที่เก็บข้อมูลส่วนบุคคลของพนักงานที่อยู่ในหน่วยงาน องค์กรนั้น บนบริการคลาวด์
c) เจ้าของข้อมูลส่วนบุคคลโอนข้อมูลส่วนบุคคลของตนข้ามพรมแดน;
d) กรณีอื่นตามที่รัฐบาลกำหนด
7. รัฐบาลกำหนดรายละเอียดเกี่ยวกับข้อ 1, 5 และ 6 ของบทความนี้ กำหนดองค์ประกอบของเอกสาร เงื่อนไข ขั้นตอน และกระบวนการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน
ข้อ 21. การประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล
1. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล จัดทำและจัดเก็บเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล และส่งสำเนาต้นฉบับ 1 ชุดให้หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลภายใน 60 วันนับจากวันที่เริ่มประมวลผลข้อมูลส่วนบุคคล ยกเว้นกรณีที่ระบุไว้ในข้อ 6 ของบทความนี้
2. การประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลดำเนินการเพียงครั้งเดียวตลอดระยะเวลาที่ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลดำเนินกิจกรรม และจะต้องมีการปรับปรุงตามที่กำหนดในข้อ 22 ของกฎหมายนี้
3. ฝ่ายที่ประมวลผลข้อมูลส่วนบุคคลจัดทำและเก็บรักษาเอกสารการประเมินผลกระทบการประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงกับฝ่ายที่ควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล เว้นแต่กรณีที่กำหนดในวรรค 6 ของมาตรานี้
4. หน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคลประเมินและเรียกร้องให้ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายที่ประมวลผลข้อมูลส่วนบุคคล ปรับปรุงเอกสารการประเมินผลกระทบการประมวลผลข้อมูลส่วนบุคคลในกรณีที่เอกสารยังไม่ครบถ้วนและไม่เป็นไปตามระเบียบ
5. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายที่ประมวลผลข้อมูลส่วนบุคคล ปรับปรุงและเพิ่มเติมเอกสารการประเมินผลกระทบการประมวลผลข้อมูลส่วนบุคคลเมื่อมีการเปลี่ยนแปลงเนื้อหาในเอกสารที่ได้ส่งไปยังหน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคล
6. หน่วยงานของรัฐที่มีอำนาจหน้าที่ไม่ต้องดำเนินการตามข้อกำหนดเกี่ยวกับการประเมินผลกระทบการประมวลผลข้อมูลส่วนบุคคลที่ระบุในมาตรานี้
7. รัฐบาลกำหนดองค์ประกอบของเอกสาร เงื่อนไข ขั้นตอน และกระบวนการประเมินผลกระทบในการประมวลผลข้อมูลส่วนบุคคล
มาตรา 22. การปรับปรุงเอกสารการประเมินผลกระทบในการประมวลผลข้อมูลส่วนบุคคลและเอกสารการประเมินผลกระทบในการโอนข้อมูลส่วนบุคคลข้ามพรมแดน
1. เอกสารการประเมินผลกระทบในการประมวลผลข้อมูลส่วนบุคคลและเอกสารการประเมินผลกระทบในการโอนข้อมูลส่วนบุคคลข้ามพรมแดนจะได้รับการปรับปรุงอย่างสม่ำเสมอทุก 06 เดือนเมื่อมีการเปลี่ยนแปลง หรือปรับปรุงทันทีในกรณีที่กำหนดในวรรค 2 ของมาตรานี้
2. กรณีที่มีการเปลี่ยนแปลงซึ่งจำเป็นต้องปรับปรุงทันที ได้แก่:
a) เมื่อหน่วยงาน องค์กร หรือหน่วยงานถูกจัดระเบียบใหม่ ยุติการดำเนินงาน ล้มละลาย หรือเลิกกิจการตามกฎหมาย
b) เมื่อมีการเปลี่ยนแปลงข้อมูลเกี่ยวกับองค์กรหรือบุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล
c) เมื่อมีการเกิดขึ้นใหม่หรือการเปลี่ยนแปลงของสาขาอาชีพ ธุรกิจ หรือบริการที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลที่ได้ลงทะเบียนไว้ในเอกสารประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล หรือเอกสารประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน
3. การปรับปรุงเอกสารประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลและเอกสารประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนจะดำเนินการบนพอร์ทัลข้อมูลของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล หรือที่หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล
4. รัฐบาลกำหนดรายละเอียดของข้อกำหนดนี้
มาตรา 23. การแจ้งการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
1. ฝ่ายควบคุมข้อมูลส่วนบุคคล, ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล, หรือบุคคลที่สามที่ตรวจพบการกระทำผิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลซึ่งอาจก่อให้เกิดอันตรายต่อการป้องกันประเทศ, ความมั่นคงของชาติ, ความสงบเรียบร้อย, ความปลอดภัยของสังคม หรือละเมิดชีวิต, สุขภาพ, เกียรติยศ, ศักดิ์ศรี, ทรัพย์สินของเจ้าของข้อมูลส่วนบุคคล ต้องแจ้งให้หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลทราบภายในเวลาไม่เกิน 72 ชั่วโมงนับตั้งแต่พบการกระทำผิด ในกรณีที่ฝ่ายประมวลผลข้อมูลส่วนบุคคลพบการกระทำผิด ต้องแจ้งให้ฝ่ายควบคุมข้อมูลส่วนบุคคลหรือฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลทราบทันที
2. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องจัดทำบันทึกยืนยันเกี่ยวกับการกระทำที่ละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล และประสานงานกับหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลเพื่อจัดการกับการละเมิดนั้น
3. หน่วยงาน องค์กร หรือบุคคล แจ้งให้หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลทราบในกรณีดังต่อไปนี้:
a) พบพฤติกรรมที่ละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล;
b) ข้อมูลส่วนบุคคลถูกนำไปใช้ผิดวัตถุประสงค์ ไม่ตรงตามข้อตกลงระหว่างเจ้าของข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคล;
c) ไม่รับรองสิทธิหรือปฏิบัติไม่ถูกต้องตามสิทธิของเจ้าของข้อมูลส่วนบุคคล;
d) กรณีอื่นตามที่กฎหมายกำหนด.
4. หน่วยงานเฉพาะด้านในการคุ้มครองข้อมูลส่วนบุคคลมีหน้าที่รับแจ้ง ดำเนินการเกี่ยวกับการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล บุคคลที่สาม รวมทั้งหน่วยงาน องค์กร หรือบุคคลที่เกี่ยวข้องมีหน้าที่ป้องกันการละเมิด แก้ไขผลกระทบที่เกิดขึ้น และประสานงานกับหน่วยงานเฉพาะด้านในการคุ้มครองข้อมูลส่วนบุคคลในการจัดการกรณีการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
5. รัฐบาลกำหนดเนื้อหาการแจ้งการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
มาตรา 2. การคุ้มครองข้อมูลส่วนบุคคลในบางกิจกรรม
มาตรา 24. การคุ้มครองข้อมูลส่วนบุคคลของเด็ก คนที่สูญเสียหรือถูกจำกัดความสามารถทางกฎหมายทางแพ่ง ผู้ที่มีความยากลำบากในการรับรู้หรือควบคุมพฤติกรรมของตนเอง
1. ปกป้องข้อมูลส่วนบุคคลของเด็ก ผู้ที่สูญเสียหรือมีความสามารถทางพฤติกรรมพลเมืองจำกัด ผู้ที่มีความยากลำบากในการรับรู้และการควบคุมพฤติกรรม ตามข้อกำหนดของกฎหมายนี้
2. สำหรับเด็ก ผู้ที่สูญเสียหรือมีความสามารถในการกระทำทางแพ่งจำกัด หรือผู้ที่มีความยากลำบากในการรับรู้และควบคุมพฤติกรรม ตัวแทนตามกฎหมายจะดำเนินการสิทธิของเจ้าของข้อมูลส่วนบุคคลแทน ยกเว้นกรณีที่ระบุในวรรค 1 มาตรา 19 ของกฎหมายนี้ การประมวลผลข้อมูลส่วนบุคคลของเด็กเพื่อเปิดเผยหรือเปิดข้อมูลเกี่ยวกับชีวิตส่วนตัว ความลับส่วนบุคคลของเด็กที่มีอายุอย่างน้อย 07 ปีขึ้นไป จะต้องได้รับความยินยอมจากเด็กและตัวแทนตามกฎหมาย
3. หยุดประมวลผลข้อมูลส่วนบุคคลของเด็ก ผู้ที่สูญเสียหรือมีความสามารถในการกระทำทางแพ่งจำกัด ผู้ที่มีความยากลำบากในการรับรู้และควบคุมพฤติกรรมในกรณีต่อไปนี้:
a) ผู้ที่ได้ตกลงตามข้อ 2 ของบทความนี้ ถอนความยินยอมให้ดำเนินการประมวลผลข้อมูลส่วนบุคคลของเด็ก คนที่สูญเสียหรือมีความสามารถทางกฎหมายจำกัด คนที่มีความยากลำบากในการรับรู้หรือควบคุมพฤติกรรม ยกเว้นกรณีกฎหมายกำหนดไว้ต่างไป;
b) ตามคำขอของหน่วยงานที่มีอำนาจเมื่อมีหลักฐานเพียงพอที่พิสูจน์ว่าการประมวลผลข้อมูลส่วนบุคคลอาจละเมิดสิทธิหรือผลประโยชน์ที่ชอบด้วยกฎหมายของเด็ก คนที่สูญเสียหรือมีความสามารถทางกฎหมายจำกัด คนที่มีความยากลำบากในการรับรู้หรือควบคุมพฤติกรรม ยกเว้นกรณีกฎหมายกำหนดไว้ต่างไป.
บทความ 25 การคุ้มครองข้อมูลส่วนบุคคลในการสรรหา จัดการ และใช้แรงงาน
1. ความรับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงาน องค์กร หรือบุคคลในการสรรหางาน ถูกกำหนดดังต่อไปนี้:
a) สามารถร้องขอให้เสนอข้อมูลเพื่อวัตถุประสงค์ในการสรรหาเจ้าหน้าที่ องค์กร หรือบุคคลที่สอดคล้องกับกฎหมาย; ข้อมูลที่จัดเตรียมจะถูกใช้เพียงเพื่อวัตถุประสงค์ในการสรรหาและวัตถุประสงค์อื่นตามข้อตกลงที่สอดคล้องกับกฎหมาย;
b) ข้อมูลที่จัดเตรียมต้องได้รับการจัดการตามข้อกำหนดของกฎหมายและต้องได้รับความยินยอมจากผู้สมัคร;
c) ต้องลบหรือทำลายข้อมูลที่ผู้สมัครได้จัดเตรียมหากไม่ถูกสรรหา เว้นแต่จะมีข้อตกลงอื่นกับผู้สมัคร;
2. ความรับผิดชอบในการปกป้องข้อมูลส่วนบุคคลของหน่วยงาน องค์กร หรือบุคคลในการบริหารจัดการและการใช้งานแรงงานกำหนดดังนี้:
a) ปฏิบัติตามข้อกำหนดของกฎหมายนี้ กฎหมายเกี่ยวกับแรงงาน การจ้างงาน กฎหมายว่าด้วยข้อมูลและข้อกำหนดอื่น ๆ ของกฎหมายที่เกี่ยวข้อง;
b) ข้อมูลส่วนบุคคลของผู้ใช้แรงงานต้องเก็บไว้ตามระยะเวลาที่กฎหมายกำหนดหรือ ตามข้อตกลง;
c) ต้องลบ ทำลายข้อมูลส่วนบุคคลของผู้ใช้แรงงานเมื่อต้องสิ้นสุดสัญญา เว้นแต่มีข้อตกลงหรือกฎหมายกำหนดอื่น
3. การจัดการข้อมูลส่วนบุคคลของผู้ใช้แรงงานที่ถูกเก็บรวบรวมโดยวิธีเทคโนโลยีและเทคนิคในการบริหารจัดการผู้ใช้แรงงาน กำหนดดังนี้:
a) สามารถใช้เทคโนโลยีและวิธีการทางเทคนิคที่เหมาะสมตามกฎหมายและรับประกันสิทธิประโยชน์ของเจ้าของข้อมูลส่วนบุคคล โดยมีพื้นฐานว่าผู้ใช้แรงงานรับทราบวิธีนั้นอย่างชัดเจน;
b) ห้ามจัดการหรือใช้ข้อมูลส่วนบุคคลที่เก็บรวบรวมจากวิธีเทคโนโลยีและเทคนิคที่ผิดกฎหมาย
มาตรา 26 การปกป้องข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลด้านสุขภาพและในการดำเนินกิจกรรมธุรกิจประกันภัย
1. การคุ้มครองข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลสุขภาพและในการดำเนินธุรกิจประกันภัยกำหนดดังนี้:
a) ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในกระบวนการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคล ยกเว้นกรณีที่กำหนดไว้ในวรรค 1 มาตรา 19 ของกฎหมายนี้;
b) ปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วน รวมถึงข้อกำหนดอื่น ๆ ที่เกี่ยวข้องตามกฎหมาย
2. หน่วยงาน องค์กร หรือบุคคลที่ดำเนินกิจกรรมในสาขาสุขภาพ ห้ามให้ข้อมูลส่วนบุคคลแก่บุคคลที่สามซึ่งเป็นองค์กรที่ให้บริการดูแลสุขภาพ หรือบริการประกันสุขภาพ ประกันชีวิต ยกเว้นกรณีมีการร้องขอเป็นลายลักษณ์อักษรจากเจ้าของข้อมูลส่วนบุคคล หรือกรณีที่กำหนดไว้ในวรรค 1 มาตรา 19 ของกฎหมายนี้
3. องค์กรหรือบุคคลที่พัฒนาแอปพลิเคชันเกี่ยวกับการแพทย์ หรือแอปพลิเคชันเกี่ยวกับการทำธุรกิจประกันภัย ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างครบถ้วน
4. ในกรณีที่ธุรกิจดำเนินการประกันต่อ ประกันซ้ำ และมีการโอนข้อมูลส่วนบุคคลไปยังพันธมิตร ต้องระบุชัดเจนในสัญญากับลูกค้า
มาตรา 27 การคุ้มครองข้อมูลส่วนบุคคลในการดำเนินกิจกรรมทางการเงิน ธนาคาร และกิจกรรมข้อมูลเครดิต
1. องค์กรและบุคคลที่ดำเนินกิจกรรมในด้านการเงิน ธนาคาร และกิจกรรมข้อมูลเครดิตมีความรับผิดชอบดังต่อไปนี้:
ก) ปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลที่มีความอ่อนไหวมาตรฐานด้านความปลอดภัยและความมั่นคงในกิจกรรมทางการเงินและธนาคารตามที่กฎหมายกำหนด
ข) ห้ามใช้ข้อมูลเครดิตของเจ้าของข้อมูลส่วนบุคคลเพื่อการจัดคะแนน จัดอันดับเครดิต ประเมินข้อมูลเครดิต หรือประเมินความน่าเชื่อถือทางเครดิตของเจ้าของข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล
ค) เก็บรวบรวมเฉพาะข้อมูลส่วนบุคคลที่จำเป็นสำหรับกิจกรรมข้อมูลเครดิตจากแหล่งที่เหมาะสมตามที่กฎหมายนี้และกฎหมายอื่นที่เกี่ยวข้องกำหนด
d) แจ้งให้เจ้าของข้อมูลส่วนบุคคลทราบในกรณีที่ข้อมูลเกี่ยวกับบัญชีธนาคาร การเงิน เครดิต หรือข้อมูลเครดิตรั่วไหลหรือสูญหาย
2. องค์กรหรือบุคคลที่ดำเนินกิจกรรมข้อมูลเครดิตมีความรับผิดชอบในการปฏิบัติตามข้อกำหนดของกฎหมายนี้; ใช้มาตรการป้องกันการเข้าถึง ใช้งาน เปิดเผย แก้ไขข้อมูลส่วนบุคคลของลูกค้าโดยไม่ได้รับอนุญาต; มีวิธีการกู้คืนข้อมูลส่วนบุคคลของลูกค้าในกรณีที่สูญหาย; รักษาความลับในกระบวนการรวบรวม การจัดหา การประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อใช้ในการประเมินข้อมูลเครดิต
3. รัฐบาลกำหนดรายละเอียดของข้อบังคับนี้
มาตรา 28 การคุ้มครองข้อมูลส่วนบุคคลในการประกอบธุรกิจให้บริการโฆษณา
1. องค์กรหรือบุคคลที่ประกอบธุรกิจบริการโฆษณา สามารถใช้ข้อมูลส่วนบุคคลของลูกค้าได้เฉพาะที่ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลถ่ายโอนตามข้อตกลง หรือเก็บรวบรวมจากกิจกรรมทางธุรกิจของตนเท่านั้นเพื่อประกอบธุรกิจบริการโฆษณา การเก็บรวบรวม การใช้ และการถ่ายโอนข้อมูลส่วนบุคคลต้องรับประกันสิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่ระบุไว้ในมาตรา 4 ของกฎหมายนี้
2. ผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลสามารถถ่ายโอนข้อมูลส่วนบุคคลให้แก่ องค์กรหรือบุคคลที่ประกอบธุรกิจบริการโฆษณาได้ตามที่กฎหมายกำหนด
3. การประมวลผลข้อมูลส่วนบุคคลของลูกค้าเพื่อประกอบธุรกิจบริการโฆษณาต้องได้รับความยินยอมจากลูกค้า โดยอยู่บนฐานที่ลูกค้าทราบเนื้อหา วิธีการ รูปแบบ ความถี่ในการแนะนำสินค้า และจัดหาวิธีการให้ลูกค้าสามารถปฏิเสธการรับข้อมูลโฆษณาได้
4. การใช้ข้อมูลส่วนบุคคลเพื่อโฆษณาจะต้องเป็นไปตามข้อกำหนดของกฎหมายเกี่ยวกับการป้องกันและปราบปรามข้อความสแปม อีเมลขยะ การโทรขยะ และข้อกำหนดของกฎหมายเกี่ยวกับการโฆษณา
5. เจ้าของข้อมูลส่วนบุคคลมีสิทธิ์ร้องขอหยุดรับข้อมูลจากบริการโฆษณา องค์กรหรือบุคคลที่ประกอบธุรกิจบริการโฆษณาต้องจัดหากลไกและหยุดการโฆษณาตามคำร้องขอของเจ้าของข้อมูลส่วนบุคคล
6. องค์กรหรือบุคคลที่ประกอบธุรกิจบริการโฆษณาจะไม่สามารถให้เช่าหรือทำข้อตกลงเพื่อให้องค์กรหรือบุคคลอื่นทำหน้าที่แทนตนเองในการดำเนินการบริการโฆษณาที่ใช้ข้อมูลส่วนบุคคลทั้งหมด
7. องค์กรหรือบุคคลที่ประกอบธุรกิจบริการโฆษณาต้องมีความรับผิดชอบในการพิสูจน์การใช้ข้อมูลส่วนบุคคลของลูกค้าเพื่อโฆษณา; ปฏิบัติตามข้อกำหนดในวรรค 1, 2, 3, 4 ของมาตรานี้ และข้อกำหนดของกฎหมายเกี่ยวกับการโฆษณา
8. องค์กรและบุคคลเมื่อใช้ข้อมูลส่วนบุคคลเพื่อโฆษณาตามพฤติกรรมหรือมีเป้าหมายเฉพาะหรือปรับแต่งโฆษณาให้เหมาะสมต้องปฏิบัติตามข้อกำหนดในข้อกฎหมายนี้และข้อกำหนดต่อไปนี้:
ก) สามารถเก็บรวบรวมข้อมูลส่วนบุคคลได้เฉพาะผ่านการติดตามเว็บไซต์, พอร์ทัลข้อมูลอิเล็กทรอนิกส์, แอปพลิเคชันเมื่อได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล;
ข) ต้องจัดตั้งวิธีการให้เจ้าของข้อมูลส่วนบุคคลปฏิเสธการแบ่งปันข้อมูล; กำหนดระยะเวลาการเก็บรักษา; ลบ ทำลายข้อมูลเมื่อไม่จำเป็นต้องใช้อีกต่อไป.
ข้อ 29 การปกป้องข้อมูลส่วนบุคคลสำหรับแพลตฟอร์มโซเชียลมีเดียและบริการสื่อออนไลน์
องค์กรและบุคคลที่ให้บริการโซเชียลมีเดียและบริการสื่อออนไลน์มีความรับผิดชอบดังต่อไปนี้:
1. แจ้งให้ชัดเจนเกี่ยวกับเนื้อหาข้อมูลส่วนบุคคลที่รวบรวมเมื่อเจ้าของข้อมูลส่วนบุคคลติดตั้งและใช้โซเชียลเน็ตเวิร์ก บริการสื่อสารออนไลน์; ไม่รวบรวมข้อมูลส่วนบุคคลโดยไม่ชอบด้วยกฎหมายและเกินขอบเขตตามข้อตกลงกับลูกค้า
2. ห้ามขอให้ผู้ใช้ส่งภาพ วิดีโอที่มีเนื้อหาเอกสารประจำตัวทั้งหมดหรือบางส่วนเพื่อนำมาเป็นปัจจัยยืนยันบัญชี
3. ให้ตัวเลือกแก่ผู้ใช้ในการปฏิเสธการเก็บและแชร์ไฟล์ข้อมูล (เรียกว่า คุกกี้)
4. ให้ตัวเลือก 'ไม่ติดตาม' หรือสามารถติดตามการใช้งานโซเชียลเน็ตเวิร์ก บริการสื่อสารออนไลน์ได้เฉพาะเมื่อมีความยินยอมจากผู้ใช้
5. ห้ามดักฟัง สอดแนม หรือบันทึกเสียงโทรศัพท์และอ่านข้อความโดยไม่ได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล เว้นแต่กฎหมายกำหนดไว้แตกต่าง
6. เปิดเผยนโยบายความเป็นส่วนตัว อธิบายวิธีการเก็บ ใช้ และแบ่งปันข้อมูลส่วนบุคคลอย่างชัดเจน; จัดให้ผู้ใช้มีระบบเข้าถึง แก้ไข ลบข้อมูล และตั้งค่าความเป็นส่วนตัวสำหรับข้อมูลส่วนบุคคลของตน รายงานการละเมิดเกี่ยวกับความปลอดภัยและความเป็นส่วนตัว; ปกป้องข้อมูลส่วนบุคคลของประชาชนเวียดนามเมื่อมีการโอนข้อมูลข้ามพรมแดน; สร้างกระบวนการจัดการการละเมิดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างรวดเร็วและมีประสิทธิภาพ.
ข้อมูลและการตั้งค่าความเป็นส่วนตัวสำหรับข้อมูลส่วนบุคคล, รายงานการละเมิดเกี่ยวกับความปลอดภัยและความเป็นส่วนตัว; ปกป้องข้อมูลส่วนบุคคลของพลเมืองเวียดนามเมื่อมีการถ่ายโอนข้อมูลข้ามพรมแดน; สร้างกระบวนการจัดการการละเมิดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างรวดเร็วและมีประสิทธิภาพ
มาตรา 30. การปกป้องข้อมูลส่วนบุคคลในการประมวลผลข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน อวกาศเสมือน และคลาวด์
1. ข้อมูลส่วนบุคคลในสภาพแวดล้อมของข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน อวกาศเสมือน และคลาวด์ ต้องได้รับการประมวลผลตามวัตถุประสงค์ที่ถูกต้องและจำกัดในขอบเขตที่จำเป็น เพื่อรับประกันสิทธิประโยชน์ที่ถูกต้องตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล.
2. การจัดการข้อมูลส่วนบุคคลในสภาพแวดล้อมของข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน โลกเสมือน และคลาวด์คอมพิวติ้ง ต้องปฏิบัติตามข้อกำหนดของกฎหมายนี้และข้อกำหนดอื่น ๆ ของกฎหมายที่เกี่ยวข้อง; ต้องสอดคล้องกับมาตรฐานจริยธรรม ประเพณี และวัฒนธรรมของเวียดนาม
3. ระบบและบริการที่ใช้ข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน โลกเสมือน และคลาวด์คอมพิวติ้ง ต้องมีมาตรการรักษาความปลอดภัยของข้อมูลส่วนบุคคลที่เหมาะสม; ต้องใช้วิธีการตรวจสอบ การระบุบุคคลที่เหมาะสม และการกำหนดสิทธิ์การเข้าถึงเพื่อจัดการข้อมูลส่วนบุคคล
4. การประมวลผลข้อมูลส่วนบุคคลด้วยปัญญาประดิษฐ์ต้องทำการจำแนกตามระดับความเสี่ยงเพื่อมีมาตรการปกป้องข้อมูลส่วนบุคคลที่เหมาะสม
5. ห้ามใช้หรือพัฒนาระบบการประมวลผลข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน อวกาศเสมือน คลาวด์คอมพิวติงที่ใช้ข้อมูลส่วนบุคคลเพื่อก่อให้เกิดอันตรายต่อการป้องกันประเทศ ความมั่นคงแห่งชาติ ความสงบเรียบร้อย ความปลอดภัยของสังคม หรือละเมิดชีวิต สุขภาพ เกียรติยศ ศักดิ์ศรี ทรัพย์สินของผู้อื่น
6. รัฐบาลกำหนดรายละเอียดของข้อกำหนดนี้
มาตรา 31 การปกป้องข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลตำแหน่งส่วนบุคคลและข้อมูลชีวภาพ
1. ข้อมูลตำแหน่งส่วนบุคคลคือข้อมูลที่ระบุตำแหน่งของบุคคลผ่านเทคโนโลยีการกำหนดตำแหน่งเพื่อทราบตำแหน่งและช่วยระบุบุคคลนั้นๆ
2. ข้อมูลชีวภาพคือข้อมูลเกี่ยวกับคุณสมบัติทางกายภาพ ลักษณะชีวภาพเฉพาะตัวและคงที่ของบุคคลเพื่อระบุบุคคลนั้น
3. การปกป้องข้อมูลส่วนบุคคลเกี่ยวกับข้อมูลตำแหน่งส่วนบุคคลกำหนดดังนี้:
a) ห้ามใช้การติดตามตำแหน่งผ่านบัตรระบุความถี่วิทยุและเทคโนโลยีอื่น ๆ เว้นแต่จะได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคล หรือกรณีที่มีคำสั่งจากหน่วยงานที่มีอำนาจตามกฎหมาย หรือกรณีที่กฎหมายกำหนดอื่น ๆ;
b) องค์กรหรือบุคคลที่ให้บริการแพลตฟอร์มแอปพลิเคชันมือถือต้องแจ้งให้ผู้ใช้ทราบเกี่ยวกับการใช้ข้อมูลตำแหน่งส่วนบุคคล; มีมาตรการป้องกันการเก็บรวบรวมข้อมูลตำแหน่งส่วนบุคคลโดยองค์กรหรือบุคคลที่ไม่เกี่ยวข้อง; ให้ผู้ใช้มีตัวเลือกในการติดตามตำแหน่งส่วนบุคคล
4. การปกป้องข้อมูลชีวภาพกำหนดดังนี้:
a) หน่วยงาน องค์กร หรือบุคคลที่รวบรวมและประมวลผลข้อมูลไบโอเมตริกซ์ต้องมีมาตรการป้องกันทางกายภาพสำหรับอุปกรณ์จัดเก็บและส่งข้อมูลไบโอเมตริกซ์ของตน; จำกัดสิทธิ์การเข้าถึงข้อมูลไบโอเมตริกซ์; มีระบบติดตามเพื่อป้องกันและตรวจจับพฤติกรรมละเมิดข้อมูลไบโอเมตริกซ์; ปฏิบัติตามกฎหมายและมาตรฐานสากลที่เกี่ยวข้อง;
b) ในกรณีที่การประมวลผลข้อมูลไบโอเมตริกซ์ก่อให้เกิดความเสียหายต่อเจ้าของข้อมูลส่วนบุคคล องค์กรหรือบุคคลที่รวบรวมและประมวลผลข้อมูลไบโอเมตริกซ์ต้องแจ้งให้เจ้าของข้อมูลส่วนบุคคลนั้นทราบตามข้อกำหนดของรัฐบาล
มาตรา 32 การคุ้มครองข้อมูลส่วนบุคคลที่ได้จากกิจกรรมการบันทึกเสียง บันทึกภาพในที่สาธารณะ และกิจกรรมสาธารณะ
1. หน่วยงาน องค์กร หรือบุคคลที่บันทึกเสียง บันทึกภาพ และประมวลผลข้อมูลส่วนบุคคลที่ได้รับจากกิจกรรมการบันทึกเสียง บันทึกภาพในที่สาธารณะ กิจกรรมสาธารณะ โดยไม่จำเป็นต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้:
ก) เพื่อปฏิบัติภารกิจด้านการป้องกันประเทศ รักษาความมั่นคงของชาติ ประกันความสงบเรียบร้อย ความปลอดภัยของสังคม และคุ้มครองสิทธิ ผลประโยชน์ที่ชอบด้วยกฎหมายของหน่วยงาน องค์กร หรือบุคคล;
b) เสียง ภาพ และข้อมูลระบุตัวอื่น ๆ ที่ได้มาจากกิจกรรมสาธารณะ ได้แก่ การประชุม สัมมนา กิจกรรมการแข่งขันกีฬา การแสดงศิลปะ และกิจกรรมสาธารณะอื่น ๆ โดยไม่ทำลายเกียรติศักดิ์ ศักดิ์ศรี หรือชื่อเสียงของเจ้าของข้อมูลส่วนบุคคล;
c) กรณีอื่น ๆ ตามที่กฎหมายกำหนด
2. กรณีการบันทึกเสียงหรือภาพตามข้อ 1 ของบทความนี้ หน่วยงาน องค์กร หรือบุคคลต้องมีความรับผิดชอบในการแจ้งหรือโดยวิธีการอื่นเพื่อให้เจ้าของข้อมูลส่วนบุคคลทราบว่ากำลังถูกบันทึกเสียงหรือภาพ เว้นแต่กฎหมายกำหนดอื่น
3. ข้อมูลส่วนบุคคลที่ได้รับมาจะต้องถูกประมวลผลและใช้ให้เหมาะสมกับวัตถุประสงค์ของการประมวลผล และไม่สามารถนำไปใช้ในวัตถุประสงค์ที่ผิดกฎหมายหรือละเมิดสิทธิประโยชน์ที่ชอบด้วยกฎหมายของเจ้าของข้อมูลส่วนบุคคล
4. ข้อมูลส่วนบุคคลที่ได้มาจากกิจกรรมการบันทึกเสียง บันทึกภาพในที่สาธารณะ กิจกรรมสาธารณะจะถูกเก็บไว้เพียงระยะเวลาที่จำเป็นเพื่อการใช้งาน
วัตถุประสงค์ในการเก็บรวบรวม ยกเว้นในกรณีที่กฎหมายกำหนดไว้เป็นอย่างอื่น เมื่อครบกำหนดการจัดเก็บ ข้อมูลส่วนบุคคลต้องถูกลบหรือทำลายตามที่กฎหมายนี้กำหนด
5. หน่วยงาน องค์กร บุคคล ที่ดำเนินการบันทึกเสียง บันทึกภาพ หรือประมวลผลข้อมูลส่วนบุคคลที่ได้จากการบันทึกเสียง บันทึกภาพ ในกรณีที่กำหนดไว้ในวรรค 1 ของมาตรานี้ มีหน้าที่ปกป้องข้อมูลส่วนบุคคลตามที่กฎหมายฉบับนี้และข้อกำหนดอื่นของกฎหมายที่เกี่ยวข้องกำหนด
บทที่ III. กำลังพล เงื่อนไขการรับประกันการปกป้องข้อมูลส่วนบุคคล
มาตรา 33 กำลังป้องกันข้อมูลส่วนบุคคล
1. กำลังป้องกันข้อมูลส่วนบุคคลประกอบด้วย:
ก) หน่วยงานที่รับผิดชอบเฉพาะด้านการป้องกันข้อมูลส่วนบุคคลซึ่งอยู่ภายใต้กระทรวงมหาดไทย;
ข) แผนก บุคลากรที่ป้องกันข้อมูลส่วนบุคคลในหน่วยงาน องค์กร;
c) องค์กรหรือบุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล;
d) องค์กรหรือบุคคลที่ถูกจัดเข้ามามีส่วนร่วมในการปกป้องข้อมูลส่วนบุคคล.
2. หน่วยงานหรือองค์กรมีหน้าที่กำหนดฝ่ายหรือบุคคลที่มีความสามารถเพียงพอในการปกป้องข้อมูลส่วนบุคคลหรือจ้างองค์กร บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล.
3. รัฐบาลกำหนดเงื่อนไขและหน้าที่ของฝ่ายและบุคคลที่ปกป้องข้อมูลส่วนบุคคลในหน่วยงานหรือองค์กร; องค์กรหรือบุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล; บริการประมวลผลข้อมูลส่วนบุคคล.
มาตรา 34. มาตรฐานและข้อกำหนดทางเทคนิคเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล
1. มาตรฐานการปกป้องข้อมูลส่วนบุคคลรวมถึงมาตรฐานสำหรับระบบสารสนเทศ ฮาร์ดแวร์ ซอฟต์แวร์ การจัดการ การดำเนินงาน การประมวลผล และการปกป้องข้อมูลส่วนบุคคลที่ได้รับการเผยแพร่และยอมรับให้นำมาใช้ในเวียดนาม.
2. มาตรฐานทางเทคนิคเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ประกอบด้วยมาตรฐานทางเทคนิคสำหรับระบบสารสนเทศ ฮาร์ดแวร์ ซอฟต์แวร์ การบริหารจัดการ การดำเนินงาน การประมวลผล และการคุ้มครองข้อมูลส่วนบุคคล ซึ่งจัดทำ ออก และใช้บังคับในเวียดนาม
3. การออกมาตรฐานหรือมาตรฐานทางเทคนิคเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ดำเนินการตามข้อกำหนดของกฎหมายว่าด้วยมาตรฐานและมาตรฐานทางเทคนิค
มาตรา 35. การตรวจสอบการดำเนินงานการคุ้มครองข้อมูลส่วนบุคคล
การตรวจสอบการดำเนินงานการคุ้มครองข้อมูลส่วนบุคคล ดำเนินการตามข้อกำหนดของกฎหมายนี้และตามข้อกำหนดของรัฐบาล
บทที่ IV. หน้าที่ของหน่วยงาน องค์กร และบุคคล
เกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
มาตรา 36. หน้าที่การบริหารของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล
1. รัฐบาลดำเนินการบริหารของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างเป็นเอกภาพ
2. กระทรวงมหาดไทยเป็นหน่วยงานหลักที่รับผิดชอบต่อรัฐบาลในการดำเนินการบริหารรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล เว้นแต่เนื้อหาที่อยู่ในขอบเขตการบริหารของกระทรวงกลาโหม
3. กระทรวงกลาโหมรับผิดชอบต่อรัฐบาลในการดำเนินการบริหารรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลที่อยู่ในขอบเขตการบริหาร
4. กระทรวง หน่วยงานเทียบเท่ากระทรวง หน่วยงานภายใต้รัฐบาล ดำเนินการบริหารรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลสำหรับสาขาและด้านต่าง ๆ ที่อยู่ในขอบเขตการบริหารตามที่กฎหมายและหน้าที่ที่ได้รับมอบหมายกำหนด
5. คณะกรรมการประชาชนระดับจังหวัดดำเนินการบริหารรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายและหน้าที่ที่ได้รับมอบหมายกำหนด
มาตรา 37. ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล และผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคล
1. ความรับผิดชอบของผู้ควบคุมข้อมูลส่วนบุคคลมีดังนี้:
a) ระบุความรับผิดชอบ สิทธิ และหน้าที่ที่ต้องปฏิบัติของแต่ละฝ่ายในข้อตกลง สัญญาที่เกี่ยวข้องกับการจัดการข้อมูลส่วนบุคคลตามข้อกำหนดของกฎหมายนี้และกฎหมายอื่นที่เกี่ยวข้อง;
b) กำหนดวัตถุประสงค์และวิธีการจัดการข้อมูลส่วนบุคคลในเอกสาร ข้อตกลงกับเจ้าของข้อมูลส่วนบุคคล เพื่อให้เป็นไปตามหลักการและเนื้อหาตามที่กฎหมายนี้กำหนด;
c) ดำเนินมาตรการด้านการบริหารและเทคนิคที่เหมาะสมเพื่อปกป้องข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด ตรวจสอบและปรับปรุงมาตรการเหล่านี้เมื่อจำเป็น;
d) แจ้งการกระทำที่ละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามที่ระบุในมาตรา 23 ของกฎหมายนี้;
đ) เลือกผู้จัดการข้อมูลส่วนบุคคลที่เหมาะสมเพื่อจัดการข้อมูลส่วนบุคคล;
e) รับรองสิทธิของเจ้าของข้อมูลส่วนบุคคลตามที่ระบุในมาตรา 4 ของกฎหมายนี้;
g) รับผิดชอบต่อเจ้าของข้อมูลส่วนบุคคลเกี่ยวกับความเสียหายที่เกิดจากกระบวนการประมวลผลข้อมูลส่วนบุคคล;
h) ป้องกันการเก็บรวบรวมข้อมูลส่วนบุคคลโดยมิชอบจากระบบ อุปกรณ์ หรือบริการของตน;
i) ประสานงานกับกระทรวงสาธารณรัฐ สำนักงานรัฐที่มีอำนาจในด้านการปกป้องข้อมูลส่วนบุคคล ให้ข้อมูลเพื่อสนับสนุนการสอบสวนและการดำเนินการต่อการละเมิดกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;
k) ปฏิบัติหน้าที่อื่นตามที่กำหนดในกฎหมายนี้และกฎหมายอื่นที่เกี่ยวข้อง
2. หน้าที่ของผู้ประมวลผลข้อมูลส่วนบุคคลมีดังนี้:
a) สามารถรับข้อมูลส่วนบุคคลได้ก็ต่อเมื่อมีข้อตกลงหรือสัญญาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลกับผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคล;
b) ประมวลผลข้อมูลส่วนบุคคลตามข้อตกลงหรือสัญญาที่ลงนามกับผู้ควบคุมข้อมูลส่วนบุคคล หรือผู้ควบคุมและประมวลผลข้อมูลส่วนบุคคล
c) ดำเนินมาตรการปกป้องข้อมูลส่วนบุคคลอย่างครบถ้วนตามที่กฎหมายนี้และกฎหมายอื่นที่เกี่ยวข้องกำหนด;
d) รับผิดชอบต่อผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคลต่อความเสียหายที่เกิดจากกระบวนการประมวลผลข้อมูลส่วนบุคคล;
đ) ป้องกันการเก็บรวบรวมข้อมูลส่วนบุคคลโดยมิชอบจากระบบ อุปกรณ์ หรือบริการของตน;
e) ประสานงานกับกระทรวงมหาดไทย หน่วยงานรัฐที่มีอำนาจหน้าที่ในการปกป้องข้อมูลส่วนบุคคล และให้ข้อมูลเพื่อสนับสนุนการสืบสวนและดำเนินการต่อการละเมิดกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;
g) ปฏิบัติหน้าที่ความรับผิดชอบอื่นใดตามที่กฎหมายนี้และกฎหมายอื่นที่เกี่ยวข้องกำหนด.
3. ฝ่ายที่ควบคุมและจัดการข้อมูลส่วนบุคคลมีหน้าที่ปฏิบัติตามบทบัญญัติในวรรค 1 และวรรค 2 ของข้อกฎหมายนี้อย่างครบถ้วน
บทที่ 5 ข้อกำหนดในการบังคับใช้
บทที่ V. ข้อกำหนดการบังคับใช้
ข้อ 38. การมีผลบังคับใช้
1. กฎหมายนี้มีผลบังคับใช้ตั้งแต่วันที่ 01 เดือน 01 ปี 2026
2. ธุรกิจขนาดเล็กและธุรกิจเริ่มต้นมีสิทธิ์เลือกที่จะปฏิบัติหรือไม่ปฏิบัติตามข้อกำหนดในข้อ 21, ข้อ 22 และวรรค 2 ของข้อ 33 ของกฎหมายนี้เป็นเวลา 5 ปี นับจากวันที่กฎหมายนี้มีผลบังคับใช้ ยกเว้นธุรกิจขนาดเล็กและธุรกิจเริ่มต้นที่ดำเนินการบริการจัดการข้อมูลส่วนบุคคล, จัดการข้อมูลส่วนบุคคลที่มีความอ่อนไหวโดยตรง หรือจัดการข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคลจำนวนมาก
3. ผู้ประกอบการรายย่อยและกิจการขนาดจิ๋วไม่จำเป็นต้องปฏิบัติตามข้อกำหนดในมาตรา 21, มาตรา 22 และวรรค 2 ของมาตรา 33 ของกฎหมายนี้ ยกเว้นผู้ประกอบการรายย่อยและกิจการขนาดจิ๋วที่ให้บริการจัดการข้อมูลส่วนบุคคล, โดยตรงจัดการข้อมูลส่วนบุคคลที่ละเอียดอ่อน หรือจัดการข้อมูลส่วนบุคคลของจำนวนมากของเจ้าของข้อมูลส่วนบุคคล
4. รัฐบาลกำหนดรายละเอียดของวรรค 2 และวรรค 3 ของมาตรานี้
มาตรา 39. ข้อกำหนดการเปลี่ยนผ่าน
1. กิจกรรมการจัดการข้อมูลส่วนบุคคลที่กำลังดำเนินการอยู่ซึ่งได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลแล้วหรือเป็นไปตามข้อตกลงตามข้อกำหนดของพระราชกฤษฎีกาที่ 13/2023/NĐ-CP ลงวันที่ 17 เมษายน 2566 ของรัฐบาล ก่อนวันที่กฎหมายนี้มีผลบังคับใช้ ให้ดำเนินการต่อไป โดยไม่จำเป็นต้องขอความยินยอมหรือทำข้อตกลงใหม่
2. เอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล และเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลไปต่างประเทศตามข้อกำหนดของพระราชกฤษฎีกาเลขที่ 13/2023/ฉบับคณะรัฐมนตรี ลงวันที่ 17 เดือนเมษายน พ.ศ. 2566 ของรัฐบาล หากได้รับการรับเอกสารจากหน่วยงานที่มีหน้าที่เฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลก่อนวันที่กฎหมายนี้มีผลบังคับใช้ ยังคงสามารถใช้ต่อไปได้และไม่จำเป็นต้องทำเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล หรือเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดของกฎหมายนี้; การปรับปรุงเอกสารที่ได้จัดทำไว้ดังกล่าวหลังจากที่กฎหมายนี้มีผลบังคับใช้ ให้ดำเนินการตามข้อกำหนดของกฎหมายนี้./.
กฎหมายนี้ได้รับความเห็นชอบจากรัฐสภาสาธารณรัฐสังคมนิยมเวียดนาม สมัยที่ 15 การประชุมครั้งที่ 9 เมื่อวันที่ 26 เดือนมิถุนายน พ.ศ. 2568
ประธานรัฐสภา
Trần Thanh Mẫn