พระราชกฤษฎีกา 356/2025/NĐ-CP – แนวทางปฏิบัติตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล

อ้างอิงตามกฎหมายการจัดองค์กรของรัฐบาลเลขที่ 63/2025/QH15;

อ้างอิงตามพระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคล เลขที่ 91/2025/QH15;

อ้างอิงตามกฎหมายข้อมูลดิจิทัล เลขที่ 60/2024/QH15;

อ้างอิงตามพระราชบัญญัติแก้ไขและเพิ่มเติมบางมาตราของพระราชบัญญัติว่าด้วยการจัดซื้อจัดจ้าง, พระราชบัญญัติการลงทุนตามรูปแบบพันธมิตรภาครัฐและเอกชน, พระราชบัญญัติศุลกากร, พระราชบัญญัติภาษีมูลค่าเพิ่ม, พระราชบัญญัติภาษีส่งออกและภาษีนำเข้า, พระราชบัญญัติการลงทุน, พระราชบัญญัติการลงทุนของภาครัฐ, พระราชบัญญัติการบริหารและการใช้ทรัพย์สินของรัฐ ฉบับที่ 90/2025/QH15;

ตามคำเสนอของรัฐมนตรีว่าการกระทรวงตำรวจ;

รัฐบาลออกพระราชกฤษฎีกากำหนดรายละเอียดบางมาตราและมาตรการปฏิบัติของพระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคล.

บทที่ I. ข้อกำหนดทั่วไป

มาตรา 1. ขอบเขตการบังคับใช้

พระราชกฤษฎีกานี้กำหนดรายละเอียดมาตรา 2 วรรค 2, วรรค 3; มาตรา 4 วรรค 5; มาตรา 6 วรรค 3; มาตรา 9 วรรค 5; มาตรา 17 วรรค 3; มาตรา 20 วรรค 7; มาตรา 21 วรรค 7; มาตรา 22 วรรค 4; มาตรา 23 วรรค 5; มาตรา 27 วรรค 3; มาตรา 30 วรรค 6; ข้อ b วรรค 4 มาตรา 31; มาตรา 33 วรรค 3; มาตรา 35; มาตรา 38 วรรค 4 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล และกำหนดมาตรการเพื่อให้หน่วยงานปฏิบัติพระราชบัญญัติเกี่ยวกับการวิจัย การพัฒนาโซลูชันการปกป้องข้อมูลส่วนบุคคล หน่วยงานเฉพาะทางในการปกป้องข้อมูลส่วนบุคคล พอร์ทัลข้อมูลแห่งชาติด้านการปกป้องข้อมูลส่วนบุคคล ความรับผิดชอบของกระทรวง หน่วยงาน และท้องถิ่นในการปกป้องข้อมูลส่วนบุคคล และงบประมาณเพื่อรับรองการดำเนินงานในการปกป้องข้อมูลส่วนบุคคล

มาตรา 2. กลุ่มเป้าหมายการใช้

1. หน่วยงาน องค์กร และบุคคลเวียดนาม;

2. หน่วยงาน องค์กร และบุคคลต่างชาติในเวียดนาม;

3. หน่วยงาน องค์กร หรือบุคคลต่างประเทศที่เข้าร่วมโดยตรงหรือเกี่ยวข้องกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลของประชาชนเวียดนามและคนเชื้อสายเวียดนามที่ยังไม่ระบุสัญชาติซึ่งอาศัยอยู่ในเวียดนาม ได้รับการออกบัตรประจำตัวประชาชนแล้ว

ข้อ 3 รายการข้อมูลส่วนบุคคลพื้นฐาน

ข้อมูลส่วนบุคคลพื้นฐานประกอบด้วย:

1. นามสกุล ชื่อกลาง และชื่อเกิด ชื่ออื่น (ถ้ามี);

2. วัน เดือน ปีเกิด; วัน เดือน ปีตายหรือสูญหาย;

3. เพศ;

4. สถานที่เกิด สถานที่ลงทะเบียนเกิด สถานที่ลงทะเบียนถิ่นที่อยู่ประจำ สถานที่ลงทะเบียนที่พักชั่วคราว ที่อยู่ปัจจุบัน บ้านเกิด ที่อยู่ติดต่อ;

5. สัญชาติ;

6. รูปภาพของบุคคล;

7. หมายเลขโทรศัพท์ หมายเลขประจำตัวบุคคล หมายเลขหนังสือเดินทาง หมายเลขใบอนุญาตขับรถ หมายเลขทะเบียนรถ;

8. สถานภาพสมรส;

9. ข้อมูลเกี่ยวกับความสัมพันธ์ในครอบครัว (พ่อแม่ ลูก ภรรยา สามี);

10. ข้อมูลเกี่ยวกับหมายเลขบัญชีของบุคคล;

11. ข้อมูลอื่น ๆ ที่เกี่ยวข้องกับบุคคลใดบุคคลหนึ่งหรือช่วยระบุบุคคลใดบุคคลหนึ่งไม่อยู่ภายใต้ข้อกำหนดในมาตรา 4 ของพระราชกฤษฎีกานี้

มาตรา 4. รายชื่อข้อมูลส่วนบุคคลที่ละเอียดอ่อน

1. ข้อมูลส่วนบุคคลที่ละเอียดอ่อนประกอบด้วย:

ก) ข้อมูลที่เปิดเผยเชื้อชาติ สายพันธุ์เชื้อชาติ;

ข) มุมมองทางการเมือง ศาสนา ความเชื่อ;

ค) ข้อมูลเกี่ยวกับชีวิตส่วนตัว ความลับส่วนบุคคล ความลับครอบครัว;

ง) สุขภาพ;

จ) ข้อมูลไบโอเมตริก คุณลักษณะทางพันธุกรรม;

ฉ) ข้อมูลที่เปิดเผยชีวิตทางเพศ แนวโน้มทางเพศของบุคคล;

ช) ข้อมูลเกี่ยวกับอาชญากรรม การละเมิดกฎหมายที่ถูกรวบรวม เก็บรักษาโดยหน่วยงานบังคับใช้กฎหมาย;

ซ) ตำแหน่งของบุคคลที่ระบุผ่านบริการระบุตำแหน่ง;

ฌ) ข้อมูลชื่อผู้ใช้และรหัสผ่านในการเข้าถึงบัญชีตัวตนอิเล็กทรอนิกส์ของบุคคล; รูปถ่ายบัตรประจำตัวประชาชน บัตรประจำตัวประชาชน หลักฐานประชาชน;

k) ชื่อผู้ใช้ รหัสผ่านการเข้าถึงบัญชีธนาคาร; ข้อมูลบัตรธนาคาร ข้อมูลเกี่ยวกับประวัติการทำธุรกรรมของบัญชีธนาคาร; ข้อมูลทางการเงิน การเครดิต และข้อมูลเกี่ยวกับกิจกรรม ประวัติการทำธุรกรรมทางการเงิน หลักทรัพย์ ประกันภัยของลูกค้าที่สถาบันการเงิน สาขาธนาคารต่างประเทศ องค์กรให้บริการตัวกลางด้านการชำระเงิน หลักทรัพย์ ประกันภัย และองค์กรที่ได้รับอนุญาตอื่น ๆ;

l) ข้อมูลการติดตามพฤติกรรม การใช้บริการโทรคมนาคม โซเชียลมีเดีย บริการสื่อสารออนไลน์ และบริการอื่น ๆ ในโลกไซเบอร์;

m) ข้อมูลส่วนบุคคลอื่น ๆ ที่กฎหมายกำหนดให้ต้องเก็บเป็นความลับหรือจำเป็นต้องมีมาตรการรักษาความปลอดภัยที่เข้มงวด.

2. ในกระบวนการประมวลผลข้อมูลส่วนบุคคลที่ละเอียดอ่อน หน่วยงาน องค์กรต้องจัดทำระเบียบการกำหนดสิทธิ์เข้าถึง กระบวนการประมวลผล และมาตรการความปลอดภัย.

บทที่ II ความต้องการ เงื่อนไขการปกป้องข้อมูลส่วนบุคคล

มาตรา 5 การใช้สิทธิของเจ้าของข้อมูลส่วนบุคคล

1. ฝ่ายควบคุมข้อมูลส่วนบุคคลและฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องจัดทำขั้นตอน กระบวนการ และแบบฟอร์มที่ชัดเจนเพื่อให้เจ้าของข้อมูลส่วนบุคคลใช้สิทธิของตนได้อย่างเหมาะสมกับกิจกรรมการประมวลผลข้อมูลส่วนบุคคลและความรับผิดชอบของหน่วยงานที่เกี่ยวข้อง; เพื่อให้แน่ใจว่าเจ้าของข้อมูลส่วนบุคคลรับทราบเกี่ยวกับ

ขั้นตอนการดำเนินสิทธิตามที่กำหนดในวรรค 1 ของมาตรา 4 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล

2. เมื่อได้รับคำขอเพิกถอนความยินยอมในการอนุญาตให้ประมวลผลข้อมูลส่วนบุคคล จำกัดการประมวลผลข้อมูลส่วนบุคคล หรือคัดค้านการประมวลผลข้อมูลส่วนบุคคลตามขั้นตอนของเจ้าของข้อมูลส่วนบุคคล ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องตอบสนองภายใน 02 วันทำการ ให้ข้อมูลครบถ้วนแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนการหยุดประมวลผลข้อมูลส่วนบุคคล และดำเนินการภายใน 15 วัน เว้นแต่กรณีที่การประมวลผลข้อมูลส่วนบุคคลไม่ต้องได้รับความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามที่กำหนดในมาตรา 19 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคล กรณีที่จำเป็นต้องขอให้ฝ่ายประมวลผลข้อมูลส่วนบุคคลหรือบุคคลที่สามหยุดประมวลผลข้อมูลส่วนบุคคลของเจ้าของข้อมูลส่วนบุคคล ให้ดำเนินการภายใน 20 วัน

ขึ้นอยู่กับลักษณะ ความซับซ้อนของคำขอ ในกรณีที่ต้องขยายระยะเวลาในการดำเนินการ สามารถขยายได้ไม่เกิน 1 ครั้ง โดยไม่เกิน 15 วัน ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องแจ้งผู้ถือข้อมูลส่วนบุคคลถึงเหตุผลที่ต้องขยายเวลาและรับผิดชอบในการพิสูจน์ว่าการขยายเวลานั้นจำเป็นและสมเหตุสมผล

3. เมื่อได้รับคำขอดู แก้ไข หรือคำขอแก้ไขข้อมูลส่วนบุคคล ให้จัดหาข้อมูลส่วนบุคคลตามขั้นตอนของผู้ถือข้อมูลส่วนบุคคล ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องตอบกลับภายใน 2 วันทำการ ให้ข้อมูลครบถ้วนแก่ผู้ถือข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนและดำเนินการภายใน 10 วัน ในกรณีที่ต้องขอให้ฝ่ายประมวลผลข้อมูลส่วนบุคคล ฝ่ายที่สาม แก้ไขข้อมูลส่วนบุคคลของผู้ถือข้อมูลส่วนบุคคล ให้ดำเนินการภายใน 15 วัน

ขึ้นอยู่กับลักษณะและความซับซ้อนของคำขอ ในกรณีที่จำเป็นต้องขยายเวลาการดำเนินการ สามารถขยายเวลาได้เพิ่มสูงสุด 1 ครั้งโดยไม่เกิน 10 วัน ฝ่ายควบคุมข้อมูลส่วนบุคคลและฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลจะแจ้งเหตุผลที่จำเป็นต้องขยายเวลาแก่เจ้าของข้อมูลส่วนบุคคล และรับผิดชอบในการพิสูจน์ว่าการขยายเวลานั้นจำเป็นและเหมาะสม

4. เมื่อได้รับคำขอลบข้อมูลส่วนบุคคลตามขั้นตอนของเจ้าของข้อมูลส่วนบุคคล ฝ่ายควบคุมข้อมูลส่วนบุคคลและฝ่ายควบคุมและประมวลผลข้อมูล

บุคคลต้องตอบกลับภายใน 02 วันทำการ ให้ข้อมูลครบถ้วนแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนและดำเนินการภายใน 20 วัน กรณีที่ต้องการให้ผู้ประมวลผลข้อมูลส่วนบุคคล บุคคลภายนอกจัดหา ลบ จำกัดการประมวลผลข้อมูลของเจ้าของข้อมูลส่วนบุคคล ต้องดำเนินการภายใน 30 วัน

ขึ้นอยู่กับลักษณะและความซับซ้อนของคำขอ ในกรณีที่ต้องการขยายระยะเวลาดำเนินการ จะสามารถขยายได้เพิ่มอีกไม่เกิน 1 ครั้ง ภายในระยะเวลาไม่เกิน 20 วัน ทางฝ่ายที่ควบคุมข้อมูลส่วนบุคคล และฝ่ายที่ควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องแจ้งแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับเหตุผลที่ต้องขยายเวลาและมีความรับผิดชอบในการพิสูจน์ว่าการขยายเวลาเป็นสิ่งจำเป็นและสมเหตุสมผล

5. เมื่อได้รับคำขอให้ดำเนินมาตรการหรือวิธีการปกป้องข้อมูลส่วนบุคคลตามขั้นตอนที่ถูกต้องของเจ้าของข้อมูลส่วนบุคคล หน่วยงานที่มีอำนาจ หรือหน่วยงาน องค์กร บุคคลที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคล ต้องตอบกลับภายในระยะเวลา 2 วันทำการ และให้ข้อมูลครบถ้วนแก่เจ้าของข้อมูลส่วนบุคคลเกี่ยวกับขั้นตอนและดำเนินการภายในระยะเวลา 15 วัน

ขึ้นอยู่กับลักษณะ ความซับซ้อนของคำขอ ในกรณีที่ต้องขยายระยะเวลาในการดำเนินการ สามารถขยายได้ไม่เกิน 1 ครั้ง โดยไม่เกิน 15 วัน ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องแจ้งผู้ถือข้อมูลส่วนบุคคลถึงเหตุผลที่ต้องขยายเวลาและรับผิดชอบในการพิสูจน์ว่าการขยายเวลานั้นจำเป็นและสมเหตุสมผล

มาตรา 6 วิธีการแสดงความยินยอมของเจ้าของข้อมูลส่วนบุคคล

1. วิธีการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลต้องรับประกันความสามารถในการตรวจสอบการระบุว่าผู้เป็นเจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอม เวลาและเนื้อหาที่ได้ให้ความยินยอม รวมถึง:

ก) เป็นลายลักษณ์อักษร;

ข) ผ่านการโทรบันทึกเสียง;

ค) การยินยอมผ่านข้อความโทรศัพท์;

ง) ผ่านอีเมล หน้าเว็บไซต์ แพลตฟอร์ม แอปพลิเคชันที่มีการตั้งค่าทางเทคนิคในการขอความยินยอม;

จ) โดยวิธีอื่นที่เหมาะสมซึ่งสามารถพิมพ์หรือคัดลอกเป็นลายลักษณ์อักษร รวมถึงในรูปแบบอิเล็กทรอนิกส์หรือรูปแบบที่สามารถตรวจสอบได้

2. ฝ่ายที่ควบคุมข้อมูล ฝ่ายที่ควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องเก็บรักษาความยินยอมของเจ้าของข้อมูล ในกรณีเกิดข้อพิพาท ความรับผิดชอบในการพิสูจน์การยินยอมของเจ้าของข้อมูลส่วนบุคคลตกอยู่ที่ฝ่ายที่ควบคุมข้อมูลส่วนบุคคล ฝ่ายที่ควบคุมและประมวลผลข้อมูลส่วนบุคคล

3. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลต้องไม่ตั้งค่าเริ่มต้นให้ตกลงโดยอัตโนมัติหรือสร้างคำแนะนำที่ไม่ชัดเจน ทำให้เกิดความเข้าใจผิดระหว่างการยินยอมและไม่ยินยอมสำหรับเจ้าของข้อมูล การตั้งค่าเริ่มต้นที่มีอยู่ต้องรับประกันหลักการคุ้มครองข้อมูลส่วนบุคคล และเคารพสิทธิของเจ้าของข้อมูลส่วนบุคคล

4. สำหรับการขอความยินยอมในการประมวลผลข้อมูลส่วนบุคคลที่ละเอียดอ่อน เจ้าของข้อมูลต้องได้รับแจ้งว่าข้อมูลที่ต้องประมวลผลเป็นข้อมูลส่วนบุคคลที่ละเอียดอ่อน

ข้อ 7 การโอนข้อมูลส่วนบุคคล

1. องค์กรหรือบุคคลที่โอนข้อมูลส่วนบุคคลตามข้อ a ข้อ c และข้อ d ของวรรค 1 มาตรา 17 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคล ต้องจัดทำข้อตกลงเกี่ยวกับการโอนข้อมูลส่วนบุคคลกับฝ่ายที่รับข้อมูลส่วนบุคคล โดยระบุเนื้อหาต่อไปนี้อย่างชัดเจน:

a) วัตถุประสงค์ของการโอนข้อมูลส่วนบุคคล;

b) บุคคลหรือหน่วยงานที่เกี่ยวข้องกับข้อมูลส่วนบุคคลและประเภทของข้อมูลส่วนบุคคลที่โอนต้องสอดคล้องกับวัตถุประสงค์ของการโอน;

c) ระยะเวลาการประมวลผลข้อมูลส่วนบุคคล ข้อกำหนดเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคลหลังจากเสร็จสิ้นวัตถุประสงค์ของการโอน;

d) พื้นฐานทางกฎหมายของการโอนข้อมูลส่วนบุคคล;

đ) ความรับผิดชอบในการปกป้องข้อมูลส่วนบุคคลในระหว่างการโอนและการประมวลผลข้อมูลส่วนบุคคล;

e) ความรับผิดชอบในการดำเนินสิทธิของเจ้าของข้อมูลส่วนบุคคล;

g) ความรับผิดชอบในการประสานงานและปฏิบัติตามของคู่สัญญาในกรณีที่ตรวจพบการละเมิดข้อกำหนดการปกป้องข้อมูลส่วนบุคคล

2. การโอนข้อมูลส่วนบุคคลที่มีความอ่อนไหวต้องมีมาตรการการรักษาความปลอดภัยทางกายภาพสำหรับอุปกรณ์จัดเก็บและการส่งข้อมูล มาตรการการเข้ารหัส การทำข้อมูลส่วนบุคคลให้เป็นนิรนาม และมาตรการรักษาความปลอดภัยอื่น ๆ ในระหว่างการโอนข้อมูล

3. กรณีการโอนข้อมูลส่วนบุคคลตามข้อ a, ข้อ d วรรค 1 มาตรา 17 ของพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลมีค่าธรรมเนียมเพื่อให้บริการแก่เจ้าของข้อมูลส่วนบุคคล หรือเพื่อประโยชน์ตามกฎหมายของเจ้าของข้อมูลส่วนบุคคล องค์กร บุคคลต้องปฏิบัติตามข้อกำหนดดังนี้:

a) ต้องจัดตั้งระบบทางเทคนิคและกลไกที่โปร่งใสเพื่อให้เจ้าของข้อมูลส่วนบุคคลยินยอมอย่างถูกต้อง ชัดเจนในแต่ละครั้งที่มีการโอน โดยอิงจากการรับทราบวัตถุประสงค์การโอน ข้อมูลขององค์กรหรือบุคคลที่รับและประมวลผลข้อมูลส่วนบุคคลอย่างถูกต้อง

b) สามารถประมวลผลข้อมูลส่วนบุคคลได้เฉพาะเพื่อวัตถุประสงค์การโอนที่เจ้าของข้อมูลส่วนบุคคลยินยอมเท่านั้น และสอดคล้องกับสาขาอาชีพที่จดทะเบียนทำธุรกิจ

c) ประเภทของข้อมูลส่วนบุคคลที่โอนต้องจำกัดอยู่ในขอบเขตของวัตถุประสงค์การโอน

d) ห้ามเก็บรวบรวม จัดเก็บ หรือสร้างคลังข้อมูลส่วนบุคคลจากกิจกรรมการโอนข้อมูลส่วนบุคคลเพื่อใช้ในวัตถุประสงค์อื่นนอกเหนือจากวัตถุประสงค์ที่เจ้าของข้อมูลส่วนบุคคลได้ให้ความยินยอม;

đ) ระบุบทบาทของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ประมวลผลข้อมูลส่วนบุคคล และบุคคลที่สามในการโอนข้อมูลส่วนบุคคลให้ชัดเจน;

e) ต้องมีข้อตกลงในการโอนและประมวลผลข้อมูลส่วนบุคคลก่อนการโอนและให้คำมั่นรับผิดชอบต่อเจ้าของข้อมูลส่วนบุคคล

4. ในกรณีที่มีการแบ่งปันข้อมูลส่วนบุคคลระหว่างหน่วยงานต่าง ๆ ภายในองค์กรเดียวกันเพื่อประมวลผลข้อมูลส่วนบุคคลให้สอดคล้องกับวัตถุประสงค์ที่กำหนดไว้ องค์กรต้องสร้างกระบวนการควบคุมการแบ่งปันและการใช้ข้อมูลส่วนบุคคลให้ถูกต้องตามกฎระเบียบ; มีมาตรการป้องกันและต่อต้านการที่บุคลากรภายในองค์กรแบ่งปันข้อมูลส่วนบุคคลอย่างผิดกฎหมายกับบุคคลที่สาม

5. ข้อมูลส่วนบุคคลต้องถูกทำให้ไม่สามารถระบุตัวตนก่อนทำธุรกรรมบนตลาดข้อมูล

6. หน่วยงาน องค์กร หรือบุคคลที่ให้ข้อมูลส่วนบุคคลตามวรรค 2 ของมาตรา 15 ของกฎหมายคุ้มครองข้อมูลส่วนบุคคลตามคำขอเฉพาะของเจ้าของข้อมูลจะไม่ถือว่าเป็นการโอนข้อมูลและไม่ต้องปฏิบัติตามข้อกำหนดในมาตรานี้

มาตรา 8. การคุ้มครองข้อมูลส่วนบุคคลในการดำเนินกิจกรรมทางการเงิน ธนาคาร และกิจกรรมด้านข้อมูลเครดิต

1. องค์กรหรือบุคคลที่ดำเนินกิจกรรมในสาขาการเงิน ธนาคาร และกิจกรรมข้อมูลเครดิต มีความรับผิดชอบในการนำมาตรฐานและข้อกำหนดทางเทคนิคในการปกป้องข้อมูลส่วนบุคคลไปใช้; ข้อกำหนดทางเทคนิคในการทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวบุคคล และการทำให้ข้อมูลส่วนบุคคลเป็นนิรนามที่ถูกประกาศและใช้ในเวียดนามไปใช้; ดำเนินการประเมินการปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างน้อยปีละครั้ง; จดบันทึกประวัติการดำเนินการทั้งหมดเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล

2. องค์กรหรือบุคคลที่ดำเนินกิจกรรมในสาขาการเงิน ธนาคาร และกิจกรรมข้อมูลเครดิต คือฝ่ายที่ควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล เมื่อขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล ต้องมั่นใจว่าได้ระบุอย่างชัดเจน:

a) วัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล รวมถึงกิจกรรมการให้คะแนน การจัดอันดับเครดิต การประเมินข้อมูลเครดิต การประเมินความน่าเชื่อถือด้านเครดิตหากมี

b) แหล่งที่มาของการเก็บรวบรวมข้อมูลส่วนบุคคลและฝ่ายที่เก็บ รวบรวม แชร์ข้อมูลส่วนบุคคลที่เกี่ยวข้อง;

c) ระยะเวลาการเก็บรักษาข้อมูลส่วนบุคคล;

d) กลไก วิธีการในการถอนความยินยอม และนโยบายการลบ ทำลายข้อมูลส่วนบุคคลตามข้อกำหนด

3. ภายในระยะเวลาไม่เกิน 72 ชั่วโมงหลังจากพบการรั่วไหลหรือสูญหายของข้อมูลที่ละเอียดอ่อนของเจ้าของข้อมูลส่วนบุคคลในด้านการเงิน ธนาคาร การดำเนินงานข้อมูลเครดิต องค์กรหรือบุคคลที่เก็บรวบรวมข้อมูลส่วนบุคคลของเจ้าของข้อมูลโดยตรงต้องมีหน้าที่แจ้งให้หน่วยงานเฉพาะทางคุ้มครองข้อมูลทราบ

บุคคลและหน่วยงานผู้ถือข้อมูลส่วนบุคคล เนื้อหาการแจ้งต้องรับรองอย่างน้อยตามเนื้อหาที่กำหนดในวรรค 1 มาตรา 28 ของพระราชกำหนดนี้

มาตรา 9 การปกป้องข้อมูลส่วนบุคคลในการประมวลผลข้อมูลขนาดใหญ่

1. การประมวลผลข้อมูลขนาดใหญ่อย่างที่มีข้อมูลส่วนบุคคลเป็นกิจกรรมการประมวลผลข้อมูลส่วนบุคคลในระดับใหญ่ มีความต่อเนื่อง รวมจากหลายแหล่งข้อมูล มีความสามารถในการวิเคราะห์พฤติกรรม ทำนายแนวโน้ม หรือจำแนกผู้ใช้งาน

2. กรณีการประมวลผลข้อมูลขนาดใหญ่อย่างที่มีข้อมูลส่วนบุคคล หน่วยงาน องค์กร หรือบุคคลที่เกี่ยวข้องมีหน้าที่รับผิดชอบดังนี้:

ก) ปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลในระหว่างการประมวลผลข้อมูลตั้งแต่เริ่มต้น

ข) เก็บ ประมวลผล และจัดเก็บข้อมูลส่วนบุคคลเฉพาะในขอบเขตที่เหมาะสม และสอดคล้องกับวัตถุประสงค์ที่เฉพาะเจาะจงและชัดเจน

ค) จัดทำนโยบายการจัดเก็บ การลบ หรือทำลายข้อมูลส่วนบุคคลอย่างเหมาะสมและถูกต้องตามกฎหมาย

d) จัดอบรม เผยแพร่ และเสริมสร้างความตระหนักเกี่ยวกับความปลอดภัยของข้อมูลส่วนบุคคลและมาตรการปกป้องข้อมูลส่วนบุคคลแก่พนักงานเป็นประจำ โดยเฉพาะพนักงานที่จัดการข้อมูลส่วนบุคคลโดยตรง เพิ่มความตระหนักถึงความสำคัญของการปกป้องข้อมูลส่วนบุคคลในองค์กร;

đ) ทำข้อตกลงกับบุคคลที่สาม คู่ค้า และผู้ให้บริการเพื่อให้มั่นใจว่าผู้เกี่ยวข้องปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างครบถ้วน;

e) มีระบบการแจ้งและอธิบายที่เหมาะสมแก่เจ้าของข้อมูลเกี่ยวกับการใช้ข้อมูลส่วนบุคคลของพวกเขาในระบบวิเคราะห์ข้อมูลขนาดใหญ่

3. หน่วยงาน องค์กร บุคคล ใช้มาตรการปกป้องข้อมูลส่วนบุคคลในกระบวนการจัดการข้อมูลขนาดใหญ่ รวมถึง:

a) ใช้มาตรการเพื่อรับประกันความปลอดภัยทางไซเบอร์ ความปลอดภัยของข้อมูล และป้องกันการรั่วไหลของข้อมูลส่วนบุคคลในกระบวนการจัดเก็บ จัดการ และถ่ายโอนข้อมูลส่วนบุคคล;

b) ใช้วิธีการตรวจสอบตัวตนที่เข้มงวด โดยอย่างน้อยต้องมีการตรวจสอบตัวตนหลายปัจจัย (รหัสผ่าน, รหัส PIN ร่วมกับรหัสผ่านใช้ครั้งเดียว, อุปกรณ์ลงลายมือชื่อดิจิทัล หรือปัจจัยทางชีวภาพ) ให้เหมาะสมกับระดับความละเอียดอ่อนของข้อมูลส่วนบุคคล; แบ่ง

สิทธิ์การเข้าถึงเพื่อให้แน่ใจว่ามีเพียงผู้ที่มีสิทธิ์เท่านั้นที่สามารถเข้าถึงข้อมูลส่วนบุคคลได้;

c) ดำเนินการเข้ารหัสและทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนได้ (กระบวนการแยกข้อมูลที่สามารถระบุตัวบุคคลเฉพาะเพื่อเก็บรักษาและรักษาความปลอดภัยแยกต่างหาก ข้อมูลส่วนบุคคลหลังจากกระบวนการนี้สามารถนำไปใช้ในการประมวลผลโดยไม่สามารถระบุตัวบุคคลเฉพาะได้) ในระหว่างการถ่ายโอนและจัดหา ข้อมูลส่วนบุคคล เว้นแต่กฎหมายที่เกี่ยวข้องจะมีข้อกำหนดอื่น หรือเมื่อการประมวลผลต้องการข้อมูลในรูปแบบที่สามารถอ่านได้เพื่อใช้ในการป้องกันอาชญากรรม การป้องกันการฟอกเงิน รักษาความมั่นคงของชาติ การจัดการข้อร้องเรียนหรือข้อพิพาทของลูกค้า ในกรณีเหล่านี้ หน่วยงานหรือองค์กรต้องใช้มาตรการรักษาความปลอดภัยเพิ่มเติมเพื่อให้แน่ใจว่าข้อมูลส่วนบุคคลไม่ถูกเข้าถึงหรือใช้โดยไม่ได้รับอนุญาต;

d) ดำเนินการตรวจสอบอย่างต่อเนื่อง ใช้เครื่องมือตรวจสอบเพื่อติดตามกิจกรรมการเข้าถึงข้อมูลส่วนบุคคลและตรวจจับพฤติกรรมที่ผิดปกติ;

ง) ดำเนินการตรวจสอบและประเมินความปลอดภัยทางไซเบอร์และการรักษาความปลอดภัยของข้อมูลเป็นประจำเพื่อค้นหา ป้องกัน และแก้ไขช่องโหว่ด้านความปลอดภัย

มาตรา 10 การคุ้มครองข้อมูลส่วนบุคคลในระบบปัญญาประดิษฐ์และจักรวาลเสมือน

1. องค์กรและบุคคลมีสิทธิ์ใช้ข้อมูลส่วนบุคคลเพื่อการวิจัย พัฒนาอัลกอริทึมการเรียนรู้ด้วยตนเอง ระบบปัญญาประดิษฐ์ และระบบอัตโนมัติอื่น ๆ แต่ต้องมั่นใจว่าปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

2. ข้อมูลจากผลลัพธ์การให้เหตุผลของปัญญาประดิษฐ์ หากสามารถใช้เพื่อระบุหรือช่วยระบุบุคคลเฉพาะได้ ต้องนำมาตรการคุ้มครองข้อมูลส่วนบุคคลไปใช้ตามกฎหมาย

3. ฝ่ายที่ควบคุมข้อมูลส่วนบุคคล ฝ่ายที่ควบคุมและประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ต้องแจ้งให้เจ้าของข้อมูลทราบเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลโดยอัตโนมัติ อธิบายหลักการทำงานของอัลกอริทึมและผลกระทบต่อสิทธิและประโยชน์ที่ชอบด้วยกฎหมายของเจ้าของข้อมูล และเสนอทางเลือกเพื่อให้เจ้าของข้อมูลมีสิทธิที่จะไม่เข้าร่วม

4. จักรวาลเสมือน (metaverse) คือจักรวาลดิจิทัลที่รวมเอาด้านต่าง ๆ ของสื่อสังคมออนไลน์ เกมออนไลน์ ความจริงเสริม (AR) ความจริงเสมือน (VR) อินเทอร์เน็ต และสกุลเงินดิจิทัล เพื่อให้ผู้ใช้สามารถใช้เทคโนโลยีความจริงเสมือนในการโต้ตอบ

5. องค์กรและบุคคลที่นำมาตรการปกป้องข้อมูลส่วนบุคคลมาใช้ในระบบปัญญาประดิษฐ์ จักรวาลเสมือน ประกอบด้วย:

a) ศึกษา พัฒนา และดำเนินการระบบที่ตอบสนองต่อมาตรฐานความปลอดภัยในโลกไซเบอร์ มาตรฐานการปกป้องข้อมูลครอบคลุมสำหรับระบบปัญญาประดิษฐ์ โดยเน้นเป็นพิเศษในปัจจัยต่าง ๆ: ความมั่นคงของข้อมูล ความน่าเชื่อถือของอัลกอริทึม ความเสถียรของระบบ และความสามารถในการป้องกันการโจมตีทางไซเบอร์;

b) จัดตั้งกลไกการตรวจสอบการทำงานของระบบปัญญาประดิษฐ์ในสองด้าน: การตรวจสอบโดยหน่วยงานของรัฐที่มีอำนาจ; ความรับผิดชอบในการชี้แจงต่อเจ้าของข้อมูลส่วนบุคคลของผู้ควบคุมข้อมูลส่วนบุคคล ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคล;

c) สร้างกลไกการปกป้องข้อมูลส่วนบุคคลตามมาตรฐานที่เหมาะสม พัฒนาระบบการตรวจสอบและเตือนภัยล่วงหน้าเกี่ยวกับความเสี่ยงทางความปลอดภัยในโลกไซเบอร์;

d) จัดตั้งกลไกควบคุม ป้องกันการเอาเทคโนโลยีปัญญาประดิษฐ์และจักรวาลเสมือนมาใช้ในกิจกรรมที่ละเมิดความมั่นคงของชาติและความสงบเรียบร้อยของสังคม;

d) ดำเนินการประเมินการปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลเป็นประจำปีละครั้ง

6. เจ้าของข้อมูลส่วนบุคคลต้องมีสิทธิ์แก้ไข ซ่อนตัวตน หรือ ลบข้อมูลประจำตัว แม้ในกรณีที่แพลตฟอร์มได้เก็บประวัติพฤติกรรมไว้

ข้อ 11 การปกป้องข้อมูลส่วนบุคคลในเทคโนโลยีบล็อกเชน

1. หน่วยงาน องค์กร และบุคคลที่เกี่ยวข้องเมื่อมีการจัดการข้อมูลส่วนบุคคลในเทคโนโลยีบล็อกเชน มีหน้าที่ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลตั้งแต่ขั้นตอนการวิจัย พัฒนา ผลิตภัณฑ์ บริการ แอปพลิเคชัน ระบบที่ใช้เทคโนโลยีบล็อกเชน และในระหว่างกระบวนการจัดการข้อมูลส่วนบุคคล

2. หน่วยงาน องค์กร และบุคคลต้องนำมาตรการปกป้องข้อมูลส่วนบุคคลมาใช้เมื่อมีการจัดการข้อมูลส่วนบุคคลในเทคโนโลยีบล็อกเชน ซึ่งรวมถึง:

a) ใช้เฉพาะอัลกอริทึ่มเข้ารหัส อัลกอริทึ่มแฮช และอัลกอริทึ่มการลงลายมือชื่อที่ปลอดภัยเท่านั้น;

b) ไม่เก็บข้อมูลส่วนบุคคลโดยตรงบนบล็อกเชน เก็บเฉพาะเมื่อข้อมูลส่วนบุคคลถูกทำให้ไม่สามารถระบุตัวตนได้ หรือเก็บค่าแฮชของข้อมูลส่วนบุคคล;

c) ดำเนินการประเมินการปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นประจำทุก 1 ปี

มาตรา 12. การคุ้มครองข้อมูลส่วนบุคคลในระบบคลาวด์

1. หน่วยงาน องค์กร และบุคคลที่เกี่ยวข้องต้องใช้มาตรการทางเทคนิคและด้านองค์กรเพื่อป้องกันไม่ให้ข้อมูลส่วนบุคคลถูกเข้าถึงโดยไม่ได้รับอนุญาตเมื่อให้บริการคลาวด์

2. องค์กรและบุคคลที่ทำสัญญาเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคลกับผู้ให้บริการคลาวด์มีความรับผิดชอบดังนี้:

a) ระบุชัดเจนในเนื้อหาสัญญาเกี่ยวกับการปฏิบัติตามข้อกำหนดของกฎหมายเวียดนามเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล; ให้ข้อมูลเกี่ยวกับฝ่ายและบุคลากรที่รับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคล; ปฏิบัติตามข้อกำหนดเกี่ยวกับกระบวนการทางราชการที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด;

b) กำหนดลำดับการประมวลผลข้อมูลส่วนบุคคลอย่างชัดเจน และบทบาทของฝ่ายต่างๆ ในการให้บริการคลาวด์และความรับผิดชอบที่สอดคล้องกัน;

c) มีข้อกำหนดเกี่ยวกับมาตรการด้านความปลอดภัยด้านเทคนิคและด้านองค์กร และระบุอย่างชัดเจนในสัญญา;

d) แจ้งให้ฝ่ายที่เกี่ยวข้องทราบทันทีเกี่ยวกับการเปลี่ยนแปลงใดๆ ที่อาจส่งผลต่อข้อมูลส่วนบุคคล;

đ) ปฏิบัติตามระยะเวลาการประมวลผลข้อมูลส่วนบุคคลและข้อกำหนดเกี่ยวกับการลบหรือทำลายข้อมูลส่วนบุคคล;

e) รับรองการปฏิบัติตามสิทธิของเจ้าของข้อมูลส่วนบุคคล;

g) ดำเนินมาตรการทางเทคนิคทั้งหมดเพื่อรับรองว่าการเข้าถึงข้อมูลส่วนบุคคลมีการจัดลำดับชั้นอย่างเหมาะสม

3. องค์กรที่ให้บริการระบบคลาวด์คอมพิวติ้ง:

ก) ปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของเวียดนาม ให้ข้อมูลเกี่ยวกับแผนกและเจ้าหน้าที่ที่รับผิดชอบในการคุ้มครองข้อมูลส่วนบุคคล และปฏิบัติตามข้อกำหนดเกี่ยวกับขั้นตอนทางธุรการที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย

ข) ขอให้ผู้รับจ้างย่อยปฏิบัติตามข้อกำหนดและหน้าที่ในการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย

ค) ใช้มาตรการทางเทคนิคและการจัดการในระดับที่เหมาะสมกับขนาดและระดับการประมวลผลข้อมูลส่วนบุคคลของตน

ง) ดำเนินการประเมินการปฏิบัติตามข้อกำหนดด้านการคุ้มครองข้อมูลส่วนบุคคลอย่างน้อยปีละ 1 ครั้ง

4. ข้อมูลส่วนบุคคลบนคลาวด์คอมพิวติ้งต้องเข้ารหัสทั้งขณะพักและขณะส่ง พร้อมกับการกำหนดสิทธิ์การเข้าถึงอย่างเข้มงวด

มาตรา 13. เงื่อนไขของบุคลากรผู้ปกป้องข้อมูลส่วนบุคคล หน่วยงานผู้ปกป้องข้อมูลส่วนบุคคลภายในองค์กร

1. การแต่งตั้งบุคลากรผู้ปกป้องข้อมูลส่วนบุคคลหรือหน่วยงานผู้ปกป้องข้อมูลส่วนบุคคลต้องทำเป็นลายลักษณ์อักษรอย่างเป็นทางการขององค์กรนั้น ซึ่งต้องแสดงถึงการมอบหมายงาน หน้าที่ ความรับผิดชอบ อำนาจ และข้อกำหนดอื่น ๆ ที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคลภายในองค์กรนั้น

2. บุคลากรผู้ปกป้องข้อมูลส่วนบุคคลที่องค์กรแต่งตั้งต้องมีคุณสมบัติครบถ้วนดังนี้:

a) มีวุฒิปริญญาอนุปริญญาขึ้นไป;

b) มีประสบการณ์การทำงานอย่างน้อย 2 ปี (นับตั้งแต่เวลาที่สำเร็จการศึกษา) เกี่ยวข้องกับหนึ่งในสาขาต่อไปนี้: กฎหมาย เทคโนโลยีสารสนเทศ ความปลอดภัยทางไซเบอร์ ความปลอดภัยข้อมูล การบริหารความเสี่ยง การควบคุมการปฏิบัติตามกฎระเบียบ การจัดการบุคลากร หรือการบริหารงานบุคคล;

c) ได้รับการฝึกอบรมและเพิ่มพูนความรู้ด้านกฎหมายและทักษะวิชาชีพเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล.

3. ในกรณีที่หน่วยงาน องค์กรจัดตั้งหน่วยงานปกป้องข้อมูลส่วนบุคคล บุคลากรในหน่วยงานนั้นต้องมีคุณสมบัติตามข้อกำหนดด้านความสามารถที่ระบุในวรรค 2 ของมาตรานี้

4. หน่วยงาน องค์กรมีหน้าที่ประเมินและคัดเลือกบุคลากรที่ปกป้องข้อมูลส่วนบุคคล

5. หน่วยงาน องค์กรทำข้อตกลงความรับผิดชอบด้านความลับกับบุคลากรที่ปกป้องข้อมูลส่วนบุคคล และสามารถตกลงในกรณีที่ได้รับการยกเว้นความรับผิดเมื่อเกิดการละเมิดหรือความเสียหายต่อข้อมูลส่วนบุคคลที่ได้รับการปกป้อง

6. หน่วยงาน องค์กรแต่งตั้งบุคลากรปกป้องข้อมูลส่วนบุคคลหรือหน่วยงานปกป้องข้อมูลส่วนบุคคลให้มีหน้าที่ฝึกอบรมและเสริมสร้างความรู้ ทักษะเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลแก่บุคลากรปกป้องข้อมูลส่วนบุคคล

มาตรา 14. หน้าที่ของหน่วยงานปกป้องข้อมูลส่วนบุคคลและบุคลากรปกป้องข้อมูลส่วนบุคคลในหน่วยงาน องค์กร

1. หน่วยงานปกป้องข้อมูลส่วนบุคคลมีหน้าที่และบทบาทดังนี้:

a) จัดทำมาตรการนโยบาย ขั้นตอน กฎระเบียบ แบบฟอร์มเพื่อปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

b) จัดให้มีการดำเนินการตามสิทธิต่าง ๆ ของเจ้าของข้อมูลส่วนบุคคล;

c) จัดให้มีการประเมินสถานะการปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลขององค์กรเป็นระยะโดยใช้รายงานการประเมินระดับการปฏิบัติตามหน้าที่ตามกฎหมาย เพื่อเสนอแนวทางการเสริมสร้างประสิทธิภาพในการปฏิบัติตามกฎหมาย ป้องกันและควบคุมความเสี่ยงในการดำเนินการประมวลผลข้อมูลส่วนบุคคล;

d) จัดทำเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน เอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล รับเรื่องและรายงานการละเมิดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล และดำเนินการตามข้อเรียกร้องอื่น ๆ ของหน่วยงานที่มีอำนาจตามกฎหมาย;

đ) จัดทำแผนและดำเนินการฝึกอบรมและพัฒนาความรู้เกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างสม่ำเสมอในหน่วยงาน องค์กร;

e) จัดองค์กรดำเนินการมาตรการทางเทคนิคในการรักษาความปลอดภัยข้อมูลส่วนบุคคล มาตรฐาน ข้อกำหนดในการปกป้องข้อมูลส่วนบุคคล แผนการตอบสนองฉุกเฉินต่อเหตุการณ์ที่เกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

g) ศึกษาและเสนอแนะการตัดสินใจที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคล

2. บุคลากรที่ปกป้องข้อมูลส่วนบุคคลมีหน้าที่ดังต่อไปนี้:

a) ให้คำปรึกษาในการสร้างนโยบาย ขั้นตอน ข้อกำหนด แบบฟอร์ม เพื่อปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

b) เข้าร่วมดำเนินการสิทธิของเจ้าของข้อมูลส่วนบุคคล;

c) เข้าร่วมกิจกรรมประเมินสถานการณ์การปฏิบัติตามกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลอย่างสม่ำเสมอ และเสนอแนวทางในการเพิ่มประสิทธิภาพการปฏิบัติตามกฎหมาย ป้องกันและควบคุมความเสี่ยง;

d) ดำเนินการจัดทำเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน เอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล รับและรายงาน

ละเมิดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลและปฏิบัติตามข้อเรียกร้องอื่น ๆ ของหน่วยงานที่มีอำนาจตามกฎหมาย;

đ) เข้าร่วมโปรแกรม หลักสูตรเสริมเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

e) เข้าร่วมดำเนินมาตรการทางเทคนิคในการรักษาความปลอดภัยข้อมูลส่วนบุคคล มาตรฐาน กฎเกณฑ์การปกป้องข้อมูลส่วนบุคคล แผนการตอบสนองฉุกเฉินเหตุการณ์การปกป้องข้อมูลส่วนบุคคล

มาตรา 15 บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล

1. บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคลคือบุคคลที่มีคุณสมบัติเพียงพอตามที่กำหนดในวรรค 2 ของมาตรานี้ และได้รับการจ้างจากองค์กรหรือหน่วยงานเพื่อทำงานเป็นบุคลากรปกป้องข้อมูลส่วนบุคคล

2. บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคลต้องมีคุณสมบัติเพียงพอตามต่อไปนี้:

a) มีวุฒิปริญญาอนุปริญญาขึ้นไป;

b) มีประสบการณ์ทำงานไม่น้อยกว่า 03 ปี (นับจากวันสำเร็จการศึกษา) เกี่ยวข้องกับหนึ่งในสาขาต่อไปนี้: กฎหมาย การประมวลผลข้อมูลส่วนบุคคล ความมั่นคงปลอดภัยทางไซเบอร์ ความมั่นคงปลอดภัยของข้อมูล การบริหารความเสี่ยง การควบคุมการปฏิบัติตามกฎระเบียบ;

c) ได้รับการฝึกอบรม พัฒนาความรู้เชิงกฎหมาย และทักษะวิชาชีพที่เชี่ยวชาญเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลแล้ว.

3. หน่วยงาน องค์กรที่มีความประสงค์จะจ้างบุคคลให้บริการปกป้องข้อมูลส่วนบุคคลต้องพิจารณาเงื่อนไขความสามารถตามวรรค 2 ของมาตรานี้ ทำสัญญาการใช้บุคลากรปกป้องข้อมูลส่วนบุคคล และเปิดเผยข้อมูลเกี่ยวกับบุคลากรปกป้องข้อมูลส่วนบุคคลให้เจ้าของข้อมูลส่วนบุคคลและฝ่ายที่เกี่ยวข้องทราบ

4. บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคลมีหน้าที่:

ก) ปฏิบัติบริการตามขอบเขตและหน้าที่ในสัญญา ข้อตกลงอย่างถูกต้อง

ข) ไม่ใช้ประโยชน์จากการให้บริการเพื่อกระทำการละเมิดกฎหมาย

ค) ดำเนินการลบ ทำลายข้อมูลส่วนบุคคลที่ได้ประมวลผลในระหว่างการให้บริการหลังจากที่สัญญาสิ้นสุดลงและตามกฎหมาย

มาตรา 16 องค์กรที่ให้บริการปกป้องข้อมูลส่วนบุคคล

1. องค์กรที่ให้บริการปกป้องข้อมูลส่วนบุคคล:

a) เป็นองค์กร หรือธุรกิจที่มีหน้าที่ ความรับผิดชอบ หรืออาชีพ งาน หรือสาขาวิชาชีพด้านเทคโนโลยี กฎหมาย หรือให้คำปรึกษาด้านเทคโนโลยี กฎหมาย ซึ่งได้รับการจ้างจากหน่วยงานหรือองค์กรให้ให้คำปรึกษาเกี่ยวกับการปฏิบัติตามข้อกำหนดการคุ้มครองข้อมูลส่วนบุคคล และปฏิบัติหน้าที่ในการคุ้มครองข้อมูลส่วนบุคคลตามข้อตกลง;

b) มีบุคลากรอย่างน้อย 03 คนที่มีคุณสมบัติตามเงื่อนไขความสามารถตามวรรค 2 มาตรา 15 ของพระราชกฤษฎีกานี้;

c) ได้ให้บริการหรือผลิตภัณฑ์ที่เกี่ยวข้องกับความปลอดภัย ความมั่นคงของเครือข่าย เทคโนโลยีสารสนเทศ การประเมินมาตรฐาน หรือการให้คำปรึกษาด้านการคุ้มครองข้อมูลส่วนบุคคล.

2. องค์กรที่ให้บริการปกป้องข้อมูลส่วนบุคคลต้องจัดทำแฟ้มความสามารถที่แสดงถึงความสามารถในการปกป้องข้อมูลส่วนบุคคลและจัดให้กับหน่วยงานหรือองค์กรที่ต้องการใช้บริการ แฟ้มดังกล่าวต้องแสดงถึงประเภทอาชีพ, สาขากิจกรรมทางธุรกิจ; ขนาด, ขอบเขต, ประสบการณ์ในการให้บริการ; นโยบายการให้บริการ; มาตรฐาน, ระดับ, ความสามารถของบุคลากร; เอกสารและหลักฐานที่เกี่ยวข้อง

3. หน่วยงานหรือองค์กรที่มีความต้องการจ้างบริการปกป้องข้อมูลส่วนบุคคล ดำเนินการพิจารณาเอกสารความสามารถ ทำสัญญาใช้บริการ และตกลงเกี่ยวกับการจัดการข้อมูลส่วนบุคคลกับองค์กรปกป้องข้อมูลส่วนบุคคล; เปิดเผยข้อมูลเกี่ยวกับองค์กรปกป้องข้อมูลส่วนบุคคลนั้นต่อเจ้าของข้อมูลส่วนบุคคลและผู้ที่เกี่ยวข้องให้รับทราบ

4. หน่วยงานหรือองค์กรตามความต้องการสามารถแต่งตั้งบุคลากรปกป้องข้อมูลส่วนบุคคล หน่วยงานปกป้องข้อมูลส่วนบุคคล และจ้างบุคคลหรือองค์กรให้บริการปกป้องข้อมูลส่วนบุคคลได้พร้อมกัน

5. อ้างอิงจากข้อตกลงกับหน่วยงานหรือองค์กรที่จ้างบริการปกป้องข้อมูลส่วนบุคคล องค์กรที่ให้บริการปกป้องข้อมูลส่วนบุคคลดำเนินหน้าที่ของหน่วยงานปกป้องข้อมูลส่วนบุคคลให้กับหน่วยงานหรือองค์กรนั้น

6. องค์กรที่ให้บริการปกป้องข้อมูลส่วนบุคคลมีความรับผิดชอบ:

ก) ปฏิบัติบริการตามขอบเขตและหน้าที่ในสัญญา ข้อตกลงอย่างถูกต้อง

ข) ไม่ใช้ประโยชน์จากการให้บริการเพื่อกระทำการละเมิดกฎหมาย

ค) ดำเนินการลบ ทำลายข้อมูลส่วนบุคคลที่ได้ประมวลผลในระหว่างการให้บริการหลังจากที่สัญญาสิ้นสุดลงและตามกฎหมาย

บทที่ III. เอกสาร ขั้นตอน และกระบวนการเกี่ยวกับข้อมูลส่วนบุคคล

มาตรา 17 การโอนข้อมูลส่วนบุคคลข้ามพรมแดน

1. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล ฝ่ายประมวลผลข้อมูลส่วนบุคคล และบุคคลภายนอกดำเนินกิจกรรมการโอนข้อมูลส่วนบุคคลข้ามพรมแดนในกรณีดังต่อไปนี้:

ก) กิจกรรมการจัดเก็บข้อมูลส่วนบุคคลที่มีการโอนข้อมูลส่วนบุคคลที่เก็บรวบรวมและจัดเก็บในเวียดนามไปยังระบบเซิร์ฟเวอร์ที่ตั้งอยู่นอกดินแดนสาธารณรัฐสังคมนิยมเวียดนาม หรือบนบริการคลาวด์ของผู้ให้บริการต่างประเทศ;

ข) กิจกรรมการโอนข้อมูลส่วนบุคคลจากหน่วยงาน องค์กร บุคคลจากเวียดนามไปยังผู้รับซึ่งเป็นองค์กรหรือบุคคลในต่างประเทศ;

ค) กิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่เก็บรวบรวมในเวียดนามและโอนไปยังแพลตฟอร์มนอกดินแดนสาธารณรัฐสังคมนิยมเวียดนามเพื่อดำเนินการประมวลผลต่อไป.

2. หน่วยงานเฉพาะทางที่รับผิดชอบในการปกป้องข้อมูลส่วนบุคคลตัดสินใจที่จะขอให้ฝ่ายที่โอนข้อมูลข้ามพรมแดรณ์หยุดการโอนข้อมูลส่วนบุคคลข้ามพรมแดรนด์ในกรณี:

ก) เมื่อพบว่าข้อมูลส่วนบุคคลที่ถูกโอนถูกนำไปใช้ในกิจกรรมที่ละเมิดการป้องกันประเทศและความมั่นคงของชาติ;

ข) มีพฤติกรรมละเมิดข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลที่อาจก่อให้เกิดอันตรายต่อการป้องกันประเทศและความมั่นคงของชาติ.

3. กรณีอื่นนอกเหนือจากกรณีตามข้อ ก, ข, ค วรรค 6 มาตรา 20 ของพระราชบัญญัติปกป้องข้อมูลส่วนบุคคล ไม่จำเป็นต้องปฏิบัติตามข้อกำหนดเกี่ยวกับการประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดรณ์ ซึ่งรวมถึง:

ก) กิจกรรมสื่อสารมวลชนและการรายงานข่าวตามกฎหมาย;

ข) การโอนข้อมูลส่วนบุคคลข้ามพรมแดนที่ได้รับการประกาศตามกฎหมาย;

c) ในสถานการณ์ฉุกเฉิน จำเป็นต้องให้ข้อมูลส่วนบุคคลข้ามพรมแดนเพื่อปกป้องชีวิต สุขภาพ และความปลอดภัยของทรัพย์สินของบุคคล; เพื่อปฏิบัติภารกิจหรือหน้าที่ตามกฎหมาย;

d) กิจกรรมการโอนข้อมูลส่วนบุคคลข้ามพรมแดนเพื่อการบริหารจัดการบุคลากรข้ามพรมแดนตามกฎระเบียบ ข้อบังคับแรงงาน และสัญญาแรงงานรวมตามที่กฎหมายกำหนด;

đ) การให้ข้อมูลส่วนบุคคลข้ามพรมแดนเพื่อการทำสัญญาหรือดำเนินการเกี่ยวกับการขนส่งข้ามพรมแดน โลจิสติก การโอนเงิน การชำระเงิน โรงแรม การขอวีซ่า การขอทุนการศึกษา

ข้อ 18 เงื่อนไข ขั้นตอน วิธีการ และเอกสารประกอบการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน

1. หน่วยงาน องค์กร หรือบุคคลที่มีการดำเนินการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดในวรรค 1 ของมาตรา 20 แห่งพระราชบัญญัติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล ต้องจัดทำเอกสารประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดในมาตรานี้

2. เอกสารประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนประกอบด้วย:

a) รายงานการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามแบบฟอร์มหมายเลข 09 ในภาคผนวกของพระราชกฤษฎีกานี้;

b) สำเนาสัญญาหรือเอกสารโอนข้อมูลส่วนบุคคลที่แสดงถึงข้อผูกพันและความรับผิดระหว่างองค์กร หรือบุคคลที่โอนและผู้รับข้อมูลส่วนบุคคลข้ามพรมแดน;

c) นโยบาย ขั้นตอน ระเบียบ แบบฟอร์ม และเอกสารอื่นที่เกี่ยวข้องกับการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงาน องค์กร หรือบุคคลที่มีการดำเนินการโอนข้อมูลส่วนบุคคลข้ามพรมแดน

3. รายงานการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนประกอบด้วยเนื้อหาดังนี้:

a) ข้อมูลและรายละเอียดการติดต่อของฝ่ายที่โอนข้อมูลส่วนบุคคล ฝ่ายที่รับข้อมูลส่วนบุคคล ฝ่ายที่ประมวลผลข้อมูลส่วนบุคคล และฝ่ายอื่น ๆ ที่เกี่ยวข้องกับการดำเนินกิจกรรมการโอนข้อมูลส่วนบุคคลข้ามพรมแดน;

b) รายละเอียดการติดต่อของหน่วยงานหรือบุคลากรที่ปกป้องข้อมูลส่วนบุคคล; องค์กร บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล (ถ้ามี) ของฝ่ายที่โอนข้อมูลส่วนบุคคล และฝ่ายที่รับข้อมูลส่วนบุคคล;

c) คำอธิบายและเหตุผลของวัตถุประสงค์ในการโอนข้อมูลส่วนบุคคลข้ามพรมแดน ชนิดของข้อมูลส่วนบุคคลที่โอนข้ามพรมแดน รายละเอียดของกิจกรรมการโอนและการประมวลผลข้อมูลส่วนบุคคลข้ามพรมแดน และแผนภาพการไหลของการประมวลผลข้อมูลส่วนบุคคล;

d) คำอธิบายและเหตุผลเกี่ยวกับการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นโยบายการจัดเก็บ ลบ และทำลายข้อมูลส่วนบุคคล;

đ) แผนการรับประกันความปลอดภัยของข้อมูลส่วนบุคคลหลังจากการส่งข้อมูลข้ามพรมแดน มาตรการคุ้มครองข้อมูลส่วนบุคคล มาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ถูกนำมาใช้;

e) ผังระบบ คำอธิบายคุณลักษณะของระบบที่ใช้จัดเก็บและประมวลผลข้อมูลส่วนบุคคลหลังจากได้รับข้อมูลส่วนบุคคลข้ามพรมแดน;

g) ขั้นตอนเกี่ยวกับการที่ผู้รับข้อมูลส่วนบุคคลข้ามพรมแดนนำข้อมูลส่วนบุคคลไปโอนหรือให้แก่บุคคลที่สาม;

h) ผลลัพธ์การประเมินตนเองว่าปฏิบัติตามข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลของหน่วยงาน องค์กร บุคคลที่มีการดำเนินกิจกรรมการโอนข้อมูลส่วนบุคคลข้ามพรมแดน;

i) การประเมินระดับการคุ้มครองข้อมูลส่วนบุคคลของผู้รับข้อมูลส่วนบุคคล ระดับผลกระทบ ความเสี่ยงจากการโอนและประมวลผลข้อมูลส่วนบุคคลข้ามพรมแดน ผลลัพธ์หรือความเสียหายที่ไม่พึงประสงค์ที่อาจเกิดขึ้น มาตรการลดหรือกำจัดความเสี่ยงนั้น.

4. โฟลเดอร์ประเมินผลกระทบการถ่ายโอนข้อมูลส่วนบุคคลข้ามพรมแดนต้องมีพร้อมเสมอเพื่อสนับสนุนการตรวจสอบและประเมินของหน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคล

ฝ่ายที่ถ่ายโอนข้อมูลส่วนบุคคลข้ามพรมแดนต้องส่งสำเนาต้นฉบับโฟลเดอร์สมบูรณ์ 01 ชุด ผ่านทางออนไลน์ หรือโดยตรง หรือผ่านบริการไปรษณีย์ไปยังหน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคล พร้อมกับแบบฟอร์มหมายเลข 01a/01b ตามภาคผนวกของพระราชกฤษฎีกานี้ ภายใน 60 วันนับจากวันที่เริ่มดำเนินการถ่ายโอนข้อมูลส่วนบุคคลข้ามพรมแดน

5. หน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคลจะประเมินและแจ้งผลการประเมินโฟลเดอร์ประเมินผลกระทบการถ่ายโอนข้อมูลส่วนบุคคลข้ามพรมแดนว่าเป็นไปตามข้อกำหนดหรือไม่ภายใน 15 วัน

6. หน่วยงานผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลประเมินและเรียกร้องให้ฝ่ายที่โอนข้อมูลส่วนบุคคลข้ามพรมแดนปรับปรุงเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนภายใน 30 วันในกรณีที่เอกสารยังไม่ครบถ้วนและไม่เป็นไปตามกฎหมาย ในกรณีที่ฝ่ายโอนข้อมูลส่วนบุคคลไม่ดำเนินการปรับปรุงเอกสารให้เป็นไปตามกฎหมาย หน่วยงานผู้รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลจะพิจารณาใช้ข้อกำหนดเกี่ยวกับการลงโทษทางปกครองในด้านการคุ้มครองข้อมูลส่วนบุคคล

7. ฝ่ายที่โอนข้อมูลส่วนบุคคลข้ามพรมแดนปรับปรุงและเสริมเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามข้อกำหนดของมาตรา 20 แห่งพระราชกฤษฎีตินี้

มาตรา 19 เงื่อนไข ขั้นตอน วิธีการ และส่วนประกอบของเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล

1. ฝ่ายควบคุมข้อมูลส่วนบุคคล, ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล, ฝ่ายประมวลผลข้อมูลส่วนบุคคลจัดทำและเก็บรักษาแฟ้มประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลของตนตั้งแต่เวลาที่เริ่มทำการประมวลผลข้อมูลส่วนบุคคล

2. แฟ้มประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลของฝ่ายควบคุมข้อมูลส่วนบุคคล, ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล, ฝ่ายประมวลผลข้อมูลส่วนบุคคล ประกอบด้วย:

a) รายงานการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลตามแบบฟอร์มที่ 10 ในภาคผนวกของพระราชกฤษฎีตินี้;

b) สำเนาสัญญาหรือข้อตกลงเกี่ยวกับการประมวลผลข้อมูลส่วนบุคคล แสดงความผูกพันและความรับผิดชอบระหว่างองค์กรและบุคคลในกิจกรรมการประมวลผลข้อมูลส่วนบุคคล;

c) นโยบาย ขั้นตอน ระเบียบ แบบฟอร์ม และเอกสารอื่น ๆ ที่เกี่ยวข้องกับการปกป้องข้อมูลส่วนบุคคลของฝ่ายควบคุมข้อมูลส่วนบุคคล, ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล, ฝ่ายประมวลผลข้อมูลส่วนบุคคล

3. รายงานการประเมินผลกระทบของการประมวลผลข้อมูลส่วนบุคคลประกอบด้วยเนื้อหาดังต่อไปนี้:

a) ข้อมูลและรายละเอียดการติดต่อของผู้ควบคุมข้อมูลส่วนบุคคล, ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคล, ผู้ประมวลผลข้อมูลส่วนบุคคล, บุคคลที่สาม;

b) รายละเอียดการติดต่อของฝ่าย, พนักงานที่ดูแลข้อมูลส่วนบุคคล; องค์กรหรือบุคคลที่ให้บริการด้านการคุ้มครองข้อมูลส่วนบุคคล (ถ้ามี) ของผู้ควบคุมข้อมูลส่วนบุคคล, ผู้ควบคุมและผู้ประมวลผลข้อมูลส่วนบุคคล, ผู้ประมวลผลข้อมูลส่วนบุคคล, บุคคลที่สาม;

c) คำอธิบายและเหตุผลของวัตถุประสงค์ในการประมวลผลข้อมูลส่วนบุคคล ประเภทของข้อมูลส่วนบุคคลที่ประมวลผล รายละเอียดกิจกรรมการประมวลผลข้อมูลส่วนบุคคล และแผนภาพโฟลว์ข้อมูลส่วนบุคคล;

d) คำอธิบายและเหตุผลเกี่ยวกับการขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคล นโยบายการจัดเก็บ ลบ และทำลายข้อมูลส่วนบุคคล;

d) ข้อเสนอแนวทางการรับประกันความปลอดภัยของข้อมูลส่วนบุคคล มาตรการปกป้องข้อมูลส่วนบุคคล แผนภาพการออกแบบระบบ และมาตรฐานการคุ้มครองข้อมูลส่วนบุคคลที่ใช้;

e) ผลการประเมินความสอดคล้องกับกฎระเบียบเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล;

g) ประเมินระดับของผลกระทบ ความเสี่ยงจากกิจกรรมการประมวลผลข้อมูลส่วนบุคคล; ผลลัพธ์ ความเสียหายที่ไม่พึงประสงค์ที่อาจเกิดขึ้น มาตรการลดหรือกำจัดความเสี่ยงนั้น

4. เอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลต้องมีให้พร้อมเสมอเพื่อรองรับการตรวจสอบและประเมินโดยหน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล และต้องส่งต้นฉบับจำนวน 01 ฉบับผ่านช่องทางออนไลน์หรือทางตรง หรือทางบริการไปรษณีย์ไปยังหน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล พร้อมกับแบบฟอร์มหมายเลข 02a/02b ตามภาคผนวกของพระราชกฤษฎีกานี้ ภายใน 60 วันนับจากวันที่เริ่มทำการประมวลผลข้อมูลส่วนบุคคล.

5. หน่วยงานเฉพาะทางในการคุ้มครองข้อมูลส่วนบุคคลประเมินและแจ้งผลเกี่ยวกับเอกสารการประเมินผลกระทบต่อการประมวลผลข้อมูลส่วนบุคคลว่าผ่านข้อกำหนดหรือไม่ผ่านข้อกำหนดภายในระยะเวลา 15 วัน

6. หน่วยงานเฉพาะทางในการคุ้มครองข้อมูลส่วนบุคคลประเมินและเรียกร้องให้ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายประมวลผลข้อมูลส่วนบุคคลทำให้เอกสารการประเมินผลกระทบต่อการประมวลผลข้อมูลส่วนบุคคลสมบูรณ์ภายในระยะเวลา 30 วันสำหรับกรณีที่เอกสารยังไม่ครบถ้วนและไม่เป็นไปตามข้อกำหนด ในกรณีที่ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล หรือฝ่ายประมวลผลข้อมูลส่วนบุคคลไม่ดำเนินการให้เอกสารถูกต้องตามข้อกำหนด หน่วยงานเฉพาะทางในการคุ้มครองข้อมูลส่วนบุคคลพิจารณานำข้อกำหนดเกี่ยวกับการลงโทษทางปกครองในด้านการคุ้มครองข้อมูลส่วนบุคคลมาใช้

7. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายประมวลผลข้อมูลส่วนบุคคล ต้องอัปเดตและเพิ่มเติมเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลตามข้อกำหนดของข้อ 20 แห่งพระราชกฤษฎีตนี้

ข้อ 20. การอัปเดตเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลและเอกสารการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน

1. เอกสารการโอนข้อมูลส่วนบุคคลข้ามพรมแดนและเอกสารการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลจะต้องอัปเดตเป็นระยะทุก 6 เดือนนับจากวันที่ยื่นเอกสารครั้งแรกในกรณีดังต่อไปนี้:

ก) เมื่อเกิดวัตถุประสงค์ใหม่ในการโอนข้อมูลส่วนบุคคลหรือวัตถุประสงค์ใหม่ในการประมวลผลข้อมูลส่วนบุคคล

ข) เมื่อมีการเกิดขึ้นหรือเปลี่ยนแปลงฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล ฝ่ายประมวลผลข้อมูลส่วนบุคคล หรือบุคคลที่สาม

2. กรณีที่มีการเปลี่ยนแปลงต้องอัปเดตทันทีภายในระยะเวลา 10 วัน รวมถึง:

a) เมื่อหน่วยงาน องค์กร หรือหน่วยงานถูกจัดระเบียบใหม่ ยุติการดำเนินงาน ล้มละลาย หรือเลิกกิจการตามกฎหมาย

b) เมื่อมีการเปลี่ยนแปลงข้อมูลเกี่ยวกับองค์กรหรือบุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล

c) เมื่อมีการเกิดขึ้นใหม่หรือการเปลี่ยนแปลงของสาขาอาชีพ ธุรกิจ หรือบริการที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลที่ได้ลงทะเบียนไว้ในเอกสารประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคล หรือเอกสารประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดน

3. การปรับปรุงแบบบันทึกการประเมินผลกระทบจากการประมวลผลข้อมูลส่วนบุคคลและแบบบันทึกการประเมินผลกระทบจากการโอนข้อมูลส่วนบุคคลข้ามพรมแดนให้ดำเนินการตามแบบฟอร์มหมายเลข 03a/03b ในภาคผนวกของพระราชกฤษฎีกานี้ และส่งโดยวิธีออนไลน์ หรือโดยตรง หรือผ่านบริการไปรษณีย์ไปยังหน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล

มาตรา 21. บริการการประมวลผลข้อมูลส่วนบุคคล

1. บริการจัดหาและดำเนินการระบบ ซอฟต์แวร์อัตโนมัติเพื่อประมวลผลข้อมูลส่วนบุคคลแทนผู้ควบคุม ผู้ควบคุมและผู้ประมวลผล

2. บริการให้คะแนน จัดอันดับ ประเมินระดับความน่าเชื่อถือของเจ้าของข้อมูลส่วนบุคคล

3. บริการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลออนไลน์จากเว็บไซต์ แอปพลิเคชัน ซอฟต์แวร์ และโซเชียลมีเดีย

4. บริการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลผ่านเว็บไซต์ แอปพลิเคชัน ซอฟต์แวร์ดูแลสุขภาพ ติดตามสุขภาพ และบริการทางการแพทย์

5. บริการเก็บรวบรวมและประมวลผลข้อมูลส่วนบุคคลผ่านแอปพลิเคชัน ซอฟต์แวร์การศึกษา ที่มีองค์ประกอบการตรวจสอบ เช่น การเช็คชื่อ การบันทึกภาพ การให้คะแนนพฤติกรรม การจดจำอารมณ์

6. บริการวิเคราะห์และใช้ประโยชน์จากข้อมูลส่วนบุคคล รวมถึง: การใช้เครื่องมือวิเคราะห์เพื่อค้นหาข้อมูล แนวโน้ม และรูปแบบจากข้อมูลส่วนบุคคล; การใช้วิธีการขุดข้อมูลเพื่อสกัดคุณค่าจากข้อมูลส่วนบุคคล ทำนายพฤติกรรมผู้ใช้ หรือปรับปรุงประสิทธิภาพการให้บริการ

7. บริการเข้ารหัสข้อมูลส่วนบุคคลในกระบวนการส่งผ่านและการจัดเก็บ

8. บริการประมวลผลข้อมูลส่วนบุคคลโดยอัตโนมัติบนพื้นฐานเทคโนโลยีข้อมูลขนาดใหญ่ ปัญญาประดิษฐ์ บล็อกเชน และจักรวาลเสมือน

9. บริการแพลตฟอร์มแอปพลิเคชันที่ให้ข้อมูลตำแหน่งส่วนบุคคล

มาตรา 22. เงื่อนไขขององค์กรธุรกิจที่ให้บริการประมวลผลข้อมูลส่วนบุคคล

1. เป็นองค์กรหรือกิจการที่จัดตั้งและดําเนินงานภายใต้กฎหมายเวียดนามและเป็นไปตามเงื่อนไขที่ระบุไว้ในบทความนี้

2. สภาพบุคลากร:

a) หัวหน้าผู้รับผิดชอบการประมวลผลข้อมูลส่วนบุคคลขององค์กรเป็นพลเมืองเวียดนามที่พํานักถาวรในเวียดนาม;

b) มีทีมบริหารและผู้บริหารที่มีคุณสมบัติตามข้อกําหนดทางวิชาชีพในการประมวลผลข้อมูลส่วนบุคคล;

ค) ต้องมีบุคลากรอย่างน้อย 03 คนที่มีคุณสมบัติตามข้อกําหนดในข้อ 2 มาตรา 13 ของพระราชกฤษฎีกานี้

3. มีโครงสร้างพื้นฐาน ระบบอุปกรณ์ ฐานวัสดุ และเทคโนโลยีที่เหมาะสมสําหรับบริการประมวลผลข้อมูลส่วนบุคคล

4. มีผลลัพธ์ที่น่าพอใจสําหรับแฟ้มการประเมินผลกระทบของการประมวลผลข้อมูลส่วนบุคคลและแฟ้มประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดนในกรณีการโอนข้อมูลส่วนบุคคลข้ามพรมแดน

มาตรา 23.ความรับผิดชอบของผู้ให้บริการประมวลผลข้อมูลส่วนบุคคล

1. ปฏิบัติตามข้อกำหนดทางกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลอย่างครบถ้วน; ความรับผิดชอบ หน้าที่ของฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายประมวลผลข้อมูลส่วนบุคคล

2. สร้างกรอบการบริหารความเสี่ยงเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลที่เหมาะสมกับบริการที่ให้

3. ดำเนินการประเมินสถานะการปฏิบัติตามกฎหมายและระดับความน่าเชื่อถือเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลเป็นระยะเวลา 01 ปี/ครั้ง

4. นำมาตรฐานและข้อกำหนดที่เกี่ยวข้องกับความปลอดภัยของข้อมูล การปกป้องข้อมูลส่วนบุคคล และความปลอดภัยทางไซเบอร์มาใช้

5. สร้างข้อกำหนดเกี่ยวกับความรับผิดชอบและอำนาจขององค์กรในการประมวลผลข้อมูลส่วนบุคคล

6. รับประกันการประมวลผลข้อมูลส่วนบุคคลตามวัตถุประสงค์ จำกัดการเก็บรวบรวม โอน และจัดเก็บข้อมูลให้เหมาะสมและตามกฎหมาย; ป้องกันการเข้าถึง การเก็บรวบรวม การใช้ การเปิดเผยที่ไม่ได้รับอนุญาต หรือความเสี่ยงที่คล้ายกันในการดำเนินการประมวลผลข้อมูลส่วนบุคคล

7. ในกรณีที่เป็นฝ่ายผู้ประมวลผลข้อมูลส่วนบุคคล องค์กรต้องขอความยินยอมจากเจ้าของข้อมูลส่วนบุคคลตามกฎหมายก่อนให้บริการ เพื่อให้แน่ใจว่าเจ้าของข้อมูลส่วนบุคคลทราบถึงประเภทของข้อมูลส่วนบุคคลที่ถูกประมวลผล วัตถุประสงค์ของการประมวลผล และองค์กรที่ให้บริการประมวลผลข้อมูลส่วนบุคคล

8. องค์กรธุรกิจที่ให้บริการประมวลผลข้อมูลส่วนบุคคลต้องดำเนินการตรวจสอบตัวตนขององค์กรตามกฎหมายเกี่ยวกับการระบุตัวตนและการยืนยันตัวบุคคลทางอิเล็กทรอนิกส์

มาตรา 24 อำนาจในการออก ปรับปรุง เปลี่ยนแปลง และเพิกถอนใบรับรองการมีคุณสมบัติในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล

1. กระทรวงมหาดไทยออก ปรับปรุง เปลี่ยนแปลง และเพิกถอนใบรับรองการมีคุณสมบัติในการให้บริการประมวลผลข้อมูลส่วนบุคคล

2. รัฐมนตรีว่าการกระทรวงมหาดไทยมอบหมายความรับผิดชอบให้หน่วยงานเฉพาะด้านการปกป้องข้อมูลส่วนบุคคลดำเนินการออก, ออกใหม่, เปลี่ยนแปลง, ริบใบรับรองการมีคุณสมบัติในการให้บริการประมวลผลข้อมูลส่วนบุคคลตามข้อกำหนด

ข้อ 25. เอกสาร, ขั้นตอน, และระเบียบวิธีในการขอใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล

1. เอกสารสำหรับการขอใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล ประกอบด้วย:

ก) แบบฟอร์มคำขอใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล ตามแบบฟอร์มหมายเลข 04 ในภาคผนวกของพระราชกฤษฎีกานี้

ข) สำเนาใบรับรองการจดทะเบียนธุรกิจ

ค) เอกสารแต่งตั้งหน่วยงานปกป้องข้อมูลส่วนบุคคล หรือสัญญาการใช้บริการปกป้องข้อมูลส่วนบุคคลตามข้อกำหนด

ง) โครงการเสนอขอใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล

ง) วุฒิการศึกษาและเอกสารอื่นที่พิสูจน์เกี่ยวกับบุคลากรตามที่กำหนดในข้อค พารากราฟ 2 มาตรา 22 ของพระราชกฤษฎีกานี้;

ค) องค์กรไม่จำเป็นต้องยื่นเอกสารตามข้อ ก พารากราฟนี้ในกรณีที่หน่วยงานของรัฐสามารถเข้าถึงข้อมูลได้จากฐานข้อมูล.

2. โครงการที่ขออนุญาตออกหนังสือรับรองคุณสมบัติในการประกอบธุรกิจให้บริการประมวลผลข้อมูลส่วนบุคคลประกอบด้วยเนื้อหาดังนี้:

ก) ความจำเป็นและวัตถุประสงค์;

ข) เนื้อหาและสาขาที่ขออนุมัติ;

ค) อุตสาหกรรม สาขาธุรกิจ แผนธุรกิจ;

ง) ขนาดของกิจกรรมการประมวลผลข้อมูลส่วนบุคคลที่คาดการณ์ไว้;

จ) กรอบการบริหารความเสี่ยงเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล;

ฉ) แผนการประเมินสถานะการปฏิบัติตามและระดับความน่าเชื่อถือเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นระยะ;

ช) การนำมาตรฐานหรือเกณฑ์ที่เกี่ยวข้องกับความปลอดภัยของข้อมูลและการคุ้มครองข้อมูลส่วนบุคคลมาใช้;

ซ) แผนการใช้บริการเกี่ยวกับการระบุและยืนยันตัวตนทางอิเล็กทรอนิกส์;

i) ความรับผิดชอบและอำนาจขององค์กรในการประมวลผลข้อมูลส่วนบุคคล;

k) บุคลากรที่มีคุณสมบัติตามข้อกำหนด

3. องค์กรยื่นเอกสารคำร้องขอการออกใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล 01 ชุด ผ่านวิธีออนไลน์ หรือโดยตรง หรือทางบริการไปรษณีย์ถึงหน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคล

หน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคลจะประเมินเอกสารคำร้องขอการออกใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคลว่าผ่านหรือไม่ผ่านภายใน 10 วัน ในกรณีที่เอกสารไม่ครบถ้วนหรือไม่ถูกต้องตามกฎหมาย หน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคลจะแจ้งเป็นลายลักษณ์อักษรให้แก่องค์กรเพื่อปรับปรุงและสมบูรณ์เอกสารภายใน 15 วัน พร้อมระบุเหตุผลอย่างชัดเจน

4. ภายใน 30 วันนับจากวันที่ได้รับเอกสารครบถ้วนถูกต้อง หน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลจะพิจารณา ตรวจสอบ และตัดสินใจออก หนังสือรับรองความพร้อมในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล ตามแบบฟอร์มที่ 05 ในภาคผนวกของพระราชกฤษฎีกานี้ หนังสือรับรองความพร้อมในการให้บริการประมวลผลข้อมูลส่วนบุคคลเป็นเอกสารกระดาษหรือเอกสารอิเล็กทรอนิกส์; เอกสารกระดาษจะออกให้ในกรณีที่ยื่นเอกสารโดยตรง หรือผ่านบริการไปรษณีย์ หรือตามคำขอเมื่อยื่นเอกสารออนไลน์ผ่านพอร์ทัลบริการภาครัฐ ในกรณีที่ไม่ออก หนังสือ หน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลจะแจ้งเป็นลายลักษณ์อักษรต่อองค์กรพร้อมระบุเหตุผลอย่างชัดเจน

ข้อ 26. เอกสาร ขั้นตอน และกระบวนการเกี่ยวกับการออกใหม่หรือเปลี่ยนหนังสือรับรองความพร้อมในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล

1. ออกใหม่ในกรณีที่หนังสือรับรองความพร้อมในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคลฉบับกระดาษสูญหายหรือชำรุด

a) กรณีที่องค์กรมีความประสงค์จะขอออกสำเนาเอกสารใหม่ ให้ส่งคำร้องตามแบบฟอร์มหมายเลข 05 ในภาคผนวกของพระราชกฤษฎีฉบับนี้ โดยวิธีออนไลน์ หรือโดยตรง หรือผ่านบริการไปรษณีย์มายังหน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคล

b) ภายในระยะเวลา 05 วันทำการนับจากวันที่ได้รับคำร้องตามกฎหมาย หน่วยงานเฉพาะทางด้านการคุ้มครองข้อมูลส่วนบุคคลจะพิจารณาและออกใบรับรองความมีคุณสมบัติในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคลใหม่; กรณีไม่ออกต้องมีหนังสือแจ้งเหตุผลที่ชัดเจนเป็นลายลักษณ์อักษร

2. การเปลี่ยนแปลงเมื่อมีข้อมูลผิดพลาดหรือมีการเปลี่ยนแปลงเนื้อหาของใบรับรองความมีคุณสมบัติในการประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล

a) เอกสารประกอบด้วย: แบบคำร้องตามแบบฟอร์มหมายเลข 06 ในภาคผนวกของพระราชกฤษฎีตกฎหมายนี้; เอกสารและหลักฐานที่พิสูจน์ข้อความข้อมูลผิดพลาด การเปลี่ยนแปลงข้อมูลบนใบรับรองที่ออกแล้ว

b) องค์กรยื่นเอกสารชุดดังกล่าวจำนวน 01 ชุดผ่านช่องทางออนไลน์ หรือโดยตรง หรือผ่านบริการไปรษณีย์ไปยังหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล ภายในระยะเวลา 05 วันทำการนับจากวันที่ได้รับเอกสารครบถ้วนตามข้อ a หน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลจะพิจารณาและตัดสินใจออกใบรับรองการมีคุณสมบัติเพื่อประกอบธุรกิจการให้บริการประมวลผลข้อมูลส่วนบุคคล; กรณีไม่ออกต้องมีหนังสือแจ้งเหตุผลอย่างชัดเจน

มาตรา 27. การเพิกถอนใบรับรองการมีคุณสมบัติเพื่อประกอบธุรกิจการให้บริการประมวลผลข้อมูลส่วนบุคคล

1. การเพิกถอนใบรับรองการมีคุณสมบัติเพื่อประกอบธุรกิจการให้บริการประมวลผลข้อมูลส่วนบุคคลในกรณีดังต่อไปนี้:

a) เมื่อไม่สามารถรับประกันหนึ่งในเงื่อนไขที่ระบุในข้อ 1 และข้อ 2 ของมาตรา 26 แห่งพระราชกฤษฎีกานี้;

b) ไม่ประกอบธุรกิจบริการเป็นเวลา 12 เดือนขึ้นไป;

c) ถูกยุบเลิกหรือล้มละลายตามกฎหมาย;

d) ไม่แก้ไขการละเมิดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล ความปลอดภัยของข้อมูล ความปลอดภัยทางไซเบอร์ และความปลอดภัยของข้อมูลตามคำสั่งของหน่วยงานรัฐที่มีอำนาจ;

đ) เองเสนอตัวขอระงับหรือยุติการดำเนินงาน.

2. หน่วยงานเฉพาะด้านการปกป้องข้อมูลส่วนบุคคลตัดสินใจในการเพิกถอนใบรับรองความเพียงพอในการประกอบธุรกิจบริการการประมวลผลข้อมูลส่วนบุคคลตามแบบฟอร์มที่ 07 ในภาคผนวกของพระราชกฤษฎีกานี้.

3. องค์กรผู้ประกอบธุรกิจบริการการประมวลผลข้อมูลส่วนบุคคลมีหน้าที่ส่งคืนใบรับรองที่ได้รับให้แก่หน่วยงานเฉพาะด้านการปกป้องข้อมูลส่วนบุคคลภายในเวลา 05 วันทำการนับตั้งแต่ได้รับคำสั่งเพิกถอน.

4. หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลเมื่อออกคำสั่งให้เพิกถอนใบรับรองความพร้อมประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคลและแจ้งบนพอร์ทัลข้อมูลแห่งชาติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

มาตรา 28 เนื้อหาของการแจ้งการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

1. เนื้อหาของการแจ้งการละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลประกอบด้วย:

ก) คำอธิบายลักษณะของการละเมิดข้อกำหนดการคุ้มครองข้อมูลส่วนบุคคล รวมถึง: เวลา สถานที่ พฤติกรรม องค์กร บุคคล ประเภทข้อมูลส่วนบุคคล และจำนวนข้อมูลที่เกี่ยวข้อง;

ข) รายละเอียดการติดต่อของฝ่ายหรือบุคลากรที่รับผิดชอบการคุ้มครองข้อมูลส่วนบุคคล หรือองค์กร บุคคลที่ให้บริการคุ้มครองข้อมูลส่วนบุคคล;

ค) คำอธิบายผลกระทบและความเสียหายที่อาจเกิดขึ้นจากการละเมิดข้อกำหนดการคุ้มครองข้อมูลส่วนบุคคล;

ง) คำอธิบายมาตรการที่นำมาใช้เพื่อแก้ไข ลดความเสียหายจากพฤติกรรมการละเมิดข้อกำหนดการคุ้มครองข้อมูลส่วนบุคคล

2. ฝ่ายควบคุมข้อมูลส่วนบุคคล ฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคล และฝ่ายประมวลผลภายนอกแจ้งการละเมิดข้อกำหนดเกี่ยวกับข้อมูลส่วนบุคคลไปยังหน่วยงานเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคล หรือผ่านพอร์ทัลข้อมูลแห่งชาติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลตามแบบฟอร์มหมายเลข 08 ในภาคผนวกของพระราชกฤษฎีกานี้

มาตรา 29. การแจ้งการละเมิดข้อมูลสถานที่ส่วนบุคคลและข้อมูลชีวภาพ

1. เมื่อเกิดเหตุละเมิดข้อมูลส่วนบุคคลที่เกี่ยวข้องกับข้อมูลสถานที่หรือข้อมูลชีวภาพ ฝ่ายควบคุมข้อมูลส่วนบุคคลหรือฝ่ายควบคุมและประมวลผลข้อมูลส่วนบุคคลมีหน้าที่:

ก) แจ้งให้เจ้าของข้อมูลที่ได้รับผลกระทบทราบภายในเวลาไม่เกิน 72 ชั่วโมงนับจากเวลาที่ตรวจพบการละเมิด

b) รายงานต่อหน่วยงานของรัฐที่มีอำนาจตามที่กำหนดในข้อ 28 ของกฎกระทรวงนี้;

c) จดบันทึก เก็บรักษา และปรับปรุงข้อมูลการละเมิดเพื่องานตรวจสอบ ควบคุม และจัดการ หน่วยงานต้องเก็บรักษาข้อมูลการละเมิดเป็นเวลาอย่างน้อย 5 ปีนับจากวันที่แก้ไขเหตุการณ์เสร็จสิ้น

2. การแจ้งให้เจ้าของข้อมูลตามข้อ a วรรค 1 ของข้อกฎหมายนี้ต้องรวมถึงข้อมูลอย่างน้อยดังต่อไปนี้:

a) เวลาที่และรูปแบบการตรวจพบการละเมิด;

b) ประเภทของข้อมูลที่ได้รับผลกระทบ (สถานที่ ชีวมิติ หรือทั้งสองอย่าง);

c) ความร้ายแรงและความเสี่ยงที่อาจเกิดขึ้นต่อสิทธิและผลประโยชน์ที่ถูกต้องตามกฎหมายของเจ้าของข้อมูล;

d) มาตรการที่ได้ ดำเนินการ และจะดำเนินการเพื่อแก้ไขเหตุการณ์และลดความเสียหาย;

đ) คำแนะนำแก่เจ้าของข้อมูลในการดำเนินมาตรการป้องกันและการป้องกันต่อไป

e) ข้อมูลการติดต่อของฝ่าย บุคลากรที่ปกป้องข้อมูลส่วนบุคคล หรือองค์กร บุคคลที่ให้บริการปกป้องข้อมูลส่วนบุคคล; ฝ่ายที่รับเรื่องและจัดการปัญหาข้อมูลส่วนบุคคลในองค์กร

3. กรณีที่องค์กรหรือบุคคลไม่สามารถแจ้งให้เจ้าของข้อมูลส่วนบุคคลทั้งหมดที่ได้รับผลกระทบทราบภายในระยะเวลาที่กำหนดในวรรค 1 ของมาตรานี้ด้วยเหตุผลทางเทคนิคหรือเร่งด่วน ต้องดำเนินการดังนี้:

a) แจ้งสาธารณะผ่านสื่ออิเล็กทรอนิกส์อย่างเป็นทางการขององค์กรผ่านเว็บไซต์ แอปพลิเคชัน;

b) ส่งการแจ้งให้เจ้าของข้อมูลส่วนบุคคลที่เกี่ยวข้องทันทีเมื่อสภาพทางเทคนิคเอื้ออำนวย

4. กรณีที่องค์กรหรือบุคคลไม่ดำเนินการแจ้งภายในเวลาที่กำหนดหรือเจตนาชักช้า หลีกเลี่ยงหน้าที่การแจ้ง จะต้องถูกพิจารณาดำเนินการตามกฎหมาย

บทที่ IV. การบังคับใช้การปกป้องข้อมูลส่วนบุคคล

มาตรา 30. ความรับผิดชอบในการปฏิบัติความร่วมมือระหว่างประเทศด้านการปกป้องข้อมูลส่วนบุคคล

1. หน่วยงานที่รับผิดชอบเฉพาะด้านการคุ้มครองข้อมูลส่วนบุคคลมีหน้าที่ช่วยกระทรวงมหาดไทยในการดำเนินความร่วมมือระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

2. กระทรวง หน่วยงานระดับกระทรวง หน่วยงานที่อยู่ภายใต้รัฐบาล ดำเนินความร่วมมือระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในสาขาและพื้นที่ที่อยู่ในขอบเขตการบริหารจัดการตามที่กฎหมายกำหนดและตามหน้าที่ความรับผิดชอบที่ได้รับมอบหมาย

3. คณะกรรมการประชาชนระดับจังหวัดดำเนินความร่วมมือระหว่างประเทศเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามที่กฎหมายกำหนดและตามหน้าที่ความรับผิดชอบที่ได้รับมอบหมาย

บทความ 31 การตรวจสอบการดำเนินการคุ้มครองข้อมูลส่วนบุคคล

1. การตรวจสอบการดำเนินการคุ้มครองข้อมูลส่วนบุคคลดำเนินการเป็นประจำ เป็นกรณีฉุกเฉิน ในกรณีดังต่อไปนี้:

ก) เมื่อมีหลักฐานข้อสงสัยเกี่ยวกับพฤติกรรมที่ละเมิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

ข) เมื่อมีคำสั่งจากหน่วยงานหรือผู้มีอำนาจในการบริหารราชการภาครัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

ค) ดำเนินงานการบริหารราชการตามที่กฎหมายกำหนด

2. วัตถุประสงค์ของการตรวจสอบการคุ้มครองข้อมูลส่วนบุคคลได้แก่:

ก) หน่วยงาน องค์กร หรือบุคคลที่มีการดำเนินกิจกรรมการประมวลผลข้อมูลส่วนบุคคล;

ข) องค์กรหรือบุคคลที่ประกอบธุรกิจให้บริการประมวลผลข้อมูลส่วนบุคคล;

ค) หน่วยงาน องค์กร หรือบุคคลที่ต้องดำเนินการประเมินผลกระทบของการประมวลผลข้อมูลส่วนบุคคลและประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดน;

ง) หน่วยงาน องค์กร หรือบุคคลที่เกี่ยวข้องกับกรณีหรือเหตุการณ์ที่ละเมิดข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล.

3. เนื้อหาการตรวจสอบการคุ้มครองข้อมูลส่วนบุคคล:

ก) สภาพการปฏิบัติตามการคุ้มครองข้อมูลส่วนบุคคล;

ข) การดำเนินกิจกรรมการประเมินผลกระทบของการประมวลผลข้อมูลส่วนบุคคลและการประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดน;

ค) กิจกรรมธุรกิจบริการการประมวลผลข้อมูลส่วนบุคคล

4. หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลออกคำสั่งตรวจสอบและแจ้งให้บุคคลที่ถูกตรวจสอบตามข้อ 2 ของมาตรานี้ ก่อน 15 วันเกี่ยวกับเวลา เนื้อหา และองค์ประกอบของคณะตรวจสอบ ในกรณีตรวจสอบฉุกเฉินเพื่อให้สามารถยืนยัน ตรวจพบ และป้องกันการกระทำที่ละเมิดกฎหมายเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล หน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลมีสิทธิ์ดำเนินการตรวจสอบทันทีโดยไม่ต้องแจ้งล่วงหน้า

5. บุคคลที่ถูกตรวจสอบต้องเตรียมเนื้อหาการตรวจสอบทั้งหมดให้ครบถ้วนตามที่กำหนดไว้ในข้อ 3 ของมาตรานี้ และตามข้อกำหนดเฉพาะในคำสั่งตรวจสอบที่ออกโดยหน่วยงานที่รับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคล

มาตรา 32. การวิจัยและพัฒนาวิธีการคุ้มครองข้อมูลส่วนบุคคล

หน่วยงาน องค์กร ธุรกิจ และบุคคลที่เข้าร่วมในการวิจัย พัฒนา และประยุกต์ใช้งานแนวทางการปกป้องข้อมูลส่วนบุคคล รวมถึง:

1. การสร้างระบบซอฟต์แวร์ อุปกรณ์ที่ใช้ปกป้องข้อมูลส่วนบุคคล;

2. วิธีการประเมินซอฟต์แวร์ อุปกรณ์ที่ใช้ปกป้องข้อมูลส่วนบุคคลให้ได้มาตรฐาน;

3. วิธีการตรวจสอบฮาร์ดแวร์ ซอฟต์แวร์ที่ให้บริการว่าปฏิบัติหน้าที่ถูกต้อง;

4. การบันทึกและการจัดการการปฏิบัติตามข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

5. การแก้ไขความเสี่ยงต่อการรั่วไหลหรือสูญหายของข้อมูลส่วนบุคคล;

6. แนวคิดทางเทคนิคเพื่อยกระดับการรับรู้และทักษะเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล;

7. การประมวลผลข้อมูลส่วนบุคคลเพื่อสนับสนุนงานสถิติและวิทยาศาสตร์;

8. แนวทางสำหรับเจ้าของข้อมูลส่วนบุคคลในการควบคุมข้อมูลส่วนบุคคลของตน การให้และแบ่งปันข้อมูลตามกลไกการเปิดเผยแบบเลือกสรร การใช้เทคโนโลยีขั้นสูง เทคโนโลยีเชิงกลยุทธ์ที่สอดคล้องกับมาตรฐาน กฎเกณฑ์สากล;

9. มาตรฐานการปกป้องข้อมูลส่วนบุคคล;

10. มาตรการปกป้องข้อมูลส่วนบุคคลอื่น ๆ ที่สอดคล้องกับกฎหมาย

มาตรา 33. เนื้อหาเกี่ยวกับการบริหารรัฐกิจเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

1. ออกกฎหมายตามอำนาจหน้าที่ หรือเสนอให้หน่วยงานรัฐที่มีอำนาจออกกฎหมายว่าด้วยการปกป้องข้อมูลส่วนบุคคล; จัดให้มีการปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

2. จัดทำและดำเนินการยุทธศาสตร์ นโยบาย แผนงาน โครงการ โปรแกรม แผนการเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

3. ให้คำแนะนำแก่หน่วยงาน องค์กร และบุคคลเกี่ยวกับมาตรการ ขั้นตอน มาตรฐาน เกณฑ์สำหรับการปกป้องข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด

4. เผยแพร่และให้ความรู้ทางกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล; สื่อสาร เผยแพร่ความรู้ ทักษะในการปกป้องข้อมูลส่วนบุคคล

5. จัดทำ ฝึกอบรม พัฒนาบุคลากร และส่งเสริมทรัพยากรมนุษย์ในด้านการปกป้องข้อมูลส่วนบุคคล

6. ตรวจสอบ กำกับ เห็นชอบ จัดการเรื่องร้องเรียน ร้องทุกข์ และดำเนินคดีเกี่ยวกับการละเมิดกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลตามที่กฎหมายกำหนด

7. สถิติ ข้อมูล และรายงานเกี่ยวกับสถานการณ์การปกป้องข้อมูลส่วนบุคคลและการปฏิบัติตามกฎหมายเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลต่อหน่วยงานรัฐที่มีอำนาจ

8. จัดการสรุปผลชั่วคราว สรุปผลโดยรวม การวิจัยทางวิทยาศาสตร์เกี่ยวกับการปกป้องข้อมูลส่วนบุคคล; วิจัยและประยุกต์ใช้ความก้าวหน้าทางวิทยาศาสตร์และเทคโนโลยีเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

9. ความร่วมมือระหว่างประเทศเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

มาตรา 34 ความรับผิดชอบของกระทรวงมหาดไทย

1. ช่วยรัฐบาลในการดำเนินการบริหารรัฐกิจเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลให้เป็นไปในแนวทางเดียวกัน

2. รับผิดชอบในการจัดทำ ออก หรือเสนอหน่วยงานรัฐที่มีอำนาจออก และแนะนำการปฏิบัติตามเอกสารกฎหมายที่ใช้บังคับเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล

3. แนะนำ ดำเนินการกิจกรรมคุ้มครองข้อมูลส่วนบุคคล คุ้มครองสิทธิของเจ้าของข้อมูลจากการกระทำที่ละเมิดข้อกำหนดของกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

4. รับผิดชอบ ประสานงานกับกระทรวงวิทยาศาสตร์และเทคโนโลยีจัดทำมาตรฐาน มาตรฐานทางเทคนิคในการคุ้มครองข้อมูลส่วนบุคคล; มาตรฐานทางเทคนิคในการทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนได้และการไม่ระบุชื่อข้อมูลส่วนบุคคลซึ่งถูกออกใช้และใช้บังคับในเวียดนาม

5. จัดทำ จัดการ และดำเนินการพอร์ทัลข้อมูลแห่งชาติว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

6. ดำเนินการประชาสัมพันธ์ เผยแพร่ ให้การศึกษาเกี่ยวกับกฎหมาย และแนะนำ เสริมสร้างความรู้ ความสามารถเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลให้แก่กำลังคนที่ทำงานด้านการคุ้มครองข้อมูลส่วนบุคคล

7. ประเมิน สรุปเบื้องต้น และสรุปผลการดำเนินงานเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลของหน่วยงาน องค์กร และบุคคลที่เกี่ยวข้อง

8. ส่งเสริมการวิจัยทางวิทยาศาสตร์เกี่ยวกับการปกป้องข้อมูลส่วนบุคคล; ศึกษาและประยุกต์ใช้ความก้าวหน้าทางวิทยาศาสตร์และเทคโนโลยีเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลเพื่อสร้างนวัตกรรมในด้านการปกป้องข้อมูลส่วนบุคคล

9. ดำเนินกิจกรรมความร่วมมือระหว่างประเทศเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

มาตรา 35. ความรับผิดชอบของกระทรวงกลาโหม

1. ประสานงานกับกระทรวงมหาดไทย หน่วยงานและองค์กรที่เกี่ยวข้อง จัดกำลังและอุปกรณ์เพื่อปกป้องข้อมูลส่วนบุคคล ตรวจพบ และป้องกันการกระทำที่ละเมิดข้อกำหนดเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลในขอบเขตการบริหารงาน

2. ในกรอบหน้าที่และภารกิจที่ได้รับมอบหมาย เป็นผู้ดำเนินการร่วม ประสานงานกับกระทรวงมหาดไทยในการประเมินผลการปฏิบัติงานด้านการปกป้องข้อมูลส่วนบุคคลของหน่วยงาน องค์กร และบุคคลที่อยู่ในขอบเขตการกำกับดูแล; ส่งเสริมการใช้มาตรการปกป้องข้อมูลส่วนบุคคล; ศึกษาและประยุกต์ใช้เทคโนโลยีการรักษาความปลอดภัยขั้นสูงในการประมวลผลและปกป้องข้อมูลส่วนบุคคลเพื่อสนับสนุนกิจกรรมด้านการป้องกันประเทศ; ดำเนินความร่วมมือระหว่างประเทศเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลที่อยู่ในขอบเขตการกำกับดูแลตามกฎหมาย

3. จัดงานเผยแพร่ ให้ความรู้ ให้การศึกษาเกี่ยวกับกฎหมายและความรู้ ทักษะการปกป้องข้อมูลส่วนบุคคลแก่เจ้าหน้าที่ทหาร เจ้าหน้าที่ทหารมืออาชีพ เจ้าหน้าที่ ลูกจ้าง ประจำหน่วยงานที่อยู่ในขอบเขตการกำกับดูแล

4. ตรวจสอบ กำกับดูแล สืบสวน และดำเนินการทางกฎหมายต่อการละเมิดกฎหมายการปกป้องข้อมูลส่วนบุคคลของหน่วยงาน องค์กร และบุคคลที่อยู่ในขอบเขตการกำกับดูแลของกระทรวงกลาโหมตามกฎหมายและหน้าที่ที่ได้รับมอบหมาย

มาตรา 36 ความรับผิดชอบของกระทรวงวิทยาศาสตร์และเทคโนโลยี

1. ประสานงานกับกระทรวงมหาดไทยในการจัดทำมาตรฐาน กฎเกณฑ์ทางเทคนิคในการปกป้องข้อมูลส่วนบุคคล; กฎเกณฑ์ทางเทคนิคในการทำให้ข้อมูลส่วนบุคคลไม่สามารถระบุตัวตนได้ การไม่ระบุตัวตนของข้อมูลส่วนบุคคลที่ประกาศใช้และนำไปใช้ในเวียดนาม

2. ประสานงานกับกระทรวงมหาดไทยและหน่วยงานที่เกี่ยวข้องในการวิจัย พัฒนา การควบคุมตนเอง และการประยุกต์ใช้มาตรการปกป้องข้อมูลส่วนบุคคลที่นำเทคโนโลยีล้ำสมัย เทคโนโลยีขั้นสูง เทคโนโลยีเชิงกลยุทธ์ มาประยุกต์ ใช้ในการสร้างสรรค์โซลูชัน ผลิตภัณฑ์ บริการปกป้องข้อมูลส่วนบุคคลในกระบวนการพัฒนารัฐบาลดิจิทัล เศรษฐกิจดิจิทัล สังคมดิจิทัล ผ่านโครงการวิทยาศาสตร์และเทคโนโลยี

มาตรา 37 ความรับผิดชอบของกระทรวง หน่วยงานเทียบเท่ากระทรวง หน่วยงานภายใต้รัฐบาล

1. ดำเนินการบริหารงานราชการเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลต่อภาคส่วนและสาขาที่อยู่ในขอบเขตการบริหารตามที่กฎหมายกำหนด

2. สร้างและดำเนินการเนื้อหาและภารกิจในการปกป้องข้อมูลส่วนบุคคลตามพระราชกฤษฎีกานี้

3. เพิ่มบทบัญญัติการปกป้องข้อมูลส่วนบุคคลในการสร้างและดำเนินภารกิจของกระทรวงและหน่วยงานต่าง ๆ

4. จัดบุคลากรและหน่วยงานปกป้องข้อมูลส่วนบุคคลในหน่วยงานที่อยู่ในขอบเขตการบริหารจัดการ; เพื่อให้มั่นใจว่าผู้ปฏิบัติงานมีความสามารถ เหมาะสมกับตำแหน่งงาน และตรงตามข้อกำหนดทางวิชาชีพเกี่ยวกับการปกป้องข้อมูลส่วนบุคคลตามกฎหมาย

5. จัดสรรงบประมาณสำหรับกิจกรรมการปกป้องข้อมูลส่วนบุคคลตามระดับการจัดการงบประมาณปัจจุบัน

6. จัดกิจกรรมประชาสัมพันธ์ เผยแพร่กฎหมาย และฝึกอบรมความรู้เฉพาะทาง ทักษะ ให้กับเจ้าหน้าที่ ข้าราชการ พนักงาน และหน่วยงานในขอบเขตการบริหารจัดการเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

7. ประสานงานกับกระทรวงมหาดไทยในการตรวจสอบ ตรวจตรา กำกับดูแล และจัดการกับการละเมิดบทบัญญัติการปกป้องข้อมูลส่วนบุคคลที่อยู่ในขอบเขตการบริหารจัดการ

8. ประสานงานกับกระทรวงมหาดไทย กระทรวงวิทยาศาสตร์และเทคโนโลยีในการจัดทำแนวทางและการนำมาตรฐาน กฎเกณฑ์ทางเทคนิคเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลมาใช้กับหน่วยงาน องค์กร และบุคคลภายใต้ขอบเขตการบริหารจัดการ

มาตรา 38 ความรับผิดชอบของคณะกรรมการประชาชนระดับจังหวัดและนครที่ขึ้นตรงต่อรัฐบาลกลาง

1. ดำเนินการบริหารรัฐกิจเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในสาขาและพื้นที่ที่ตนบริหารจัดการตามกฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคล

2. นำข้อกำหนดเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลในพระราชกฤษฎีกานี้ไปปฏิบัติ

3. จัดบุคลากรและหน่วยงานคุ้มครองข้อมูลส่วนบุคคลในหน่วยงานภายใต้ขอบเขตการบริหารจัดการ; เพื่อให้มั่นใจว่ามีความสามารถตรงตามตำแหน่งงาน และตอบสนองความต้องการด้านวิชาชีพเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลตามกฎหมาย

4. จัดสรรงบประมาณเพื่อสนับสนุนกิจกรรมการคุ้มครองข้อมูลส่วนบุคคลตามการจัดสรรงบประมาณปัจจุบัน

5. จัดกิจกรรมประชาสัมพันธ์ เผยแพร่กฎหมาย และความรู้ ทักษะการปกป้องข้อมูลส่วนบุคคลแก่เจ้าหน้าที่ ข้าราชการ พนักงาน นักศึกษาประชาชน และธุรกิจในพื้นที่

6. จัดการอบรมเสริมสร้างสมรรถนะให้แก่ทีมงานที่ทำงานด้านการปกป้องข้อมูลส่วนบุคคลในทุกระดับของหน่วยงานปกครอง; ผนวกเนื้อหาการปกป้องข้อมูลส่วนบุคคลในโครงการปฏิรูประบบราชการและการเปลี่ยนแปลงสู่ดิจิทัล

7. สร้างระบบสถิติ การสรุปและรายงานประจำเกี่ยวกับสถานการณ์การปกป้องข้อมูลส่วนบุคคลในพื้นที่ส่งให้หน่วยงานเฉพาะทางด้านการปกป้องข้อมูลส่วนบุคคลตามข้อกำหนด

มาตรา 39. หน่วยงานเฉพาะทางด้านการปกป้องข้อมูลส่วนบุคคลและพอร์ทัลข้อมูลแห่งชาติด้านการปกป้องข้อมูลส่วนบุคคล

1. หน่วยงานเฉพาะทางด้านการปกป้องข้อมูลส่วนบุคคลคือหน่วยงานภายใต้กระทรวงมหาดไทย มีหน้าที่ช่วยรัฐมนตรีกระทรวงมหาดไทยในการปฏิบัติหน้าที่ด้านการบริหารรัฐกิจเกี่ยวกับการปกป้องข้อมูลส่วนบุคคล

2. พอร์ทัลข้อมูลแห่งชาติเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคลเป็นสถานที่ให้ข้อมูลประชาสัมพันธ์เกี่ยวกับนโยบายและแนวทางของพรรค กฎหมายของรัฐเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล; สนับสนุนการให้คำแนะนำ เพิ่มความตระหนัก และทักษะในการคุ้มครองข้อมูลส่วนบุคคลสำหรับหน่วยงาน องค์กร และบุคคล; รับเรื่องและดำเนินการเกี่ยวกับข้อเสนอแนะและการร้องเรียนจากหน่วยงาน องค์กร และบุคคลที่เกี่ยวข้อง; ดำเนินกิจกรรมอื่นตามที่กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลกำหนด

มาตรา 40. งบประมาณสำหรับการดำเนินงานคุ้มครองข้อมูลส่วนบุคคล

1. งบประมาณในการดำเนินการปกป้องข้อมูลส่วนบุคคลประกอบด้วย งบประมาณของรัฐ; การสนับสนุนจากหน่วยงาน องค์กร บุคคลภายในและต่างประเทศ; รายได้จากกิจกรรมการให้บริการปกป้องข้อมูลส่วนบุคคล; ความช่วยเหลือระหว่างประเทศ และแหล่งรายได้ที่ถูกกฎหมายอื่น ๆ

2. งบประมาณในการปกป้องข้อมูลส่วนบุคคลของหน่วยงานรัฐได้มาจากงบประมาณของรัฐ จัดสรรในงบประมาณประจำปีของรัฐ การบริหารและการใช้จ่ายงบประมาณจากงบประมาณรัฐดำเนินการตามกฎหมายว่าด้วยงบประมาณของรัฐ

3. งบประมาณในการปกป้องข้อมูลส่วนบุคคลขององค์กรและธุรกิจ จัดสรรโดยองค์กรและธุรกิจเอง และดำเนินการตามข้อกำหนด

บทที่ V. การจัดองค์กรเพื่อดำเนินการ

ข้อ 41. ข้อกำหนดเกี่ยวกับการบังคับใช้วรรค 2 และวรรค 3 ของมาตรา 38 แห่งพระราชบัญญัติปกป้องข้อมูลส่วนบุคคล

1. ธุรกิจขนาดเล็กและธุรกิจเริ่มต้นมีสิทธิ์เลือกปฏิบัติตามหรือไม่ปฏิบัติตามข้อกำหนดในมาตรา 21, มาตรา 22 และวรรค 2 ของมาตรา 33 แห่งพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลเป็นระยะเวลา 5 ปีนับแต่วันที่พระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้ ยกเว้นธุรกิจขนาดเล็กและธุรกิจเริ่มต้นที่ประกอบธุรกิจให้บริการประมวลผลข้อมูลส่วนบุคคล โดยตรงประมวลผลข้อมูลส่วนบุคคลที่ละเอียดอ่อน หรือประมวลผลข้อมูลส่วนบุคคลตั้งแต่เวลาที่มีขนาดถึง 100,000 ผู้เป็นเจ้าของข้อมูลส่วนบุคคลขึ้นไปตามผลรวมที่สะสมของปริมาณข้อมูลส่วนบุคคลที่ได้ประมวลผลแล้ว

2. กิจการรายย่อย ธุรกิจขนาดเล็กมาก ไม่ต้องปฏิบัติตามบทบัญญัติในมาตรา 21 มาตรา 22 และวรรค 2 ของมาตรา 33 ของพระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคล ยกเว้นกิจการรายย่อย ธุรกิจขนาดเล็กมากที่ประกอบธุรกิจบริการประมวลผลข้อมูลส่วนบุคคล ประมวลผลข้อมูลส่วนบุคคลที่มีความละเอียดอ่อนโดยตรง หรือประมวลผลข้อมูลส่วนบุคคลตั้งแต่ช่วงเวลาที่มีขนาด ≥ 100,000 เจ้าของข้อมูลส่วนบุคคล ขึ้นไป โดยอิงผลจากปริมาณข้อมูลส่วนบุคคลสะสมที่ได้ประมวลผลแล้ว

มาตรา 42. ประสิทธิผลและความรับผิดชอบในการบังคับใช้

1. พระราชกฤษฎีกานี้มีผลบังคับใช้ตั้งแต่วันที่ 01 มกราคม 2569

2. พระราชกฤษฎีกาเลขที่ 13/2023/NĐ-CP ลงวันที่ 17 เมษายน 2566 ของรัฐบาลเกี่ยวกับการคุ้มครองข้อมูลส่วนบุคคล ยกเลิกตั้งแต่วันที่พระราชกฤษฎีกานี้มีผลบังคับใช้

3. แก้ไขวรรค 2 ของมาตรา 16 ของพระราชกฤษฎีกาเลขที่ 165/2025/NĐ-CP ลงวันที่ 30 มิถุนายน 2568 ของรัฐบาล ซึ่งกำหนดรายละเอียดบางมาตราและมาตรการบังคับใช้พระราชบัญญัติข้อมูล ดังนี้:

"2. การคุ้มครองข้อมูลหลักและข้อมูลสําคัญที่เป็นข้อมูลส่วนบุคคลต้องเป็นไปตามบทบัญญัติของกฎหมายคุ้มครองข้อมูลส่วนบุคคลและเอกสารที่ระบุรายละเอียดการดําเนินการ

ในกรณีที่มีการโอนและประมวลผลข้อมูลหลักข้ามพรมแดนและข้อมูลส่วนบุคคลที่สําคัญ ผู้จัดการข้อมูลหลักและข้อมูลสําคัญจะต้องดําเนินการประเมินผลกระทบของการประมวลผลข้อมูลส่วนบุคคลและการประเมินผลกระทบของการโอนข้อมูลส่วนบุคคลข้ามพรมแดนตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล;ไม่จําเป็นต้องดําเนินการประเมินความเสี่ยงและผลกระทบของการโอนและประมวลผลข้อมูลข้ามพรมแดนตามบทบัญญัติของพระราชกฤษฎีกานี้"

4. กระทรวงความมั่นคงสาธารณะจะรับผิดชอบในการชี้แนะ ตรวจสอบ และผลักดันให้ดําเนินการตามพระราชกฤษฎีกานี้

5. รัฐมนตรีของกระทรวง หัวหน้าหน่วยงานเทียบเท่ากระทรวง หน่วยงานที่สังกัดรัฐบาล ประธานคณะกรรมการประชาชนของจังหวัดและเมืองที่ขึ้นตรงต่อรัฐบาลกลาง และหน่วยงาน องค์กร บุคคลที่เกี่ยวข้องมีหน้าที่รับผิดชอบในการปฏิบัติพระราชกฤษฎีกานี้

นพ. รัฐบาล พ.ต.อ. รองนายกรัฐมนตรี

เหงียนโฮ่าบิ่ง