2025年个人数据保护法（91/2025/QH15）

根据经第203/2025/QH15号决议修改和补充若干条款的越南社会主义共和国宪法；

国会颁布《个人数据保护法》。

第一章 共同规定

第一条 调整范围和适用对象

1. 本法规定个人数据、个人数据保护以及相关机构、组织、个人的权利、义务和责任。

2. 本法适用于：

a) 越南的机构、组织、个人；

b) 在越南的外国机构、组织、个人；

c) 直接参与或者与越南公民及居住在越南、尚未确定国籍的越南裔人士的个人数据处理活动有关的外国机构、组织或个人已获得居民身份证明。

第二条 术语解释

在本法中，下列术语解释如下：

1. 个人数据是以数字或其他形式存在的、能够识别或帮助识别特定人的信息，包括：基本个人数据和敏感个人数据。去标识化后的个人数据不再属于个人数据。

2. 基本人数据是反映个人身份、背景等常见信息、在交易和社会关系中经常使用的数据，属于政府发布的目录范围内的数据。

3. 敏感个人数据是与个人隐私相关的个人数据，一旦被侵犯，将直接影响机关、组织、个人的合法权利和利益，属于政府发布的目录范围。

4. 个人数据保护是机关、组织、个人利用力量、手段、防护措施来预防和抵制侵犯个人数据的行为。

5. 个人数据主体是个人数据所反映的人。

6. 个人数据处理是对个人数据进行的活动，包括以下一项或多项活动：收集、分析、汇总、加密、解密、修改、删除、销毁、去标识化、提供、公开、转让个人数据及其他影响个人数据的活动。

7. 个人数据控制者是决定个人数据处理目的和方式的机关、组织、个人。

8. 个人数据处理方是根据个人数据控制方的要求，或通过合同与个人数据控制与处理方进行数据处理的机构、组织或个人。

9. 个人数据控制与处理方是决定个人数据处理目的、手段并直接处理个人数据的机构、组织或个人。

10. 第三方是指在法律规定范围内，参与个人数据处理且不属于个人数据主体、个人数据控制方、个人数据控制与处理方、个人数据处理方的机构或个人。

11. 个人数据去标识化是指通过更改或删除信息，使其生成的数据无法识别或无法帮助识别特定个人的过程。

12. 对个人数据处理的影响评估是分析、评估在个人数据处理过程中可能发生的风险，以采取风险缓解措施，保护个人数据。

第3条 个人数据保护原则

1. 遵守宪法的规定、本法的规定以及其他相关法律法规的规定。

2. 仅在合法范围内、为明确具体的目的收集和处理个人数据，确保遵守法律规定。

3. 确保个人数据的准确性，并在必要时进行修改、更新、补充；数据应在与处理个人数据目的相适应的时间内进行存储，法律另有规定的除外。

4. 有效同步实施制度、技术、人力等方面的措施和解决方案，以保护个人数据。

5. 主动预防、发现、阻止、斗争、及时严肃处理所有违反个人数据保护法律的行为。

6. 保护个人数据与保护国家和民族利益相结合，为经济社会发展服务，保障国防、安全和对外事务；确保个人数据保护与机构、组织、个人的合法权利和利益保护相协调。

第四条 个人数据主体的权利和义务

1. 个人数据主体的权利包括：

a) 知悉个人数据处理活动；

b) 同意或不同意，要求撤回允许处理个人数据的同意；

c) 查看、修改或要求修改个人数据；

d) 要求提供、删除、限制处理个人数据；提交反对处理个人数据的请求；

đ) 根据法律规定提出投诉、举报、起诉、要求赔偿损失。

e) 要求有权机关或者相关机构、组织、个人在处理个人数据时，根据法律规定采取措施和解决方案来保护自己的个人数据。

2. 个人数据主体的义务包括：

a) 自行保护自己的个人数据；

b) 尊重并保护他人的个人数据；

c) 根据法律规定、合同或在同意允许处理本人个人数据的情况下，提供完整、准确的个人数据；

d) 遵守个人数据保护法律，并参与防范和打击侵害个人数据的活动。

3. 个人数据主体在行使其权利和履行义务时，必须全面遵守以下原则：

a) 遵守法律规定；遵守个人数据主体在合同下的义务。行使个人数据主体的权利和义务必须旨在保护该个人数据主体自身的合法权益；

b) 不得制造困难或阻碍个人数据控制方、个人数据控制和处理方、个人数据处理方行使权利和法律义务；

c) 不得侵犯国家、机关、组织和其他个人的合法权益。

4. 机关、组织和个人有责任创造便利，不得制造困难或阻碍个人数据主体依法行使权利和义务。

5. 当收到个人数据主体根据本条第1款行使个人数据主体权利的请求时，个人数据控制方、个人数据控制与处理方应在法律规定的期限内及时执行。

政府规定本款的具体细则。

第5条 个人数据保护法律适用

1. 在越南社会主义共和国领土上的个人数据保护活动，应遵守本法及其他相关法律规定。

2. 如果在本法生效前，全国国会颁布的法律、决议中有关于个人数据保护的具体规定，且不违反本法规定的个人数据保护原则，则适用该法律、决议的规定。

3. 如果国会在本法生效日期之后通过的法律、决议中关于个人数据保护的规定与本法的规定不同，则必须具体规定按照本法的规定执行或不执行的内容，以及按照该法律、决议的规定执行的内容。

4. 如果机构、组织、个人按照本法规定进行个人数据处理影响评估、跨境个人数据转移影响评估，则无需按照数据相关法律规定进行个人数据处理风险评估、跨境个人数据转移影响评估。

第6条 个人数据保护的国际合作

1. 遵守越南法律、越南社会主义共和国作为成员国的国际条约以及在平等、互利的基础上尊重独立、主权和领土完整的个人数据保护国际协议。

2. 国际个人数据保护合作的内容包括：

a) 建立国际合作机制，以促进有效执行个人数据保护法律；

b) 参与对其他国家个人数据保护的司法互助；

c) 预防和打击侵犯个人数据的行为；

d) 培训人才、进行科学研究、应用科学技术于个人数据保护；

đ) 交流个人数据保护法律的制定与实施经验；

e) 转让用于个人数据保护的技术。

3. 政府规定国际个人数据保护合作的责任。

第七条 禁止的行为

1. 处理个人数据以反对越南社会主义共和国，影响国家国防、国家安全、社会秩序、安全以及机关、组织、个人的合法权益。

2. 妨碍个人数据保护活动。

3. 利用个人数据保护活动实施违法行为。

4. 违反法律规定处理个人数据。

5. 使用他人的个人数据，或允许他人使用自己的个人数据实施违法行为。

6. 购买、出售个人数据，但法律另有规定的除外。

7. 占有、故意泄露或丢失个人数据。

第八条 对违反个人数据保护法律的行为进行处理

1. 组织或个人有违反本法及与个人数据保护相关的其他法律规定的行为的，根据行为的性质、程度和后果，可能会受到行政处罚或被追究刑事责任；如果造成损害，则必须根据法律规定进行赔偿。

2. 个人数据保护领域的行政处罚依法依照本条第3、4、5、6和7款及行政处罚相关法律的规定执行。

3. 对于购买、出售个人数据的行政违法行为，最高罚款额为违法行为所得金额的10倍；如果违法行为没有所得金额，或者按违法行为所得金额计算的罚款低于本条第5款规定的最高罚款额，则适用本条第5款规定的罚款金额。

4. 对于跨境传输个人数据的组织行政违法行为，最高罚款额为该组织前一年营业收入的5%；如果前一年没有营业收入，或者按营业收入计算的罚款低于本条第5款规定的最高罚款额，则适用本条第5款规定的罚款金额。

5. 对个人数据保护领域其他违法行为的行政处罚，最高罚款为3亿越南盾。

6. 本条第3、4、5款规定的最高罚款适用于组织；个人实施同一违法行为的，最高罚款为组织罚款的一半。

7. 政府规定因实施个人数据保护违法行为所获得收入的计算方法。

第二章 个人数据保护

第1条 个人数据保护

在个人数据处理过程中

第9条 个人数据主体的同意

1. 个人数据主体的同意是指个人数据主体允许处理其个人数据，法律另有规定的除外。

2. 个人数据主体的同意仅在基于自愿并明确知道以下信息时有效：

a) 被处理的个人数据类型、个人数据处理目的；

b) 个人数据控制方或数据控制和处理方；

c) 个人数据主体的权利和义务。

3. 个人数据主体的同意应通过明确、具体的方式表示，可以书面打印、复制，包括电子形式或可验证格式。

4. 个人数据主体的同意必须遵循以下原则：

a) 对每个处理目的表示同意；

b) 不得附带必须同意其他目的的条件；

c) 同意有效至个人数据主体改变该同意或法律规定的情况下。

d) 沉默或不回应不被视为同意。

5. 政府规定本条第3款的具体细则。

第10条 撤回同意的请求、限制个人数据处理的请求

1. 个人数据主体有权要求撤回允许处理个人数据的同意，有权在对个人数据的处理范围、目的或个人数据的准确性存有疑虑时，要求限制对其个人数据的处理，但本法第19条规定的情形或法律另有规定的除外。

2. 撤回同意的请求、限制个人数据处理的请求，个人数据主体必须以书面形式提出，包括电子形式或可验证格式，并提交给个人数据控制方及个人数据控制和处理方。个人数据主体的撤回同意请求和限制个人数据处理请求应根据法律规定及双方协议执行。

3. 个人数据控制方及个人数据控制和处理方接收、执行并要求个人数据处理方在法律规定的时间内执行个人数据主体的撤回同意请求和限制个人数据处理的请求。

4. 撤回同意请求、限制处理个人数据请求的实施，不适用于个人数据主体提出撤回同意或限制处理个人数据请求之前的个人数据处理活动。

第11条 收集、分析和汇总个人数据

1. 收集个人数据必须在征得个人数据主体同意的情况下进行，法律另有规定的除外。

2. 具有权限的党政机关可以对来源于自行收集或共享、提供、转让、利用的个人数据进行分析、汇总，以用于依法进行的领导、指挥、国家管理和经济社会发展工作。

3. 不属于本条第2款规定的机构、组织和个人，可从依法允许处理的个人数据来源中分析、汇总个人数据。

第12条 个人数据的加密和解密

1. 个人数据的加密是指将个人数据转换为在未解密情况下无法识别的形式；加密后的个人数据仍为个人数据。

2. 属于国家秘密的个人数据必须按照国家有关保密和密码管理的法律规定进行加密和解密。

3. 机构、组织和个人应根据个人数据处理活动决定个人数据的加密和解密。

第13条 个人数据的修改

1. 个人数据主体可以根据与个人数据控制方、个人数据控制与处理方的协议，自行修改其某些类型的个人数据；或请求个人数据控制方、个人数据控制与处理方修改其个人数据。

2. 个人数据控制方、个人数据控制与处理方在个人数据主体提出请求后，或根据法律规定，可以修改个人数据；可以要求个人数据处理方、第三方修改个人数据主体的个人数据。

3. 个人数据的修改必须保证其准确性。如果由于正当理由无法修改个人数据，个人数据控制方、个人数据控制与处理方必须通知请求的机构、组织或个人。

第14条 个人数据的删除、销毁和去标识化

1. 在以下情况下执行个人数据的删除、销毁:

a) 个人数据主体要求并接受可能发生在自身的风险和损害。在这种情况下，个人数据主体的要求必须完全遵守本法第4条第3款规定的原则；

b) 已完成个人数据处理的目的；

c) 符合法律规定的存储期限已到；

d) 根据有权国家机关的决定执行；

đ) 根据协议执行；

e) 法律规定的其他情况。

2. 在本法第19条规定的情况下，或者删除、销毁个人数据违反本法第4条第3款的规定，不执行个人数据主体关于删除、销毁个人数据的请求。

3. 个人数据控制方、个人数据控制和处理方应在本条第1款规定的情况下，或者根据个人数据处理方、第三方删除或销毁个人数据的请求，删除或销毁个人数据。个人数据的删除、销毁必须采用安全措施；防止对已删除、销毁的个人数据的入侵和非法恢复。

4. 任何机关、组织、个人不得故意非法恢复已删除、销毁的个人数据。

5. 个人数据控制方、个人数据控制和处理方、个人数据处理方有遵守本法规定的责任。若在收到个人数据主体请求后因正当理由无法删除、销毁个人数据，个人数据控制方、个人数据控制和处理方应通知个人数据主体。

6. 有关个人数据去标识化的规定如下：

a) 去标识化个人数据的机构、组织和个人有责任严格控制和监督个人数据去标识化的过程；在去标识化过程中防止未经授权的访问、复制、占用、泄露或丢失个人数据；

b) 个在个人数据已去标识化后，不得重新识别个人数据，但法律另有规定的除外；

c) 个人数据去标识化应遵守本法及其他相关法律法规的规定。

第十五条 个人数据提供

1. 个人数据主体按照法律规定或与相关机构、组织、个人的协议，向该机构、组织、个人提供个人数据。

2. 个人数据控制方、个人数据控制和处理方在以下情况下提供个人数据：

a) 根据法律规定，向个人数据主体提供其请求的个人数据，并与个人数据主体达成协议，但提供该数据可能会危害国防、国家安全、社会秩序、社会安全或侵犯他人的生命、健康、财产除外；

b) 在获得个人数据主体同意的情况下，向其他机构、组织或个人提供，法律另有规定的除外。

第16条 个人数据公开

1. 个人数据仅可为特定目的公开。公开范围和公开的个人数据类型必须符合公开目的。个人数据的公开不得侵犯个人数据主体的合法权益。

2. 个人数据仅在以下情况下公开：

a) 经个人数据主体同意；

b) 按照法律规定执行；

c) 本法第19条第1款b项规定的情况；

d) 履行合同义务。

3. 公开的个人数据必须确保准确反映原始数据来源的个人数据，并便于机关、组织及个人访问、开发利用。

4. 个人数据公开的形式，包括：在电子信息网站、电子信息门户、大众传媒以及法律规定的其他形式上发布数据。

5. 公布个人数据的机关、组织、个人必须严格控制和监督个人数据的公开，以确保遵守法律规定的目的、范围及要求；在自身能力和条件范围内，防止对已公开的个人数据进行未经授权的访问、使用、披露、复制、修改、删除、销毁或其他处理行为。

第17条 个人数据的转移

1. 个人数据的转移适用于以下情况：

a) 在个人数据主体同意的情况下转移个人数据；

b) 在同一机关、组织的各部门之间共享个人数据，以便按照已确定的处理目的处理个人数据；

c) 在机关、组织、行政单位分立、拆分、合并及重组、国有企业所有制形式变更时，为继续处理个人数据而转移个人数据；在单位、组织分立、拆分、合并、合并、终止活动时；在依据其他单位、组织终止活动而成立的单位、组织中转移个人数据；

d) 个人数据控制方、控制与处理个人数据方为按照规定处理个人数据，将个人数据转移给个人数据处理方、第三方；

đ) 根据有权国家机关的要求转移个人数据；

e) 在本法第19条第1款规定的情形下转移个人数据。

2. 在本条第1款规定的情况下，个人数据的转移，无论是否收费，都不得视为个人数据的买卖。

3. 政府对本条款作具体规定。

第18条 个人数据处理中的其他活动

1. 个人数据控制方、个人数据控制与处理方、个人数据处理方、按照其自身业务形式的第三方个人数据存储方，应在存储过程中采取法律规定的个人数据保护措施。

2. 个人数据的存储、访问、检索、连接、协调、确认、验证及对个人数据有影响的其他活动，应依照本法、数据相关法律、其他相关法律规定及各方协议进行。

3. 优先开发利用个人数据，用于国家管理活动、公共事业单位的活动，以用于试点一些特殊机制、政策，推动科学、技术、创新发展和国家数字化转型的突破。

第19条 在不需要个人数据主体同意的情况下处理个人数据

1. 不需要个人数据主体同意的个人数据处理情况包括：

a) 为了在紧急情况下保护个人数据主体或他人的生命、健康、荣誉、人格、权利和合法利益；保护

为了必要时维护自己、他人或国家、机构组织的正当权益，针对上述利益受到侵犯的行为。个人数据控制者、个人数据处理者、个人数据控制与处理者、第三方有责任证明此情况；

b) 为了应对紧急情况；威胁国家安全但尚未达到宣布紧急状态的程度；防止和制止暴乱、恐怖活动、防止犯罪和违法行为；

c) 为依法履行国家机关活动、国家管理活动；

d) 根据法律规定，履行个人数据主体与相关机关、组织、个人的协议；

đ) 法律规定的其他情况。

2. 相关机构、组织和个人在处理个人数据而无需获得个人数据主体同意的情况下，必须建立监督机制，包括：

a) 建立个人数据处理流程和规定，并明确机构、组织、个人在个人数据处理过程中的责任；

b) 实施适当的个人数据保护措施；定期评估个人数据处理过程中可能发生的风险；

c) 定期检查和评估对法律规定、个人数据处理流程及规定的遵守情况；

d) 建立接收和处理相关机构、组织及个人意见和建议的机制。

第20条 跨境转移个人数据

1. 跨境转移个人数据的情况包括：

a) 将存储在越南的个人数据转移到设在越南社会主义共和国领土以外的数据存储系统；

b) 在越南的机构、组织、个人向境外的机构、个人转移个人数据；

c) 在越南或境外的机构、组织、个人使用设在越南社会主义共和国领土以外的平台处理在越南收集的个人数据。

2. 跨境传输个人数据的机构、组织、个人进行本条第1款规定的活动，必须建立影响评估档案

跨境传输个人数据，并在自首次跨境传输个人数据之日起60天内向负责个人数据保护的主管机构提交一份原件，但本条第6款规定的情况除外。

3. 跨境个人数据转移影响评估在该机关、组织或个人整个活动期间进行一次，并根据本法第22条的规定进行更新。

4. 专责保护个人数据的机构决定对跨境转移个人数据进行定期检查，每年不超过一次，或者在发现违反个人数据保护法律规定的行为或发生个人数据泄露、丢失事件时进行突发检查。

5. 专责保护个人数据的机构决定在发现个人数据被转移用于可能危害国防、安全的活动时，要求相关机关、组织、个人停止跨境转移个人数据。

6. 不需要执行跨境转移个人数据影响评估的情况包括：

a) 国家有权机关的跨境转移个人数据;

b) 机关、组织为其劳动者在云计算服务上存储个人数据的机关、组织;

c) 个人数据主体自行跨境传输其个人数据；

d) 其他政府规定的情况。

7. 政府规定本条第1、5、6款的详细内容；规定跨境传输个人数据影响评估的档案组成、条件、顺序、程序。

第21条 个人数据处理影响评估

1. 个人数据控制方、控制和处理个人数据的方应编制、保存个人数据处理影响评估档案，并自首次处理个人数据之日起60天内向个人数据保护专责机关提交一份正本，但本条第6款另有规定的除外。

2. 个人数据处理影响评估在个人数据控制方、控制和处理个人数据的方整个运营期间仅进行一次，并按照本法第22条的规定进行更新。

3. 个人数据处理方根据与个人数据控制方、数据控制与处理方的协议建立并保存个人数据处理影响评估档案，但本条第6款规定的情况除外。

4. 专责个人数据保护机构评估并要求个人数据控制方、数据控制与处理方、个人数据处理方在档案不完整或不符合规定的情况下完善个人数据处理影响评估档案。

5. 当向专责个人数据保护机构提交的档案内容发生变化时，个人数据控制方、数据控制与处理方、个人数据处理方应更新、补充个人数据处理影响评估档案。

6. 有权国家机构无需执行本条关于个人数据处理影响评估的规定。

7. 政府规定个人数据处理影响评估档案的组成、条件、程序和流程。

第22条 个人数据处理影响评估档案及跨境个人数据转移影响评估档案的更新

1. 个人数据处理影响评估档案及跨境个人数据转移影响评估档案应每6个月定期更新一次，或在本条第2款规定的情况下立即更新。

2. 需要立即更新的变更情况包括：

a) 当机构、组织、单位根据法律规定进行重组、停止活动、解散、破产时；

b) 当提供个人数据保护服务的组织、个人信息发生变化时；

c) 当个人数据处理影响评估备案表中已登记的涉及个人数据处理的行业、职业、业务产生或发生变化时，或跨境个人数据转移影响评估备案表发生变化时。

3. 个人数据处理影响评估备案表和跨境个人数据转移影响评估备案表的更新，应在国家个人数据保护信息门户或个人数据保护专业机构进行。

4. 政府对本条款作出详细规定。

第23条 个人数据保护规定违规的通知

1. 个人数据控制方、个人数据控制和处理方、发现违反个人数据保护规定可能损害国防、国家安全、社会秩序、社会安全或侵犯个人数据主体的生命、健康、荣誉、人格、财产的第三方，应在发现违规行为后最迟72小时内通知个人数据保护专责机构。如果个人数据处理方发现违规行为，应及时通知个人数据控制方或个人数据控制和处理方。

2. 个人数据控制方、个人数据控制和处理方应制作确认违规发生的记录，并与个人数据保护专责机构配合处理违规行为。

3. 机关、组织、个人在以下情况下向个人数据保护主管机关报告：

a) 发现违反个人数据保护规定的行为；

b) 个人数据被用于非原定目的处理，或与个人数据主体与个人数据控制方、个人数据控制和处理方之间的协议不符；

c) 未确保个人数据主体的权利或未正确行使个人数据主体的权利；

d) 法律规定的其他情况。

4. 专门负责个人数据保护的机构有责任接收通知，处理违反个人数据保护规定的行为。个人数据控制方、个人数据控制和处理方、第三方以及相关机构、组织、个人有责任防止违法行为，弥补发生的后果，并配合专门负责个人数据保护的机构处理违反个人数据保护规定的行为。

5. 政府规定有关违反个人数据保护规定的通知内容。

第2节 在若干活动中保护个人数据

第24条 保护儿童、丧失或限制民事行为能力者、认知或自控能力有困难者的个人数据

1. 保护儿童、丧失或限制民事行为能力的人、认知或行为存在困难的人的个人数据，按照本法规定实施。

2. 对于儿童、丧失或限制民事行为能力的人，或在认知、行为控制方面有困难的人，其法定代表人应代表其行使个人数据主体的权利，但本法第19条第1款规定的情况除外。针对儿童的个人数据处理，如果目的是公开、披露从7岁起的儿童的隐私和个人秘密信息，则必须获得儿童及其法定代表人的同意。

3. 在以下情况下，应停止处理儿童、丧失或限制民事行为能力的人，以及在认知、行为控制方面有困难的人的个人数据：

a) 已同意本条第2款规定的人撤回允许处理儿童、丧失或限制民事行为能力的人、认知或行为控制有困难的人的个人数据的同意，但法律另有规定的除外；

b) 有权机关根据充分证据要求处理个人数据可能侵害儿童、丧失或限制民事行为能力的人、认知或行为控制有困难的人的合法权益的，除法律另有规定的情况外。

第25条 招聘、管理、使用劳动者中的个人数据保护

1. 机关、组织、个人在招聘劳动者中对个人数据的保护责任规定如下：

a) 只可要求提供用于招聘机关、组织、个人招聘目的的相关信息，并符合法律规定；所提供的信息仅可用于招聘目的及依法约定的其他目的；

b) 提供的信息必须按照法律规定处理，并须经应聘者同意；

c) 若未录用，应删除、销毁应聘者已提供的信息，但与应聘者另有约定的除外；

2. 机关、组织、个人在管理、使用劳动者过程中保护个人数据的责任规定如下：

a) 遵守本法、劳动法、就业法、数据相关法律以及其他相关法律规定；

b) 员工的个人数据必须按照法律规定或协议约定的期限进行存储；

c) 员工个人数据在合同终止时必须删除或销毁，除非另有协议或法律规定。

3. 利用科技、技术手段在员工管理中收集的个人数据处理规定如下：

a) 仅可采用符合法律规定、保障个人数据主体权利和利益的科技、技术手段，并且在员工明确知晓该手段的基础上；

b) 不得处理或使用通过违反法律规定的科技、技术手段收集的个人数据。

第26条 健康信息及保险业务活动中的个人数据保护

1. 关于个人数据保护，涉及健康信息以及保险业务活动的规定如下：

a) 在收集、处理个人数据的过程中，必须获得个人数据主体的同意，但本法第19条第1款另有规定的除外；

b) 完全适用关于个人数据保护的规定以及相关法律的其他规定。

2. 在健康领域活动的机构、组织和个人不得将个人数据提供给第三方，即提供医疗保健服务或健康保险、人寿保险服务的组织，除非获得个人数据主体的书面要求或本法第19条第1款另有规定。

3. 开发医疗应用程序或保险业务应用程序的组织和个人必须完全遵守个人数据保护的规定。

4. 对于从事再保险、转让再保险业务并需要向合作伙伴转移个人数据的企业，需在与客户的合同中明确说明。

第27条 财务、银行活动及信用信息活动中的个人数据保护

1. 在财务、银行及信用信息领域从事活动的组织和个人应承担以下责任：

a) 完全遵守关于敏感个人数据保护、财务、银行活动中的安全与保密标准的法律规定；

b) 未经个人数据主体同意，不得使用其信用信息进行信用评分、评级、信用信息评估或信用可靠性评估；

c) 仅从符合法律及本法及其他相关法律规定的渠道收集为信用信息活动所必需的个人数据；

d) 在银行账户、金融、信贷信息及信用信息泄露或丢失的情况下通知个人数据主体。

2. 开展信用信息活动的组织和个人有责任遵守本法规定；采取措施防止客户个人数据被非法访问、使用、披露、修改；在数据丢失的情况下，有恢复客户个人数据的解决方案；在收集、提供、处理客户个人数据以评估信用信息的过程中保障数据安全。

3. 政府对本条款作具体规定。

第28条 广告服务业务中的个人数据保护

1. 提供广告服务的组织或个人仅可使用由个人数据控制方、个人数据控制与处理方根据协议转交的客户个人数据，或通过自身业务活动收集的客户个人数据来从事广告服务业务。收集、使用、转交个人数据必须保障数据主体在本法第4条中规定的权利。

2. 个人数据控制方、个人数据控制与处理方仅可依照法律规定将个人数据转交给提供广告服务的组织或个人。

3. 为从事广告服务而处理客户个人数据必须取得客户同意，在客户清楚知悉产品介绍内容、方式、形式及频率的基础上，并提供方式让客户可以拒绝接收广告信息。

4. 使用个人数据进行广告必须符合关于防止垃圾短信、垃圾电子邮件、垃圾电话的法律规定以及广告法的相关规定。

5. 个人数据主体有权要求停止接收广告服务的信息。提供广告服务的组织或个人必须提供机制，并根据个人数据主体的要求停止广告。

6. 提供广告服务的组织或个人不得将使用个人数据的全部广告服务转租或者与他人达成协议代其执行。

7. 提供广告服务的组织或个人有责任证明其使用客户个人数据进行广告的行为；遵守本条款第1、2、3、4款及广告法的规定。

8. 组织或个人在使用个人数据进行行为广告或具有特定目标或个性化广告时，必须遵守本条及以下规定：

a) 仅可在取得个人数据主体同意的情况下，通过跟踪网站、门户网站、应用程序来收集个人数据；

b) 必须建立允许个人数据主体拒绝共享数据的方法；确定存储期限；在不再需要时删除或销毁数据。

第29条 针对社交平台、在线传媒服务的个人数据保护

提供社交网络服务、在线传媒服务的组织或个人负有以下责任：

1. 明确告知在个人数据主体安装和使用社交网络、在线媒体服务时收集的个人数据内容；不得非法收集个人数据，也不得超出与客户协议约定的范围收集数据；

2. 不得要求提供包含完整或部分身份证明文件的图片、视频作为账户认证因素；

3. 提供允许用户拒绝收集和共享数据文件（称为 cookies）的选项；

4. 提供“不追踪”选项，或仅在用户同意的情况下跟踪其使用社交网络、在线媒体服务的活动；

5. 未经个人数据主体同意，不得窃听、偷听或录音通话，也不得阅读短信，法律另有规定的除外；

6. 公开隐私政策，明确说明收集、使用和共享个人数据的方式；为用户提供访问、修改、删除的机制

数据和个人数据的隐私设置，报告关于安全和隐私的违规行为；在跨境传输数据时保护越南公民的个人数据；建立快速且高效的个人数据保护违规处理流程。

第30条. 在大数据、人工智能、区块链、虚拟宇宙、云计算中保护个人数据

1. 在大数据、人工智能、区块链、虚拟宇宙和云计算环境中的个人数据，必须按照正确的目的处理，并限于必要范围内，确保个人数据主体的合法权利和利益。

2. 在大数据、人工智能、区块链、虚拟宇宙和云计算环境中处理个人数据必须遵守本法及相关法律法规；符合越南的道德标准和社会风俗习惯。

3. 使用大数据、人工智能、区块链、虚拟宇宙和云计算的数据系统和服务必须集成适当的个人数据安全保护措施；必须使用适当的身份验证、身份识别和访问权限分配方法来处理个人数据。

4. 使用人工智能处理个人数据时，必须根据风险等级进行分类，以采取适当的个人数据保护措施。

5. 不得使用或开发大数据处理系统、人工智能、区块链、虚拟现实、云计算等利用个人数据的技术来损害国防、安全、社会秩序、安全，或者侵犯他人的生命、健康、荣誉、人格、财产。

6. 政府规定本条款的具体实施细则。

第31条 个人数据保护针对个人位置数据、 生物识别数据

1. 个人位置数据是通过定位技术确定位置并帮助识别特定个人的数据。

2. 生物识别数据是关于一个人的物理属性、个体且稳定的生物特征的数据，用于识别该人。

3. 关于个人位置数据的个人数据保护规定如下：

a) 不得通过射频识别卡和其他技术进行定位跟踪，除非得到个人数据主体的同意，或者根据法律规定有权机关的要求，或法律另有规定的情况；

b) 提供移动应用平台的组织或个人须向用户告知使用个人位置信息；采取措施防止无关组织或个人收集个人位置信息；向用户提供个人位置跟踪的选项。

4. 生物识别数据的保护规定如下：

a) 采集和处理生物识别数据的机构、组织和个人必须对其存储和传输生物识别数据的设备采取物理安全措施；限制对生物识别数据的访问权限；建立监控系统以预防和发现侵犯生物识别数据的行为；遵守相关法律法规和国际标准；

b) 如果处理生物识别数据对个人数据主体造成损害，采集和处理生物识别数据的组织和个人必须按政府规定通知该个人数据主体。

第32条 保护从公共场所录音、录像活动及公共活动中获取的个人数据

1. 机关、组织、个人在以下情况下可在公共场所进行录音、录像活动，并处理从该活动中获取的个人数据，而无需得到个人数据主体同意：

a) 为执行国防任务、维护国家安全、保障社会秩序和安全、保护机关、组织、个人的合法权利和利益；

b) 声音、图像以及从公共活动中获得的其他识别信息，包括会议、研讨会、体育竞赛活动、艺术表演及其他公共活动，且不得损害个人数据主体的名誉、尊严和声望；

c) 法律规定的其他情况。

2. 根据本条第1款规定进行录音、录像的，机关、组织、个人有责任以通知或其他信息形式告知个人数据主体其正在被录音、录像，但法律另有规定的除外。

3. 获取的个人数据仅可按处理目的进行处理和使用，不得用于非法目的或侵害个人数据主体的合法权益。

4. 从公共场所录音、录像活动以及公共活动中获取的个人数据仅在为提供服务所需的时间内保存

收集目的，法律另有规定的除外。存储期限届满时，个人数据必须按照本法的规定被删除、销毁。

5. 在第1款规定的情况下，实施录音、录像、处理从录音、录像中获得的个人数据的机关、组织、个人，有责任根据本法及其他相关法律法规保护个人数据。

第三章 保护个人数据的力量与保障条件

第33条 个人数据保护力量

1. 个人数据保护力量包括：

a) 隶属于公安部的个人数据保护专门机构；

b) 机关、组织内的个人数据保护部门和人员；

c) 提供个人数据保护服务的组织、个人；

d) 被调动参与个人数据保护的组织、个人。

2. 机关、组织有责任指定具备保护个人数据能力的部门、人员，或者聘请提供个人数据保护服务的组织、个人。

3. 政府规定机关、组织中个人数据保护部门、人员的条件和职责；提供个人数据保护服务的组织、个人；个人数据处理服务。

第34条 个人数据保护的技术标准、规范

1. 个人数据保护标准包括适用于信息系统、硬件、软件、管理、运行、处理、保护个人数据的标准，这些标准在越南公布并认可适用。

2. 个人数据保护技术规范包括信息系统、硬件、软件、管理、运营、处理和个人数据保护的技术规范，这些规范在越南制定、发布并执行。

3. 发布个人数据保护的标准和技术规范应按照有关标准和技术规范的法律规定进行。

第35条 个人数据保护活动的检查

个人数据保护活动的检查应按照本法和政府的规定进行。

第四章 机构、组织、个人的责任

关于个人数据保护

第36条 个人数据保护的国家管理职责

1. 政府统一实施个人数据保护的国家管理。

2. 公安部是负责向政府负责实施个人数据保护国家管理的主导机构，但不包括属于国防部管理范围的内容。

3. 国防部负责向政府负责实施属于其管理范围的个人数据保护国家管理。

4. 部、与部平级的机构、政府所属机构按照法律规定及其职能、任务，对其管理范围内的行业、领域实施个人数据保护国家管理。

5. 省级人民委员会依照法律规定及其职能、任务实施个人数据保护国家管理。

第37条 个人数据控制方、数据处理方、数据控制与处理方的责任

1. 个人数据控制方的责任如下：

a) 明确各方在涉及根据本法及相关法律规定处理个人数据的协议、合同中应遵守的责任、权利和义务；

b) 在与个人数据主体的文件、协议中决定处理个人数据的目的和方式，确保符合本法规定的原则和内容；

c) 实施适当的管理和技术措施以保护个人数据，并在必要时审查和更新这些措施；

d) 根据本法第23条的规定，通报违反个人数据保护规定的行为；

đ) 选择合适的个人数据处理方以处理个人数据；

e) 确保个人数据主体根据本法第4条所规定的权利。

g) 对因个人数据处理过程造成的损害，对个人数据主体负责；

h) 阻止从自身系统、设备、服务中非法收集个人数据的活动；

i) 与公安部、具有权限的国家机关合作，保护个人数据，提供信息以协助调查和处理违反个人数据保护法律的行为；

k) 履行本法及其他相关法律规定的其他责任。

2. 个人数据处理方的责任如下：

a) 仅在与个人数据控制方签订关于个人数据处理的协议或合同后，方可接收个人数据，数据控制方和数据控制与处理方须有协议或合同；

b) 根据与个人数据控制方签署的协议或合同，正确处理个人数据，数据控制方和数据控制与处理方须遵守协议或合同;

c) 根据本法及其他相关法律法规的规定，采取全面的个人数据保护措施；

d) 对个人数据控制方、个人数据控制和处理方因个人数据处理过程造成的损害承担责任；

đ) 防止未经授权从自身系统、设备、服务中收集个人数据；

e) 配合公安部及有权国家机关保护个人数据，提供信息以服务于对违反个人数据保护法律行为的调查和处理；

g) 履行本法及其他相关法律法规规定的其他责任。

3. 个人数据的控制和处理方有责任全面执行本条第1款和第2款的规定。

第五章 执行条款

第38条 生效

1. 本法自2026年1月1日起施行。

2. 小型企业、初创企业有权在本法施行之日起五年内选择是否执行本法第21条、第22条及第33条第2款的规定，除非

小型企业、初创企业从事个人数据处理服务业务，直接处理敏感个人数据或处理大量个人数据主体的个人数据。

3. 个体工商户、微型企业不必遵守本法第21条、第22条及第33条第2款的规定，但从事个人数据处理服务、直接处理敏感个人数据或者处理大量数据主体个人数据的个体工商户、微型企业除外。

4. 政府规定本条第2款和第3款的详细内容。

第39条 过渡性规定

1. 在本法生效日前，按照2023年4月17日政府第13/2023/NĐ-CP号法令的规定，经数据主体同意或协议正在进行的个人数据处理活动，可继续进行，无需重新征得同意或重新签订协议。

2. 根据2023年4月17日政府第13/2023/ND-CP号法令的规定，在本法生效前，个人数据处理影响评估档案、个人数据跨境转移影响评估档案已由专门机构接收的，可以继续使用，并且无需按照本法的规定重新建立个人数据处理影响评估档案、个人数据跨境转移影响评估档案；在本法生效后对上述已建立档案进行的更新，应按照本法的规定执行。

本法由越南社会主义共和国国会第十五届第九次会议于2025年6月26日通过。

国会主席

陈清敏