法令356/2025/NĐ-CP – 个人数据保护法实施细则

根据第63/2025/QH15号《政府组织法》；

根据2025年第91号第15届国会个人数据保护法；

根据《2024年第60号数字数据法》第15届国会通过;

依据第90/2025/QH15号法律，对《投标法》、《公私合作投资法》、《海关法》、《增值税法》、《出口税法和进口税法》、《投资法》、《公共投资法》、《公共资产管理与使用法》若干条款进行修改和补充的法律；

根据公安部长的建议；

政府颁布条例，详细规定《个人数据保护法》的若干条款及其实施措施。

第一章 一般规定

第1条 调整范围

本法令详细规定了《个人数据保护法》第2条第2款、第3款；第4条第5款；第6条第3款；第9条第5款；第17条第3款；第20条第7款；第21条第7款；第22条第4款；第23条第5款；第27条第3款；第30条第6款；第31条第4款b项；第33条第3款；第35条；第38条第4款，并规定了实施该法关于研究、开发个人数据保护解决方案、专门负责个人数据保护的机构、国家个人数据保护信息门户的措施；各部委、地方在个人数据保护中的责任；保障个人数据保护活动经费。

第二条 适用对象

1. 越南的机构、组织、个人；

2. 在越南的外国机构、组织、个人；

3. 直接参与或与处理越南公民及在越南居住、国籍尚未确定的越南裔人士个人数据活动相关的外国机构、组织、个人，已获得身份证明文件。

第3条 基本个人数据目录

基本个人数据包括：

1. 姓、名中间名及出生时姓名，其他姓名（如有）；

2. 出生日期、月份、年份；死亡或失踪的日期、月份、年份；

3. 性别；

4. 出生地、出生登记地、户籍登记地、临时居住登记地、现居住地、籍贯、联系方式；

5. 国籍；

6. 个人照片；

7. 电话号码、个人识别号码、护照号码、驾驶证号码、车牌号码；

8. 婚姻状况；

9. 家庭关系信息（父母、子女、配偶）；

10. 个人账户信息；

11. 与特定个人相关的其他信息或有助于识别特定个人的信息不属于本法第4条规定的范围。

第4条 敏感个人数据目录

1. 敏感个人数据包括：

a) 揭示种族、民族来源的数据；

b) 政治观点、宗教信仰、信念；

c) 关于私人生活、个人秘密、家庭秘密的信息；

d) 健康状况；

đ) 生物特征数据、遗传特征；

e) 揭示个人性生活、性取向的数据；

g) 由执法机构收集、存储的犯罪或违法行为数据；

h) 通过定位服务确定的个人位置；

i) 个人电子身份账户的用户名和密码信息；身份证、居民身份证、身份证图片；

k) 银行账户的登录名、访问密码；银行卡信息、银行账户交易历史数据；客户在信贷机构、外国银行分行、支付中介服务机构、证券、保险机构及其他被许可组织的财务、信用信息及金融、证券、保险活动和交易历史信息；

l) 在网络空间中使用电信服务、社交网络、在线视频服务及其他服务的行为跟踪数据；

m) 法律规定需保密或需采取严格保密措施的其他个人数据。

2. 在处理敏感个人数据的过程中，机关、组织必须建立访问权限限制、处理流程及安全保护措施。

第二章 个人数据保护的要求与条件

第5条 个人数据主体权利的行使

1. 个人数据控制方、个人数据控制与处理方必须建立明确的流程、程序和表格，以便根据个人数据处理活动以及相关部门的职责行使个人数据主体的权利；确保个人数据主体知晓

实施《个人数据保护法》第4条第1款规定的权利的程序。

2. 当收到撤回处理个人数据同意、限制处理个人数据、反对处理个人数据的请求时，根据个人数据主体的程序，个人数据控制方及个人数据控制和处理方必须在2个工作日内做出回应，向个人数据主体提供关于停止处理个人数据程序的完整信息，并在15日内执行，除非按照《个人数据保护法》第19条的规定，处理个人数据不需要个人数据主体的同意。如果需要要求数据处理方或第三方停止处理个人数据主体的个人数据，则应在20日内执行。

根据要求的性质和复杂程度，如需延长处理时间，可在不超过15天的期限内最多延长一次，个人数据控制方、个人数据控制与处理方应通知个人数据主体延长的原因，并承担证明延长是必要且合理的责任。

3. 当收到查看、修改或请求修改个人数据的要求时，应按照个人数据主体的程序提供个人数据，个人数据控制方、个人数据控制与处理方必须在2个工作日内作出回应，为个人数据主体提供关于程序的完整信息，并在10天内执行。如需请求个人数据处理方或第三方修改个人数据主体的个人数据，则在15天内执行。

根据请求的性质和复杂程度，如有需要延长处理时间的情况，可最多延长一次，延长期限不超过10天，个人数据控制方、个人数据控制与处理方应通知个人数据主体延长处理的原因，并负责证明延长是必要且合理的。

4. 当按照个人数据主体的正确程序收到删除个人数据的请求时，个人数据控制方、个人数据控制与处理方应

个人必须在2个工作日内作出回应，向个人数据主体提供完整的信息关于程序，并在20天内执行。如果需要要求个人数据处理方或第三方提供、删除、限制处理个人数据主体的数据，则在30天内执行。

根据要求的性质和复杂程度，如需延长处理时间，可在不超过20天的期限内最多延长一次，个人数据控制方、个人数据控制与处理方应通知个人数据主体延长的原因，并对延长的必要性和合理性承担责任。

5. 当收到个人数据主体按照正确程序提出的保护个人数据的措施和解决方案的请求时，有权机关或相关处理个人数据的机构、组织、个人应在2个工作日内回复，向个人数据主体提供完整的程序信息，并在15天内落实执行。

根据要求的性质和复杂程度，如需延长处理时间，可在不超过15天的期限内最多延长一次，个人数据控制方、个人数据控制与处理方应通知个人数据主体延长的原因，并承担证明延长是必要且合理的责任。

第6条 个人数据主体表示同意的方式

1. 获取个人数据主体同意的方式必须能够核实个人数据主体已经给予同意的事实、时间和内容，包括：

a) 书面形式；

b) 录音电话；

c) 短信格式的同意；

d) 通过电子邮件、网站、平台、应用程序设置的技术方式获取同意；

đ) 其他适当方式，可以打印、书面复制，包括电子形式或可验证的格式。

2. 数据控制方、数据控制和处理方必须保存个人数据主体的同意。在发生争议时，证明个人数据主体同意的责任属于个人数据控制方及数据控制和处理方。

3. 在个人数据控制方面，个人数据控制方和处理方不得设定默认同意方式或产生不明确的指示，以致于数据主体在同意与不同意之间产生误解。预设的默认设置必须确保个人数据保护原则，尊重个人数据主体的权利。

4. 对于请求处理敏感个人数据，必须通知数据主体该数据属于敏感个人数据。

第7条 个人数据的转移

1. 根据《个人数据保护法》第17条第1款a、c、d项转移个人数据的组织和个人，必须与接收个人数据的一方签订个人数据转移协议，其中明确以下内容：

a) 个人数据转移的目的；

b) 与转移目的相符的个人数据主体对象及个人数据类型；

c) 个人数据处理的期限，完成转移目的后个人数据的删除、销毁要求；

d) 个人数据转移的法律依据；

đ) 在数据转移和个人数据处理过程中保护个人数据的责任；

e) 履行个人数据主体权利的责任；

g) 当发现违反个人数据保护规定时，各方的协调和遵守责任。

2. 转移敏感个人数据必须采取对存储和传输设备的物理安全措施、数据加密、个人数据匿名化以及在转移过程中采取的其他安全措施。

3. 根据《个人数据保护法》第17条第1款a项和d项规定的个人数据转移情形，为向个人数据主体提供服务收费或为了服务个人数据主体的合法利益，组织和个人应遵守以下规定：

a) 必须建立技术系统和透明机制，使个人数据主体每次转移时能够准确、清楚地同意，并在明确知晓转移目的、接收和处理个人数据的组织或个人的基础上进行同意；

b) 仅可按个人数据主体同意的转移目的处理个人数据，并符合注册的行业、职业；

c) 转移的个人数据类型必须限制在转移目的范围内；

d) 不得从个人数据转移活动中收集、存储、形成个人数据仓库，用于个人数据主体未同意的其他目的；

đ) 明确个人数据控制方、个人数据处理方以及第三方在个人数据转移活动中的角色；

e) 在转移个人数据之前必须签订数据转移和处理协议，并对个人数据主体承担责任和义务。

4. 在同一机关、组织内部各部门之间共享个人数据以处理与已确定处理目的相符的个人数据时，机关、组织必须建立共享和使用个人数据的控制流程并遵守规定；采取防范措施，防止机关、组织内部人员非法与第三方共享个人数据。

5. 在数据交易平台上进行交易前，个人数据必须去标识化。

6. 根据《个人数据保护法》第15条第2款的规定，机构、组织、个人在根据数据主体的具体要求提供个人数据时，不视为数据转移，且无需遵守本条款的规定。

第8条 金融、银行、信用信息活动中的个人数据保护

1. 在金融、银行及信用信息活动领域的组织和个人，有责任采用在越南颁布和实施的个人数据保护标准、技术规范；个人数据去标识化、个人数据匿名化技术规范；每年进行一次个人数据保护合规性评估；记录个人数据处理的所有活动日志。

2. 在金融、银行及信用信息活动领域的组织和个人作为个人数据控制者，在征得个人数据主体同意时，必须确保明确说明：

a) 个人数据处理的目的，包括信用评分、信用评级、信用信息评估、信用可信度评估（如有）；

b) 个人数据的收集来源及相关的收集、共享个人数据的方;

c) 个人数据的存储时间;

d) 撤回同意的机制、方式及按照规定删除、销毁个人数据的政策。

3. 在发现金融、银行、信用信息活动领域个人数据主体的敏感数据泄露或丢失后的不超过72小时内，直接收集个人数据主体个人数据的组织或个人有责任通知专门的数据保护机构

个人与个人数据主体。通知内容需要至少确保本条例第28条第1款规定的内容。

第9条 大数据处理中的个人数据保护

1. 处理包含个人数据的大数据是指在大规模下处理个人数据的活动，具有连续性、可整合来自不同来源的数据，能够分析行为、预测趋势或对用户进行分类。

2. 在处理包含个人数据的大数据的情况下，有关的机构、组织和个人有责任：

a) 从开始处理数据之时起，遵守个人数据保护的相关规定；

b) 仅收集、处理和存储在特定、明确目的范围内的个人数据；

c) 制定符合规定、合法的数据存储、删除和销毁政策。

d) 定期组织培训、宣传并提升员工对个人数据安全及个人数据保护措施的意识，特别是直接处理个人数据的人员。加强对在组织中保护个人数据重要性的认识；

đ) 与第三方、合作伙伴及服务供应商达成协议，确保严格遵守个人数据保护的相关规定；

e) 建立适当的通知和解释机制，让数据主体知晓其个人数据在大数据分析系统中被使用的情况。

3. 在大数据处理过程中，机构、组织、个人采取个人数据保护措施，包括：

a) 采取网络安全、数据安全措施，防止个人数据在存储、处理、传输过程中泄露；

b) 使用强认证方法，至少要求多因素认证（密码、与一次性密码结合的 PIN、数字签名设备或生物识别因素），符合个人数据敏感性的要求；分

访问权限以确保只有有权限的人才能访问个人数据；

c) 对个人数据进行加密、匿名处理（将能够识别特定个人的数据分离以单独存储和保护，经过此过程的个人数据可用于处理而无法识别具体个人）在个人数据传输、提供过程中，法律另有规定或处理要求以明文形式使用数据以用于预防、打击犯罪、反洗钱、保障国家安全、处理客户投诉、纠纷的情况除外。在这些情况下，机构、组织必须采用附加的安全措施以确保个人数据不被未经授权访问和使用；

d) 实行持续监控，使用监控工具跟踪个人数据访问活动并发现异常行为；

đ) 定期进行网络安全和数据保护检查与评估，以发现、防止和修复安全漏洞。

第10条 人工智能和虚拟宇宙系统中的个人数据保护

1. 组织和个人有权使用个人数据来研究、开发自学习算法、人工智能系统及其他自动化系统，但需确保遵守个人数据保护的相关规定。

2. 人工智能推理结果中的数据，如果可以用来识别或帮助识别特定个人，则必须按照法律规定采取个人数据保护措施。

3. 个人数据控制方，数据控制和处理方有责任通知数据主体关于个人数据的自动处理，解释算法的工作原理及其对数据主体合法权利和利益的影响；提供选择，使数据主体有权不参与。

4. 虚拟宇宙（metaverse）是一个数字宇宙，结合了社交媒体、在线游戏、增强现实（AR）、虚拟现实（VR）、互联网和加密货币的各个方面，以便用户使用虚拟现实技术进行互动。

5. 在人工智能、虚拟宇宙系统中，组织和个人采取个人数据保护措施，包括：

a) 研究、建设并部署符合网络安全标准、全面数据保护标准的人工智能系统，特别关注以下因素：信息安全、算法可靠性、系统稳定性及网络攻击防护能力；

b) 建立人工智能系统运行的监督机制，从两个方面进行：有权国家机关的监督；数据主体对个人数据控制方、数据控制与处理方的问责；

c) 根据适当标准建立个人数据保护机制，开发网络安全风险监测和预警系统；

d) 建立控制机制，防止利用人工智能、虚拟宇宙进行危害国家安全、扰乱社会秩序的活动；

đ) 每年定期进行一次个人数据保护合规性评估。

6. 个人数据主体有权编辑、匿名化、删除身份记录，即使平台存储了行为历史。

第11条 区块链技术下的个人数据保护

1. 相关机构、组织、个人在区块链技术处理中个人数据时，应在研究、开发使用区块链技术的产品、服务、应用、系统及处理个人数据过程中，遵守个人数据保护的相关规定。

2. 机构、组织、个人在区块链技术处理中个人数据时，应采取个人数据保护措施，包括：

a) 仅应用确保安全的加密算法、哈希算法、数字签名算法；

b) 不在区块链上直接存储个人数据，仅在个人数据已去标识化或存储个人数据哈希值时才存储；

c) 每年进行一次个人数据保护合规性评估。

第12条 云计算中的个人数据保护

1. 相关机关、组织、个人在部署云计算服务时，必须采取技术和组织措施防止个人数据被未经授权访问。

2. 与云计算服务提供商签订涉及个人数据处理相关合同的组织、个人负有以下责任：

a) 在合同内容中明确遵守越南关于个人数据保护的法律规定；提供关于个人数据保护部门、人员的信息；遵守法律规定的关于个人数据保护的行政程序；

b) 明确个人数据处理流程、各方在云计算服务提供活动中的角色及相应责任；

c) 对安全、技术、组织措施提出要求，并在合同中明确；

d) 立即通知相关方任何可能影响个人数据的变更；

đ) 遵守个人数据处理期限，满足删除、销毁个人数据的要求；

e) 确保执行数据主体的权利；

g) 完整实施技术措施，以确保个人数据访问权合理分级。

3. 提供云计算服务的组织：

a) 遵守越南关于个人数据保护的规定，提供关于个人数据保护部门和人员的信息，遵守法律规定的与个人数据保护相关的行政程序；

b) 要求分包商按照法律规定履行个人数据保护的规定和义务；

c) 根据自身个人数据处理的规模和程度采取适当的技术和组织措施；

d) 每年定期进行一次个人数据保护合规性评估。

4. 存储在云计算中的个人数据必须在静态和传输状态下进行加密，并附有严格的访问权限控制。

第13条 个人数据保护人员和机构、组织中个人数据保护部门的条件

1. 指定个人数据保护人员或个人数据保护部门必须由该机构、组织的正式书面文件进行；该文件应体现对个人数据保护工作的分工、职能任务、权限及其他要求。

2. 由机构、组织指定的个人数据保护人员必须满足以下能力条件：

a) 具有大专及以上学历；

b) 具有至少2年的相关工作经验（自毕业起算），涉及以下领域之一：法律规范、信息技术、网络安全、数据安全、风险管理、合规控制、人事管理、干部组织；

c) 已接受过个人数据保护相关法律知识及专业技能的培训或进修。

3. 对于设立个人数据保护部门的机构、组织，该部门的人员必须满足本条第2款规定的能力条件。

4. 机构、组织负责评估和选择个人数据保护人员。

5. 机构、组织与个人数据保护人员签署保密责任协议，可以约定发生对受保护个人数据的违规或损害时的免责情况。

6. 机构、组织指派的个人数据保护人员或个人数据保护部门有责任培训和提高个人数据保护人员的知识和技能。

第14条 机构、组织中个人数据保护部门及个人数据保护人员的职责

1. 个人数据保护部门的职能和任务如下：

a) 组织制定政策、流程、规定、表格，以遵守个人数据保护的法律法规；

b) 组织实施个人数据主体的权利；

c) 定期组织评估组织遵守个人数据保护法律的现状，通过评估报告评估依法履行义务的程度，以提出提高法律遵从性、预防和控制个人数据处理活动风险的措施；

d) 执行跨境个人数据传输影响评估、个人数据处理影响评估的备案工作，接收并报告个人数据保护违规行为，并根据规定执行主管机关的其他要求；

đ) 制定计划并在机构、组织中定期开展个人数据保护培训、辅导；

e) 组织实施个人数据安全技术措施、个人数据保护标准规范、个人数据保护应急预案；

g) 研究并提出与个人数据保护相关的决策。

2. 个人数据保护人员的职责如下：

a) 参谋制定政策、流程、规章和表格，以遵守个人数据保护的法律法规；

b) 参与实施个人数据主体的权利；

c) 参与定期活动，评估遵守个人数据保护法律的现状，并提出提高法律遵守效率、预防和控制风险的措施；

d) 进行跨境个人数据转移影响评估档案、个人数据处理影响评估档案的编制，接收并报告

违反个人数据保护以及按照规定履行主管机关的其他要求；

đ) 参与个人数据保护的培训项目和课程；

e) 参与实施个人数据安全的技术措施、个人数据保护的标准规范及个人数据保护突发事件应急计划。

第15条 个人提供个人数据保护服务

1. 提供个人数据保护服务的个人是指符合本条款第2款规定的能力条件，由机构或组织雇佣作为个人数据保护人员的人。

2. 提供个人数据保护服务的个人必须满足以下能力条件：

a) 具有大专及以上学历；

b) 至少有3年的工作经验（自毕业起计算），涉及以下领域之一：法律法规、个人数据处理、网络安全、数据安全、风险管理、合规性控制；

c) 已接受过深入的个人数据保护法律知识和专业技能培训。

3. 有需求的机构、组织租用个人提供个人数据保护服务，应根据本条第2款的条件进行能力审查，签订使用个人数据保护人员的合同；向个人数据主体和相关方公开个人数据保护人员的信息。

4. 提供个人数据保护服务的个人有责任：

a) 按合同、协议规定的范围和任务提供服务；

b) 不得利用提供服务进行违法行为；

c) 在完成合同并按照法律规定后，删除或销毁在提供服务过程中处理的个人数据。

第16条 个人数据保护服务提供组织

1. 提供个人数据保护服务的组织：

a) 是指具有职能、任务或从事技术、法律或技术、法律咨询行业、领域的组织或企业，由机构或组织聘请，负责就遵守个人数据保护规定提供咨询并根据协议执行个人数据保护任务；

b) 至少有3名人员符合本法第15条第2款规定的能力条件；

c) 已经提供与安全、网络安全、信息技术相关的产品或服务、标准评估、个人数据保护咨询。

2. 提供个人数据保护服务的机构必须建立能力档案，以证明其保护个人数据的能力，并提供给有需要使用该服务的机关、组织。档案应显示行业、业务领域；服务规模、范围及经验；服务提供政策；人员标准、资质和能力；以及相关的证明文件和资料。

3. 需要雇佣个人数据保护服务的机构、组织应对能力资料进行审查，签订服务使用合同，并与个人数据保护组织达成个人数据处理协议；将该个人数据保护组织的信息向个人数据主体及相关方公开。

4. 根据需求，机构、组织可以同时指定个人数据保护人员、个人数据保护部门，并雇佣提供个人数据保护服务的个人或组织。

5. 根据与雇佣个人数据保护服务的机构、组织达成的协议，提供个人数据保护服务的组织为该机构、组织履行个人数据保护部门的任务。

6. 提供个人数据保护服务的组织有责任：

a) 按合同、协议规定的范围和任务提供服务；

b) 不得利用提供服务进行违法行为；

c) 在完成合同并按照法律规定后，删除或销毁在提供服务过程中处理的个人数据。

第三章 个人数据的档案、程序、手续

第17条 跨境传输个人数据

1. 在以下情况下，个人数据控制方、个人数据控制与处理方、个人数据处理方及第三方进行跨境传输个人数据的活动：

a) 个人数据的存储活动涉及将收集并存储在越南的个人数据转移到位于越南社会主义共和国境外的服务器系统或者海外服务提供商的云计算服务上；

b) 将个人数据从越南的机构、组织、个人转移给国外的接收方，即组织或个人的活动；

c) 对在越南收集的个人数据进行处理，并转移到位于越南社会主义共和国境外的平台以继续处理的活动。

2. 专门负责保护个人数据的机构决定要求跨境数据传输方停止跨境传输个人数据的情况包括：

a) 当发现被传输的个人数据被用于侵犯国防、国家安全的活动时；

b) 存在违反个人数据保护规定的行为，可能对国防、国家安全造成危害。

3. 除《个人数据保护法》第20条第6款a、b、c项规定的情况外，不必实施跨境个人数据传输影响评估规定的其他情况包括：

a) 按照法律规定进行的新闻、传媒活动；

b) 已按照法律规定公开的跨境个人数据传输。

c) 在紧急情况下，确有必要提供跨境个人数据以保护个人生命、健康和财产安全；以履行法律规定的任务和义务；

d) 跨境个人数据的传输活动，用于根据法律规定按劳动规则、劳动规章和集体劳动协议进行跨境人事管理；

đ) 提供跨境个人数据以签订合同或办理涉及跨境运输、物流、汇款、支付、酒店、签证、申请奖学金的相关手续。

第18条 跨境个人数据传输影响评估的条件、程序、手续、文件组成

1. 根据《个人数据保护法》第20条第1款规定，开展跨境个人数据传输活动的机构、组织、个人必须按照本条规定建立跨境个人数据传输影响评估档案。

2. 跨境个人数据传输影响评估档案包括：

a) 按本法令附录第09号模板编制的跨境个人数据传输影响评估报告；

b) 显示跨境个人数据传输双方（组织、个人）之间约束与责任的合同或数据传输文件副本；

c) 开展跨境个人数据传输活动的机构、组织、个人关于个人数据保护的政策、流程、规章、表格及其他相关文件。

3. 跨境个人数据传输影响评估报告包括以下内容：

a) 跨境传输个人数据活动中，个人数据提供方、个人数据接收方、个人数据处理方及其他相关方的信息和联系方式；

b) 个人数据提供方、个人数据接收方用于保护个人数据的部门、人员联系方式；提供个人数据保护服务的组织、个人（如有）的联系方式；

c) 跨境传输个人数据的目的描述及说明、跨境传输的个人数据类型、跨境传输及处理个人数据的详细活动及个人数据处理流程图；

d) 关于获取个人数据主体同意的实施情况说明及理由、个人数据存储、删除、销毁政策的描述及说明；

đ) 个人数据跨境传输后的安全保障方案、个人数据保护措施、适用的个人数据保护标准；

e) 系统示意图、接收跨境个人数据后存储、处理个人数据系统的功能描述；

g) 关于跨境个人数据接收方向第三方转让、提供个人数据的流程；

h) 机构、组织、个人开展跨境个人数据传输活动的个人数据保护合规性自评结果；

i) 个人数据接收方的个人数据保护水平评估；跨境传输和处理个人数据的影响程度、风险；可能发生的不良后果、损失及相应的风险、危害的减缓或消除措施。

4. 跨境个人数据传输影响评估档案必须始终可用，以便个人数据保护专责机构进行检查和评估。

跨境个人数据传输方须在进行跨境个人数据传输之日起 60 日内，将完整档案的 01 份正本通过在线、直接提交或邮政服务方式提交给个人数据保护专责机构，并附上本法令附录中的表格 01a/01b。

5. 个人数据保护专责机构在 15 日内对跨境个人数据传输影响评估档案进行评估，并返回符合要求或不符合要求的结果。

6. 专责机构在评估时，可要求跨境个人数据传输方在30天内完善跨境个人数据传输影响评估文件，对于文件不完整或不符合规定的情况。如果跨境个人数据传输方未按规定完善文件，专责个人数据保护机构可考虑适用个人数据保护领域的行政处罚规定。

7. 跨境个人数据传输方应根据本法第20条的规定，更新、补充跨境个人数据传输影响评估文件。

第19条 个人数据处理影响评估的条件、程序、手续及文件组成

1. 个人数据控制方、个人数据控制和处理方、个人数据处理方自开始处理个人数据之日起，应编制并保存其个人数据处理影响评估记录。

2. 个人数据控制方、个人数据控制和处理方、个人数据处理方的个人数据处理影响评估记录包括：

a) 按本法令附录第10号模板编制的个人数据处理影响评估报告；

b) 关于个人数据处理的合同或协议副本，体现各组织、个人在个人数据处理活动中的约束和责任；

c) 个人数据控制方、个人数据控制和处理方、个人数据处理方有关个人数据保护的政策、流程、规定、表格及其他相关文件。

3. 个人数据处理影响评估报告包括以下内容：

a) 个人数据控制方、数据控制和处理方、数据处理方、第三方的信息及联系方式；

b) 个人数据保护部门和人员的联系方式；个人数据控制方、数据控制和处理方、数据处理方、第三方提供个人数据保护服务的组织或个人（如有）；

c) 个人数据处理目的的描述与说明、处理的个人数据类型、个人数据处理活动的详细信息及个人数据流向图；

d) 关于获取个人数据主体同意的实施情况说明及理由、个人数据存储、删除、销毁政策的描述及说明；

d) 确保个人数据安全的方案、个人数据保护措施、系统设计图、适用的个人数据保护标准；

e) 对遵守个人数据保护规定的评估结果；

g) 评估个人数据处理活动的影响程度、风险；可能发生的意外后果和损害，以及减轻或消除这些风险和危害的措施。

4. 个人数据处理影响评估记录必须始终可用，以便个人数据保护主管部门进行检查和评估，并在进行个人数据处理之日起60天内，通过在线方式、直接提交或邮寄服务向个人数据保护主管部门提交1份正本，同时附上本法令附录中的表格02a/02b。

5. 个人数据保护主管机构在15天内对个人数据处理影响评估档案进行评估并反馈是否符合要求。

6. 个人数据保护主管机构对不完整或不符合规定的个人数据处理影响评估档案，要求数据控制方、数据控制与处理方、数据处理方在30天内完成档案补充。若数据控制方、数据控制与处理方、数据处理方未按规定完成档案，个人数据保护主管机构可考虑适用个人数据保护领域的行政处罚规定。

7. 个人数据控制方、个人数据控制和处理方、个人数据处理方根据本第20条规定，对个人数据处理影响评估档案进行更新、补充。

第20条 个人数据处理影响评估档案及跨境个人数据转移影响评估档案的更新

1. 跨境个人数据转移档案和个人数据处理影响评估档案，应自首次提交档案之日起，每6个月定期更新，适用于以下情况：

a) 当产生新的个人数据转移目的、新的个人数据处理目的时；

b) 当发生或变更个人数据控制方、个人数据控制和处理方、个人数据处理方、第三方时。

2. 需要在10日内立即更新的变更情况包括：

a) 当机构、组织、单位根据法律规定进行重组、停止活动、解散、破产时；

b) 当提供个人数据保护服务的组织、个人信息发生变化时；

c) 当个人数据处理影响评估备案表中已登记的涉及个人数据处理的行业、职业、业务产生或发生变化时，或跨境个人数据转移影响评估备案表发生变化时。

3. 更新个人数据处理影响评估档案和跨境个人数据转移影响评估档案应按照本法令附录中的表格03a/03b进行，通过在线、直接或邮政服务方式提交至负责个人数据保护的机构。

第21条 个人数据处理服务

1. 提供和运行系统、自动化软件的服务，以代表控制方、控制方和处理方进行个人数据处理。

2. 对个人数据主体的信用等级、评分、评价进行服务。

3. 从网站、应用程序、软件和社交网络在线收集和处理个人数据的服务。

4. 通过健康护理网站、应用程序、软件、健康监测和医疗服务收集和处理个人数据的服务。

5. 通过教育应用程序和软件收集、处理个人数据的服务，包括考勤、录像、行为评分、情绪识别等监督元素。

6. 分析和利用个人数据的服务，包括：使用分析工具从个人数据中搜索信息、趋势和模式；应用数据挖掘方法从个人数据中提取价值，预测用户行为或优化服务。

7. 在传输和存储过程中对个人数据进行加密的服务。

8. 基于大数据、人工智能、区块链、虚拟宇宙技术自动处理个人数据的服务。

9. 提供个人位置信息的应用平台服务。

第22条 处理个人数据的商业组织条件

1. 是根据越南法律成立并运营的组织或企业，符合本条规定的条件。

2. 人员条件：

a) 负责组织个人数据处理专业工作的负责人是越南公民，常驻越南；

b) 拥有能够满足个人数据处理专业要求的管理和运营团队；

c) 至少有3名符合本法第13条第2款规定能力条件的员工。

3. 拥有适合个人数据处理服务的基础设施、设备系统、物质条件和技术。

4. 对个人数据处理影响评估文件以及在跨境转移个人数据情况下的个人数据跨境转移影响评估文件达到要求。

第23条 个人数据处理服务经营机构的责任

1. 完全遵守有关个人数据保护的法律法规；个人数据控制方和处理方的责任义务，以及个人数据处理方的责任义务。

2. 建立适合所提供服务的个人数据保护风险管理框架。

3. 每年定期进行个人数据保护合规现状和信用等级评估。

4. 采用与数据安全、个人数据保护、网络安全相关的标准和规范。

5. 制定组织在处理个人数据时的责任和权限规定。

6. 确保个人数据处理符合目的，限制收集、转移、存储的范围，符合相关法律规定；防止在个人数据处理活动中非法访问、收集、使用、披露或发生类似风险。

7. 在作为个人数据处理方的情况下，组织要求个人数据控制方在提供服务之前，根据规定征得数据主体的同意，确保数据主体知晓所处理的个人数据类型、处理目的以及提供个人数据处理服务的组织。

8. 提供个人数据处理服务的商业组织应根据电子身份识别与验证的法律规定进行组织身份验证。

第24条 颁发、重新颁发、更换、撤销个人数据处理服务经营资格证书的权限

1. 公安部颁发、重新颁发、更换、撤销提供个人数据处理服务经营资格证书。

2. 公安部部长将责任交给专门负责个人数据保护的机构，按照规定执行个人数据处理服务资格证书的颁发、重新颁发、换发和撤销工作。

第25条 关于颁发个人数据处理服务经营资格证书的材料、程序和手续

1. 申请颁发个人数据处理服务经营资格证书的材料包括：

a) 按本法令附录模板第04号填写的个人数据处理服务经营资格证书申请书；

b) 企业登记证书复印件；

c) 指定个人数据保护部门的文件或按规定签订的使用个人数据保护服务的合同；

d) 申请颁发个人数据处理服务经营资格证书的方案。

đ) 人员在本条例第22条第2款b项规定的学历及其他证明文件；

e) 组织在国家机关可以通过数据库获取相关信息的情况下，无需提交本款b项规定的文件。

2. 申请颁发个人数据处理服务经营条件合格证书的方案应包括以下内容：

a) 必要性和目标；

b) 拟审批的内容和领域；

c) 行业、经营领域及经营方案；

d) 预计的个人数据处理活动规模；

đ) 个人数据保护风险管理框架；

e) 定期评估现状、遵从性及个人数据保护可信度的计划；

g) 数据安全、个人数据保护相关标准、规范的应用情况；

h) 使用电子身份认证服务的方案。

i) 组织在处理个人数据中的责任和权限；

k) 按规定具备资格的人员。

3. 组织通过在线、直接或邮政服务向负责个人数据保护的专门机构提交一套申请发放《个人数据处理服务经营条件合格证书》的申请材料。

负责个人数据保护的专门机构在10天内评估申请发放《个人数据处理服务经营条件合格证书》的材料是否符合要求。若材料不完整或不符合规定，专门机构应以书面形式通知组织在15天内补充和完善材料，并说明理由。

4. 自收到完整有效的申请材料之日起30日内，个人数据保护专门机构应对材料进行评审、审核，并决定是否根据本条例附录中的表格05颁发个人数据处理服务经营条件合格证书。个人数据处理服务提供资格证书可为纸质版或电子版；若通过直接提交、邮政服务提交或根据在线提交至公共服务门户的要求，则发放纸质版。若不予发放，个人数据保护专门机构应以书面形式通知组织，并明确说明原因。

第26条 关于重新颁发、换发个人数据处理服务经营条件合格证书的申请材料、程序和手续

1. 在纸质个人数据处理服务经营条件合格证书遗失或损坏时，予以重新颁发。

a) 当组织需要重新领取纸质版时，应按照本法令附录中的样表05，通过在线、直接或邮政服务方式向个人数据保护专责机构提交申请。

b) 自收到申请之日起5个工作日内，个人数据保护专责机构应审查并重新颁发个人数据处理服务经营条件合格证；若不予颁发，必须书面通知并说明理由。

2. 当信息错误或需要更改个人数据处理服务经营条件合格证内容时进行换发。

a) 申请文件包括：按照本法令附录的表格06填写的申请书；证明信息错误内容、变更已颁发证书信息内容的文件、资料。

b) 组织以在线、直接或通过邮政服务的方式向个人数据保护专责机构提交上述一套申请文件。在个人数据保护专责机构收到符合第a款规定的完整申请文件之日起五个工作日内，该机构审查并决定是否颁发个人数据处理服务经营条件合格证书；如不予颁发，必须书面说明理由。

第27条 追回个人数据处理服务经营条件合格证书

1. 在以下情况下追缴个人数据处理服务经营条件合格证书：

a) 当未满足本条例第26条第1款、第2款的任何条件时；

b) 停止经营服务达到12个月或以上；

c) 根据法律规定被解散或破产；

d) 未按照有权国家机关的要求整改个人数据保护、信息安全、网络安全、数据安全方面的违规行为；

đ) 主动提出申请暂停或终止经营活动。

2. 专门负责个人数据保护的机构决定根据本条例附录的表格07收回个人数据处理服务经营资格证书。

3. 经营个人数据处理服务的组织有责任在收到收回决定之日起5个工作日内，将已颁发的证书交回专门负责个人数据保护的机构。

4. 专门负责个人数据保护的机构在发布撤销个人数据处理服务经营资格证书的决定时，应在国家个人数据保护信息门户上进行公告。

第28条 个人数据保护违规通知的内容

1. 个人数据保护违规通知的内容包括：

a) 描述违反个人数据保护规定的性质，包括：时间、地点、行为、组织、个人、相关个人数据的类型及数量；

b) 个人数据保护部门、人员或提供个人数据保护服务的组织、个人的联系详情；

c) 描述违反个人数据保护规定可能造成的后果和损害；

d) 描述为解决或减轻违反个人数据保护规定行为所采取的措施。

2. 个人数据控制方、个人数据控制与处理方、第三方处理方应根据本法令附录的表格08，通过个人数据保护专门机构或全国个人数据保护信息门户发送个人数据违规通知。

第29条 关于个人位置数据和生物特征数据违规的通知

1. 当发生涉及位置数据或生物特征数据的个人数据违规事件时，个人数据控制方或个人数据控制与处理方有责任：

a) 在发现违规之日起不超过72小时内通知受影响的数据主体;

b) 根据本法第28条的规定向有权的国家机关报告；

c) 记录、存档和更新违规档案，以便进行监察、检查和处理。组织必须从事件纠正完成之日起至少保存违规档案5年。

2. 向本条第1款a项所指的数据主体通知时，必须至少包括以下内容：

a) 发现违规的时间和方式；

b) 受影响的数据类型（位置、生物特征或两者）；

c) 对数据主体合法权利和利益可能造成的严重程度及风险；

d) 已采取、正在采取及将要采取的纠正措施和减轻损害的办法；

đ) 指导数据主体采取预防措施和防止后续事件的措施。

e) 个人数据保护部门、人员的联系信息，或提供个人数据保护服务的组织、个人；组织中负责接收和处理个人数据事件的部门。

3. 如果组织或个人由于技术或紧急原因，无法在本条第1款规定的期限内通知所有受影响的个人数据主体，应当采取以下措施：

a) 通过组织的官方网站、应用等正式电子媒介公开通知；

b) 一旦技术条件允许，立即向相关个人数据主体发送通知。

4. 如果组织或个人未按时进行通知，或故意拖延、回避通知义务，将根据法律规定予以违规处理。

第四章 个人数据保护工作的执行

第30条 个人数据保护国际合作的履行责任

1. 负责个人数据保护的专门机构有责任协助公安部开展国际个人数据保护合作。

2. 部、部级机关、政府所属机关根据法律规定及其被赋予的职能、任务，对其管理范围内的行业领域进行国际个人数据保护合作。

3. 省级人民政府根据法律规定及其被赋予的职能、任务，开展国际个人数据保护合作。

第31条 个人数据保护活动的检查

1. 个人数据保护活动的检查可定期、突击进行，适用于以下情况：

a) 当有涉嫌违反个人数据保护法律行为的依据时；

b) 当国家个人数据保护管理机关或有权人员下达指示时；

c) 根据法律规定执行国家管理工作时。

2. 个人数据保护活动检查对象包括：

a) 有个人数据处理活动的机构、组织、个人；

b) 提供个人数据处理服务的组织、个人；

c) 必须执行个人数据处理影响评估和跨境个人数据传输影响评估的机构、组织、个人；

d) 与违反个人数据保护规定的案件、事务相关的机构、组织、个人。

3. 个人数据保护工作检查内容：

a) 个人数据保护工作遵守现状；

b) 个人数据处理影响评估和跨境个人数据传输影响评估活动；

c) 个人数据处理服务业务活动。

4. 负责个人数据保护的专业机构，应在检查前15天向被检查对象发出检查决定，并通知其检查的时间、内容及检查组组成，按照本条第2款的规定。如为及时核实、发现、阻止违反个人数据保护法律的行为进行突击检查，负责个人数据保护的专业机构有权立即进行检查，无需提前通知。

5. 被检查对象必须根据本条第3款的规定及负责个人数据保护的专业机构发布的检查决定中的具体要求，充分准备检查内容。

第32条 研究、开发个人数据保护解决方案

参与研究、开发、应用个人数据保护解决方案的机构、组织、企业和个人，包括：

1. 建设个人数据保护的软件系统、设备；

2. 个人数据保护软件、设备的标准化评估方法；

3. 检查所提供的硬件、软件是否正确执行功能的方法；

4. 记录和管理遵守个人数据保护规定的情况；

5. 解决个人数据泄露、丢失的风险；

6. 提升个人数据保护意识和技能的技术举措；

7. 处理用于统计、科学工作的个人数据；

8. 为数据主体提供控制个人数据的解决方案，根据选择性披露机制提供和共享数据，应用高技术、战略技术，符合国际标准和规范；

9. 个人数据保护标准。

10. 其他符合法律规定的个人数据保护解决方案。

第33条 关于个人数据保护的国家管理内容

1. 根据职权颁布或向有权国家机关提出颁布个人数据保护的法律文件；组织实施关于个人数据保护的法律。

2. 制定并组织实施个人数据保护的战略、政策、方案、项目、计划和方案。

3. 指导机关、组织、个人按照法律规定采取个人数据保护的措施、程序、标准和规范。

4. 宣传和普及个人数据保护相关的法律；进行个人数据保护知识、技能的宣传和推广。

5. 建设、培训、培养和发展个人数据保护的人力资源。

6. 根据法律规定，进行个人数据保护的检查、监察、表彰、处理投诉、举报以及违法行为处理。

7. 对个人数据保护情况及个人数据保护法律实施情况进行统计、信息收集和报告，提交有权国家机关。

8. 组织个人数据保护的阶段性总结、全面总结和科学研究；研究、应用个人数据保护的科技进步。

9. 开展个人数据保护的国际合作。

第34条 公安部的责任

1. 协助政府统一实施个人数据保护的国家管理。

2. 主持制定、颁布或向有权国家机关提交颁布并指导实施关于个人数据保护法律规定的规范性文件。

3. 指导并开展个人数据保护工作，保护数据主体在个人数据保护法律规定被侵犯时的权利。

4. 主持并与科学技术部协作制定个人数据保护的标准和技术规范；制定在越南颁布和应用的个人数据去识别及匿名化的技术规范。

5. 建设、管理和运行国家个人数据保护信息门户网站。

6. 开展宣传、普及、法制教育，并指导、培训个人数据保护相关的知识和技能。

7. 评估、初步总结和总结相关机构、组织、个人在个人数据保护工作中的成果。

8. 促进个人数据保护的科学研究；研究和应用个人数据保护领域的科学技术进步，以推动个人数据保护领域的创新。

9. 开展个人数据保护的国际合作活动。

第35条 国防部的责任

1. 配合公安部及相关机构、组织安排力量和手段保护个人数据，发现并阻止违反个人数据保护规定的行为，这些行为属于其管理范围。

2. 在职能范围和被分配的任务内，主持并与公安部协调，对管理范围内的机关、组织和个人的个人数据保护工作成果进行评估；推动采取个人数据保护措施；研究、应用先进的安全技术处理和保护个人数据，以服务国防活动；按照法律规定，对管理范围内的个人数据保护进行国际合作。

3. 组织向管理范围内的军官、专业军人、干部、公务员和事业单位人员宣传、普及和教育法律以及个人数据保护相关知识与技能。

4. 根据法律规定和分配的职能、任务，对国防部管理范围内的机关、组织和个人在个人数据保护方面的违规行为进行检查、监督、处理。

第36条 科学技术部的责任

1. 与公安部协调制定个人数据保护的标准和技术规范；个人数据去标识化、个人数据匿名化的技术规范在越南颁布和实施。

2. 与公安部及相关机构协调，研究、开发、掌握和应用个人数据保护措施，运用先进技术、高新技术、战略性技术，通过科学技术计划形成个人数据保护的解决方案、产品和服务，以支持数字政府、数字经济、数字社会的发展。

第37条 部、部级机构、政府所属机构的责任

1. 对其管理范围内的行业和领域依法实施国家对个人数据保护的管理。

2. 建立和实施本法令中规定的个人数据保护内容和任务。

3. 在各部委任务的建设和实施中，补充个人数据保护的规定。

4. 在管理范围内的各单位安排个人数据保护人员和部门；确保其能力满足岗位要求，并符合法律规定的个人数据保护专业要求。

5. 按照现行预算管理权限安排用于个人数据保护活动的经费。

6. 组织宣传、普及法律，培训管理范围内的干部、公务员、事业单位工作人员及各单位的专业知识和技能，以保护个人数据。

7. 与公安部协作，开展对管理范围内个人数据保护规定的监督、检查、监控和违规处理工作。

8. 与公安部、科技部协调，制定指南并推广应用个人数据保护的标准和技术规范，对管理范围内的单位、组织和个人实施。

第38条 省、直辖市人民委员会的职责

1. 对个人数据保护在其管理的行业和领域内实施国家管理，依照个人数据保护法律规定。

2. 推行本条例中的个人数据保护规定。

3. 在管理范围内的各单位配备个人数据保护人员和部门；确保其能力符合岗位要求和个人数据保护的专业要求，依照法律规定。

4. 按照现行预算管理分级，安排用于个人数据保护活动的经费。

5. 组织宣传、普及法律以及保护个人数据的知识和技能，面向本地区的干部、公务员、事业单位人员、居民和企业。

6. 组织培训以提高各级行政部门从事个人数据保护工作的人员能力；将个人数据保护内容融入行政改革和数字化转型计划中。

7. 建立统计、汇总和定期报告系统，按规定将本地个人数据保护情况报送专门负责个人数据保护的机构。

第39条 专门负责个人数据保护的机构及国家个人数据保护信息门户

1. 专门负责个人数据保护的机构是公安部下属单位，负责协助公安部部长履行国家个人数据保护管理职能。

2. 国家个人数据保护门户是提供有关党的方针政策、国家个人数据保护法律的宣传信息的场所；支持指导，提高机关、组织、个人的个人数据保护意识和技能；接收并处理相关机关、组织、个人的反馈和建议；依法开展其他个人数据保护活动。

第40条 保障个人数据保护活动的经费

1. 个人数据保护的经费包括国家预算；国内外机构、组织、个人的捐助；个人数据保护服务活动的收入；国际援助及其他合法收入来源。

2. 国家机关的个人数据保护经费由国家预算保障，在每年国家预算中列支。利用国家预算经费的管理和使用按照国家预算法律法规执行。

3. 组织和企业的个人数据保护经费由各组织、企业自行安排，并按照规定执行。

第五章 执行组织

第41条 关于适用《个人数据保护法》第38条第2款、第3款的规定

1. 小型企业、创业企业有权选择是否执行《个人数据保护法》第21条、第22条及第33条第2款的规定，自《个人数据保护法》生效之日起五年内，除非是经营个人数据处理服务、直接处理敏感个人数据，或自个人数据主体数量累计达到十万及以上时进行个人数据处理的小型企业、创业企业。

2. 个体工商户、超小型企业无需执行《个人数据保护法》第21条、第22条及第33条第2款的规定，但从事个人数据处理服务的个体工商户、超小型企业，或者直接处理敏感个人数据的，或在处理个人数据的数量累计达到10万名及以上数据主体时，仍需遵守相关规定。

第42条 生效与执行责任

1. 本法令自2026年1月1日起生效。

2. 政府于2023年4月17日发布的关于个人数据保护的第13/2023/NĐ-CP号法令自本法令生效之日起失效。

3. 对政府于2025年6月30日发布的第165/2025/NĐ-CP号法令第16条第2款关于《数据法》若干条款及执行措施的具体规定作如下修改：

“2. 核心数据、重要数据的保护，即个人数据，应按照《个人数据保护法》及其实施细则的规定进行。

在跨境转移、处理核心数据、重要数据为个人数据的情况下，核心数据、重要数据的管理方应按照个人数据保护法的规定，进行个人数据处理影响评估、个人数据跨境转移影响评估；无需按照本法令的规定进行跨境数据处理、转移的风险评估和影响评估。”

4. 公安部负责指导、检查、督促本法令的实施。

5. 各部部长、部级机构负责人、政府所属机构负责人、省、直辖市人民委员会主席以及相关机构、组织和个人负责执行本法令。

代表政府 代总理 副总理

阮和平