越南《个人数据保护令》（13/2023/NĐ-CP）全文标准翻译版

法规基本信息

法规编号：第 13/2023/NĐ-CP 号

颁布日期：2023 年 4 月 17 日

生效日期：2023 年 7 月 1 日

颁布机构：越南政府（Government of Vietnam）

签署人：陈流光（Tran Luu Quang）

目录

第一章 一般规定（第 1-8 条）

第二章 个人数据保护活动（第 9-31 条）

• 第 1 节 数据主体的权利和义务（第 9-10 条）
• 第 2 节 个人数据处理过程中的个人数据保护（第 11-23 条）
• 第 3 节 影响评估与向国外转移个人数据（第 24-25 条）
• 第 4 节 保障个人数据保护的措施和条件（第 26-31 条）

第三章 机关、组织和个人的责任（第 32-42 条）

第四章 实施条款（第 43-44 条）

附录（表格样式第 01-06 号）

第一章 一般规定

第 1 条 调整范围和适用对象

1、本议定规定个人数据保护，以及相关机关、组织、个人保护个人数据的责任。

2、本议定适用于：

a) 越南的机关、组织、个人；

b) 在越南的外国机关、组织、个人；

c) 在国外活动的越南机关、组织、个人；

d) 直接参与或涉及在越南境内个人数据处理活动的外国机关、组织、个人。

第 2 条 词语解释

在本议定中，下列词语理解如下：

1、个人数据（Personal Data）是以符号、文字、数字、图像、声音或电子环境中类似形式表现，与某个具体的人相关或有助于识别某个具体的人的信息。个人数据包括基础个人数据（Basic Personal Data）和敏感个人数据（Sensitive Personal Data）。

2、有助于识别某个具体的人的信息，是指由个人活动形成，与其他存储数据、信息结合时可识别出某个具体的人的信息。

3、基础个人数据包括：

a) 姓、中间名和出生名，其他名称（如有）；

b) 出生年、月、日；死亡或失踪年、月、日；

c) 性别；

d) 出生地、出生登记地、常住地、暂住地、现居住地、籍贯、联系地址；

đ) 国籍；

e) 个人图像；

g) 电话号码、身份证号、个人身份识别号、护照号、驾驶证号、车牌号、个人税号、社保号、医保卡号；

h) 婚姻状况；

i) 家庭关系信息（父母、子女）；

k) 个人数字账户信息；反映个人在网络上活动、活动历史的个人数据；

l) 与某个具体的人相关或有助于识别某个具体的人，且不属于本条第 4 款规定的其他信息。

4、敏感个人数据是指与个人隐私权相关，一旦被侵犯将直接影响个人合法权益的个人数据，包括：

a) 政治观点、宗教观点；

b) 记录在病历中的健康状况和私生活，不包括血型信息；

c) 与种族来源、民族来源相关的信息；

d) 个人继承或获得的遗传特征信息；

đ) 个人身体属性、独特生物特征的信息；

e) 个人性生活、性取向信息；

g) 执法机关收集、存储的犯罪数据、犯罪行为数据；

h) 信贷机构、外国银行分行、支付中介服务提供组织及其他获准组织的客户信息，包括：法律规定的客户身份识别信息、账户信息、存款信息、托管资产信息、交易信息，以及在信贷机构、银行分行、支付中介服务提供组织中作为担保方的组织、个人信息；

i) 通过定位服务确定的个人位置数据；

k) 法律规定为特殊性质、需要必要保密措施的其他个人数据。

5、个人数据保护是指依法预防、发现、阻止、处理与个人数据相关违法行为的活动。

6、数据主体（Data Subject）是其个人数据被反映的个人。

7、个人数据处理是指对个人数据实施的一种或多种影响活动，如：收集、记录、分析、确认、存储、编辑、公开、合并、访问、检索、收回、加密、解密、复制、共享、传送、提供、移交、删除、销毁个人数据，或其他相关行为。

8、数据主体的同意是指数据主体明确、自愿地表示允许处理其个人数据。

9、个人数据控制者（Personal Data Controller）是决定个人数据处理目的和方式的组织、个人。

10、个人数据处理者（Personal Data Processor）是通过与控制者签订的合同或协议，代表个人数据控制者实施数据处理的组织、个人。

11、个人数据控制兼处理者（Personal Data Controller-cum-Processor）是同时决定处理目的、方式并直接处理个人数据的组织、个人。

12、第三方（Third Party）是数据主体、个人数据控制者、个人数据处理者、个人数据控制兼处理者以外，获准处理个人数据的组织、个人。

13、个人数据自动化处理是借助电子手段实施的个人数据处理形式，旨在评估、分析、预测某个具体的人的活动，如：习惯、偏好、信任度、行为、地点、趋势、能力及其他情形。

14、向国外转移个人数据是指利用网络空间、设备、电子工具或其他形式，将越南公民个人数据转移到越南社会主义共和国（Socialist Republic of Vietnam）领土之外的地点，或利用越南社会主义共和国领土之外的地点处理越南公民个人数据的活动，包括：

a) 组织、企业、个人将越南公民个人数据转移给国外组织、企业、管理部门处理，符合数据主体已同意的目的；

b) 个人数据控制者、个人数据控制兼处理者、个人数据处理者利用位于越南社会主义共和国领土之外的自动化系统处理越南公民个人数据，符合数据主体已同意的目的。

第 3 条 个人数据保护原则

1、个人数据依法处理。

2、数据主体有权知晓与其个人数据处理相关的活动，法律另有规定的除外。

3、个人数据仅按照个人数据控制者、个人数据处理者、个人数据控制兼处理者、第三方登记、声明的内容处理。

4、所收集的个人数据必须适当并限于所需处理的范围、目的。个人数据不得以任何形式买卖，法律另有规定的除外。

5、个人数据应随处理目的进行更新、补充。

6、个人数据在处理过程中适用保护、保密措施，包括防范违反个人数据保护规定的行为，并防止因事故造成丢失、破坏或损害，采用技术措施。

7、个人数据仅在符合数据处理目的的期限内存储，法律另有规定的除外。

8、个人数据控制者、个人数据控制兼处理者必须遵守本条第一款至第七款规定的数据处理原则，并对其遵守上述数据处理原则承担证明责任。

第 4 条 处理违反个人数据保护规定的行为

机关、组织、个人违反个人数据保护规定的，视情节轻重，可依法给予纪律处分、行政处罚或刑事处理。

第 5 条 个人数据保护的国家管理

政府统一管理个人数据保护工作。

个人数据保护的国家管理内容包括：

1、提请有权国家机关颁布或依职权颁布个人数据保护规范性文件，并指导、组织实施个人数据保护规范性文件；

2、制定并组织实施个人数据保护战略、政策、方案、项目、计划；

3、依法指导机关、组织、个人采取个人数据保护措施、程序、标准；

4、宣传、教育个人数据保护法律；传播、普及个人数据保护知识、技能；

5、建设、培训、培养干部、公务员、职员和获委派从事个人数据保护工作的人员；

6、监督检查个人数据保护法律规定的执行情况；依法解决申诉、控告，处理违反个人数据保护法律的行为；

7、就有权国家机关统计、通报、报告个人数据保护情况及个人数据保护法律执行情况；

8、开展个人数据保护国际合作。

第 6 条 适用个人数据保护议定、相关法律和国际条约

个人数据保护按照越南社会主义共和国为成员的国际条约、相关法律的其他规定以及本议定的规定执行。

第 7 条 个人数据保护国际合作

1、建立国际合作机制，为有效执行个人数据保护法律创造条件。

2、参与其他国家个人数据保护的司法协助，包括通报、提出申诉请求、协助调查和交流信息，并采取适当保护措施以保护个人数据。

3、组织会议、研讨会、科学研究，促进个人数据保护执法方面的国际合作活动。

4、组织双边、多边会晤，交流个人数据保护立法和实践经验。

5、转让服务于个人数据保护的技术。

第 8 条 被严格禁止的行为

1、违反个人数据保护法律规定处理个人数据。

2、处理个人数据以制造信息、数据，旨在反对越南社会主义共和国。

3、处理个人数据以制造影响国家安全、社会秩序安全及其他组织、个人合法权益的信息、数据。

4、阻碍有权机关的个人数据保护活动。

5、利用个人数据保护活动违法。

第二章 个人数据保护活动

第 1 节 数据主体的权利和义务

第 9 条 数据主体的权利

1、知情权

数据主体有权知晓其个人数据的处理活动，法律另有规定的除外。

2、同意权

数据主体有权同意或不同意允许处理其个人数据，本议定第 17 条规定的情形除外。

3、访问权

数据主体有权访问查看、修改或要求修改其个人数据，法律另有规定的除外。

4、撤回同意权

数据主体有权撤回其同意，法律另有规定的除外。

5、删除权

数据主体有权删除或要求删除其个人数据，法律另有规定的除外。

6、限制处理权

a) 数据主体有权要求限制处理其个人数据，法律另有规定的除外；

b) 数据主体提出要求后，应在 72 小时内对其要求限制的全部个人数据实施限制处理，法律另有规定的除外。

7、数据提供权

数据主体有权要求个人数据控制者（Personal Data Controller）、个人数据控制兼处理者（Personal Data Controller-cum-Processor）向其本人提供其个人数据，法律另有规定的除外。

8、反对处理权

a) 数据主体有权反对个人数据控制者、个人数据控制兼处理者处理其个人数据，以阻止或限制泄露个人数据，或将其用于广告、营销目的，法律另有规定的除外；

b) 个人数据控制者、个人数据控制兼处理者在收到要求后 72 小时内执行数据主体的要求，法律另有规定的除外。

9、申诉、控告、起诉权

数据主体有权依法申诉、控告或起诉。

10、要求赔偿损失权

当其个人数据保护规定被违反时，数据主体有权依法要求赔偿损失，各方另有约定或法律另有规定的除外。

11、自我保护权

数据主体有权按照《民法典》（Civil Code）、其他相关法律和本议定的规定自我保护，或要求有权机关、组织按照《民法典》第 11 条规定实施民事权利保护方式。

第 10 条 数据主体的义务

1、自我保护其个人数据；要求其他相关组织、个人保护其个人数据。

2、尊重、保护他人的个人数据。

3、同意允许处理个人数据时，充分、准确地提供个人数据。

4、参与宣传、普及个人数据保护技能。

5、执行个人数据保护法律规定，参与防范违反个人数据保护规定的行为。

第 2 节 个人数据处理过程中的个人数据保护

第 11 条 数据主体的同意

1、数据主体的同意适用于个人数据处理流程中的所有活动，法律另有规定的除外。

2、数据主体的同意仅在数据主体自愿且清楚知晓下列内容时生效：

a) 被处理的个人数据类型；

b) 个人数据处理目的；

c) 处理个人数据的组织、个人；

d) 数据主体的各项权利、义务。

3、数据主体的同意必须以书面、语音、勾选同意框、短信同意语法、选择同意技术设置或其他能够体现上述意思的行为方式，明确、具体地表示。

4、同意必须针对同一目的作出。存在多个目的时，个人数据控制者、个人数据控制兼处理者应列出各项目的，由数据主体对其中一项或多项表示同意。

5、数据主体的同意必须以可打印、可书面复制的格式表示，包括电子形式或可验证的格式。

6、数据主体的沉默或不回应不视为同意。

7、数据主体可以部分同意或附加条件同意。

8、对敏感个人数据的处理，必须告知数据主体所处理的数据属于敏感个人数据。

9、数据主体的同意持续有效，直至数据主体作出其他决定或有权国家机关书面要求为止。

10、发生争议时，证明数据主体同意的责任属于个人数据控制者、个人数据控制兼处理者。

11、按照《民法典》规定的授权，在数据主体已清楚知晓并按本条第 3 款规定同意的情况下，组织、个人可以代表数据主体与个人数据控制者、个人数据控制兼处理者办理与数据主体个人数据处理相关的手续，法律另有规定的除外。

第 12 条 撤回同意

1、撤回同意不影响撤回同意前已获同意的数据处理的合法性。

2、撤回同意必须以可打印、可书面复制的格式表示，包括电子形式或可验证的格式。

3、收到数据主体撤回同意的要求时，个人数据控制者、个人数据控制兼处理者应告知数据主体撤回同意可能发生的后果和损害。

4、执行本条第 2 款规定后，个人数据控制者、个人数据处理者（Personal Data Processor）、个人数据控制兼处理者、第三方必须停止并要求相关组织、个人停止处理已撤回同意的数据主体的数据。

第 13 条 个人数据处理通知

1、通知应在个人数据处理活动开展前一次性作出。

2、向数据主体通知个人数据处理的内容：

a) 处理目的；

b) 与处理目的相关的被使用个人数据类型；

c) 处理方式；

d) 与处理目的相关的其他组织、个人信息；

đ) 可能发生的不期望后果、损害；

e) 数据处理的开始时间、结束时间。

3、向数据主体的通知必须以可打印、可书面复制的格式表示，包括电子形式或可验证的格式。

4、个人数据控制者、个人数据控制兼处理者在下列情形无须执行本条第 1 款规定：

a) 数据主体在同意个人数据控制者、个人数据控制兼处理者收集个人数据前，已清楚知晓并完全同意本条第 1 款和第 2 款规定的内容，符合本议定第 9 条规定；

b) 个人数据由有权国家机关处理，用于依法服务于国家机关活动。

第 14 条 提供个人数据

1、数据主体有权要求个人数据控制者、个人数据控制兼处理者向其本人提供其个人数据。

2、个人数据控制者、个人数据控制兼处理者：

a) 在获得数据主体同意时，可以向其他组织、个人提供数据主体的个人数据，法律另有规定的除外；

b) 在数据主体同意授权代表时，可以代表数据主体向其他组织或个人提供数据主体的个人数据，法律另有规定的除外。

3、个人数据控制者、个人数据控制兼处理者在收到数据主体要求后 72 小时内提供数据主体的个人数据，法律另有规定的除外。

4、个人数据控制者、个人数据控制兼处理者在下列情形不提供个人数据：

a) 损害国防、国家安全、社会秩序安全；

b) 提供数据主体的个人数据可能影响他人的安全、身心健康；

c) 数据主体不同意提供、不允许代表或授权接收个人数据。

5、个人数据提供要求的提出形式：

a) 数据主体直接或授权他人到个人数据控制者、个人数据控制兼处理者办公场所要求提供个人数据。接收要求的人员有责任指导提出要求的组织、个人填写个人数据提供要求单（Personal Data Provision Request Form）。提出要求但不会书写或残疾无法书写要求的组织、个人，接收要求的人员有责任协助填写个人数据提供要求单；

b) 通过电子网络、邮政服务、传真将本议定附录表格样式第 01、02 号的个人数据提供要求单发送给个人数据控制者、个人数据控制兼处理者。

6、个人数据提供要求单必须使用越南语填写，主要包括下列内容：

a) 姓名；居住地、地址；提出要求者的身份证号、公民身份证或护照号；传真、电话、电子邮件地址（如有）；

b) 要求提供的个人数据，其中明确文件、档案、资料名称；

c) 个人数据提供形式；

d) 要求提供个人数据的理由、目的。

7、属于本条第 2 款规定的要求提供个人数据情形，必须附上相关个人、组织的同意文件。

8、接收个人数据提供要求

a) 个人数据控制者、个人数据控制兼处理者有责任接收个人数据提供要求，跟踪按要求提供个人数据的过程和清单；

b) 被要求的个人数据不属于其权限时，收到要求的个人数据控制者、个人数据控制兼处理者必须通知并指导提出要求的组织、个人到有权机关办理，或明确通知无法提供个人数据。

9、解决个人数据提供要求

收到有效的个人数据提供要求后，个人数据控制者、个人数据控制兼处理者有责任提供个人数据，通知提供个人数据的期限、地点、形式；打印、复制、拍摄、通过邮政服务、传真发送信息的实际费用（如有）以及支付方式、期限；按照本条规定的程序和手续实施个人数据提供。

第 15 条 修改个人数据

1、数据主体：

a) 经个人数据控制者、个人数据控制兼处理者按同意收集后，有权访问查看、修改其个人数据，法律另有规定的除外；

b) 因技术原因或其他原因无法直接修改时，数据主体要求个人数据控制者、个人数据控制兼处理者修改其个人数据。

2、个人数据控制者、个人数据控制兼处理者在获得数据主体同意后，应尽快修改数据主体的个人数据，或按专门法律规定执行。无法执行时，应在收到数据主体修改个人数据要求后 72 小时内通知数据主体。

3、个人数据处理者、第三方在获得个人数据控制者、个人数据控制兼处理者书面同意并明确知晓已获得数据主体同意后，可以修改数据主体的个人数据。

第 16 条 存储、删除、销毁个人数据

1、数据主体有权在下列情形要求个人数据控制者、个人数据控制兼处理者删除其个人数据：

a) 认为不再需要用于已同意的收集目的，并接受要求删除数据可能发生的损害；

b) 撤回同意；

c) 反对处理数据，且个人数据控制者、个人数据控制兼处理者没有正当理由继续处理；

d) 个人数据未按已同意的目的处理，或处理个人数据违反法律规定；

đ) 依法必须删除个人数据。

2、在下列情形，不执行数据主体的删除要求：

a) 法律规定不允许删除数据；

b) 个人数据由有权国家机关处理，用于依法服务于国家机关活动；

c) 个人数据已依法公开；

d) 个人数据用于依法服务法律要求、科学研究、统计；

đ) 国防、国家安全、社会秩序安全紧急状态、重大灾害、危险疫情；存在威胁安全、国防但尚未达到宣布紧急状态的危险；防治暴乱、恐怖、犯罪和违法行为时；

e) 应对威胁数据主体或其他个人生命、健康或安全的紧急情况。

3、企业分立、拆分、合并、兼并、解散时，个人数据依法移交。

4、国家机关、组织、行政单位分立、拆分、合并、重组，国有企业改制时，个人数据依法移交。

5、删除数据应在收到数据主体要求后 72 小时内，对个人数据控制者、个人数据控制兼处理者收集的全部个人数据实施，法律另有规定的除外。

6、个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方按照与自身活动相适应的形式存储个人数据，并依法采取个人数据保护措施。

7、个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方在下列情形不可恢复地删除：

a) 数据处理不符合目的，或数据主体同意的个人数据处理目的已完成；

b) 个人数据的存储对个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方的活动不再必要；

c) 个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方解散、停止活动、宣告破产，或依法终止经营活动。

第 17 条 无需数据主体同意的个人数据处理情形

1、紧急情况下，为保护数据主体或他人的生命、健康，需要立即处理相关个人数据。个人数据控制者、个人数据处理者、个人数据控制兼处理者、第三方有责任证明该情形。

2、依法公开个人数据。

3、有权国家机关在国防、国家安全、社会秩序安全紧急状态、重大灾害、危险疫情；存在威胁安全、国防但尚未达到宣布紧急状态的危险；防治暴乱、恐怖、犯罪和违法行为时，依法处理数据。

4、为执行数据主体与相关机关、组织、个人之间依法签订的合同义务。

5、服务于已依法规定的国家机关活动。

第 18 条 处理在公共场所录音、录像活动中取得的个人数据

有权机关、组织可以在公共场所录音、录像，处理从中取得的个人数据，用于保护国家安全、社会秩序安全以及组织、个人的合法权益，无须数据主体同意。实施录音、录像时，有权机关、组织有责任通知数据主体其正在被录音、录像，法律另有规定的除外。

第 19 条 处理被宣告失踪、已死亡人员的个人数据

1、处理与被宣告失踪人员、已死亡人员个人数据相关的个人数据，必须获得其配偶、成年子女的同意；没有上述人员时，必须获得被宣告失踪人员、已死亡人员父母的同意，本议定第 17 条和第 18 条规定的情形除外。

2、本条第一款规定的所有人员均不存在时，视为没有同意。

第 20 条 处理儿童的个人数据

1、处理儿童的个人数据始终按照保护儿童权利和儿童最大利益的原则实施。

2、处理儿童的个人数据，儿童年满 7 周岁的，必须获得儿童的同意，并按规定获得其父母或监护人的同意，本议定第 17 条规定的情形除外。个人数据控制者、个人数据处理者、个人数据控制兼处理者、第三方在处理儿童个人数据前，必须核实儿童的年龄。

3、在下列情形，停止处理儿童的个人数据，不可恢复地删除或销毁儿童的个人数据：

a) 数据处理不符合目的，或数据主体同意的个人数据处理目的已完成，法律另有规定的除外；

b) 儿童父母或监护人撤回允许处理儿童个人数据的同意，法律另有规定的除外；

c) 有权职能机关在有足够依据证明个人数据处理影响儿童合法权益时提出要求，法律另有规定的除外。

第 21 条 营销、广告产品介绍服务经营中的个人数据保护

1、经营营销、广告产品介绍服务的组织、个人，仅在获得数据主体同意时，才可以使用通过自身经营活动收集的客户个人数据经营营销、广告产品介绍服务。

2、为经营营销、广告产品介绍服务而处理客户个人数据，必须获得客户同意，且客户清楚知晓产品介绍的内容、方式、形式、频次。

3、经营营销、广告产品介绍服务的组织、个人有责任证明客户个人数据的使用符合本条第 1 款和第 2 款规定。

第 22 条 非法收集、移交、买卖个人数据

1、与个人数据处理相关的组织、个人必须采取个人数据保护措施，防止从自身系统、服务设施设备中非法收集个人数据。

2、未经数据主体同意建立软件系统、技术措施或组织收集、移交、买卖个人数据的活动，属于违法行为。

第 23 条 违反个人数据保护规定的通知

1、发现发生违反个人数据保护规定的行为时，个人数据控制者、个人数据控制兼处理者应在违法行为发生后最迟 72 小时内，按照本议定附录表格样式第 03 号通知公安部网络安全与高科技犯罪预防打击局（Department of Cybersecurity and High-Tech Crime Prevention）。超过 72 小时通知的，必须附上延迟、迟误通知的理由。

2、个人数据处理者发现违反个人数据保护规定的行为后，必须尽快通知个人数据控制者。

3、违反个人数据保护规定通知的内容：

a) 描述违反个人数据保护规定行为的性质，包括：时间、地点、行为、组织、个人、个人数据类型及涉及的数据数量；

b) 获委派从事数据保护工作的员工或承担个人数据保护责任的组织、个人的详细联系方式；

c) 描述违反个人数据保护规定行为可能发生的后果、损害；

d) 描述为解决、减轻违反个人数据保护规定行为危害而提出的措施。

4、无法完整通知本条第 3款规定内容的，可以分批次、分阶段通知。

5、个人数据控制者、个人数据控制兼处理者必须制作违反个人数据保护规定行为发生的确认记录，配合公安部网络安全与高科技犯罪预防打击局处理违法行为。

6、发现下列情形时，组织、个人应通知公安部网络安全与高科技犯罪预防打击局：

a) 发现针对个人数据的违法行为；

b) 个人数据被违反目的处理，不符合数据主体与个人数据控制者、个人数据控制兼处理者之间的最初约定，或违反法律规定；

c) 数据主体的权利未得到保障或未正确落实；

d) 法律规定的其他情形。

第 3 节 影响评估与向国外转移个人数据

第 24 条 个人数据处理影响评估

1、个人数据控制者（Personal Data Controller）、个人数据控制兼处理者（Personal Data Controller-cum-Processor）从开始处理个人数据之时起，建立并保存其个人数据处理影响评估档案（Processing Impact Assessment Dossier）。

个人数据控制者、个人数据控制兼处理者的个人数据处理影响评估档案包括：

a) 个人数据控制者、个人数据控制兼处理者的信息和详细联系方式；

b) 获分工实施个人数据保护任务的组织及个人数据控制者、个人数据控制兼处理者个人数据保护员工的姓名、详细联系方式；

c) 个人数据处理目的；

d) 被处理的个人数据类型；

đ) 接收个人数据的组织、个人，包括越南领土以外的组织、个人；

e) 向国外转移个人数据的情形；

g) 个人数据处理时间；预计删除、销毁个人数据的时间（如有）；

h) 所采用个人数据保护措施的描述；

i) 评估个人数据处理的影响程度；可能发生的不期望后果、损害，以及降低或消除风险、危害的措施。

2、个人数据处理者（Personal Data Processor）在与个人数据控制者履行合同时，建立并保存个人数据处理影响评估档案。个人数据处理者的个人数据处理影响评估档案包括：

a) 个人数据处理者的信息和详细联系方式；

b) 获分工实施个人数据处理的组织及个人数据处理者实施个人数据处理的员工的姓名、详细联系方式；

c) 按照与个人数据控制者的合同所处理的活动和被处理的个人数据类型描述；

d) 个人数据处理时间；预计删除、销毁个人数据的时间（如有）；

đ) 向国外转移个人数据的情形；

e) 所采用个人数据保护措施的一般描述；

g) 可能发生的不期望后果、损害，以及降低或消除风险、危害的措施。

3、本条第一款和第二款规定的个人数据处理影响评估档案，以个人数据控制者、个人数据控制兼处理者或个人数据处理者具有法律效力的书面文件形式设立。

4、个人数据处理影响评估档案必须随时备查，供公安部（Ministry of Public Security）检查、评估，并在开始处理个人数据之日起 60 天内，按照本议定附录表格样式第 04 号向公安部网络安全与高科技犯罪预防打击局（Department of Cybersecurity and High-Tech Crime Prevention）报送 1 份正本。

5、公安部网络安全与高科技犯罪预防打击局在档案不完整、不合规时，评估并要求个人数据控制者、个人数据控制兼处理者、个人数据处理者完善个人数据处理影响评估档案。

6、已向公安部网络安全与高科技犯罪预防打击局报送的档案内容发生变化时，个人数据控制者、个人数据控制兼处理者、个人数据处理者应按照本议定附录表格样式第 05 号更新、补充个人数据处理影响评估档案。

第 25 条 向国外转移个人数据

1、越南公民个人数据在向外转移方按照本条第 3、4、5 款规定建立向国外转移个人数据影响评估档案并办理手续时，可以转移至国外。向外转移数据方包括个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方。

2、向国外转移个人数据影响评估档案（Transfer Impact Assessment Dossier）包括：

a) 数据转移方和越南公民个人数据接收方的信息和详细联系方式；

b) 与越南公民个人数据转移、接收相关的数据转移方主管组织、个人的姓名、详细联系方式；

c) 描述并论证越南公民个人数据转移至国外后的处理活动目标；

d) 描述并明确向国外转移的个人数据类型；

đ) 描述并说明遵守本议定个人数据保护规定的情况，所采用个人数据保护措施的详情；

e) 评估个人数据处理的影响程度；可能发生的不期望后果、损害，以及降低或消除风险、危害的措施；

g) 数据主体在清楚知晓发生事故或产生要求时的反馈、申诉机制基础上，按照本议定第 11 条规定作出的同意；

h) 具有越南公民个人数据转移方与接收方之间关于个人数据处理约束、责任的书面文件。

3、向国外转移个人数据影响评估档案必须随时备查，供公安部检查、评估。向外转移数据方应在开始处理个人数据之日起 60 天内，按照本议定附录表格样式第 06 号向公安部网络安全与高科技犯罪预防打击局报送 1 份正本。

4、数据转移方应在数据转移成功后，书面通知公安部网络安全与高科技犯罪预防打击局数据转移情况以及主管组织、个人的详细联系方式。

5、公安部网络安全与高科技犯罪预防打击局在档案不完整、不合规时，评估并要求向外转移数据方完善向国外转移个人数据影响评估档案。

6、已向公安部网络安全与高科技犯罪预防打击局报送的档案内容发生变化时，向外转移数据方应按照本议定附录表格样式第 05 号更新、补充向国外转移个人数据影响评估档案。向外转移数据方完善档案的时间为收到要求之日起 10 天。

7、公安部根据具体情况，决定每年对向国外转移个人数据实施检查 1 次，但发现违反本议定个人数据保护规定或发生越南公民个人数据泄露、丢失事故的除外。

8、公安部在下列情形决定要求向外转移数据方停止向国外转移个人数据：

a) 发现被转移的个人数据被用于违反越南社会主义共和国利益、国家安全的活动；

b) 向外转移数据方不执行本条第 5、6 款规定；

c) 发生越南公民个人数据泄露、丢失事故。

第 4 节 保障个人数据保护的措施和条件

第 26 条 个人数据保护措施

1、个人数据保护措施从开始处理个人数据之时起并贯穿个人数据处理全过程适用。

2、个人数据保护措施包括：

a) 由与个人数据处理相关的组织、个人实施的管理措施；

b) 由与个人数据处理相关的组织、个人实施的技术措施；

c) 由有权国家管理机关按照本议定和相关法律规定实施的措施；

d) 由有权国家机关实施的调查、诉讼措施；

đ) 法律规定的其他措施。

第 27 条 基础个人数据保护

1、适用本议定第 26 条第 2 款规定的各项措施。

2、制定、颁布个人数据保护规定，明确按照本议定规定需要实施的事项。

3、鼓励采用与个人数据处理相关的领域、行业、活动相适应的个人数据保护标准。

4、在开始处理前对系统和处理个人数据的工具、设备实施网络安全检查，不可恢复地删除或销毁承载个人数据的设备。

第 28 条 敏感个人数据保护

1、适用本议定第 26 条第 2 款和第 27 条规定的各项措施。

2、指定具有个人数据保护职能的部门，指定负责个人数据保护的人员，并与个人数据保护专职机关（Specialized Agency for Personal Data Protection）交流该部门及负责个人数据保护人员的相关信息。个人数据控制者、个人数据控制兼处理者、个人数据处理者、第三方为个人的，交流其个人信息。

3、告知数据主体其敏感个人数据被处理，本议定第 13 条第 4 款、第 17 条和第 18 条规定的情形除外。

第 29 条 个人数据保护专职机关和个人数据保护国家信息门户

1、个人数据保护专职机关是公安部网络安全与高科技犯罪预防打击局，有责任协助公安部实施个人数据保护国家管理。

2、个人数据保护国家信息门户（National Portal on Personal Data Protection）：

a) 提供党和国家关于个人数据保护的方针、政策、法律信息；

b) 宣传、普及个人数据保护政策、法律；

c) 更新个人数据保护信息、情况；

d) 通过网络空间接收个人数据保护活动的信息、档案、数据；

đ) 提供相关机关、组织、个人个人数据保护工作评估结果信息；

e) 接收违反个人数据保护规定的通知；

g) 依法预警、配合预警侵犯个人数据的风险、行为；

h) 依法处理违反个人数据保护规定的行为；

i) 实施个人数据保护法律规定的其他活动。

第 30 条 保障个人数据保护活动的条件

1、个人数据保护力量：

a) 专职个人数据保护力量配置在个人数据保护专职机关；

b) 在机关、组织、企业内指定具有个人数据保护职能的部门、人员，确保执行个人数据保护规定；

c) 动员参与个人数据保护的组织、个人；

d) 公安部制定具体计划，发展个人数据保护人力资源。

2、机关、组织、个人有责任向机关、组织、个人宣传、普及个人数据保护知识、技能，提高个人数据保护意识。

3、保障个人数据保护专职机关的物质基础、活动条件。

第 31 条 保障个人数据保护活动的经费

1、实施个人数据保护的资金来源包括国家财政预算；国内外机关、组织、个人的支持；提供个人数据保护服务活动的收入；国际援助及其他合法收入。

2、国家机关的个人数据保护经费由国家财政预算保障，列入年度国家财政预算草案。国家财政预算经费的管理、使用按照国家财政预算法规定执行。

3、组织、企业的个人数据保护经费由各组织、企业自行安排并按规定执行。

第三章 机关、组织和个人的责任

第 32 条 公安部（Ministry of Public Security）的责任

1、协助政府统一实施个人数据保护国家管理。

2、指导、开展个人数据保护活动，保护数据主体权利免受违反个人数据保护规定行为的侵害，提议颁布个人数据保护标准（Standard on Personal Data Protection）及适用建议。

3、建设、管理、运营个人数据保护国家信息门户（National Portal on Personal Data Protection）。

4、评估相关机关、组织、个人个人数据保护工作成果。

5、按照本议定规定接收个人数据保护档案、表格、信息。

6、推动各项措施并开展研究，创新个人数据保护领域，开展个人数据保护国际合作。

7、依法监督检查，解决申诉、控告，处理违反个人数据保护规定的行为。

第 33 条 信息与传媒部（Ministry of Information and Communications）的责任

1、指导属于管理领域的传媒、新闻机关、组织和企业按照本议定规定实施个人数据保护。

2、按照被赋予的职能、任务，制定、指导并开展个人数据保护措施，保障信息传媒活动中的个人数据网络安全。

3、配合公安部监督检查、处理违反个人数据保护法律的行为。

第 34 条 国防部（Ministry of National Defence）的责任

按照法律规定和被赋予的职能、任务，对属于国防部管理范围的机关、组织、个人实施个人数据保护规定的管理、检查、监督，处理违反行为。

第 35 条 科学技术部（Ministry of Science and Technology）的责任

1、配合公安部制定个人数据保护标准及个人数据保护标准适用建议。

2、与公安部研究、交流个人数据保护措施，紧跟科学技术发展。

第 36 条 各部、部级机关、政府直属机关的责任

1、按照个人数据保护法律规定，对属于管理行业、领域的个人数据保护实施国家管理。

2、制定并开展本议定规定的个人数据保护内容、任务。

3、在制定、开展各部、各行业任务时，补充个人数据保护规定。

4、按照现行财政预算管理分级，安排服务个人数据保护活动的经费。

5、颁布符合个人数据保护规定的开放数据目录（Open Data List）。

第 37 条 中央直辖省市人民委员会（People's Committee）的责任

1、按照个人数据保护法律规定，对属于管理行业、领域的个人数据保护实施国家管理。

2、开展本议定规定的个人数据保护规定。

3、按照现行财政预算管理分级，安排服务个人数据保护活动的经费。

4、颁布符合个人数据保护规定的开放数据目录。

第 38 条 个人数据控制者（Personal Data Controller）的责任

1、采取适当的组织、技术措施及安全、保密措施，证明数据处理活动已按照个人数据保护法律规定实施，并在必要时检查、更新这些措施。

2、记录并存储个人数据处理过程的系统日志。

3、按照本议定第 23 条规定通知违反个人数据保护规定的行为。

4、选择符合明确任务的个人数据处理者（Personal Data Processor），仅与采取适当保护措施的个人数据处理者合作。

5、按照本议定第 9 条规定保障数据主体的各项权利。

6、个人数据控制者对数据处理过程造成的损害向数据主体承担责任。

7、配合公安部、有权国家机关保护个人数据，提供信息服务调查、处理违反个人数据保护规定的行为。

第 39 条 个人数据处理者的责任

1、仅在与个人数据控制者签订数据处理合同或协议后接收个人数据。

2、严格按照与个人数据控制者签订的合同或协议处理个人数据。

3、充分实施本议定及其他相关法律文件规定的个人数据保护措施。

4、个人数据处理者对数据处理过程造成的损害向数据主体承担责任。

5、数据处理结束后，删除或将全部个人数据返还给个人数据控制者。

6、配合公安部、有权国家机关保护个人数据，提供信息服务调查、处理违反个人数据保护规定的行为。

第 40 条 个人数据控制兼处理者（Personal Data Controller-cum-Processor）的责任

充分实施关于个人数据控制者和个人数据处理者责任的规定。

第 41 条 第三方（Third Party）的责任

充分按照本议定规定实施个人数据处理责任。

第 42 条 相关组织、个人的责任

1、采取保护其个人数据的措施，对所提供个人数据的准确性承担责任。

2、执行本议定规定的个人数据保护规定。

3、及时向公安部通报与个人数据保护活动相关的违法行为。

4、配合公安部处理与个人数据保护活动相关的违法行为。

第四章 实施条款

第 43 条 生效条款

1、本议定自 2023 年 7 月 1 日起生效。

2、微型企业、小型企业、中型企业、初创企业有权选择自企业成立之日起前 2 年免于执行关于指定个人数据保护人员、部门的规定。

3、直接经营个人数据处理活动的微型企业、小型企业、中型企业、初创企业，不适用本条第 2 款规定。

第 44 条 实施责任

1、公安部部长督促、检查、指导本议定的实施。

2、各部部长、部级机关首长、政府直属机关首长、中央直辖省市人民委员会主席负责实施本议定。

附录

表格样式第 01 号 个人数据提供要求单（适用于个人）

越南社会主义共和国（Socialist Republic of Vietnam）

独立、自由、幸福

……，……年……月……日

个人数据提供要求单（适用于个人）

致：……

1、要求提供个人数据的个人姓名：……

2、代表人/监护人（Representative/Guardian）：……

3、身份证号/公民身份证/护照号：……，……年……月……日签发于……

4、居住地：……

5、电话……；传真……；电子邮件……

6、要求提供的个人数据：……

7、要求提供的理由、目的：……

8、提出个人数据提供要求的次数：

a) 第一次；b) 其他：……（注明已要求提供上述内容信息的次数）

9、份数：……

10、接收个人数据的方式：

□ 在要求提供处接收

□ 通过邮政接收（注明接收地址）：……

□ 传真（注明传真号码）：……

□ 通过电子网络接收（注明接收地址）：……

□ 其他形式（注明）：……

11、附随文件（有条件时）：……

要求人（签字，注明姓名）

表格样式第 02 号 个人数据提供要求单（适用于组织、企业）

越南社会主义共和国

独立、自由、幸福

……，……年……月……日

个人数据提供要求单（适用于组织、企业）

致：……

1、组织、企业名称：……

2、组织、企业代表人：……

3、身份证号/公民身份证/护照号：……，……年……月……日签发于……

4、组织、企业总部地址：……

5、电话……；传真……；电子邮件……

6、要求提供的个人数据：……

7、要求提供的理由、目的：……

8、提出个人数据提供要求的次数：

a) 第一次；b) 其他：……（注明已要求提供上述内容信息的次数）

9、份数：……

10、接收文件、档案、资料的方式：

□ 在要求提供信息处接收

□ 通过邮政接收（注明接收地址）：……

□ 传真（注明传真号码）：……

□ 通过电子网络接收（注明接收地址）：……

□ 其他形式（注明）：……

11、附随文件（有条件时）：……

要求人（签字，注明姓名）

表格样式第 03 号 违反个人数据保护规定的通知

组织名称

越南社会主义共和国

独立、自由、幸福

编号：……，……年……月……日

违反个人数据保护规定的通知

致：公安部（Ministry of Public Security）

（公安部网络安全与高科技犯罪预防打击局（Department of Cybersecurity and High-Tech Crime Prevention））

执行个人数据保护规定，……向公安部报送个人数据处理影响评估档案（Processing Impact Assessment Dossier），内容如下：

1、组织、企业信息

• 组织、企业名称：……
• 总部地址：……
• 交易地址：……
• 成立决定/企业登记证/经营登记证/投资证编号：……，由……于……年……月……日签发于……
• 电话：……；网站……
• 负责个人数据保护的人员：

姓名：……

职务：……

联系电话（固定和移动）：……

电子邮件：……

2、描述违反个人数据保护规定的行为

• 时间：……
• 地点：……
• 行为：……
• 组织、个人、个人数据类型及涉及的数据数量：……
• 负责个人数据保护的人员：

姓名：……

职务：……

联系电话（固定和移动）：……

电子邮件：……

• 已发生后果：……
• 已采取措施：……

3、附随文件

1.……

2.……

4、承诺

（机关、组织、企业名称）承诺：对所提供信息和附随文件的准确性、合法性承担法律责任。

收件单位：

• 如上述；

……

组织、企业代表（签字，注明姓名，盖章）

表格样式第 04 号 报送个人数据处理影响评估档案的通知

组织名称

越南社会主义共和国

独立、自由、幸福

编号：……，……年……月……日

报送个人数据处理影响评估档案的通知

致：公安部

（公安部网络安全与高科技犯罪预防打击局）

执行个人数据保护规定，……向公安部报送个人数据处理影响评估档案，内容如下：

1、组织、企业信息

• 组织、企业名称：……
• 总部地址：……
• 交易地址：……
• 成立决定/企业登记证/经营登记证/投资证编号：……，由……于……年……月……日签发于……
• 电话：……；网站……
• 负责个人数据保护的人员：

姓名：……

职务：……

联系电话（固定和移动）：……

电子邮件：……

2、个人数据处理影响评估档案

1.……

2.……

3、承诺

（机关、组织、企业名称）承诺：对所报送个人数据处理影响评估档案及附随文件的准确性、合法性承担法律责任。

收件单位：

• 如上述；

……

组织、企业代表（签字，注明姓名，盖章）

表格样式第 05 号 档案内容变更通知

组织名称

越南社会主义共和国

独立、自由、幸福

编号：……，……年……月……日

档案内容变更通知……

致：公安部

（通过公安部网络安全与高科技犯罪预防打击局）

执行个人数据保护规定，……向公安部报送个人数据处理影响评估档案，内容如下：

1、组织、企业信息

• 组织、企业名称：……
• 总部地址：……
• 交易地址：……
• 成立决定/企业登记证/经营登记证/投资证编号：……，由……于……年……月……日签发于……
• 电话：……；网站……
• 负责个人数据保护的人员：

姓名：……

职务：……

联系电话（固定和移动）：……

电子邮件：……

2、简要描述档案内容变更

• 变更内容：……
• 变更理由：……

3、附随文件

1.……

2.……

4、承诺

（机关、组织、企业名称）承诺：对变更内容和附随文件的准确性、合法性承担法律责任。

收件单位：

• 如上述；

……

组织、企业代表（签字，注明姓名，盖章）

表格样式第 06 号 向国外转移个人数据影响评估档案

组织名称

越南社会主义共和国

独立、自由、幸福

编号：……，……年……月……日

向国外转移个人数据影响评估档案

致：公安部

（公安部网络安全与高科技犯罪预防打击局）

执行个人数据保护规定，……向公安部报送向国外转移个人数据影响评估档案，内容如下：

1、组织、企业信息

• 组织、企业名称：……
• 总部地址：……
• 交易地址：……
• 成立决定/企业登记证/经营登记证/投资证编号：……，由……于……年……月……日签发于……
• 电话：……；网站……
• 负责个人数据保护的人员：

姓名：……

职务：……

联系电话（固定和移动）：……

电子邮件：……

2、向国外转移个人数据影响评估档案

1.……

2.……

3、承诺

（机关、组织、企业名称）承诺：对所报送向国外转移个人数据影响评估档案及附随文件的准确性、合法性承担法律责任。

收件单位：

• 如上述；

……

组织、企业代表（签字，注明姓名，盖章）