الامتثال لقانون حماية البيانات الشخصية الفيتنامي

إطار حماية البيانات الشخصية في فيتنام

يستند الإطار الحالي لحماية البيانات الشخصية في فيتنام إلى القانون رقم 91/2025/QH15 بشأن حماية البيانات الشخصية، وإلى المرسوم رقم 356/2025/ND-CP الذي يفصّل تنفيذ القانون، وإلى لوائح أخرى ومتطلبات قطاعية عند انطباقها.

• القانون رقم 91/2025/QH15 بشأن حماية البيانات الشخصية
• المرسوم رقم 356/2025/ND-CP الذي يفصّل تنفيذ القانون
• لوائح أخرى ومتطلبات قطاعية عند انطباقها

يعترف القانون بالموافقة كأساس قانوني مهم للمعالجة، لكنها ليست الأساس الوحيد الممكن لمعالجة البيانات الشخصية. وينبغي للمنظمات تحديد الأساس القانوني المنطبق والوفاء بالمتطلبات القانونية المقابلة قبل معالجة البيانات.

وعندما تكون الموافقة مطلوبة أو يُستند إليها، ينبغي للمنظمات ضمان الحصول عليها بشكل سليم وإمكانية إثباتها. ويجيز المرسوم 356/2025/ND-CP صورًا للموافقة قابلة لإعادة الإظهار، منها الوسائل الكتابية والإلكترونية.

ما هي البيانات الشخصية في القانون الفيتنامي؟

يعرّف قانون حماية البيانات الشخصية الفيتنامي البيانات الشخصية تعريفًا واسعًا بأنها بيانات رقمية أو معلومات في صورة أخرى تحدد هوية شخص معيّن أو تساعد في تحديدها.

ويميّز الإطار بين البيانات الشخصية الأساسية والبيانات الشخصية الحسّاسة، ويحدد التصنيف التفصيلي لكل منهما بلوائح حكومية.

ولذلك ينبغي للمنظمات الاحتفاظ بسجل بيانات يحدد نوع البيانات الشخصية المعالجة وما إذا كانت تدخل في فئة تتمتع بحماية خاصة.

البيانات الشخصية الأساسية

تشمل البيانات الشخصية الأساسية المعلومات الشخصية المعتادة والبيانات التعريفية المستخدمة في التعاملات والعلاقات الاجتماعية، والمدرجة في الفئات التي تحددها الحكومة.

وقد تتضمن، بحسب التصنيف المنطبق، معلومات تُستخدم لتحديد هوية الشخص أو للتواصل معه.

البيانات الشخصية الحسّاسة

البيانات الشخصية الحسّاسة هي بيانات شخصية ترتبط بحق الشخص في الخصوصية، وقد يؤثر التعدي عليها تأثيرًا مباشرًا في الحقوق والمصالح المشروعة للأطراف المعنية.

ويحدد التصنيف التفصيلي للبيانات الشخصية الحسّاسة بلوائح حكومية.

الأسس القانونية لمعالجة البيانات الشخصية

في القانون الفيتنامي الحالي، ليست الموافقة شرطًا عامًا لكل نشاط معالجة.

ويعرّف القانون الموافقة بأنها إذن من صاحب البيانات الشخصية بمعالجة بياناته، ما لم ينص القانون على خلاف ذلك.

وعليه ينبغي للمنظمات تحديد ما يلي:

• أي بيانات شخصية تُعالج؛
• لماذا تُعالج هذه البيانات؛
• أي أساس قانوني يجيز المعالجة؛
• هل الموافقة مطلوبة؛
• ما الإشعار الذي يجب تقديمه؛
• ما الضمانات المنطبقة؛ و
• هل يلزم تقييم أثر أو مستندات أخرى.

وهذا تغيير مهم عن وصف الإطار الفيتنامي بأنه يشترط الموافقة لكل معالجة ببساطة.

متطلبات الموافقة

عندما تكون الموافقة هي الأساس القانوني المنطبق، ينبغي للشركات تصميم آليات الموافقة لديها بحيث تكون واضحة وقابلة للإثبات وموثّقة على نحو ملائم.

وفي الإطار الحالي:

• الموافقة إذن يمنحه صاحب البيانات للمعالجة؛
• المتطلبات القانونية المنطبقة تحدد متى تكون الموافقة مطلوبة؛
• ينبغي للمنظمات أن تكون قادرة على إثبات أساس المعالجة؛
• ينبغي الحصول على الموافقة، حيث تكون مطلوبة، بآلية ملائمة قابلة لإعادة الإظهار؛ و
• ينبغي للمنظمات الاحتفاظ بأدلة تدعم نشاط المعالجة.

ويعترف المرسوم 356/2025/ND-CP بوسائل منها الموافقة الكتابية، والمكالمات المسجّلة، والرسائل النصية، والبريد الإلكتروني، والمواقع الإلكترونية، والمنصات، والتطبيقات، وغيرها من الوسائل القابلة لإعادة الإظهار أو التحقق.

الموافقة ليست بديلًا عن حكامة الخصوصية

لا تكفي لافتة الموافقة وحدها لتحقيق امتثال كامل.

وينبغي للشركات ربط إدارة الموافقة بما يلي:

• إشعارات الخصوصية؛
• سجلات البيانات؛
• سجلات المعالجة؛
• مسارات التعامل مع حقوق أصحاب البيانات؛
• سياسات الاحتفاظ؛
• ضوابط الأمان؛
• إدارة المورّدين؛
• ضوابط النقل عبر الحدود؛ و
• مستندات تقييم الأثر عند انطباقها.

إشعارات الخصوصية والشفافية

ينبغي للمنظمات تقديم معلومات ملائمة للأفراد عن معالجة بياناتهم الشخصية.

وينبغي أن يوضح إشعار الخصوصية العملي، حيث كان ذلك ذا صلة:

• أي بيانات شخصية تُجمع؛
• غرض المعالجة؛
• كيف تُستخدم البيانات؛
• الأساس القانوني المنطبق؛
• الجهات المستقبِلة المعنية أو فئاتها؛
• الاعتبارات المتعلقة بمدة الاحتفاظ؛
• النقل الدولي أو العابر للحدود؛
• حقوق الأفراد؛
• كيف يمارس الأفراد حقوقهم؛
• بيانات التواصل بشأن طلبات الخصوصية؛ و
• أي معلومات أخرى يقتضيها القانون المنطبق.

وفي المواقع الإلكترونية والتطبيقات، ينبغي أن تمتد الشفافية إلى ملفات تعريف الارتباط وأدوات التحليل وتقنيات الإعلان وتقنيات التتبع وغيرها من المعرّفات الإلكترونية حيث تتعلق ببيانات شخصية.

حقوق أصحاب البيانات

يقرّ قانون حماية البيانات الشخصية الفيتنامي حقوقًا لأصحاب البيانات الشخصية ويرتب مسؤوليات مقابلة على المنظمات التي تعالج تلك البيانات.

وبحسب الحالة، ينبغي للمنظمات أن تكون مستعدة للتعامل مع الطلبات المتعلقة بما يلي:

• الوصول إلى البيانات الشخصية؛
• تصحيح البيانات غير الدقيقة أو تحديثها؛
• سحب الموافقة حيث تستند المعالجة إليها؛
• الحذف حيث ينطبق قانونًا؛
• تقييد المعالجة حيث ينطبق؛
• الاعتراض أو غيره من الحقوق التي يقرّها القانون؛ و
• الحقوق الأخرى المنصوص عليها في قانون حماية البيانات الشخصية ولوائحه التنفيذية.

وينبغي للمنظمات إنشاء مسار داخلي لاستلام طلبات أصحاب البيانات والتحقق من هويتهم ومتابعة الطلبات والرد عليها في المدد القانونية المنطبقة.

البيانات الشخصية للأطفال

تقتضي معالجة البيانات الشخصية المتعلقة بالأطفال ضمانات إضافية في إطار حماية البيانات الشخصية في فيتنام.

وينبغي للشركات التي تقدّم خدمات للأطفال أو تعالج بياناتهم الشخصية وهي على علم بذلك أن تقيّم ما يلي:

• المتطلبات المرتبطة بالعمر؛
• متطلبات الموافقة؛
• مشاركة الوالدين أو الممثل القانوني حيث تكون مطلوبة؛
• إشعارات خصوصية ملائمة؛
• تقليل البيانات إلى الحد الأدنى؛
• ضمانات الأمان؛ و
• متطلبات الاحتفاظ والحذف.

وينبغي للخدمات الموجّهة للأطفال أن تدرج هذه المتطلبات في تصميم المنتج بدلًا من معالجتها لاحقًا.

معالجة البيانات الشخصية الحسّاسة

تتمتع البيانات الشخصية الحسّاسة بحماية معزّزة في الإطار الفيتنامي.

وينبغي للشركات التي تعالج بيانات شخصية حسّاسة تحديد الفئة المعنية وتقييم ما إذا كانت هناك التزامات إضافية تتعلق بما يلي:

• الأساس القانوني؛
• الشفافية؛
• الأمان؛
• الحكامة؛
• تقييمات الأثر؛
• ضوابط الوصول؛
• مدة الاحتفاظ؛
• نقل البيانات؛ و
• إدارة الحوادث.

وينبغي لبرنامج الخصوصية الاحتفاظ بسجل واضح يوضح أماكن جمع البيانات الشخصية الحسّاسة ومعالجتها وتخزينها أو نقلها.

تقييمات أثر معالجة البيانات الشخصية

يتضمن الإطار الفيتنامي الحالي متطلبات تقييم الأثر لأنشطة معالجة محددة.

وينبغي للمنظمات تقييم ما إذا كانت معالجتها تقتضي ملف تقييم أثر لمعالجة البيانات الشخصية، وضمان الاحتفاظ بالمستندات المطلوبة وتقديمها وفقًا للقواعد المنطبقة.

وينبغي أن يراعي التقييم الفعّال ما يلي:

• فئات البيانات الشخصية؛
• أغراض المعالجة؛
• أساليب المعالجة؛
• المخاطر على أصحاب البيانات؛
• ضمانات الأمان؛
• مدة الاحتفاظ؛
• ترتيبات تبادل البيانات؛
• المعالِجين والأطراف الثالثة؛
• المعالجة العابرة للحدود؛ و
• التدابير المستخدمة للحد من المخاطر المحددة.

نقل البيانات عبر الحدود

تُعد المعالجة العابرة للحدود مجال امتثال مهمًا في القانون الفيتنامي الحالي.

ويعرّف المرسوم 356/2025/ND-CP أنشطة النقل عبر الحدود تعريفًا واسعًا، بما يشمل حالات نقل أو معالجة بيانات شخصية جُمعت أو خُزّنت في فيتنام عبر بنية تحتية خارجية أو خدمات سحابية أجنبية أو جهات مستقبِلة في الخارج.

والشركات التي تستخدم:

• مزوّدي خدمات سحابية دوليين؛
• أنظمة إدارة علاقات عملاء عالمية؛
• منصات تحليل في الخارج؛
• منصات إعلانية دولية؛
• تطبيقات SaaS أجنبية؛
• أدوات دعم عملاء عالمية؛ أو
• مورّدي معالجة بيانات في الخارج

ينبغي لها تقييم ما إذا كانت أنشطتها تشكّل معالجة عابرة للحدود خاضعة للتنظيم.

وبحسب الحالة، قد تحتاج المنظمة إلى إعداد أو حفظ ملف تقييم أثر لنقل البيانات الشخصية عبر الحدود، أو الالتزام بآلية قانونية أخرى منطبقة.

متطلبات أمن البيانات

ينبغي للمنظمات التي تعالج بيانات شخصية تطبيق ضمانات تنظيمية وتقنية وبشرية ملائمة.

وقد تشمل تدابير الأمان ما يلي:

• ضوابط الوصول؛
• التحقق من الهوية؛
• التشفير حيث كان ملائمًا؛
• أمن الشبكات والتطبيقات؛
• تسجيل الأحداث والمراقبة؛
• إدارة الثغرات؛
• النسخ الاحتياطي والاستعادة؛
• تدريب العاملين؛
• ضوابط أمان المورّدين؛
• إجراءات الاستجابة للحوادث؛ و
• تقليل البيانات وضبط مدد الاحتفاظ.

وينبغي أن يكون مستوى الأمان متناسبًا مع طبيعة البيانات المعالجة والمخاطر المرتبطة بها.

الإبلاغ عن انتهاكات البيانات الشخصية

يفرض قانون حماية البيانات الشخصية الفيتنامي الحالي الإبلاغ خلال 72 ساعة عن الانتهاكات المشمولة المتعلقة بالبيانات الشخصية، بعد اكتشاف المنظمة المعنية للانتهاك.

ويسري هذا الالتزام على الانتهاكات التي قد تضر، وفق الشروط القانونية، بأمور مثل الدفاع أو الأمن الوطني، والنظام والأمن الاجتماعي، والحياة أو الصحة، والشرف والكرامة، أو الممتلكات.

ولذلك ينبغي للمنظمات الحفاظ على عملية للاستجابة للحوادث قادرة على:

• اكتشاف انتهاك محتمل؛
• تقييم الحادث؛
• تحديد ما إذا كان الحد القانوني قد تحقق؛
• تصعيد الحادث داخليًا؛
• إعداد الإبلاغات المطلوبة؛
• توثيق الاستجابة؛ و
• اتخاذ تدابير المعالجة.

وينبغي ربط عملية إدارة حوادث الخصوصية ببرنامج المؤسسة الأوسع للاستجابة لحوادث الأمن السيبراني.

المتحكمون والمعالِجون

ينبغي للشركات تحديد أدوارها بوضوح عند معالجة البيانات الشخصية.

وبحسب النشاط، قد تعمل المنظمة بصفة:

• متحكّم في البيانات الشخصية؛
• معالِج للبيانات الشخصية؛
• طرف يقوم بوظيفتي التحكم والمعالجة معًا؛ أو
• مشارك آخر خاضع للتنظيم في سلسلة المعالجة.

وينبغي للعقود المبرمة مع المعالِجين والمورّدين أن تحدد بوضوح ما يلي:

• أغراض المعالجة؛
• فئات البيانات؛
• التزامات الأمان؛
• السرية؛
• المعالجة من الباطن؛
• مدة الاحتفاظ بالبيانات؛
• حذف البيانات أو إعادتها؛
• الإبلاغ عن الحوادث؛
• دعم طلبات أصحاب البيانات؛ و
• المسؤوليات في المعالجة العابرة للحدود.

الاحتفاظ بالبيانات وحذفها

يقتضي الإطار الفيتنامي تخزين البيانات الشخصية لمدة ملائمة تتوافق مع غرض المعالجة، ما لم ينص قانون آخر على خلاف ذلك.

ولذلك ينبغي للمنظمات الاحتفاظ بجداول موثّقة لمدد الاحتفاظ تغطي:

• معلومات العملاء؛
• بيانات العاملين؛
• قواعد بيانات التسويق؛
• معلومات الحسابات؛
• سجلات الموافقة؛
• بيانات ملفات تعريف الارتباط والتتبع؛
• سجلات الدعم؛
• طلبات أصحاب البيانات؛
• سجلات الأمان؛ و
• البيانات الشخصية الموجودة عند المورّدين.

ولا ينبغي أن يستمر الاحتفاظ إلى ما لا نهاية لمجرد أن تخزين البيانات منخفض التكلفة تقنيًا.

ملفات تعريف الارتباط والتتبع الإلكتروني

ينبغي للشركات التي تدير مواقع إلكترونية في فيتنام تقييم ملفات تعريف الارتباط وتقنيات التتبع لديها كجزء من برنامج امتثالها المتعلق بالبيانات الشخصية.

ويشمل ذلك:

• ملفات تعريف الارتباط الخاصة بالتحليل؛
• ملفات تعريف الارتباط الإعلانية؛
• تقنيات إعادة الاستهداف؛
• بكسلات وسائل التواصل الاجتماعي؛
• تتبع التحويلات؛
• تقنيات الجلسات؛
• معرّفات الأجهزة؛
• حِزم تطوير البرمجيات (SDK)؛ و
• غيرها من التقنيات التي تجمع معلومات يمكن أن تحدد هوية الأفراد أو تتصل بهم.

وتتوقف الحاجة إلى الموافقة على الأساس القانوني المنطبق وعلى الظروف. وينبغي للمنظمات ألا تفترض أن كل ملف تعريف ارتباط يقتضي موافقة، وأن تتجنب في الوقت نفسه بدء معالجة بيانات شخصية دون إرساء الأساس القانوني والضمانات الملائمة.

ويمكن أن تساعد ConsentX الشركات على تنفيذ هذه العملية عمليًا من خلال:

• فحص المواقع الإلكترونية للكشف عن ملفات تعريف الارتباط وأدوات التتبع؛
• تصنيف تقنيات التتبع؛
• حجب التقنيات المحددة إلى أن يتم الحصول على الإذن المنطبق؛
• تسجيل خيارات الموافقة؛
• إدارة تجارب موافقة خاصة بكل منطقة؛ و
• الاحتفاظ بأدلة موافقة قابلة للتدقيق.

التسويق المباشر والإعلان

كثيرًا ما تتضمن الأنشطة التسويقية بيانات شخصية، ولذلك ينبغي إدراجها في برنامج المؤسسة للامتثال في مجال الخصوصية.

وينبغي للشركات تقييم ما يلي:

• مصدر بيانات التسويق؛
• الأساس القانوني للمعالجة؛
• هل الموافقة مطلوبة؛
• كيف تُسجَّل التفضيلات التسويقية؛
• آليات إلغاء الاشتراك والسحب؛
• منصات الإعلان التابعة لأطراف ثالثة؛
• تبادل البيانات؛
• التنميط؛
• مدة الاحتفاظ؛ و
• النقل الدولي.

وحيث تكون الموافقة مطلوبة، ينبغي فصل الموافقة التسويقية بوضوح عن الشروط غير المرتبطة بها.

المعالجة الآلية والتنميط والذكاء الاصطناعي

ينبغي للشركات التي تستخدم الذكاء الاصطناعي أو القرارات الآلية أو التنميط أو تحليلات السلوك أن تقيّم ما إذا كانت هذه الأنشطة تتضمن بيانات شخصية وما إذا كانت هناك متطلبات إضافية منطبقة.

وينبغي أن يراعي تقييم الخصوصية ما يلي:

• أي بيانات تُدخل إلى النظام؛
• غرض المعالجة؛
• هل تتعلق المعالجة ببيانات شخصية حسّاسة؛
• هل تُنقل البيانات إلى مزوّد في الخارج؛
• هل تؤثر القرارات تأثيرًا جوهريًا في الأفراد؛
• هل يحصل الأفراد على معلومات ملائمة؛
• ضوابط الأمان والوصول؛
• مدة الاحتفاظ؛
• المعالجة من جانب المورّدين؛ و
• الإشراف البشري حيث كان ملائمًا.

وينبغي للمنظمات توثيق حالات استخدام الذكاء الاصطناعي والمعالجة الآلية كجزء من حكامتها الأوسع للبيانات الشخصية.

الشركات الصغيرة والشركات الناشئة

يتضمن قانون حماية البيانات الشخصية الفيتنامي أحكامًا انتقالية للامتثال تخص بعض الشركات الصغيرة والشركات الناشئة.

وبموجب القانون، يمكن للشركات الصغيرة والناشئة المستوفية للشروط أن تختار ما إذا كانت ستطبّق أحكامًا معيّنة خلال مدة خمس سنوات من تاريخ نفاذ القانون، مع مراعاة الاستثناءات القانونية. ولا يسري هذا الإعفاء عمومًا إذا كانت الشركة تقدّم خدمات معالجة بيانات شخصية، أو تعالج بيانات شخصية حسّاسة بشكل مباشر، أو تعالج بيانات شخصية لعدد كبير من أصحاب البيانات.

ويقدّم المرسوم 356/2025/ND-CP تفاصيل إضافية عن الحدود والإعفاءات ذات الصلة.

ولذلك ينبغي للشركات التحقق من استيفائها للشروط بدلًا من افتراض أن كل الشركات الناشئة أو الصغيرة معفاة تلقائيًا من متطلبات الخصوصية في فيتنام.

الانتقال من المرسوم 13/2023

تغيّر إطار الخصوصية في فيتنام تغيّرًا كبيرًا في 1 يناير 2026.

وينص قانون حماية البيانات الشخصية الجديد صراحةً على معاملة انتقالية لبعض أنشطة المعالجة التي كانت تُجرى بموافقات أو اتفاقات بموجب المرسوم 13/2023/ND-CP قبل نفاذ القانون الجديد. كما يمكن أن تستمر بعض ملفات تقييم الأثر المقدَّمة سابقًا بموجب القواعد الانتقالية.

وفي الوقت نفسه ينص المرسوم 356/2025/ND-CP على أن المرسوم 13/2023/ND-CP يتوقف عن النفاذ من 1 يناير 2026.

ولذلك ينبغي للشركات تحديث برامج الامتثال لديها بدلًا من الاستمرار في الاعتماد حصرًا على إرشادات وُضعت لنظام المرسوم 13 السابق.

قائمة تحقق للامتثال لقانون حماية البيانات الشخصية الفيتنامي

استخدم قائمة التحقق هذه لمراجعة برنامج الخصوصية لدى مؤسستك في فيتنام:

• تحديد البيانات الشخصية التي تُجمع وتُعالج
• تصنيف البيانات الشخصية الأساسية والحسّاسة
• حصر أغراض المعالجة
• تحديد الأساس القانوني المنطبق
• مراجعة آليات الموافقة حيث تكون مطلوبة
• الاحتفاظ بأدلة الموافقة
• تحديث إشعارات الخصوصية
• إرساء إجراءات للتعامل مع طلبات أصحاب البيانات
• تطبيق ضمانات أمان ملائمة
• مراجعة مدد الاحتفاظ بالبيانات
• حصر المعالِجين والأطراف الثالثة
• مراجعة النقل الدولي والعابر للحدود
• تقييم متطلبات تقييم الأثر
• إرساء إجراءات للاستجابة للانتهاكات
• الاستعداد للإبلاغات المنطبقة خلال 72 ساعة
• مراجعة تقنيات التسويق والإعلان
• فحص ملفات تعريف الارتباط وأدوات تتبع الموقع
• حجب التقنيات غير الضرورية المحددة إلى أن يتم الحصول على الإذن المنطبق
• مراجعة ضوابط الخصوصية وتحديثها بصورة منتظمة

لماذا يهم الامتثال في فيتنام الأعمال الرقمية

بالنسبة إلى المنظمات التي تدير مواقع إلكترونية وتطبيقات ومنصات رقمية في فيتنام، يقتضي الامتثال في مجال البيانات الشخصية تنسيقًا متزايدًا بين فرق الخصوصية والأمن والشؤون القانونية والتسويق والتقنية.

ولذلك ينبغي لبرنامج امتثال حديث أن يجمع بين الأساس القانوني والشفافية وإدارة الموافقة وحكامة البيانات والأمن وإدارة الحقوق وضوابط النقل وأدلة التدقيق.

ويمكن أن تدعم ConsentX إدارة الموافقة وطبقة الخصوصية في الموقع الإلكتروني، في حين تحافظ المؤسسات على الضوابط القانونية والتنظيمية الأوسع التي يقتضيها الإطار الفيتنامي.

ويسري قانون حماية البيانات الشخصية داخل الإطار القانوني الفيتنامي، ويتضمن كذلك أحكامًا تؤثر في بعض المنظمات والأفراد الأجانب المشاركين في معالجة البيانات الشخصية المشمولة.