Соответствие Закону о защите персональных данных Вьетнама

Система защиты персональных данных во Вьетнаме

Действующая во Вьетнаме система защиты персональных данных основана на Законе № 91/2025/QH15 о защите персональных данных, Декрете № 356/2025/ND-CP, детализирующем применение закона, а также на иных нормативных актах и отраслевых требованиях, когда они применимы.

• Закон № 91/2025/QH15 о защите персональных данных
• Декрет № 356/2025/ND-CP, детализирующий применение закона
• Иные нормативные акты и отраслевые требования, когда они применимы

Закон признаёт согласие важным правовым основанием обработки, однако согласие не является единственным возможным основанием для обработки персональных данных. Организациям следует определить применимое правовое основание и выполнить соответствующие требования закона до начала обработки данных.

Если согласие требуется или используется как основание, организациям следует обеспечить его надлежащее получение и возможность подтверждения. Декрет 356/2025/ND-CP предусматривает воспроизводимые формы согласия, включая письменные и электронные способы.

Что такое персональные данные по вьетнамскому закону?

Закон Вьетнама о защите персональных данных определяет персональные данные широко — как цифровые данные или информацию в иной форме, которые идентифицируют конкретное лицо или помогают его идентифицировать.

Закон различает базовые и чувствительные персональные данные, а детальная классификация каждой категории определяется постановлениями правительства.

Поэтому организациям следует вести реестр данных, в котором указан как вид обрабатываемых персональных данных, так и их принадлежность к особо защищаемой категории.

Базовые персональные данные

Базовые персональные данные охватывают обычные сведения о человеке и справочную информацию, используемые в сделках и социальных отношениях и входящие в категории, определённые правительством.

В зависимости от применимой классификации это могут быть, например, сведения, служащие для идентификации человека или для связи с ним.

Чувствительные персональные данные

Чувствительные персональные данные — это персональные данные, связанные с правом человека на неприкосновенность частной жизни, посягательство на которые может напрямую затронуть законные права и интересы соответствующих лиц.

Детальная классификация чувствительных персональных данных определяется постановлениями правительства.

Правовые основания обработки персональных данных

По действующему вьетнамскому закону согласие не является безусловным требованием для каждой операции обработки.

Закон определяет согласие как разрешение субъекта персональных данных на их обработку, если законом не установлено иное.

Соответственно организациям следует определить:

• какие персональные данные обрабатываются;
• для чего они обрабатываются;
• какое правовое основание допускает обработку;
• требуется ли согласие;
• какую информацию необходимо предоставить;
• какие меры защиты применяются; и
• требуется ли оценка воздействия или иная документация.

Это важное отличие от представления о вьетнамском регулировании как о требующем согласия для любой обработки.

Требования к согласию

Если применимым правовым основанием является согласие, компаниям следует проектировать механизмы согласия так, чтобы они были понятными, подтверждаемыми и надлежащим образом документированными.

В действующем регулировании:

• согласие — это разрешение на обработку, предоставленное субъектом данных;
• применимые требования закона определяют, когда согласие необходимо;
• организации должны быть способны подтвердить основание обработки;
• согласие, когда оно требуется, следует получать через подходящий и воспроизводимый механизм; и
• организациям следует хранить доказательства, подтверждающие операцию обработки.

Декрет 356/2025/ND-CP признаёт, в частности, письменное согласие, записанные звонки, SMS, электронную почту, веб-сайты, платформы, приложения и иные способы, допускающие воспроизведение или проверку.

Согласие не заменяет управление приватностью

Один баннер согласия сам по себе не обеспечивает полного соответствия требованиям.

Компаниям следует связать управление согласиями со следующими элементами:

• уведомления о приватности;
• реестры данных;
• журналы операций обработки;
• процессы реализации прав субъектов;
• политики хранения;
• меры безопасности;
• управление поставщиками;
• контроль передачи данных за границу; и
• документация оценок воздействия, когда она требуется.

Уведомления о приватности и прозрачность

Организациям следует предоставлять людям надлежащую информацию об обработке их персональных данных.

Практичное уведомление о приватности должно объяснять, когда это уместно:

• какие персональные данные собираются;
• цель обработки;
• как используются данные;
• применимое правовое основание;
• соответствующих получателей или категории получателей;
• вопросы срока хранения данных;
• международную или зарубежную передачу;
• права человека;
• как реализовать эти права;
• контактные данные для обращений по вопросам приватности; и
• иные сведения, требуемые применимым законом.

Для веб-сайтов и приложений прозрачность должна распространяться на файлы cookie, аналитику, рекламные технологии, технологии отслеживания и другие сетевые идентификаторы, когда они связаны с персональными данными.

Права субъектов персональных данных

Закон Вьетнама о защите персональных данных закрепляет права субъектов персональных данных и соответствующие обязанности организаций, обрабатывающих такие данные.

В зависимости от обстоятельств организациям следует быть готовыми обрабатывать обращения, касающиеся:

• доступа к персональным данным;
• исправления или обновления неточных данных;
• отзыва согласия, если обработка основана на нём;
• удаления, когда это юридически применимо;
• ограничения обработки, когда это применимо;
• возражения или иных прав, признанных законом; и
• иных прав, предусмотренных Законом о защите персональных данных и подзаконными актами.

Организациям следует наладить внутренний процесс приёма, проверки личности, отслеживания и ответа на обращения субъектов данных в установленные законом сроки.

Персональные данные детей

Обработка персональных данных детей требует дополнительных мер защиты в рамках вьетнамского регулирования персональных данных.

Компаниям, которые оказывают услуги детям или осознанно обрабатывают их персональные данные, следует оценить:

• требования, связанные с возрастом;
• требования к согласию;
• необходимое участие родителей или законного представителя;
• надлежащие уведомления о приватности;
• минимизацию данных;
• меры безопасности; и
• требования к сроку хранения и удалению.

Сервисы, ориентированные на детей, должны учитывать эти требования при проектировании продукта, а не рассматривать их как второстепенные.

Обработка чувствительных персональных данных

Чувствительные персональные данные получают усиленную защиту в рамках вьетнамского регулирования.

Компаниям, обрабатывающим чувствительные персональные данные, следует определить соответствующую категорию и оценить, применяются ли дополнительные обязанности в отношении:

• правового основания;
• прозрачности;
• безопасности;
• управления;
• оценок воздействия;
• контроля доступа;
• срока хранения;
• передачи данных; и
• работы с инцидентами.

Программа приватности должна вести понятный реестр, показывающий, где чувствительные персональные данные собираются, обрабатываются, хранятся или передаются.

Оценка воздействия обработки персональных данных

Действующее вьетнамское регулирование предусматривает требования об оценке воздействия для отдельных операций обработки.

Организациям следует оценить, требуется ли для их обработки досье оценки воздействия обработки персональных данных, и обеспечить ведение и представление необходимой документации в соответствии с применимыми правилами.

Действенная оценка должна учитывать:

• категории персональных данных;
• цели обработки;
• способы обработки;
• риски для субъектов данных;
• меры безопасности;
• срок хранения;
• договорённости о передаче данных;
• обработчиков и третьих лиц;
• обработку за границей; и
• меры по снижению выявленных рисков.

Передача данных за границу

Обработка с передачей данных за границу — важная область соответствия по действующему вьетнамскому закону.

Декрет 356/2025/ND-CP определяет операции передачи за границу широко, включая случаи перемещения или обработки персональных данных, собранных или хранящихся во Вьетнаме, с использованием зарубежной инфраструктуры, иностранных облачных сервисов или получателей за пределами страны.

Компаниям, которые используют:

• международных облачных провайдеров;
• глобальные CRM-системы;
• зарубежные аналитические платформы;
• международные рекламные платформы;
• иностранные SaaS-приложения;
• глобальные инструменты поддержки клиентов; или
• зарубежных поставщиков услуг обработки данных

следует оценить, образует ли их деятельность регулируемую обработку с передачей за границу.

В зависимости от обстоятельств организации может потребоваться подготовить или вести досье оценки воздействия передачи персональных данных за границу либо выполнить иной применимый предусмотренный законом механизм.

Требования к безопасности данных

Организациям, обрабатывающим персональные данные, следует внедрить надлежащие организационные, технические и кадровые меры защиты.

Меры безопасности могут включать:

• контроль доступа;
• аутентификацию;
• шифрование, когда это уместно;
• безопасность сетей и приложений;
• журналирование и мониторинг;
• управление уязвимостями;
• резервное копирование и восстановление;
• обучение сотрудников;
• требования безопасности к поставщикам;
• процедуры реагирования на инциденты; и
• минимизацию данных и контроль сроков хранения.

Уровень безопасности должен быть соразмерен характеру обрабатываемых данных и связанным с ними рискам.

Уведомление о нарушении безопасности персональных данных

Действующий Закон Вьетнама о защите персональных данных устанавливает требование об уведомлении в течение 72 часов для подпадающих нарушений в отношении персональных данных — с момента, когда организация обнаружила нарушение.

Требование применяется к нарушениям, которые при соблюдении предусмотренных законом условий могут причинить вред таким сферам, как национальная оборона или безопасность, общественный порядок и безопасность, жизнь или здоровье, честь и достоинство либо имущество.

Поэтому организациям следует поддерживать процесс реагирования на инциденты, способный:

• выявить возможное нарушение;
• оценить инцидент;
• определить, достигнут ли установленный законом порог;
• передать инцидент на нужный уровень внутри организации;
• подготовить необходимые уведомления;
• задокументировать реагирование; и
• принять меры по устранению последствий.

Процесс управления инцидентами приватности должен быть связан с более широкой программой реагирования на инциденты кибербезопасности в организации.

Операторы и обработчики

Компаниям следует четко определить свою роль при обработке персональных данных.

В зависимости от деятельности организация может выступать как:

• оператор персональных данных;
• обработчик персональных данных;
• сторона, выполняющая функции и оператора, и обработчика; либо
• иной регулируемый участник цепочки обработки.

Договоры с обработчиками и поставщиками должны четко определять:

• цели обработки;
• категории данных;
• обязанности по безопасности;
• конфиденциальность;
• привлечение субобработчиков;
• срок хранения данных;
• удаление или возврат данных;
• уведомление об инцидентах;
• поддержку при обращениях субъектов данных; и
• ответственность при обработке за границей.

Хранение и удаление данных

Вьетнамское регулирование требует хранить персональные данные в течение срока, соответствующего цели обработки, если иным законом не установлено иное.

Поэтому организациям следует вести документированные сроки хранения для:

• данных клиентов;
• данных работников;
• маркетинговых баз;
• данных учётных записей;
• записей о согласиях;
• данных cookie и отслеживания;
• обращений в поддержку;
• обращений субъектов данных;
• журналов безопасности; и
• персональных данных у поставщиков.

Хранение не должно продолжаться бессрочно лишь потому, что технически оно почти ничего не стоит.

Файлы cookie и онлайн-отслеживание

Компаниям, которые ведут веб-сайты во Вьетнаме, следует оценить свои файлы cookie и технологии отслеживания как часть программы соответствия в области персональных данных.

Сюда входят:

• аналитические cookie;
• рекламные cookie;
• технологии ретаргетинга;
• пиксели социальных сетей;
• отслеживание конверсий;
• сессионные технологии;
• идентификаторы устройств;
• SDK; и
• другие технологии, собирающие информацию, позволяющую идентифицировать людей или соотнести данные с ними.

Необходимость согласия зависит от применимого правового основания и обстоятельств. Организациям не следует исходить из того, что каждый файл cookie требует согласия, но столь же важно не начинать обработку персональных данных без надлежащего правового основания и мер защиты.

ConsentX помогает компаниям выстроить этот процесс на практике:

• сканировать сайты на наличие cookie и трекеров;
• категоризировать технологии отслеживания;
• блокировать выбранные технологии до получения применимого разрешения;
• фиксировать решения о согласии;
• управлять региональными сценариями согласия; и
• хранить проверяемые доказательства согласия.

Прямой маркетинг и реклама

Маркетинговая деятельность часто связана с персональными данными, поэтому её следует включать в программу соответствия организации в области приватности.

Компаниям следует оценить:

• источник маркетинговых данных;
• правовое основание обработки;
• требуется ли согласие;
• как фиксируются маркетинговые предпочтения;
• механизмы отказа и отзыва;
• сторонние рекламные платформы;
• передачу данных;
• профилирование;
• срок хранения; и
• международную передачу.

Если согласие требуется, маркетинговое согласие следует ясно отделять от не связанных с ним условий.

Автоматизированная обработка, профилирование и ИИ

Компаниям, использующим ИИ, автоматизированное принятие решений, профилирование или поведенческую аналитику, следует оценить, связаны ли эти операции с персональными данными и применяются ли дополнительные требования.

Оценка приватности должна учитывать:

• какие данные передаются в систему;
• цель обработки;
• задействованы ли чувствительные персональные данные;
• передаются ли данные зарубежному поставщику;
• существенно ли решения затрагивают людей;
• получают ли люди надлежащую информацию;
• меры безопасности и контроль доступа;
• срок хранения;
• обработку поставщиками; и
• участие человека, когда это уместно.

Организациям следует документировать сценарии использования ИИ и автоматизированной обработки в рамках более широкой системы управления персональными данными.

Малый бизнес и стартапы

Закон Вьетнама о защите персональных данных содержит переходные положения для отдельных малых предприятий и стартапов.

По закону имеющие на это право малые предприятия и стартапы могут сами решать, применять ли отдельные положения, в течение пяти лет со дня вступления закона в силу — с учётом установленных законом исключений. Освобождение, как правило, не действует, если компания оказывает услуги по обработке персональных данных, напрямую обрабатывает чувствительные персональные данные либо обрабатывает персональные данные большого числа субъектов.

Декрет 356/2025/ND-CP содержит дополнительные подробности о соответствующих порогах и освобождениях.

Поэтому компаниям следует проверять своё право на такое освобождение, а не считать, что все стартапы и малые предприятия автоматически освобождены от вьетнамских требований приватности.

Переход от Декрета 13/2023

Вьетнамское регулирование приватности существенно изменилось 1 января 2026 года.

Новый Закон о защите персональных данных прямо предусматривает переходный режим для отдельных операций обработки, которые уже велись на основании согласий или соглашений, полученных по Декрету 13/2023/ND-CP до вступления нового закона в силу. Отдельные ранее поданные досье оценки воздействия также могут действовать далее по переходным правилам.

При этом Декрет 356/2025/ND-CP устанавливает, что Декрет 13/2023/ND-CP прекращает действие с 1 января 2026 года.

Поэтому компаниям следует обновить свои программы соответствия, а не продолжать опираться исключительно на разъяснения, подготовленные для прежнего режима Декрета 13.

Чек-лист соответствия Закону Вьетнама о защите персональных данных

Используйте этот чек-лист для проверки программы приватности вашей организации во Вьетнаме:

• Определить, какие персональные данные собираются и обрабатываются
• Классифицировать базовые и чувствительные персональные данные
• Составить карту целей обработки
• Определить применимое правовое основание
• Проверить механизмы согласия там, где согласие требуется
• Хранить доказательства согласия
• Обновить уведомления о приватности
• Установить процедуры работы с обращениями субъектов данных
• Внедрить надлежащие меры безопасности
• Проверить сроки хранения данных
• Выявить обработчиков и третьих лиц
• Проверить международную и зарубежную передачу данных
• Оценить требования к оценке воздействия
• Установить процедуры реагирования на нарушения
• Подготовиться к применимым уведомлениям в течение 72 часов
• Проверить маркетинговые и рекламные технологии
• Просканировать файлы cookie и трекеры сайта
• Блокировать выбранные необязательные технологии до применимого разрешения
• Регулярно проверять и обновлять меры приватности

Почему вьетнамские требования важны для цифрового бизнеса

Для организаций, которые ведут веб-сайты, приложения и цифровые платформы во Вьетнаме, соответствие в области персональных данных всё чаще требует согласованной работы специалистов по приватности, безопасности, юристов, маркетинга и технических команд.

Поэтому современная программа соответствия должна объединять правовое основание, прозрачность, управление согласиями, управление данными, безопасность, реализацию прав, контроль передачи данных и проверяемые доказательства.

ConsentX может поддержать управление согласиями и уровень приватности веб-сайта, тогда как более широкие юридические и организационные меры, требуемые вьетнамским регулированием, остаются на стороне организации.

Закон о защите персональных данных действует в рамках правовой системы Вьетнама и также содержит положения, затрагивающие отдельные иностранные организации и физических лиц, участвующих в обработке охватываемых персональных данных.