越南《个人数据保护法》草案(“草案PDPL”)的第一稿于2024年9月24日发布,公开征求意见至2024年11月24日(详情见此处)。预计该草案将在2024年底前提交国会,并将在2025年5月提交通过,计划于2026年1月1日生效。由于草案PDPL包含了大部分《2023年第13号法令/ND-CP》(“PDPD”)的条款,而PDPD自2023年7月1日生效以来一直是个人数据保护的主要法律工具,因此草案PDPL生效后可能会取代PDPD。
请注意,在公众咨询期结束后,草案可能会有进一步的修改。草案PDPL对多项服务提出了新的具体要求。当前版本的一些亮点包括:
《个人数据保护法》(草案)还认可了以下新型服务:(i) 个人数据保护信任评级机构,(ii) 个人数据保护组织和专家(尤其是“数据保护官服务”即DPO-as-a-service),这明确表明外包数据保护部门和数据保护官(DPO)是被接受的。
个人数据保护信任评级机构
个人数据保护信任评级机构评估组织全面遵守个人数据保护法规的能力。该评估将分析风险因素及其对履行个人数据保护义务能力的影响,重点涵盖市场和商业环境风险、技术风险、治理风险、人员风险及财务风险。评估结果将分为四个等级——“高度信任”、“信任”、“通过”和“未通过”,并将结果报告给“信任评级委员会”(该术语在《个人数据保护法》(草案)中尚未定义)。
组织必须满足某些资格要求才能获得提供信任评级服务的证书,这些要求包括但不限于以下方面:
根据《个人数据保护法》(草案),所有处理敏感个人数据的组织必须获得信任评级。鉴于敏感个人数据的广泛定义,其中包括在雇佣关系中必须处理的个人数据(例如用于工资支付的个人数据),这一要求实际上将适用于所有组织。
个人数据保护专家和组织
个人数据保护专家(“PDP专家”)被定义为具备技术和/或法律能力的人员,由特定的处理实体任命,担任个人数据保护专员(即数据保护官)。PDP专家必须从认证机构获得资格证书,认证机构的职责是确保PDP专家具备足够的能力胜任其角色。公安部(MPS)将依赖经许可的认证机构向合格的PDP专家颁发资格证书,合格的PDP专家至少应持有相关领域的大学学位,并完成数据保护认证课程。
个人数据保护组织(“PDPO”)是指可以由特定数据处理实体(包括数据控制者、数据控制处理者、第三方、数据转让者和数据接收者,但不包括数据处理者)指定为其个人数据保护部门的实体。PDPO为其指定的实体提供个人数据保护服务,以满足其数据保护需求。公安部(MPS)将负责向PDPO颁发许可证,前提是PDPO必须至少雇佣一名具备技术和/或法律能力的PDP专家;从事与技术和/或法律相关的职能、任务、业务领域或行业;并获得“通过”或以上的信任评级。
《个人数据保护法》(草案)对从事数据处理服务的企业提出了新的要求,该业务现在被定义为一种有条件的业务类型(包括任何为数据控制者处理数据的数据处理者)。这些要求尤其包括:至少拥有一名技术和法律专家(或分别拥有一名技术专家和一名法律专家);注册与技术或法律服务相关的业务,或与个人数据保护相关的技术或法律咨询业务;并获得“通过”或以上的信任评级等级。
展望
总而言之,《个人数据保护法》(草案)认可了新的数据保护服务,似乎旨在通过PDP专家和PDPO的认证机制及信任评级机构建立信任,并为各行业制定具体的个人数据保护规定。鉴于越南在个人数据保护方面的意识仍然较低,这些新服务及行业特定的规定可能有助于公安部(MPS)在能力建设方面的努力。
注意:本文为英文文章的中文翻译。原文请参见以下链接。
www.tilleke.com/insights/vietnams-draft-personal-data-protection-law-an-in-depth-look/