根据法律第8条的规定，违反个人数据保护规定的组织或个人，根据行为的性质、程度和后果，可能会受到行政处罚或追究刑事责任。如果造成损害，违规者还必须依法赔偿。
具体来说，非法买卖个人数据的行为将被处以最高10倍非法收入的罚款。如果无法确定收入，违规组织可能被罚款至30亿越南盾，个人被罚款至15亿越南盾。对于非法跨境传输个人数据的行为，罚款金额为组织前一年收入的5%。如果没有收入，罚款金额也可能高达30亿越南盾。政府将发布关于如何计算收入以适用这一罚款的指导。
国会常务委员会解释说，个人数据领域的违规行为可能造成严重后果，因此有必要实施高额罚款以确保威慑力，特别是对于跨国集团或年收入数千亿越南盾的技术企业。
禁止买卖个人数据
法律还规定禁止以任何形式买卖个人数据。法律第7条严禁使用他人的个人数据进行非法行为；让他人使用自己的个人数据；侵占、故意泄露或丢失个人数据；处理数据以反对国家、侵犯国防、国家安全、社会秩序，或阻碍个人数据保护。
根据国会常务委员会的说法，彻底禁止买卖个人数据的行为是必要的，以防止网络上广泛出售个人信息，或组织员工利用数据进行欺诈、侵占财产。个人数据与隐私权、人格权相关，不能视为商品进行交换买卖。国际经验表明，大多数国家，如美国、泰国、新加坡或马来西亚，不承认个人数据为财产，而只承认每个人对自己数据的控制权。
在越南，个人数据被收集和作为商品出售的情况普遍存在，而法律框架尚不完善。许多情况下，还没有机制来控制使用同意、处理目的或充分保护用户权利。因此，新法律明确规定个人数据不是财产，买卖是被禁止的行为。
社交媒体不得要求用户提供身份证照片
法律第29条规定了对社交媒体平台、在线通信服务的个人数据保护原则。平台不得非法收集个人数据，不得超出与客户协议的范围；不得要求提供包含全部或部分身份证内容的图片、视频作为账户验证要素；未经用户同意，不得窃听、录音或阅读文本消息。
同时，平台必须公开隐私政策，在收集和使用数据方面保持透明，提供机制让用户访问、修改、删除信息和设置隐私权。在将越南公民的个人数据传输到国外的情况下，平台必须采取适当的保护措施。
银行不得收集信用信息进行评分
法律还规定了在金融、银行和信用信息领域的个人数据保护原则。
根据规定，从事金融、银行业、信用信息活动的组织或个人，未经同意，不得使用个人数据主体的信用信息进行评分、信用评级、信用信息评估、评估个人数据主体的信用可信度。
信用机构只能从符合规定的来源收集服务于信用信息活动所需的个人数据，并在银行、金融、信用账户信息泄露或丢失的情况下通知个人数据主体。
从事信用信息活动的组织和个人应采取预防措施，防止非法访问、使用、披露、修改客户的个人数据；在数据丢失的情况下有恢复客户个人数据的解决方案；在收集、提供、处理客户个人数据的过程中保持保密。
个人数据保护法自2026年1月1日起生效。
（编译：Jon 越南中文社；审校：Suki；来源：VNExpress）
