根據法律第8條的規定，違反個人數據保護規定的組織或個人，根據行為的性質、程度和後果，可能會受到行政處罰或追究刑事責任。如果造成損害，違規者還必須依法賠償。
具體來說，非法買賣個人數據的行為將被處以最高10倍非法收入的罰款。如果無法確定收入，違規組織可能被罰款至30億越南盾，個人被罰款至15億越南盾。對於非法跨境傳輸個人數據的行為，罰款金額為組織前一年收入的5%。如果沒有收入，罰款金額也可能高達30億越南盾。政府將發佈關於如何計算收入以適用這一罰款的指導。
國會常務委員會解釋說，個人數據領域的違規行為可能造成嚴重後果，因此有必要實施高額罰款以確保威懾力，特別是對於跨國集團或年收入數千億越南盾的技術企業。
禁止買賣個人數據
法律還規定禁止以任何形式買賣個人數據。法律第7條嚴禁使用他人的個人數據進行非法行為；讓他人使用自己的個人數據；侵佔、故意洩露或丟失個人數據；處理數據以反對國家、侵犯國防、國家安全、社會秩序，或阻礙個人數據保護。
根據國會常務委員會的說法，徹底禁止買賣個人數據的行為是必要的，以防止網絡上廣泛出售個人信息，或組織員工利用數據進行欺詐、侵佔財產。個人數據與隱私權、人格權相關，不能視為商品進行交換買賣。國際經驗表明，大多數國家，如美國、泰國、新加坡或馬來西亞，不承認個人數據為財產，而只承認每個人對自己數據的控制權。
在越南，個人數據被收集和作為商品出售的情況普遍存在，而法律框架尚不完善。許多情況下，還沒有機制來控制使用同意、處理目的或充分保護用戶權利。因此，新法律明確規定個人數據不是財產，買賣是被禁止的行為。
社交媒體不得要求用戶提供身份證照片
法律第29條規定了對社交媒體平臺、在線通信服務的個人數據保護原則。平臺不得非法收集個人數據，不得超出與客戶協議的範圍；不得要求提供包含全部或部分身份證內容的圖片、視頻作為賬戶驗證要素；未經用戶同意，不得竊聽、錄音或閱讀文本消息。
同時，平臺必須公開隱私政策，在收集和使用數據方面保持透明，提供機制讓用戶訪問、修改、刪除信息和設置隱私權。在將越南公民的個人數據傳輸到國外的情況下，平臺必須採取適當的保護措施。
銀行不得收集信用信息進行評分
法律還規定了在金融、銀行和信用信息領域的個人數據保護原則。
根據規定，從事金融、銀行業、信用信息活動的組織或個人，未經同意，不得使用個人數據主體的信用信息進行評分、信用評級、信用信息評估、評估個人數據主體的信用可信度。
信用機構只能從符合規定的來源收集服務於信用信息活動所需的個人數據，並在銀行、金融、信用賬戶信息洩露或丟失的情況下通知個人數據主體。
從事信用信息活動的組織和個人應採取預防措施，防止非法訪問、使用、披露、修改客戶的個人數據；在數據丟失的情況下有恢復客戶個人數據的解決方案；在收集、提供、處理客戶個人數據的過程中保持保密。
個人數據保護法自2026年1月1日起生效。
越南中文社
