核心摘要：除非出现意外或行政延误，CAS 法令将从 2024 年 6 月 1 日起生效。遵守数据隐私法规不仅对于持续的业务运营和风险缓解至关重要，而且也是对用户隐私权的尊重。为了确保准备就绪，企业应考虑以下基本行动： · 审查现有的数据处理实践 - 制定组织如何在内部和外部收集、处理、存储和共享个人数据（数据映射）； - 确定数据处理和不合规方面的关注领域和潜在漏洞。 · 制定或更新政策和程序 - 创建或审查和更新组织的数据隐私政策和处理个人数据的程序； - 实施稳健的程序来获取和管理用户同意、数据泄露通知以及响应数据主体请求； - 确保组织内不同部门和部门之间保持一致，遵守内部政策和程序以及个人数据保护法规。 · 监管备案根据组织的数据处理实践，定期准备并向 MPS 下的网络安全和高科技犯罪预防警察局 (A05) 提交 DPIA 报告。 DPIA 不是一次性的活动，而是在整个组织运营过程中持续进行的过程。因此，任何数据处理或跨境传输活动，包括数据处理的变更（例如，处理新类型的数据和/或为了新的处理目的）都会触发单独的 DPIA 报告以提交给 A05。
本月早些时候，政府公布了《网络安全行政处罚令》（“CAS令”）草案的评估档案，该法令将对包括个人数据泄露在内的网络空间违法行为实施行政处罚。
除非出现意外或行政延误，CAS 法令将于 2024 年 6 月 1 日起生效。
此法律警报提供了 CAS 法令的主要亮点，特别是在个人数据泄露方面，并在该法令发布之前为组织提供了一些实用建议。
1. 越南最高可处以总收入 5% 的罚款。越南公安部 (MPS) 借鉴欧盟委员会的制裁手册，对特定个人数据保护违规行为实施了看似最高的经济制裁，即：
- 非法收集、转移和交易个人数据（第 23 条）；
- 数据保护影响评估 (DPIA) 违规行为（第 25 条）；和
- 跨境数据传输违规（第 26 条）。
2. 与数据主体同意具体相关的违规行为。 CAS 法令草案不仅对未经数据主体同意或未经数据主体同意处理个人数据等典型违规行为进行处罚（第 15.1(a)(b) 条），而且还对利用用户选择的欺骗性同意行为进行处罚。这包括未能获得明确和明确的同意、不告知用户其获得部分或有条件同意的权利以及在处理敏感数据时忽略披露（第 15.1(dd)(e)(g) 条）。
这些违规行为尤其值得注意，因为它们针对的是破坏知情同意的操纵性设计模式。例如，预先勾选的同意框和一揽子“全有或全无”的隐私政策往往无法告知用户他们提供部分或有条件同意的权利。因此，用户可能被迫同意出于所有目的处理其所有数据，即使他们可以选择选择性同意。通过惩罚这些做法，该法令草案旨在提高透明度和用户对个人数据的控制。
3. 遏制虚假信息。 CAS 法令草案还对各种信息安全违规行为进行了处罚，反映出政府对虚假信息（即具有有害、误导性意图的虚假信息）传播的高度关注，特别是随着生成式人工智能工具的兴起。其中包括创建和传播旨在破坏国家、扰乱社会秩序或侵犯他人权利的信息，其严重程度不构成刑事起诉（第 7-10 条）。值得注意的是，利用社交网络等在线平台传播虚假信息被视为更严重的犯罪行为，对法人实体可处以高达 1 亿越南盾的更高罚款。
4.影响深远的处罚。除了巨额罚款外，CAS法令草案还引入了一系列影响深远的附加处罚，特别是吊销电信、信息门户或社交网络等许可证，甚至暂停业务长达24个月（第4.2条）。
1.基于收入的制裁的罚款计算不明确。 CAS 法令草案对于 5% 总收入惩罚性罚款的计算和适用缺乏明确规定，特别是在违规者在越南没有收入[1] 或在海外开展业务的情况下，引发了人们对在这种情况下确定当地收入的实用性的质疑。有趣的是，在向政府提交的关于CAS法令草案反馈的报告中，[2]公安部试图通过引用《企业法》来澄清这一含糊之处，但该立法没有提供有关计算总收入的指导。因此，目前尚不清楚公安部在实践中是否以及如何执行这一最高罚款门槛。
2. 与个人资料保护令不一致的情况。根据 CAS 法令草案，数据控制者、数据控制者兼处理者和适用的第三方如果未能在 48 小时内（公共假期除外）满足数据主体删除或限制其数据处理或提供其数据的请求，将面临处罚（第 14.1(e)(h) 和 14.2 条）。然而，根据《个人数据保护法令》（第 13/2023/ND-CP 或 PDPD 法令），此响应窗口最长为 72 小时（第 9.6(b)、9.8(b) 和 14.3 条）。这种差异可能是笔误，CAS 法令草案可能旨在澄清 PDPD 下的时间范围不包括非工作日。
3、制裁重叠。对于类似违规行为的罚款也存在一些不一致。
