核心摘要：期待已久的2023年4月17日第13/2023/ND-CP号《个人数据保护令》（“DPDP”）自2023年7月1日起生效，对个人数据保护制定了明确而严格的规定，这将严重影响国内外个人/实体目前处理个人数据的做法。 DPDP 草案于 2021 年 2 月提出后，经过多次公开讨论后发布。
1. 个人数据的明确定义
根据 DPDP，个人数据被定义为电子环境中以符号、字母、数字、图像、声音或类似形式存在的、与特定个人相关或有助于识别特定个人的信息。
此外，DPDP将个人数据分为（i）基本个人数据和（ii）敏感个人数据，其中基本个人数据包括姓名、日期、出生地、性别、国籍、居住地址等个人基本信息，而敏感个人数据涉及与个人隐私相关的数据，一旦受到侵犯，将直接影响个人的权利和合法利益。敏感个人数据的一些示例包括政治和宗教观点、健康状况、犯罪记录、物理位置（通过 GPS）、种族或民族信息等。
2、新概念的引入
新法令首次引入了“数据控制者”、“数据处理者”和“数据控制者兼处理者”的概念。
• “数据控制者”是指确定个人数据处理目的和方式的组织或个人；
• “数据处理者”是指通过与数据控制者签订的合同或协议代表数据控制者处理个人数据的组织或个人；和
• “数据控制者兼处理者”是“数据控制者”和“数据处理者”的组合。
对于敏感个人数据，DPDP要求内部设立“数据保护部门（DPD）”和“数据保护官（DPO）”参与，负责保护敏感个人数据。然而，政府尚未对DPDP中的DPD和DPO的资格要求提供明确的指导。
3. 数据主体的基本权利
该法令明确规定了数据主体的权利，数据主体是与数据相关的个人。其中，以下是最值得注意的：
• 知情权。必须告知或通知数据主体收集目的、收集数据的类型、有权访问数据的组织和个人等。
• 同意和撤回的权利。在处理个人数据之前，需要获得数据主体的明确同意。同意必须以可打印或可复制的形式明确表示（无默示默认同意），并且可以是部分的或有条件的。如有争议，数据控制者承担举证责任。在数据主体撤回同意之前，该同意一直有效。在这种情况下，相关个人数据必须在 72 小时内删除。