Ngày 17/4/2023, Chính phủ ban hành Nghị định số 13/2023/NĐ-CP về Bảo vệ dữ liệu cá nhân (Nghị định). Theo đó, quy định phạm vi điều chỉnh, đối tượng áp dụng; nguyên tắc bảo vệ dữ liệu cá nhân; hành vi bị nghiêm cấm, cụ thể như sau:
Phạm vi điều chỉnh: Quy định về bảo vệ dữ liệu cá nhân và trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân có liên quan.
Đối tượng áp dụng: (a) Cơ quan, tổ chức, cá nhân Việt Nam; (b) Cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; (c) Cơ quan, tổ chức, cá nhân Việt Nam hoạt động tại nước ngoài; (d) Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân tại Việt Nam.
Nguyên tắc bảo vệ dữ liệu cá nhân: (1) Dữ liệu cá nhân được xử lý theo quy định của pháp luật; (2) Chủ thể dữ liệu được biết về hoạt động liên quan tới xử lý dữ liệu cá nhân của mình, trừ trường hợp luật có quy định khác; (3) Dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba đăng ký, tuyên bố về xử lý dữ liệu cá nhân. (4) Dữ liệu cá nhân thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý. Dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. (5) Dữ liệu cá nhân được cập nhật, bổ sung phù hợp với mục đích xử lý. (6) Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật. (7) Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác. (8) Bên Kiểm soát dữ liệu, Bên Kiểm soát và xử lý dữ liệu cá nhân phải chịu trách nhiệm tuân thủ các nguyên tắc xử lý dữ liệu theo quy định và chứng minh sự tuân thủ của mình với các nguyên tắc xử lý dữ liệu đó.
Hành vi bị nghiêm cấm: (1) Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân. (2) Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam. (3) Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác. (4) Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền. (5) Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.
Ngoài ra, Nghị định quy định cụ thể quyền, nghĩa vụ của chủ thể dữ liệu; việc bảo vệ dữ liệu cá nhân trong quá trình xử lý dữ liệu cá nhân; biện pháp, điều kiện bảo đảm bảo vệ dữ liệu cá nhân và một số nội dung liên quan; đồng thời, giao trách nhiệm cụ thể các cơ quan, tổ chức, cá nhân liên quan trong việc tổ chức thực hiện.
Nghị định có hiệu lực thi hành kể từ ngày 01/7/2023./.