Декрет Вьетнама №13/2023/NĐ‑CP о защите персональных данных вступил в силу 1 июля 2023 года. Это первый комплексный нормативный акт страны по персональным данным, он имеет экстерриториальную обязательную силу. Документ регулирует обработку номеров мобильных телефонов, записей звонков и иной информации в A2P SMS и голосовых сервисах, определяет обязанности поставщиков услуг, права пользователей и нормы штрафов за нарушения.
Норматив относит мобильные номера клиентов к обычным персональным данным. Чтобы получать номера для ведения бизнеса, поставщики должны получить активное и явное согласие пользователя; молчание пользователя не считается согласием. Пользователь вправе отозвать согласие в любое время, продавец обязан выполнить отзыв в течение 72 часов.
Операторы A2P должны определить свой статус: контролёр данных или обработчик данных. Оба типа субъектов в течение 60 дней после начала обработки пользовательских данных обязаны подать оценку влияния обработки на защиту персональных данных в компетентные органы общественной безопасности. У пользователей есть одиннадцать прав, включая доступ, удаление и возражение против обработки данных. Поставщики должны ответить на обращение пользователя в течение 72 часов.
Если требуется передавать данные вьетнамских граждан за границу, предприятие должно провести оценку рисков трансграничной передачи данных и подать уведомление. Нарушение влечёт крупные штрафы, а при тяжёлых последствиях возможна уголовная ответственность. При ведении A2P-бизнеса нужно организовать законные каналы сбора согласия пользователей, разграничить роли по данным и создать быстрый механизм рассмотрения обращений. Компаниям с потребностью трансграничной передачи данных нужно заранее выполнить процедуры соответствия для снижения риска наказаний.
