Der Rechtsrahmen
Das PDPL bewahrt die auf Einwilligung ausgerichtete DNA des Dekrets 13: Die Einwilligung muss ausdrücklich, aktiv und zweckgebunden sein, Schweigen zählt niemals als Einwilligung, und die Verarbeitung sensibler Daten bringt zusätzliche Informationspflichten mit sich. Marketing und Werbung werden eigens hervorgehoben: Sie erfordern eine Einwilligung und die Beachtung eines Widerspruchs. Die Rechte der betroffenen Personen umfassen Auskunft, Löschung, Einschränkung und Widerspruch innerhalb kurzer gesetzlicher Fristen.
Folgenabschätzungen sind das Erste, was ausländischen Unternehmen auffällt. Sowohl eine Folgenabschätzung zur Verarbeitung als auch eine Bewertung der grenzüberschreitenden Übermittlung müssen erstellt und bei der Abteilung A05 des Ministeriums für öffentliche Sicherheit eingereicht werden, ein Formalitätenregime ohne echtes Gegenstück in der DSGVO. Das PDPL steht zudem in einem Geflecht benachbarter Gesetze (das Datengesetz für Kern- und wichtige Daten, das Cybersicherheitsgesetz 2025, das Cyberregeln seit 1. Juli 2026 zusammenführt), sodass Einordnungsfragen darüber entscheiden, welche Pflichten sich kumulieren.
Wichtige Rechtsakte
Gesetz zum Schutz personenbezogener Daten (91/2025/QH15)
Vietnams erstes umfassendes Datenschutzgesetz auf Gesetzesebene: einwilligungszentrierte Rechtsgrundlagen, Regeln für sensible Daten, Einreichung von Folgenabschätzungen, Marketingbeschränkungen, Rechte der betroffenen Personen.
Dekret 356/2025/ND-CP
Durchführungsdekret zum PDPL, das Dekret 13/2023 ersetzt; regelt Verfahren, Dossiers und Zuständigkeiten im Detail.
Marketing und Werbung
Einwilligung ist die zentrale Rechtsgrundlage mit begrenzten Ausnahmen; die Nutzung für Marketing erfordert eine Einwilligung, und betroffene Personen müssen widersprechen können. Die meisten Kanalentscheidungen richten sich hier nach dieser Einwilligungsregel.
Grenzüberschreitende Datenübermittlung
Dossiers zur Folgenabschätzung von Übermittlungen werden beim Ministerium für öffentliche Sicherheit eingereicht; das Datengesetz fügt Kontrollen für Kern- und wichtige Daten hinzu.
Durchsetzung und Sanktionen
Verwaltungssanktionen mit umsatzbasierten Elementen, eingeführt durch das neue Rahmenwerk; bei Datenhandel besteht strafrechtliches Risiko.