2026 में वियतनामी डेटा संरक्षण कानून की संरचना

वियतनाम की व्यवस्था अब एक दो-परत का ढांचा है: 2023 का PDPD और 2026 का PDPL। दोनों लागू हैं, और प्रकाशकों को यह समझना होगा कि कौन सी परत कौन से दायित्व को नियंत्रित करती है।

PDPD — डिक्री 13/2023/ND-CP

डिक्री ने वियतनाम की पहली व्यापक व्यक्तिगत डेटा परिभाषा, डेटा विषयों के अधिकारों की एक सूची, सहमति की आवश्यकताएं, सीमा पार डेटा स्थानांतरण पर नियम और मौलिक व्यक्तिगत डेटा प्रसंस्करण प्रभाव मूल्यांकन (DPIA) दायित्व की शुरुआत की। यह लागू रहती है और परिचालन विवरणों को नियंत्रित करना जारी रखती है।

PDPL — 2026 से लागू

PDPL ने ढांचे को उच्च दंड और व्यापक दायरे के साथ प्राथमिक कानून में उठाया। यह सहमति-केंद्रित मॉडल को मजबूत करता है, डेटा विषयों के लिए अधिकारों को मजबूत करता है, और सार्वजनिक सुरक्षा मंत्रालय (MPS) के लिए प्रवर्तन शक्तियों का विस्तार करता है, जो प्राथमिक नियामक बना हुआ है। PDPL संवेदनशील व्यक्तिगत डेटा, स्वचालित निर्णय लेने और नाबालिगों के डेटा के प्रसंस्करण के लिए स्पष्ट नियम भी पेश करता है।

किसे विनियमित किया जाता है

कानून वियतनामी व्यक्तिगत डेटा के किसी भी प्रसंस्करण पर लागू होता है, चाहे प्रोसेसर कहीं भी स्थित हो। एक अमेरिका-आधारित प्रकाशक जो एक स्थानीयकृत साइट के माध्यम से वियतनामी उपयोगकर्ताओं की सेवा करता है या एक प्रोग्रामेटिक खरीदार जो वियतनामी इन्वेंटरी पर बोली लगाता है, दायरे में है। यह बाह्य क्षेत्रीय पहुँच GDPR के पैटर्न को दर्शाती है और वियतनामी ढांचे के अधिक आक्रामक तत्वों में से एक है।

व्यक्तिगत डेटा के रूप में क्या गिना जाता है

व्यक्तिगत डेटा की वियतनामी परिभाषा व्यापक है और अंतरराष्ट्रीय मानक का बारीकी से अनुसरण करती है। व्यक्तिगत डेटा कोई भी जानकारी है जो एक विशिष्ट प्राकृतिक व्यक्ति की पहचान करती है या कर सकती है, और यह दो श्रेणियों में विभाजित होती है जो कुकी सहमति के लिए बहुत महत्वपूर्ण हैं।

बुनियादी व्यक्तिगत डेटा

बुनियादी व्यक्तिगत डेटा में नाम, जन्म तिथि, पहचान संख्या, संपर्क विवरण, डिवाइस पहचानकर्ता, IP पते और ऑनलाइन गतिविधि डेटा शामिल हैं। कुकी द्वारा एकत्र किए गए अधिकांश डेटा यहाँ आते हैं, जिसमें विज्ञापन पहचानकर्ता, सत्र ID और ब्राउज़िंग इतिहास से निर्मित व्यवहार प्रोफाइल शामिल हैं।

संवेदनशील व्यक्तिगत डेटा

संवेदनशील व्यक्तिगत डेटा में राजनीतिक और धार्मिक विचार, स्वास्थ्य जानकारी, आनुवंशिक डेटा, बायोमेट्रिक डेटा, यौन अभिविन्यास, आपराधिक रिकॉर्ड, वित्तीय डेटा और — विशेष रूप से — स्थान डेटा जिसका उपयोग किसी विशिष्ट व्यक्ति की पहचान करने के लिए किया जा सकता है शामिल हैं। संवेदनशील डेटा सबसे कड़ी सहमति आवश्यकताओं को ट्रिगर करता है, जिसमें विशिष्ट, अलग और कुछ मामलों में लिखित या इलेक्ट्रॉनिक रूप से सत्यापन योग्य सहमति शामिल है।

कुकीज़ के लिए यह क्यों मायने रखता है

एक कुकी जो केवल एक बुनियादी सत्र पहचानकर्ता एकत्र करती है वह बुनियादी व्यक्तिगत डेटा है। एक कुकी जो एक स्थान-आधारित विज्ञापन दर्शकों को फीड करती है — रिटार्गेटिंग और जियो-लक्षित अभियानों में सामान्य — जब स्थान पहचानने योग्य हो जाता है तो संभवतः संवेदनशील व्यक्तिगत डेटा को छू रही है। CMP कॉन्फ़िगरेशन को इन उद्देश्यों को अलग करना होगा।

वियतनामी कानून के तहत कुकी सहमति

वियतनाम opt-in सहमति मॉडल का पालन करता है। व्यक्तिगत डेटा एकत्र करने वाली कुकीज़ के लिए कोई नोटिस-एंड-चॉइस फ़ॉलबैक नहीं है, और वैध सहमति के लिए बार GDPR मानक के समान है।

चार सहमति आवश्यकताएं

वियतनामी कानून के तहत सहमति होनी चाहिए:

• विशिष्ट — स्पष्ट रूप से पहचाने गए प्रसंस्करण उद्देश्य से जुड़ी, सामान्य छाता सहमति नहीं
• सूचित — डेटा विषय समझता है कि कौन सा डेटा संसाधित किया जाता है, क्यों, कौन इसे प्राप्त करता है, और कितने समय के लिए
• स्वैच्छिक — कोई पूर्व-टिक किए गए बॉक्स नहीं, गैर-आवश्यक प्रसंस्करण के लिए कोई सहमति-या-छोड़ो दीवार नहीं
• व्यक्त और वापस लेने योग्य — उपयोगकर्ता एक स्पष्ट तंत्र के माध्यम से सहमति प्रदान और वापस ले सकता है

एक अनुपालन CMP कैसा दिखता है

2026 में वियतनामी ट्रैफ़िक के लिए कॉन्फ़िगर किया गया CMP प्रस्तुत करना चाहिए:

• किसी भी गैर-आवश्यक कुकी या ट्रैकर के फायर होने से पहले एक दृश्यमान बैनर, वियतनामी उपयोगकर्ताओं के लिए डिफ़ॉल्ट रूप से वियतनामी भाषा (Tiếng Việt) में
• समान दृश्य प्रमुखता के साथ अलग स्वीकार करें, अस्वीकार करें और अनुकूलित करें क्रियाएं — कोई डार्क पैटर्न नहीं
• कम से कम निम्नलिखित उद्देश्यों के लिए विस्तृत नियंत्रण: विश्लेषण, विज्ञापन, वैयक्तिकरण, सीमा पार स्थानांतरण और कोई भी संवेदनशील-श्रेणी प्रसंस्करण जैसे सटीक स्थान
• प्रारंभिक विकल्प के बाद सहमति बदलने या वापस लेने के लिए एक स्थायी, आसानी से खोजने योग्य तंत्र
• प्रोसेसर, डेटा श्रेणियों, प्रतिधारण और उपयोगकर्ता के अधिकारों के स्पष्ट प्रकटीकरण के साथ वियतनामी भाषा में गोपनीयता नीति

सहमति रिकॉर्ड

प्रोसेसरों को सहमति के रिकॉर्ड बनाए रखने होंगे — किसने सहमति दी, कब, किसके लिए, किस इंटरफ़ेस के माध्यम से। वियतनाम की प्रवर्तन कार्रवाइयों ने पहले से ही गुम या असत्यापित सहमति लॉग का हवाला दिया है, और PDPL इस दायित्व को औपचारिक रूप देता है। एक CMP जो निर्यात योग्य, टाइमस्टैम्प सहमति लॉग नहीं बनाता वह अनुपालन में नहीं है।

सीमा पार डेटा स्थानांतरण — सबसे कठिन हिस्सा

वियतनाम की सीमा पार स्थानांतरण व्यवस्था इस क्षेत्र में सबसे अधिक मांग वाली है और वह तत्व है जिसके साथ अधिकांश विदेशी प्रकाशक संघर्ष करते हैं।

स्थानांतरण प्रभाव मूल्यांकन

वियतनामी व्यक्तिगत डेटा को विदेश भेजने से पहले — जिसमें कुकी-व्युत्पन्न पहचानकर्ताओं को एक विदेशी विज्ञापन एक्सचेंज या विश्लेषण विक्रेता को भेजना शामिल है — नियंत्रक को एक स्थानांतरण प्रभाव मूल्यांकन तैयार करना होगा। मूल्यांकन को उद्देश्य, डेटा श्रेणियां, प्राप्तकर्ता देश और प्राप्तकर्ता, तकनीकी और संगठनात्मक सुरक्षा उपाय, और स्थानांतरण के लिए कानूनी आधार का दस्तावेजीकरण करना होगा।

MPS के साथ दाखिल करना

मूल्यांकन को प्रसंस्करण शुरू होने के 60 दिनों के भीतर सार्वजनिक सुरक्षा मंत्रालय के साथ दाखिल किया जाना चाहिए। MPS के पास सीमा पार स्थानांतरण को निलंबित करने की शक्ति है यदि मूल्यांकन अपर्याप्त है या यदि गंतव्य क्षेत्राधिकार को अपर्याप्त माना जाता है।

प्रकाशकों के लिए व्यावहारिक निहितार्थ

एक विशिष्ट प्रोग्रामेटिक विज्ञापन स्टैक मिलीसेकंड में दर्जनों विदेशी विक्रेताओं के माध्यम से उपयोगकर्ता डेटा रूट करता है। उन प्रवाहों में से प्रत्येक, सख्ती से, वियतनामी व्यक्तिगत डेटा का सीमा पार स्थानांतरण है। 2026 की वास्तविकता यह है कि अधिकांश विदेशी प्रकाशक या तो अपनी पूरी विक्रेता सूची के लिए समेकित मूल्यांकन दाखिल कर रहे हैं या मूल्यांकन बोझ को कम करने के लिए अपने विक्रेता सेट की छंटाई कर रहे हैं। कोई भी तुच्छ नहीं है, और MPS ने संकेत दिया है कि वह 2026 के दौरान सीमा पार प्रवाहों पर अधिक सक्रिय प्रवर्तन शुरू करेगा।

डेटा विषय अधिकार

PDPL डिक्री के तहत प्रदत्त अधिकारों को समेकित और मजबूत करता है। वियतनामी डेटा विषयों को अधिकार है:

• उनके डेटा के प्रसंस्करण के बारे में सूचित किया जाना
• संसाधित किए जा रहे डेटा तक पहुँच
• गलत डेटा को सही करना
• डेटा हटाना जहाँ प्रसंस्करण अब उचित नहीं है
• निर्दिष्ट परिस्थितियों में प्रसंस्करण को प्रतिबंधित करना
• सहमति को उतनी ही आसानी से वापस लेना जितनी आसानी से दी गई थी
• स्वचालित निर्णय लेने पर आपत्ति करना जो महत्वपूर्ण प्रभाव पैदा करती है
• सार्वजनिक सुरक्षा मंत्रालय में शिकायत करना

प्रतिक्रिया समयसीमा

नियंत्रकों को अधिकांश मामलों में 72 घंटों के भीतर डेटा विषय अनुरोधों का जवाब देना होगा — GDPR के 30-दिन के मानक की तुलना में काफी संकरी खिड़की। इस समयसीमा के लिए परिचालन तैयारी विदेशी प्रकाशकों के लिए अधिक सामान्य अनुपालन अंतराल में से एक है और उन उपकरणों और रनबुक की आवश्यकता है जो अन्य क्षेत्रों में जो विशिष्ट है उससे तेज हैं।

नाबालिगों के लिए विशेष नियम

PDPL नाबालिगों के व्यक्तिगत डेटा के प्रसंस्करण के लिए समर्पित सुरक्षा प्रदान करता है। 15 वर्ष से कम उम्र के व्यक्ति के डेटा के प्रसंस्करण के लिए सहमति माता-पिता या कानूनी अभिभावक द्वारा दी जानी चाहिए। 15 से 18 वर्ष की आयु के लोगों के डेटा के प्रसंस्करण के लिए नाबालिग की अपनी सहमति की आवश्यकता है, लेकिन पारदर्शिता और देखभाल के बढ़े हुए कर्तव्यों के साथ। उन साइटों पर कुकी सहमति UI जो 18 वर्ष से कम उम्र के महत्वपूर्ण दर्शकों को आकर्षित करती हैं, उन्हें उम्र-जागरूक प्रवाहों की आवश्यकता है, जिन्हें कुछ विदेशी प्रकाशकों ने डिफ़ॉल्ट रूप से बनाया है।

दंड और प्रवर्तन

PDPL प्रशासनिक जुर्माने पर सीमा को महत्वपूर्ण रूप से बढ़ाता है। प्रतिबंधों में शामिल हैं:

• संवेदनशील व्यक्तिगत डेटा या व्यवस्थित विफलताओं से जुड़े गंभीर उल्लंघनों के लिए वैश्विक वार्षिक राजस्व के 5 प्रतिशत तक जुर्माना
• प्रसंस्करण गतिविधियों का निलंबन
• अनिवार्य सीमा पार स्थानांतरण रोक
• उल्लंघन का सार्वजनिक प्रकटीकरण
• गंभीर मामलों के लिए आपराधिक दायित्व, जिसमें व्यक्तिगत डेटा की गैरकानूनी बिक्री शामिल है

प्रवर्तन रुझान

MPS 2023 और 2024 की शुरुआत में अपेक्षाकृत शांत था क्योंकि डिक्री स्थापित हो रही थी, लेकिन प्रवर्तन 2025 के दौरान और 2026 में तेज हो गया है। विदेशी प्रकाशकों को कई प्रकाशित कार्रवाइयों में उद्धृत किया गया है, लगभग हमेशा तीन मुद्दों में से एक पर केंद्रित: गुम या अपर्याप्त सहमति, अनदाखिल सीमा पार स्थानांतरण मूल्यांकन, या 72-घंटे की खिड़की के भीतर डेटा विषय अनुरोधों का जवाब देने में विफलता।

2026 में वियतनामी ट्रैफ़िक के लिए ऑडिट चेकलिस्ट

• CMP बैनर वियतनामी उपयोगकर्ताओं के लिए वियतनामी भाषा में परोसा जाता है, जिसमें स्वीकार करें, अस्वीकार करें और अनुकूलित करें समान प्रमुखता के साथ हैं
• सहमति उद्देश्य विस्तृत हैं और सटीक स्थान जैसे संवेदनशील प्रसंस्करण को अलग करते हैं
• सहमति लॉग टाइमस्टैम्प हैं, निर्यात योग्य हैं और प्रसंस्करण की अवधि के लिए प्लस एक ऑडिट योग्य मार्जिन के लिए बनाए रखे गए हैं
• गोपनीयता नीति प्रोसेसर, प्रतिधारण और अधिकारों के पूर्ण प्रकटीकरण के साथ वियतनामी में उपलब्ध है
• स्थानांतरण प्रभाव मूल्यांकन प्रत्येक चालू सीमा पार प्रवाह के लिए MPS के साथ दाखिल किया गया है
• डेटा विषय अनुरोध वर्कफ़्लो शुरू से अंत तक 72 घंटों के भीतर जवाब दे सकता है
• उम्र-जागरूक सहमति प्रवाह उन दर्शकों के लिए मौजूद है जिनमें नाबालिग शामिल हैं
• विक्रेता सूची की आवश्यकता के लिए समीक्षा की गई है, सीमा पार सतह क्षेत्र को सिकोड़ने के लिए अप्रयुक्त या अनावश्यक विक्रेताओं को हटाने के साथ

2026 का दृष्टिकोण

वियतनाम का नियामक प्रक्षेपवक्र स्पष्ट है। PDPD ने ढांचा स्थापित किया। PDPL ने इसे कड़ा किया। प्रवर्तन का विस्तार हो रहा है। प्रकाशकों और विज्ञापनदाताओं के लिए जिन्होंने वियतनाम को हल्के-स्पर्श बाजार के रूप में माना है, 2026 वह वर्ष है जब वह दृष्टिकोण महंगा हो जाता है। अच्छी खबर यह है कि एक आधुनिक GDPR-ग्रेड सहमति स्टैक अधिकांश वह है जो आवश्यक है — अंतराल आमतौर पर 72-घंटे की प्रतिक्रिया विंडो, स्थानांतरण प्रभाव मूल्यांकन दाखिल करना और CMP और गोपनीयता नीति का वियतनामी-भाषा स्थानीयकरण है। वे अंतराल परिचालन हैं, वास्तुशिल्प नहीं, और उन्हें तिमाहियों के बजाय हफ्तों में बंद किया जा सकता है। जो प्रकाशक MPS के उनके दरवाजे पर आने से पहले उन्हें बंद करते हैं वे संक्रमण को नोटिस नहीं करेंगे। जो इंतजार करेंगे वे करेंगे।