Cumplimiento de la Ley de Protección de Datos Personales de Vietnam

El marco vietnamita de protección de datos personales

El marco vietnamita actual de protección de datos personales se basa en la Ley n.º 91/2025/QH15 de Protección de Datos Personales, en el Decreto n.º 356/2025/ND-CP, que detalla su aplicación, y en otras normas y requisitos sectoriales cuando resulten aplicables.

• Ley n.º 91/2025/QH15 de Protección de Datos Personales
• Decreto n.º 356/2025/ND-CP, que detalla la aplicación de la ley
• Otras normas y requisitos sectoriales, cuando resulten aplicables

La ley reconoce el consentimiento como una base jurídica importante para el tratamiento, pero el consentimiento no es la única base posible para tratar datos personales. Las organizaciones deben identificar la base jurídica aplicable y cumplir los requisitos legales correspondientes antes de tratar datos.

Cuando el consentimiento se exija o se invoque, las organizaciones deben asegurarse de que se obtiene adecuadamente y de que puede demostrarse. El Decreto 356/2025/ND-CP contempla formas de consentimiento reproducibles, incluidas las escritas y las electrónicas.

¿Qué son los datos personales según la ley vietnamita?

La Ley de Protección de Datos Personales de Vietnam define los datos personales de forma amplia, como datos digitales o información en otro formato que identifiquen o ayuden a identificar a una persona determinada.

El marco distingue entre datos personales básicos y datos personales sensibles, y la clasificación detallada de cada categoría se fija mediante normas gubernamentales.

Por tanto, las organizaciones deben mantener un inventario de datos que identifique tanto el tipo de datos personales tratados como si pertenecen a una categoría especialmente protegida.

Datos personales básicos

Los datos personales básicos comprenden la información personal habitual y los datos de contexto utilizados en transacciones y relaciones sociales, incluidos en las categorías determinadas por el Gobierno.

Según la clasificación aplicable, pueden incluir información utilizada para identificar a una persona o para comunicarse con ella.

Datos personales sensibles

Los datos personales sensibles son datos personales asociados al derecho a la privacidad de una persona, cuya vulneración podría afectar directamente a los derechos e intereses legítimos de las partes implicadas.

La clasificación detallada de los datos personales sensibles se fija mediante normas gubernamentales.

Bases jurídicas para el tratamiento de datos personales

Con la ley vietnamita actual, el consentimiento no es un requisito general para toda actividad de tratamiento.

La ley define el consentimiento como la autorización del interesado para el tratamiento de sus datos personales, salvo que la ley disponga otra cosa.

En consecuencia, las organizaciones deben determinar:

• qué datos personales se tratan;
• por qué se tratan los datos;
• qué base jurídica permite el tratamiento;
• si se requiere consentimiento;
• qué información debe facilitarse;
• qué garantías resultan aplicables; y
• si se exige una evaluación de impacto u otra documentación.

Se trata de un cambio importante frente a la idea de que el marco vietnamita exige simplemente consentimiento para todo tratamiento.

Requisitos del consentimiento

Cuando el consentimiento sea la base jurídica aplicable, las empresas deben diseñar sus mecanismos de consentimiento de forma clara, demostrable y adecuadamente documentada.

En el marco actual:

• el consentimiento es una autorización concedida por el interesado para el tratamiento;
• los requisitos legales aplicables determinan cuándo se exige consentimiento;
• las organizaciones deben poder demostrar la base del tratamiento;
• el consentimiento debe recogerse, cuando se exija, mediante un mecanismo adecuado y reproducible; y
• las organizaciones deben conservar pruebas que respalden la actividad de tratamiento.

El Decreto 356/2025/ND-CP reconoce métodos como el consentimiento por escrito, las llamadas grabadas, los SMS, el correo electrónico, los sitios web, las plataformas, las aplicaciones y otros medios que puedan reproducirse o verificarse.

El consentimiento no sustituye al gobierno de la privacidad

Un banner de consentimiento por sí solo no acredita un cumplimiento completo.

Las empresas deben conectar la gestión del consentimiento con:

• los avisos de privacidad;
• los inventarios de datos;
• los registros de tratamiento;
• los flujos de derechos de los interesados;
• las políticas de conservación;
• los controles de seguridad;
• la gestión de proveedores;
• los controles de transferencias transfronterizas; y
• la documentación de las evaluaciones de impacto, cuando proceda.

Avisos de privacidad y transparencia

Las organizaciones deben facilitar a las personas información adecuada sobre el tratamiento de sus datos personales.

Un aviso de privacidad útil debe explicar, cuando resulte pertinente:

• qué datos personales se recogen;
• la finalidad del tratamiento;
• cómo se utilizan los datos;
• la base jurídica aplicable;
• los destinatarios o categorías de destinatarios pertinentes;
• las consideraciones sobre la conservación de los datos;
• las transferencias internacionales o transfronterizas;
• los derechos de las personas;
• cómo pueden ejercer esos derechos;
• los datos de contacto para solicitudes de privacidad; y
• cualquier otra información exigida por la ley aplicable.

En sitios web y aplicaciones, la transparencia debe extenderse a las cookies, la analítica, las tecnologías publicitarias, las tecnologías de seguimiento y otros identificadores en línea cuando impliquen datos personales.

Derechos de los interesados

La Ley de Protección de Datos Personales de Vietnam reconoce derechos a los interesados y establece las responsabilidades correspondientes para las organizaciones que tratan datos personales.

Según las circunstancias, las organizaciones deben estar preparadas para gestionar solicitudes relativas a:

• el acceso a los datos personales;
• la rectificación o actualización de datos inexactos;
• la retirada del consentimiento cuando el tratamiento se base en él;
• la supresión cuando resulte jurídicamente aplicable;
• la limitación del tratamiento cuando proceda;
• la oposición u otros derechos reconocidos por la ley; y
• otros derechos previstos en la Ley de Protección de Datos Personales y en su normativa de desarrollo.

Las organizaciones deben establecer un flujo interno para recibir, autenticar, seguir y responder a las solicitudes de los interesados dentro de los plazos legales aplicables.

Datos personales de menores

El tratamiento de datos personales de menores exige garantías adicionales en el marco vietnamita de protección de datos personales.

Las empresas que presten servicios a menores o traten conscientemente sus datos personales deben evaluar:

• los requisitos relacionados con la edad;
• los requisitos de consentimiento;
• la intervención de los padres o del representante legal cuando se exija;
• los avisos de privacidad adecuados;
• la minimización de datos;
• las medidas de seguridad; y
• los requisitos de conservación y supresión.

Los servicios dirigidos a menores deben incorporar estos requisitos al diseño del producto en lugar de tratarlos como algo secundario.

Tratamiento de datos personales sensibles

Los datos personales sensibles reciben una protección reforzada en el marco vietnamita.

Las empresas que traten datos personales sensibles deben identificar la categoría correspondiente y evaluar si existen obligaciones adicionales en materia de:

• base jurídica;
• transparencia;
• seguridad;
• gobierno;
• evaluaciones de impacto;
• controles de acceso;
• conservación;
• transferencias de datos; y
• gestión de incidentes.

Un programa de privacidad debe mantener un inventario claro que muestre dónde se recogen, tratan, almacenan o transfieren datos personales sensibles.

Evaluaciones de impacto del tratamiento de datos personales

El marco vietnamita actual incluye requisitos de evaluación de impacto para determinadas actividades de tratamiento.

Las organizaciones deben evaluar si su tratamiento requiere un expediente de evaluación de impacto del tratamiento de datos personales y asegurarse de mantener y presentar la documentación exigida conforme a las normas aplicables.

Una evaluación eficaz debe considerar:

• las categorías de datos personales;
• las finalidades del tratamiento;
• los métodos de tratamiento;
• los riesgos para los interesados;
• las medidas de seguridad;
• la conservación;
• los acuerdos de comunicación de datos;
• los encargados y los terceros;
• el tratamiento transfronterizo; y
• las medidas empleadas para reducir los riesgos identificados.

Transferencias transfronterizas de datos

El tratamiento transfronterizo es un ámbito de cumplimiento importante en la ley vietnamita actual.

El Decreto 356/2025/ND-CP define de forma amplia las actividades de transferencia transfronteriza, incluidos los supuestos que implican el traslado o el tratamiento de datos personales recogidos o almacenados en Vietnam a través de infraestructura en el extranjero, servicios en la nube extranjeros o destinatarios en el exterior.

Las empresas que utilicen:

• proveedores de nube internacionales;
• sistemas CRM globales;
• plataformas de analítica en el extranjero;
• plataformas publicitarias internacionales;
• aplicaciones SaaS extranjeras;
• herramientas globales de atención al cliente; o
• proveedores de tratamiento de datos en el exterior

deben evaluar si sus actividades constituyen tratamiento transfronterizo regulado.

Según las circunstancias, una organización puede tener que preparar o mantener un expediente de evaluación de impacto de las transferencias transfronterizas de datos personales, o cumplir otro mecanismo legal aplicable.

Requisitos de seguridad de los datos

Las organizaciones que traten datos personales deben implantar garantías organizativas, técnicas y humanas adecuadas.

Las medidas de seguridad pueden incluir:

• controles de acceso;
• autenticación;
• cifrado cuando resulte adecuado;
• seguridad de red y de aplicaciones;
• registro y supervisión;
• gestión de vulnerabilidades;
• copias de seguridad y recuperación;
• formación del personal;
• controles de seguridad de los proveedores;
• procedimientos de respuesta a incidentes; y
• minimización de datos y control de la conservación.

La seguridad debe ser proporcional a la naturaleza de los datos tratados y a los riesgos asociados.

Notificación de brechas de datos personales

La Ley de Protección de Datos Personales vigente en Vietnam establece un plazo de notificación de 72 horas para las infracciones afectadas relativas a datos personales, contado desde que la organización correspondiente descubre la infracción.

La obligación se aplica a las infracciones que puedan dañar aspectos como la defensa o la seguridad nacional, el orden y la seguridad públicos, la vida o la salud, el honor y la dignidad, o el patrimonio, con sujeción a las condiciones legales.

Por tanto, las organizaciones deben mantener un proceso de respuesta a incidentes capaz de:

• detectar una posible brecha;
• evaluar el incidente;
• determinar si se alcanza el umbral legal;
• escalar el incidente internamente;
• preparar las notificaciones exigidas;
• documentar la respuesta; y
• adoptar medidas correctoras.

El proceso de gestión de incidentes de privacidad debe estar conectado con el programa más amplio de respuesta a incidentes de ciberseguridad de la organización.

Responsables y encargados del tratamiento

Las empresas deben definir con claridad su papel cuando tratan datos personales.

Según la actividad, una organización puede actuar como:

• responsable del tratamiento de datos personales;
• encargado del tratamiento de datos personales;
• parte que desempeña funciones tanto de responsable como de encargado; o
• otro participante regulado en la cadena de tratamiento.

Los contratos con encargados y proveedores deben establecer con claridad:

• las finalidades del tratamiento;
• las categorías de datos;
• las obligaciones de seguridad;
• la confidencialidad;
• la subcontratación;
• la conservación de los datos;
• la supresión o devolución de los datos;
• la notificación de incidentes;
• el apoyo en las solicitudes de los interesados; y
• las responsabilidades en el tratamiento transfronterizo.

Conservación y supresión de datos

El marco vietnamita exige que los datos personales se almacenen durante un plazo adecuado a la finalidad del tratamiento, salvo que otra ley disponga lo contrario.

Por tanto, las organizaciones deben mantener calendarios de conservación documentados que cubran:

• la información de clientes;
• los datos de empleados;
• las bases de datos de marketing;
• la información de cuentas;
• los registros de consentimiento;
• los datos de cookies y seguimiento;
• los registros de soporte;
• las solicitudes de los interesados;
• los registros de seguridad; y
• los datos personales en poder de proveedores.

La conservación no debe prolongarse indefinidamente solo porque almacenar datos resulte técnicamente barato.

Cookies y seguimiento en línea

Las empresas que operan sitios web en Vietnam deben evaluar sus cookies y tecnologías de seguimiento como parte de su programa de cumplimiento en materia de datos personales.

Esto incluye:

• cookies de analítica;
• cookies publicitarias;
• tecnologías de retargeting;
• píxeles de redes sociales;
• seguimiento de conversiones;
• tecnologías de sesión;
• identificadores de dispositivo;
• SDK; y
• otras tecnologías que recojan información que permita identificar a las personas o relacionarse con ellas.

La necesidad de consentimiento depende de la base jurídica aplicable y de las circunstancias. Las organizaciones no deben presumir que toda cookie exige consentimiento, pero tampoco deben desplegar tratamientos de datos personales sin establecer la base jurídica y las garantías adecuadas.

ConsentX puede ayudar a las empresas a poner en práctica este proceso:

• analizar los sitios web en busca de cookies y rastreadores;
• categorizar las tecnologías de seguimiento;
• bloquear las tecnologías seleccionadas hasta obtener la autorización aplicable;
• registrar las decisiones de consentimiento;
• gestionar experiencias de consentimiento específicas por región; y
• mantener pruebas de consentimiento auditables.

Marketing directo y publicidad

Las actividades de marketing suelen implicar datos personales y por tanto deben integrarse en el programa de cumplimiento en materia de privacidad de la organización.

Las empresas deben evaluar:

• el origen de los datos de marketing;
• la base jurídica del tratamiento;
• si se requiere consentimiento;
• cómo se registran las preferencias de marketing;
• los mecanismos de baja y de retirada;
• las plataformas publicitarias de terceros;
• la comunicación de datos;
• la elaboración de perfiles;
• la conservación; y
• las transferencias internacionales.

Cuando se exija consentimiento, el consentimiento de marketing debe separarse claramente de condiciones que no guarden relación con él.

Tratamiento automatizado, perfilado e IA

Las empresas que utilicen IA, decisiones automatizadas, elaboración de perfiles o analítica de comportamiento deben evaluar si esas actividades implican datos personales y si resultan aplicables requisitos adicionales.

Una evaluación de privacidad debe considerar:

• qué datos se suministran al sistema;
• la finalidad del tratamiento;
• si intervienen datos personales sensibles;
• si los datos se transfieren a un proveedor en el extranjero;
• si las decisiones afectan sustancialmente a las personas;
• si las personas reciben información adecuada;
• los controles de seguridad y de acceso;
• la conservación;
• el tratamiento por parte de proveedores; y
• la supervisión humana cuando resulte adecuada.

Las organizaciones deben documentar sus casos de uso de IA y de tratamiento automatizado como parte de su gobierno más amplio de los datos personales.

Pequeñas empresas y startups

La Ley de Protección de Datos Personales de Vietnam contiene disposiciones transitorias de cumplimiento para determinadas pequeñas empresas y startups.

Conforme a la ley, las pequeñas empresas y startups que cumplan los requisitos pueden optar por aplicar o no determinadas disposiciones durante un periodo de cinco años desde la entrada en vigor de la ley, con sujeción a las excepciones legales. La exención no se aplica, por regla general, cuando la empresa presta servicios de tratamiento de datos personales, trata directamente datos personales sensibles o trata datos personales de un gran número de interesados.

El Decreto 356/2025/ND-CP ofrece detalles adicionales sobre los umbrales y las exenciones aplicables.

Por tanto, las empresas deben comprobar si cumplen los requisitos en lugar de suponer que todas las startups o pequeñas empresas están automáticamente exentas de las exigencias vietnamitas de privacidad.

Transición desde el Decreto 13/2023

El marco vietnamita de privacidad cambió de forma significativa el 1 de enero de 2026.

La nueva Ley de Protección de Datos Personales prevé expresamente un tratamiento transitorio para determinadas actividades que ya se realizaban con consentimientos o acuerdos obtenidos con el Decreto 13/2023/ND-CP antes de la entrada en vigor de la nueva ley. Algunos expedientes de evaluación de impacto ya presentados también pueden continuar conforme a las reglas transitorias.

Al mismo tiempo, el Decreto 356/2025/ND-CP establece que el Decreto 13/2023/ND-CP deja de tener efecto desde el 1 de enero de 2026.

Por tanto, las empresas deben actualizar sus programas de cumplimiento en lugar de seguir basándose exclusivamente en orientaciones diseñadas para el antiguo régimen del Decreto 13.

Lista de comprobación para cumplir la Ley de Protección de Datos Personales de Vietnam

Utilice esta lista para revisar el programa de privacidad de su organización en Vietnam:

• Identificar los datos personales recogidos y tratados
• Clasificar los datos personales básicos y sensibles
• Mapear las finalidades del tratamiento
• Determinar la base jurídica aplicable
• Revisar los mecanismos de consentimiento donde se exija
• Conservar pruebas del consentimiento
• Actualizar los avisos de privacidad
• Establecer procedimientos para las solicitudes de los interesados
• Implantar medidas de seguridad adecuadas
• Revisar los plazos de conservación
• Identificar encargados y terceros
• Revisar las transferencias internacionales y transfronterizas
• Evaluar los requisitos de evaluación de impacto
• Establecer procedimientos de respuesta a brechas
• Prepararse para las notificaciones aplicables en 72 horas
• Revisar las tecnologías de marketing y publicidad
• Analizar las cookies y los rastreadores del sitio web
• Bloquear las tecnologías no esenciales seleccionadas hasta la autorización aplicable
• Revisar y actualizar periódicamente los controles de privacidad

Por qué el cumplimiento vietnamita importa a los negocios digitales

Para las organizaciones que operan sitios web, apps y plataformas digitales en Vietnam, el cumplimiento en materia de datos personales exige cada vez más coordinación entre los equipos de privacidad, seguridad, jurídico, marketing y tecnología.

Un programa de cumplimiento moderno debe combinar base jurídica, transparencia, gestión del consentimiento, gobierno del dato, seguridad, gestión de derechos, controles de transferencia y pruebas auditables.

ConsentX puede dar soporte a la gestión del consentimiento y a la capa de privacidad del sitio web, mientras las organizaciones mantienen los controles jurídicos y organizativos más amplios que exige el marco vietnamita.

La Ley de Protección de Datos Personales se aplica dentro del marco jurídico vietnamita y contiene además disposiciones que afectan a determinadas organizaciones y personas extranjeras implicadas en el tratamiento de los datos personales cubiertos.