Conformidade com a Lei de Proteção de Dados Pessoais do Vietnã

O marco vietnamita de proteção de dados pessoais

O marco vietnamita atual de proteção de dados pessoais baseia-se na Lei n.º 91/2025/QH15 de Proteção de Dados Pessoais, no Decreto n.º 356/2025/ND-CP, que detalha a aplicação da lei, e em outras normas e exigências setoriais quando aplicáveis.

• Lei n.º 91/2025/QH15 de Proteção de Dados Pessoais
• Decreto n.º 356/2025/ND-CP, que detalha a aplicação da lei
• Outras normas e exigências setoriais, quando aplicáveis

A lei reconhece o consentimento como base legal importante para o tratamento, mas o consentimento não é a única base possível para tratar dados pessoais. As organizações devem identificar a base legal aplicável e cumprir as exigências legais correspondentes antes de tratar dados.

Quando o consentimento for exigido ou invocado, as organizações devem assegurar que ele seja obtido adequadamente e possa ser demonstrado. O Decreto 356/2025/ND-CP prevê formas reproduzíveis de consentimento, inclusive escritas e eletrônicas.

O que são dados pessoais na lei vietnamita?

A Lei de Proteção de Dados Pessoais do Vietnã define dados pessoais de forma ampla, como dados digitais ou informações em outro formato que identifiquem ou ajudem a identificar uma pessoa determinada.

O marco distingue dados pessoais básicos de dados pessoais sensíveis, e a classificação detalhada de cada categoria é definida por normas do governo.

As organizações devem, portanto, manter um inventário de dados que identifique tanto o tipo de dados pessoais tratados quanto se eles pertencem a uma categoria especialmente protegida.

Dados pessoais básicos

Os dados pessoais básicos abrangem informações pessoais comuns e dados de contexto utilizados em transações e relações sociais, incluídos nas categorias definidas pelo governo.

Conforme a classificação aplicável, podem incluir informações usadas para identificar uma pessoa ou para se comunicar com ela.

Dados pessoais sensíveis

Dados pessoais sensíveis são dados pessoais associados ao direito à privacidade de uma pessoa, cuja violação poderia afetar diretamente os direitos e interesses legítimos das partes envolvidas.

A classificação detalhada dos dados pessoais sensíveis é definida por normas do governo.

Bases legais para o tratamento de dados pessoais

Na lei vietnamita atual, o consentimento não é exigência geral para toda atividade de tratamento.

A lei define consentimento como a permissão dada pelo titular para o tratamento de seus dados pessoais, salvo disposição legal em sentido contrário.

Assim, as organizações devem determinar:

• quais dados pessoais são tratados;
• por que os dados são tratados;
• qual base legal permite o tratamento;
• se o consentimento é exigido;
• quais informações devem ser fornecidas;
• quais salvaguardas se aplicam; e
• se é exigida avaliação de impacto ou outra documentação.

Essa é uma mudança importante em relação à ideia de que o marco vietnamita simplesmente exige consentimento para todo tratamento.

Requisitos do consentimento

Quando o consentimento for a base legal aplicável, as empresas devem desenhar seus mecanismos de consentimento de forma clara, demonstrável e adequadamente documentada.

No marco atual:

• o consentimento é uma permissão concedida pelo titular para o tratamento;
• as exigências legais aplicáveis determinam quando o consentimento é necessário;
• as organizações devem conseguir demonstrar a base do tratamento;
• o consentimento deve ser coletado, quando exigido, por mecanismo adequado e reproduzível; e
• as organizações devem manter evidências que sustentem a atividade de tratamento.

O Decreto 356/2025/ND-CP reconhece métodos como consentimento por escrito, chamadas gravadas, SMS, e-mail, sites, plataformas, aplicativos e outros meios capazes de reprodução ou verificação.

O consentimento não substitui a governança de privacidade

Um banner de consentimento, isoladamente, não estabelece conformidade completa.

As empresas devem conectar a gestão de consentimento a:

• avisos de privacidade;
• inventários de dados;
• registros de tratamento;
• fluxos de direitos dos titulares;
• políticas de retenção;
• controles de segurança;
• gestão de fornecedores;
• controles de transferência internacional; e
• documentação de avaliações de impacto, quando aplicável.

Avisos de privacidade e transparência

As organizações devem fornecer às pessoas informações adequadas sobre o tratamento de seus dados pessoais.

Um aviso de privacidade útil deve explicar, quando pertinente:

• quais dados pessoais são coletados;
• a finalidade do tratamento;
• como os dados são usados;
• a base legal aplicável;
• os destinatários ou categorias de destinatários pertinentes;
• considerações sobre a retenção dos dados;
• transferências internacionais ou transfronteiriças;
• os direitos dos titulares;
• como exercer esses direitos;
• os contatos para solicitações de privacidade; e
• outras informações exigidas pela legislação aplicável.

Em sites e aplicativos, a transparência deve abranger cookies, analytics, tecnologias de publicidade, tecnologias de rastreamento e outros identificadores online quando envolverem dados pessoais.

Direitos dos titulares

A Lei de Proteção de Dados Pessoais do Vietnã assegura direitos aos titulares e estabelece responsabilidades correspondentes às organizações que tratam dados pessoais.

Conforme as circunstâncias, as organizações devem estar preparadas para atender solicitações relativas a:

• acesso aos dados pessoais;
• correção ou atualização de dados inexatos;
• retirada do consentimento quando o tratamento nele se baseia;
• eliminação quando juridicamente aplicável;
• restrição do tratamento quando cabível;
• oposição ou outros direitos reconhecidos pela lei; e
• outros direitos previstos na Lei de Proteção de Dados Pessoais e na regulamentação de aplicação.

As organizações devem estabelecer um fluxo interno para receber, autenticar, acompanhar e responder às solicitações dos titulares nos prazos legais aplicáveis.

Dados pessoais de crianças

O tratamento de dados pessoais de crianças exige salvaguardas adicionais no marco vietnamita de proteção de dados pessoais.

Empresas que ofereçam serviços a crianças ou tratem conscientemente seus dados pessoais devem avaliar:

• exigências relacionadas à idade;
• requisitos de consentimento;
• a participação dos pais ou do representante legal quando exigida;
• avisos de privacidade adequados;
• minimização de dados;
• salvaguardas de segurança; e
• exigências de retenção e eliminação.

Serviços voltados a crianças devem incorporar essas exigências ao desenho do produto, em vez de tratá-las como algo posterior.

Tratamento de dados pessoais sensíveis

Os dados pessoais sensíveis recebem proteção reforçada no marco vietnamita.

As empresas que tratam dados pessoais sensíveis devem identificar a categoria pertinente e avaliar se há obrigações adicionais quanto a:

• base legal;
• transparência;
• segurança;
• governança;
• avaliações de impacto;
• controles de acesso;
• retenção;
• transferências de dados; e
• gestão de incidentes.

Um programa de privacidade deve manter um inventário claro que mostre onde dados pessoais sensíveis são coletados, tratados, armazenados ou transferidos.

Avaliações de impacto do tratamento de dados pessoais

O marco vietnamita atual inclui exigências de avaliação de impacto para determinadas atividades de tratamento.

As organizações devem avaliar se seu tratamento exige um dossiê de avaliação de impacto do tratamento de dados pessoais e assegurar que a documentação exigida seja mantida e apresentada conforme as regras aplicáveis.

Uma avaliação eficaz deve considerar:

• as categorias de dados pessoais;
• as finalidades do tratamento;
• os métodos de tratamento;
• os riscos para os titulares;
• as salvaguardas de segurança;
• a retenção;
• os acordos de compartilhamento de dados;
• os operadores e terceiros;
• o tratamento transfronteiriço; e
• as medidas usadas para reduzir os riscos identificados.

Transferências internacionais de dados

O tratamento transfronteiriço é uma área de conformidade importante na lei vietnamita atual.

O Decreto 356/2025/ND-CP define de forma ampla as atividades de transferência internacional, incluindo situações que envolvam a movimentação ou o tratamento de dados pessoais coletados ou armazenados no Vietnã por meio de infraestrutura no exterior, serviços de nuvem estrangeiros ou destinatários no exterior.

Empresas que utilizem:

• provedores de nuvem internacionais;
• sistemas de CRM globais;
• plataformas de analytics no exterior;
• plataformas de publicidade internacionais;
• aplicativos SaaS estrangeiros;
• ferramentas globais de suporte ao cliente; ou
• fornecedores de tratamento de dados no exterior

devem avaliar se suas atividades constituem tratamento transfronteiriço regulado.

Conforme as circunstâncias, a organização pode precisar preparar ou manter um dossiê de avaliação de impacto de transferência internacional de dados pessoais, ou cumprir outro mecanismo legal aplicável.

Requisitos de segurança dos dados

As organizações que tratam dados pessoais devem implementar salvaguardas organizacionais, técnicas e humanas adequadas.

As medidas de segurança podem incluir:

• controles de acesso;
• autenticação;
• criptografia quando adequada;
• segurança de rede e de aplicações;
• registro de logs e monitoramento;
• gestão de vulnerabilidades;
• backup e recuperação;
• treinamento de funcionários;
• controles de segurança de fornecedores;
• procedimentos de resposta a incidentes; e
• minimização de dados e controle de retenção.

A segurança deve ser proporcional à natureza dos dados tratados e aos riscos associados.

Notificação de violação de dados pessoais

A atual Lei de Proteção de Dados Pessoais do Vietnã estabelece prazo de notificação de 72 horas para as infrações abrangidas relativas a dados pessoais, contado de quando a organização descobre a infração.

A exigência se aplica às infrações que possam prejudicar aspectos como a defesa ou a segurança nacional, a ordem e a segurança públicas, a vida ou a saúde, a honra e a dignidade, ou o patrimônio, observadas as condições legais.

As organizações devem, portanto, manter um processo de resposta a incidentes capaz de:

• detectar uma possível violação;
• avaliar o incidente;
• determinar se o limite legal foi atingido;
• escalar o incidente internamente;
• preparar as notificações exigidas;
• documentar a resposta; e
• adotar medidas corretivas.

O processo de gestão de incidentes de privacidade deve estar conectado ao programa mais amplo de resposta a incidentes de cibersegurança da organização.

Controladores e operadores

As empresas devem definir com clareza seus papéis ao tratar dados pessoais.

Conforme a atividade, a organização pode atuar como:

• controlador de dados pessoais;
• operador de dados pessoais;
• parte que exerce funções de controlador e de operador; ou
• outro participante regulado da cadeia de tratamento.

Os contratos com operadores e fornecedores devem estabelecer com clareza:

• as finalidades do tratamento;
• as categorias de dados;
• as obrigações de segurança;
• a confidencialidade;
• a suboperação;
• a retenção dos dados;
• a eliminação ou devolução dos dados;
• a notificação de incidentes;
• o apoio às solicitações dos titulares; e
• as responsabilidades no tratamento transfronteiriço.

Retenção e eliminação de dados

O marco vietnamita exige que os dados pessoais sejam armazenados por prazo adequado à finalidade do tratamento, salvo disposição legal em sentido contrário.

As organizações devem, portanto, manter cronogramas de retenção documentados que abranjam:

• informações de clientes;
• dados de funcionários;
• bases de marketing;
• informações de contas;
• registros de consentimento;
• dados de cookies e rastreamento;
• registros de suporte;
• solicitações de titulares;
• logs de segurança; e
• dados pessoais mantidos por fornecedores.

A retenção não deve continuar indefinidamente apenas porque armazenar dados é tecnicamente barato.

Cookies e rastreamento online

Empresas que operam sites no Vietnã devem avaliar seus cookies e tecnologias de rastreamento como parte de seu programa de conformidade em dados pessoais.

Isso inclui:

• cookies de analytics;
• cookies de publicidade;
• tecnologias de retargeting;
• pixels de redes sociais;
• rastreamento de conversões;
• tecnologias de sessão;
• identificadores de dispositivo;
• SDKs; e
• outras tecnologias que coletem informações capazes de identificar pessoas ou de a elas se relacionar.

A necessidade de consentimento depende da base legal aplicável e das circunstâncias. As organizações não devem presumir que todo cookie exige consentimento, mas também devem evitar realizar tratamento de dados pessoais sem estabelecer a base legal e as salvaguardas adequadas.

A ConsentX pode ajudar as empresas a operacionalizar esse processo:

• verificar sites em busca de cookies e rastreadores;
• categorizar tecnologias de rastreamento;
• bloquear as tecnologias selecionadas até a obtenção da autorização aplicável;
• registrar as escolhas de consentimento;
• gerenciar experiências de consentimento específicas por região; e
• manter evidências auditáveis de consentimento.

Marketing direto e publicidade

As atividades de marketing frequentemente envolvem dados pessoais e devem, portanto, ser incorporadas ao programa de conformidade em privacidade da organização.

As empresas devem avaliar:

• a origem dos dados de marketing;
• a base legal do tratamento;
• se o consentimento é exigido;
• como as preferências de marketing são registradas;
• os mecanismos de descadastramento e de retirada;
• as plataformas de publicidade de terceiros;
• o compartilhamento de dados;
• a criação de perfis;
• a retenção; e
• as transferências internacionais.

Quando o consentimento for exigido, o consentimento de marketing deve ser claramente separado de condições não relacionadas.

Tratamento automatizado, perfilamento e IA

Empresas que usam IA, decisões automatizadas, perfilamento ou analytics de comportamento devem avaliar se essas atividades envolvem dados pessoais e se há exigências adicionais.

Uma avaliação de privacidade deve considerar:

• quais dados são fornecidos ao sistema;
• a finalidade do tratamento;
• se há dados pessoais sensíveis envolvidos;
• se os dados são transferidos a um provedor no exterior;
• se as decisões afetam as pessoas de forma relevante;
• se as pessoas recebem informações adequadas;
• os controles de segurança e de acesso;
• a retenção;
• o tratamento por fornecedores; e
• a supervisão humana quando adequada.

As organizações devem documentar seus casos de uso de IA e de tratamento automatizado como parte de sua governança mais ampla de dados pessoais.

Pequenas empresas e startups

A Lei de Proteção de Dados Pessoais do Vietnã traz disposições transitórias de conformidade para determinadas pequenas empresas e startups.

Pela lei, pequenas empresas e startups elegíveis podem escolher se implementam certas disposições por um período de cinco anos a contar da vigência da lei, ressalvadas as exceções legais. A isenção, em regra, não se aplica quando a empresa presta serviços de tratamento de dados pessoais, trata diretamente dados pessoais sensíveis ou trata dados pessoais de um grande número de titulares.

O Decreto 356/2025/ND-CP traz detalhes adicionais sobre os limites e as isenções pertinentes.

As empresas devem, portanto, verificar sua elegibilidade, em vez de supor que toda startup ou pequena empresa está automaticamente isenta das exigências vietnamitas de privacidade.

Transição do Decreto 13/2023

O marco vietnamita de privacidade mudou de forma significativa em 1º de janeiro de 2026.

A nova Lei de Proteção de Dados Pessoais prevê expressamente tratamento transitório para determinadas atividades que já vinham sendo realizadas com consentimentos ou acordos obtidos sob o Decreto 13/2023/ND-CP antes da vigência da nova lei. Alguns dossiês de avaliação de impacto já apresentados também podem prosseguir conforme as regras transitórias.

Ao mesmo tempo, o Decreto 356/2025/ND-CP estabelece que o Decreto 13/2023/ND-CP deixa de produzir efeitos a partir de 1º de janeiro de 2026.

As empresas devem, portanto, atualizar seus programas de conformidade, em vez de continuar a se apoiar exclusivamente em orientações pensadas para o antigo regime do Decreto 13.

Checklist de conformidade com a Lei de Proteção de Dados Pessoais do Vietnã

Use este checklist para revisar o programa de privacidade da sua organização no Vietnã:

• Identificar os dados pessoais coletados e tratados
• Classificar os dados pessoais básicos e sensíveis
• Mapear as finalidades de tratamento
• Determinar a base legal aplicável
• Revisar os mecanismos de consentimento onde ele é exigido
• Manter evidências do consentimento
• Atualizar os avisos de privacidade
• Estabelecer procedimentos para solicitações de titulares
• Implementar salvaguardas de segurança adequadas
• Revisar os prazos de retenção
• Identificar operadores e terceiros
• Revisar as transferências internacionais e transfronteiriças
• Avaliar as exigências de avaliação de impacto
• Estabelecer procedimentos de resposta a violações
• Preparar-se para as notificações aplicáveis em 72 horas
• Revisar as tecnologias de marketing e publicidade
• Verificar os cookies e rastreadores do site
• Bloquear as tecnologias não essenciais selecionadas até a autorização aplicável
• Revisar e atualizar periodicamente os controles de privacidade

Por que a conformidade vietnamita importa para negócios digitais

Para organizações que operam sites, apps e plataformas digitais no Vietnã, a conformidade em dados pessoais exige cada vez mais coordenação entre as áreas de privacidade, segurança, jurídico, marketing e tecnologia.

Um programa de conformidade moderno deve, portanto, combinar base legal, transparência, gestão de consentimento, governança de dados, segurança, gestão de direitos, controles de transferência e evidências auditáveis.

A ConsentX pode apoiar a gestão de consentimento e a camada de privacidade do site, enquanto as organizações mantêm os controles jurídicos e organizacionais mais amplos exigidos pelo marco vietnamita.

A Lei de Proteção de Dados Pessoais se aplica dentro do ordenamento jurídico vietnamita e também contém disposições que afetam determinadas organizações e pessoas estrangeiras envolvidas no tratamento dos dados pessoais abrangidos.