Ciberseguridad, localización de datos y transferencias transfronterizas: la Ley de Ciberseguridad de 2025 y el Decreto n.º 333/2026/ND-CP, quién debe almacenar datos en Vietnam y abrir una oficina local, la Ley de Datos y los datos esenciales e importantes, las evaluaciones de impacto de la transferencia conforme a la PDPL, la protección de los sistemas de información, las sanciones y una guía de decisión para los datos informáticos y de recursos humanos del grupo

Tres regímenes, una pregunta

Una empresa de capital extranjero que quiera gestionar sus operaciones vietnamitas con sistemas del grupo alojados en el extranjero, ya sea un ERP, un CRM, una plataforma de recursos humanos o una nube pública, debe preguntarse si los datos pueden salir de Vietnam y si alguno de ellos debe también permanecer allí. Tres leyes responden a la pregunta, cada una con su propia lógica reguladora, pero todas supervisadas por el Ministerio de Seguridad Pública. La Ley de Ciberseguridad determina quién debe almacenar datos en Vietnam y abrir una oficina local. La Ley de Datos controla la transferencia al extranjero de los datos clasificados como esenciales o importantes, sean o no personales. La Ley de Protección de Datos Personales exige una evaluación de impacto de la transferencia para toda transferencia de datos personales al extranjero (pregunta frecuente 82). Se solapan, y una sola transferencia puede activar las tres.

No existe una prohibición general de enviar datos al extranjero ni una norma general según la cual todos los datos deban almacenarse en Vietnam. Para la mayoría de los fabricantes, comerciantes y empresas de servicios de capital extranjero, los requisitos prácticos son la evaluación de impacto de la transferencia de la PDPL y una buena seguridad, y las normas de localización y de datos esenciales solo son relevantes en sectores concretos o tras determinados hechos desencadenantes. Las normas detalladas de la PDPL se tratan en Protección de datos personales.

La Ley de Ciberseguridad de 2025 y sus decretos

La Ley n.º 24/2018/QH14 de Ciberseguridad introdujo la localización de datos, desarrollada desde el 1 de octubre de 2022 por el Decreto n.º 53/2022/ND-CP. La Ley n.º 116/2025/QH15 de Ciberseguridad, en vigor desde el 1 de julio de 2026, la refundió con la Ley de Seguridad de la Información en Red de 2015 en una sola ley sobre ciberseguridad y seguridad de la información en red, y amplió las facultades del Ministerio de Seguridad Pública. El 19 de agosto de 2026, el Gobierno dictó siete decretos de desarrollo: el Decreto n.º 327/2026/ND-CP, sobre la información en línea perjudicial para la seguridad nacional y el orden público; el n.º 328/2026/ND-CP, sobre la información falsa y engañosa, en vigor desde el 5 de octubre de 2026; el n.º 329/2026/ND-CP, sobre las fuerzas de protección de la ciberseguridad; el n.º 330/2026/ND-CP, sobre las sanciones administrativas en materia de ciberseguridad y protección de datos personales; el n.º 331/2026/ND-CP, sobre la protección de los sistemas de información, con una clasificación en cinco niveles; el n.º 332/2026/ND-CP, sobre las empresas de productos y servicios de ciberseguridad; y el n.º 333/2026/ND-CP, que desarrolla la ley y mantiene, con revisiones, las partes del Decreto n.º 53/2022/ND-CP que siguen siendo adecuadas, incluidas las normas de localización. Las disposiciones transitorias preservan determinados regímenes anteriores para los sistemas y contratos existentes y para las solicitudes de licencia recibidas antes del 1 de julio de 2026.

El Decreto n.º 331/2026/ND-CP exige a los titulares de sistemas de información clasificarlos en uno de cinco niveles según el daño que causaría una violación de seguridad y aplicar las medidas de protección correspondientes a ese nivel, con los niveles superiores sujetos a aprobación e inspección. La mayoría de los sistemas comerciales privados se sitúan en los niveles inferiores, pero los operadores de grandes plataformas de consumo, de servicios financieros y de sistemas importantes para la seguridad nacional deberían comprobar su clasificación.

Quién debe almacenar datos en Vietnam y abrir una oficina

El Decreto n.º 333/2026/ND-CP distingue entre empresas nacionales y extranjeras. Las empresas nacionales, categoría que incluye a las sociedades vietnamitas propiedad de inversores extranjeros, que prestan en Vietnam servicios de telecomunicaciones, de internet y de valor añadido en el ciberespacio deben almacenar en Vietnam determinados datos: la información personal de los usuarios de los servicios en Vietnam y los datos creados por esos usuarios, como los nombres de cuenta, los tiempos de uso del servicio, la información de tarjetas de crédito, las direcciones de correo electrónico, las direcciones IP del último inicio y cierre de sesión y los números de teléfono vinculados.

Las empresas extranjeras solo quedan incluidas si prestan en Vietnam los servicios enumerados: telecomunicaciones, almacenamiento y puesta en común de datos en línea, registro de nombres de dominio, comercio electrónico, pagos en línea e intermediación de pagos, conexión de transporte en línea, redes sociales y medios sociales, juegos en línea, aplicaciones en línea y otros determinados servicios de información en línea. Aun así, las obligaciones solo nacen cuando se produce un hecho desencadenante. El servicio debe haberse utilizado para cometer una infracción de ciberseguridad; la fuerza especializada del Ministerio de Seguridad Pública debe haber notificado la infracción y formulado requerimientos escritos de cooperación, hasta tres en un período de hasta seis meses; y la empresa no debe haber subsanado la infracción ni atendido los requerimientos, o debe haber obstaculizado o inutilizado las medidas de protección. El Ministerio puede entonces decidir que la empresa almacene los datos en Vietnam y establezca una sucursal u oficina de representación responsable del cumplimiento. La empresa dispone de 12 meses desde la decisión para cumplir, debe conservar los datos durante al menos 24 meses y debe mantener la oficina hasta que deje de operar en Vietnam o de prestar el servicio (pregunta frecuente 82). Los proveedores de telecomunicaciones y de alojamiento deben retirar o bloquear los contenidos ilícitos en un plazo de 24 horas desde el requerimiento de la fuerza especializada, facilitar la identificación de direcciones IP en un plazo de 24 horas, o de tres horas en los casos urgentes de seguridad nacional y delitos graves, y conservar los registros durante al menos 12 meses.

La Ley de Datos: datos esenciales e importantes

La Ley n.º 60/2024/QH15 de Datos, en vigor desde el 1 de julio de 2025 y desarrollada por el Decreto n.º 165/2025/ND-CP, de 30 de junio de 2025, regula los datos digitales en general, sean personales o no. Clasifica los datos por su importancia y controla la transferencia al extranjero de los datos importantes y de los datos esenciales, estos últimos un subconjunto de los primeros cuyo uso ilícito amenazaría directamente la defensa nacional, la seguridad, las relaciones exteriores, la macroeconomía, la estabilidad social o la salud y la seguridad públicas. Las categorías figuran en la Decisión n.º 20/2025/QD-TTg. Para las organizaciones privadas, los datos importantes incluyen los datos personales básicos de 100 000 o más personas, los datos personales sensibles de 10 000 o más personas y los datos de cuentas bancarias, pagos o deudas de 10 000 o más empresas; los datos esenciales incluyen las categorías correspondientes a partir de un millón de personas, 100 000 personas y 100 000 empresas, así como los datos de defensa, seguridad y criptografía y los datos en poder del Estado sobre infraestructuras críticas, sanidad y finanzas.

La transferencia al extranjero de datos esenciales requiere aprobación previa: el transmitente presenta un expediente de evaluación de impacto ante el Ministerio de Seguridad Pública, o ante el Ministerio de Defensa Nacional en el caso de los datos militares, de defensa y criptográficos, y recibe una decisión escrita. Los datos importantes pueden transferirse sin aprobación previa, pero el transmitente debe realizar una evaluación de riesgos que abarque la legalidad, la necesidad, el alcance, los estándares de protección del destinatario, los riesgos de fuga y las responsabilidades, y presentar el expediente ante el Ministerio. El Decreto n.º 356/2025/ND-CP dispone que, cuando se trate de datos personales que sean también datos esenciales o importantes, solo se exigen los expedientes de evaluación de impacto del tratamiento y de la transferencia de la PDPL, y no una evaluación separada conforme al Decreto n.º 165/2025/ND-CP. Por otra parte, los proveedores de servicios de intermediación de datos deben ubicar su infraestructura en Vietnam y tener como representante legal a un ciudadano vietnamita.

Nube, externalización y normas sectoriales

Los servicios de centros de datos y en la nube pueden ser de propiedad extranjera al 100 % y solo requieren registro, o notificación en el caso de los proveedores situados en el extranjero, conforme a la legislación de telecomunicaciones (pregunta frecuente 94), de modo que un grupo puede alojar datos vietnamitas en un centro de datos situado en Vietnam y gestionado por un proveedor de propiedad extranjera si opta por localizarlos. Varios sectores añaden sus propias normas: los bancos y los intermediarios de pagos están sujetos a los requisitos del Banco Estatal sobre centros de datos, centros de respaldo y externalización de servicios informáticos; los datos de valores, seguros y sanidad tienen sus propios controles; y los datos de los organismos del Estado y los datos clasificados como secretos de Estado no pueden salir de Vietnam. Una empresa de capital extranjero de un sector regulado debería comprobar las normas de su sector antes de cualquier migración al extranjero. Las sanciones por infracciones de ciberseguridad conforme al Decreto n.º 330/2026/ND-CP alcanzan los 200 millones de VND para las organizaciones y los 100 millones de VND para las personas físicas; las sanciones por infracciones relativas a la transferencia de datos personales, basadas en los ingresos, se exponen en Protección de datos personales.