Protección de datos personales: la Ley de Protección de Datos Personales de 2025 y el Decreto n.º 356/2025/ND-CP, ámbito extraterritorial, responsables y encargados del tratamiento, el consentimiento y las demás bases jurídicas, datos sensibles, derechos de los interesados y plazos de respuesta, evaluaciones de impacto, notificación de violaciones, delegados de protección de datos, el período de gracia para pymes, sanciones conforme al Decreto n.º 330/2026/ND-CP y una lista de comprobación de cumplimiento

Una ley, no un decreto

El primer instrumento integral de protección de datos de Vietnam fue el Decreto n.º 13/2023/ND-CP. Fue sustituido el 1 de enero de 2026 por la Ley n.º 91/2025/QH15 de Protección de Datos Personales (la PDPL), aprobada el 26 de junio de 2025, y por su decreto de desarrollo, el Decreto n.º 356/2025/ND-CP, dictado el 31 de diciembre de 2025 y en vigor desde el día siguiente (pregunta frecuente 81). Las sanciones figuran en el Decreto n.º 330/2026/ND-CP, en vigor desde el 19 de agosto de 2026, que abarca también las infracciones en materia de ciberseguridad. La supervisión y la aplicación corresponden al Departamento de Ciberseguridad y Prevención de la Delincuencia de Alta Tecnología (A05) del Ministerio de Seguridad Pública, que recibe los expedientes de evaluación de impacto y las notificaciones de violaciones, gestiona el portal nacional de protección de datos personales e inspecciona el cumplimiento.

La PDPL se aplica a las organizaciones y personas físicas vietnamitas y extranjeras en Vietnam, y a las organizaciones y personas físicas extranjeras en el extranjero que tratan directamente, o intervienen en el tratamiento de, datos personales de ciudadanos vietnamitas y de determinadas personas residentes en Vietnam. Una matriz extranjera que gestiona el sistema de recursos humanos del grupo, un operador extranjero de comercio electrónico que vende a consumidores vietnamitas y un proveedor extranjero de servicios en la nube o de análisis que trata datos por cuenta de un cliente vietnamita pueden quedar comprendidos en su ámbito. Las mismas normas se aplican a las sociedades nacionales y a las de propiedad extranjera. La protección de datos personales se solapa con las normas de ciberseguridad y de localización de datos, que se tratan en Ciberseguridad, localización de datos y transferencias transfronterizas.

Funciones: responsable, encargado y terceros

La PDPL reparte las obligaciones según la función. El responsable del tratamiento de datos personales decide los fines y los medios del tratamiento; el encargado del tratamiento de datos personales trata los datos por cuenta del responsable en virtud de un contrato; el responsable y encargado hace ambas cosas; y el tercero es cualquier otra persona autorizada a tratar los datos. El responsable asume las obligaciones principales: identificar una base jurídica, informar, obtener el consentimiento, atender a los interesados, preparar las evaluaciones de impacto, aplicar medidas de seguridad y notificar las violaciones. El encargado debe tratar los datos solo conforme a las instrucciones recibidas, aplicar medidas de seguridad, asistir al responsable y suprimir o devolver los datos al término del contrato. El Decreto n.º 356/2025/ND-CP exige un acuerdo escrito para las transferencias a encargados y terceros y para las transferencias en una reestructuración, que abarque el fin, los interesados, los tipos de datos, la duración, la supresión, la base jurídica y las responsabilidades, y exige cifrado, anonimización o una protección equivalente cuando se transfieren datos sensibles.

Dentro de un grupo, la filial vietnamita suele ser la responsable del tratamiento de los datos de sus clientes y empleados, y su matriz o un centro regional de servicios compartidos actúa como encargado o como otro responsable. El acuerdo intragrupo de transferencia de datos debería reflejar las funciones reales; es probable que una matriz que fija los fines de un sistema global de recursos humanos o de CRM sea responsable del tratamiento por derecho propio.

Bases jurídicas y consentimiento

El consentimiento es la base por defecto. Debe prestarse libre y expresamente para un fin específico, previa información sobre el fin, los tipos de datos, los destinatarios, los derechos del interesado y las consecuencias del tratamiento; el silencio o la inacción no constituyen consentimiento. El Decreto n.º 356/2025/ND-CP exige que el consentimiento se registre de modo que puedan verificarse su momento y su contenido, prohíbe las casillas premarcadas y las configuraciones poco claras o engañosas, y admite el consentimiento prestado por teléfono, correo electrónico, sitio web, plataforma o aplicación cuando la configuración técnica cumple esos requisitos. El consentimiento puede retirarse en cualquier momento, y el responsable debe entonces dejar de tratar los datos en los plazos que se describen más adelante. Se necesita un consentimiento separado para cada fin, por lo que un consentimiento agrupado en una política de privacidad extensa resulta débil.

El artículo 19, apartado 1, de la PDPL enumera cinco supuestos en que los datos personales pueden tratarse sin consentimiento: para proteger la vida, la salud, la dignidad, los derechos o los intereses legítimos del interesado o de otras personas en situaciones urgentes; para responder a emergencias, amenazas a la seguridad nacional, terrorismo, delitos y otras infracciones; para atender a las actividades de los organismos del Estado y a la gestión estatal conforme a la ley; para ejecutar un acuerdo entre el interesado y la organización o persona física correspondiente en los términos que prevea la ley; y otros supuestos previstos por la ley. Los contratos de trabajo y con clientes pueden, por tanto, amparar el tratamiento necesario para su ejecución, pero el marketing, la elaboración de perfiles, las transferencias a sociedades del grupo para sus propios fines y la comunicación a socios siguen necesitando en general consentimiento. La PDPL prohíbe la compraventa de datos personales salvo en los casos permitidos por la ley.

Datos personales sensibles

La PDPL distingue entre datos personales básicos y sensibles, y el Decreto n.º 356/2025/ND-CP enumera unos y otros. Los datos sensibles incluyen los datos sobre opiniones políticas y religiosas, estado de salud, datos genéticos y biométricos, vida y orientación sexuales, antecedentes penales y ubicación precisa y, entre las adiciones del decreto, los datos de seguimiento del comportamiento y de uso procedentes de servicios de telecomunicaciones, redes sociales, medios en línea y otros servicios del ciberespacio, los nombres de usuario y contraseñas de las cuentas de identificación electrónica, las imágenes de los documentos de identidad, y los datos de cuentas bancarias, tarjetas de pago y transacciones financieras. El tratamiento de datos sensibles exige informar de que los datos son sensibles y aplicar una seguridad y unos controles de acceso reforzados, y excluye el período de gracia para pequeñas empresas que se describe más adelante. Por tanto, una empresa que hace un seguimiento de los usuarios de una aplicación, procesa pagos con tarjeta o conserva copias de los documentos de identidad de los clientes está tratando datos sensibles y debería planificarse en consecuencia.

Derechos de los interesados y plazos de respuesta

Las personas físicas tienen derecho a ser informadas, a consentir y a retirar el consentimiento, a acceder a sus datos y obtener una copia, a rectificarlos, a que se supriman, a limitar el tratamiento o a oponerse a él, a presentar reclamaciones y a reclamar una indemnización (pregunta frecuente 83). El Decreto n.º 356/2025/ND-CP fija los plazos. El responsable debe responder a cualquier solicitud en el plazo de dos días hábiles. Después debe atender una solicitud de retirada del consentimiento, de limitación o de oposición en el plazo de 15 días (20 días cuando intervienen encargados o terceros); una solicitud de acceso, rectificación o entrega de datos en el plazo de 10 días (15); y una solicitud de supresión en el plazo de 20 días (30). Cada plazo puede prorrogarse una vez, como máximo por el mismo número de días. Una empresa con grandes volúmenes de consumidores necesita un procedimiento de gestión de solicitudes, verificación de identidad y un registro; los plazos de respuesta son demasiado cortos para cumplirlos con una gestión improvisada.

Evaluaciones de impacto

Los responsables y los encargados del tratamiento deben preparar una evaluación de impacto del tratamiento de datos personales y, antes de enviar datos personales al extranjero, incluso almacenándolos en servidores situados fuera de Vietnam o utilizando una nube en el extranjero, una evaluación de impacto de la transferencia, y presentarlas en línea ante el A05 (pregunta frecuente 82). El Decreto n.º 356/2025/ND-CP concede 60 días desde el inicio de la transferencia para presentar el expediente de transferencia; el A05 examina el expediente en el plazo de 15 días y puede exigir que se complete en el plazo de 30 días. Los expedientes deben incluir las políticas, los procedimientos y los modelos internos de protección de datos de la organización y una descripción de los flujos de datos para cada función, y deben actualizarse cada seis meses cuando surjan nuevos fines o cambie el responsable, el encargado o el tercero, y en el plazo de diez días tras una reorganización, una disolución, un cambio de proveedor de servicios de protección o un cambio de las actividades empresariales que impliquen datos personales. El decreto exime de la evaluación de impacto de la transferencia las transferencias realizadas para la gestión de personal conforme a la normativa laboral, el reglamento interno y los convenios colectivos, pero la exención es estrecha, y las plataformas globales de recursos humanos utilizadas con fines más amplios deberían evaluarse igualmente. Cuando los datos personales sean también datos esenciales o importantes conforme a la Ley de Datos, los expedientes de la PDPL sustituyen a la evaluación separada exigida por la Ley de Datos.

Violaciones de seguridad, delegados y período de gracia para pymes

El responsable del tratamiento debe notificar al A05 en un plazo de 72 horas desde que detecta una infracción notificable de las normas de protección de datos personales, y los encargados deben notificarlo sin demora al responsable. Determinadas violaciones deben notificarse también a las personas afectadas, entre ellas las producidas en proveedores de servicios financieros y las que afectan a datos biométricos o de ubicación, en un plazo de 72 horas desde su descubrimiento o, cuando la notificación individual no sea factible, mediante divulgación pública; los registros de violaciones deben conservarse al menos cinco años tras su subsanación. Las organizaciones deben designar un departamento o delegado de protección de datos personales con la cualificación que prescribe el Decreto n.º 356/2025/ND-CP, esto es, una titulación de educación superior de ciclo corto (college) o superior, al menos dos años de experiencia pertinente y formación en protección de datos, o contratar a un proveedor externo cualificado.

Las pequeñas empresas y las empresas emergentes disponen de un período de gracia de cinco años desde el 1 de enero de 2026 para designar un delegado o un proveedor de protección de datos y para preparar, actualizar y presentar las evaluaciones de impacto, y los negocios familiares y las microempresas están en gran medida exentos. El alivio no se aplica a la empresa que presta servicios de tratamiento de datos personales, trata directamente datos personales sensibles o trata datos de 100 000 o más interesados, por lo que muchas empresas emergentes tecnológicas y orientadas al consumidor no se benefician de él.

Sanciones

El Decreto n.º 330/2026/ND-CP, en vigor desde el 19 de agosto de 2026, desarrolla los límites sancionadores de la PDPL. Las organizaciones pueden ser multadas con hasta 3 mil millones de VND por la mayoría de las infracciones, y las personas físicas con la mitad. La compraventa ilícita de datos personales se sanciona con multas de hasta diez veces lo obtenido. Las infracciones de las normas sobre transferencias transfronterizas, como transferir sin el expediente exigido, ocultar o falsear flujos de datos que den lugar a fugas, o continuar tras una orden de cese, se sancionan con un porcentaje de los ingresos obtenidos en Vietnam en el ejercicio anterior: del 1 % al 2 % cuando se ven afectados de 10 000 a menos de 100 000 interesados, del 2 % al 3 % de 100 000 a menos de un millón, y del 3 % al 5 % a partir de un millón, con multas fijas de hasta 3 mil millones de VND cuando no hay ingresos en Vietnam o el porcentaje resultaría inferior. Se aplican multas menores a los incumplimientos de expediente y de procedimiento, el tratamiento puede suspenderse hasta que se subsane un incumplimiento relativo a la evaluación de impacto, y las infracciones transfronterizas graves pueden dar lugar a la suspensión de las transferencias durante seis a 12 meses. Las personas físicas responsables también pueden incurrir en responsabilidad penal por uso ilícito de información en redes informáticas conforme al Código Penal.