Vietnam establece multas de hasta 70 millones de dongs por falta de consentimiento, con sanciones mayores por infracciones relacionadas con datos

El silencio no puede considerarse consentimiento para usar datos personales

El Decreto n.º 330/2026/ND-CP de Vietnam, vigente desde el 19 de agosto de 2026, establece multas de entre 50 y 70 millones de dongs vietnamitas por considerar que el silencio de una persona equivale a su consentimiento para recopilar o tratar datos personales. El mismo rango de multas se aplica a quienes continúen deliberadamente el tratamiento después de que la persona solicite que se detenga o se restrinja, o después de que una autoridad competente lo ordene por escrito.

Las normas sobre consentimiento forman parte de un marco de sanciones mucho más amplio. Algunas infracciones relacionadas con transferencias de datos personales al extranjero pueden acarrear multas de hasta el 5 % de los ingresos del año anterior. Otras infracciones en materia de datos personales pueden conllevar multas de hasta 3.000 millones de dongs vietnamitas, mientras que el comercio ilícito de datos puede dar lugar a sanciones calculadas como múltiplos del valor de la transacción.

El decreto publicado por el Gobierno, fechado el 26 de agosto, detalla un marco compuesto por cuatro capítulos y 82 artículos. Abarca la ciberseguridad, las redes sociales, los sistemas de información y la protección de datos personales, y establece advertencias y multas como sanciones principales.

Para quienes usan aplicaciones, compran por internet o reciben mensajes publicitarios, la cuestión práctica es el control: las empresas deben tener una base legal para usar su información, explicar los fines pertinentes y respetar las solicitudes de detener el tratamiento. Para las empresas, las consecuencias van más allá de una multa y pueden incluir la suspensión de actividades, la eliminación de datos tratados ilícitamente y la devolución de los beneficios obtenidos de forma ilícita.

¿Qué hace válido el consentimiento?

El artículo 43(1) establece multas de entre 30 y 50 millones de dongs vietnamitas por diversos incumplimientos relacionados con el consentimiento. Entre ellos figuran tratar datos personales sin consentimiento cuando la ley lo exige, establecer la aceptación como opción predeterminada y presentar instrucciones poco claras que confundan la elección entre aceptar y rechazar.

Las empresas deben obtener el consentimiento de manera clara, específica y verificable. Deben poder demostrar quién aceptó, cuándo lo hizo y qué aceptó. Además, las personas deben poder elegir por separado para cada finalidad del tratamiento.

Por ejemplo, un servicio de compras puede necesitar información para completar un pedido. El decreto aborda el caso en que el acceso al servicio se condiciona a aceptar usos no relacionados de los datos personales. La persona debe poder elegir por separado si acepta esas finalidades adicionales, en lugar de tener que aceptarlas para recibir el servicio acordado.

El artículo 43 también contempla las explicaciones incompletas sobre los tipos de datos tratados, las finalidades, los derechos y obligaciones de la persona y la organización responsable del tratamiento. La falta de registros del consentimiento también puede acarrear sanciones. Por tanto, una empresa necesita tanto un proceso válido para obtener el consentimiento como pruebas de que ese proceso funcionó.

Los datos personales sensibles reciben protección adicional. No informar a una persona de que se están tratando sus datos sensibles se sanciona con multas de entre 30 y 50 millones de dongs vietnamitas. Las empresas deben identificar qué información poseen y aplicar las medidas de protección correspondientes.

Por qué la multa de 70 millones de dongs es solo una parte del panorama

La multa más alta por infracciones relacionadas con el consentimiento supera en 20 millones de dongs el límite máximo del rango inferior: pasa de 50 a 70 millones. El rango más alto se dirige a dos prácticas concretas: presumir el consentimiento a partir del silencio e ignorar deliberadamente una solicitud para detener o restringir el tratamiento.

En el marco general, los límites máximos de las multas por infracciones de ciberseguridad son de 200 millones de dongs para las organizaciones y de 100 millones para las personas. La protección de datos personales tiene una estructura distinta, con rangos de multas fijas y sanciones vinculadas tanto al comercio ilícito como a los ingresos.

La alerta jurídica de octubre de EY describe multas de entre dos y diez veces el valor de la transacción por el comercio ilegal de datos personales. Señala que ese valor se calcula a partir de pruebas como contratos, facturas, registros de pago, mensajes y extractos bancarios, sin descontar los costos.

Algunas infracciones graves relacionadas con transferencias al extranjero se sancionan con multas de entre el 1 % y el 5 % de los ingresos. EY incluye en esta categoría las transferencias que provocan la pérdida o filtración de datos de al menos 10.000 ciudadanos vietnamitas, y señala que el tramo máximo del 5 % se aplica a los casos que afectan a un millón de personas o más. Su tabla describe el máximo como una proporción de los ingresos obtenidos en Vietnam durante el año anterior, con un límite de 3.000 millones de dongs si no hubo ingresos ese año.

Las empresas extranjeras también están sujetas a las normas

El Decreto 330 se aplica a personas y organizaciones vietnamitas y extranjeras. Su alcance incluye a determinadas empresas extranjeras que prestan servicios de telecomunicaciones, internet, contenidos en línea, tecnología de la información, ciberseguridad o servicios transfronterizos, así como a organizaciones extranjeras que participan en el tratamiento de datos personales vietnamitas contemplados por la norma.

Entre los grupos protegidos figuran los ciudadanos vietnamitas y las personas de origen vietnamita que residen en Vietnam y tienen certificados de identidad, pero cuya nacionalidad aún no se ha determinado. Por ello, las empresas deben evaluar también la ubicación de sus operaciones, junto con los servicios que prestan y las personas cuyos datos manejan.

En su análisis del decreto de sanciones, Tilleke & Gibbins identifica al Ministerio de Seguridad Pública como la autoridad responsable de la protección de datos personales y la ciberseguridad. La firma señala que el decreto respalda las obligaciones establecidas en las leyes de protección de datos personales y ciberseguridad mediante un marco detallado de sanciones administrativas.

Para una empresa que opera fuera de Vietnam, el trabajo práctico incluye comprobar si sus servicios y actividades de tratamiento están comprendidos en ese ámbito. Los sistemas publicitarios, las bases de datos de clientes y las transferencias a proveedores de servicios en el extranjero pueden requerir una revisión conforme a las disposiciones pertinentes.

Las listas publicitarias necesitan una base legal

El artículo 37 aborda los correos electrónicos y mensajes publicitarios no solicitados, así como otras infracciones de las normas de publicidad en línea. El artículo 48 también puede ser pertinente cuando la información utilizada con fines publicitarios se recopiló de manera ilícita. Por tanto, la actividad publicitaria y la recopilación de los datos utilizados plantean cuestiones de cumplimiento distintas.

Una empresa que compra una lista de números de teléfono debe comprobar de dónde proceden los datos, cuál es la base legal para utilizarlos y con qué finalidad se recopilaron. También debe ofrecer una manera de rechazar la publicidad o el intercambio pertinente de información.

El artículo 43 incorpora las normas sobre consentimiento a ese proceso. Si una persona no responde a una solicitud de autorización, no ha dado su consentimiento. Las empresas que continúen deliberadamente el tratamiento después de una solicitud para detenerlo o restringirlo se exponen al rango más alto, de entre 50 y 70 millones de dongs vietnamitas.

EY también señala una sanción específica por establecer como opción predeterminada el consentimiento para divulgar datos personales a una red publicitaria afiliada. Estas redes conectan a empresas con socios que promocionan productos o las ayudan a llegar a posibles clientes. El intercambio de información mediante estos acuerdos debe respetar la elección de la persona, en lugar de basarse en una aceptación preseleccionada.

Para los consumidores, estas disposiciones vinculan la primera recopilación de un número de teléfono con sus usos posteriores. Para las empresas, revisar un mensaje de marketing es solo una parte del trabajo: también importan el origen de la lista de contactos, las autorizaciones asociadas y la forma de gestionar los rechazos.

Los datos de menores y los de vigilancia requieren controles más estrictos

Las plataformas, los servicios educativos, las aplicaciones de entretenimiento y los comercios en línea que manejan información de menores deben cumplir requisitos sobre la finalidad del tratamiento, la validez del consentimiento, la cantidad de datos recopilados y las medidas de protección. EY señala que se prevén sanciones por no verificar la edad del menor antes de tratar sus datos personales.

EY también destaca una diferencia de redacción entre la ley de protección de datos personales y el decreto. La ley exige el consentimiento tanto del menor de siete años o más como de su representante legal cuando el tratamiento tenga como finalidad divulgar la vida privada o los secretos personales del menor. Según el análisis de EY, la disposición del decreto que sanciona la falta del consentimiento de ambos está redactada en términos más amplios.

Por ello, las empresas que prestan servicios a menores deben examinar cómo se ajustan sus controles de edad y procedimientos de consentimiento a la actividad correspondiente. EY señala que, en ciertos casos de incumplimiento de la obligación de eliminar o destruir datos de menores tratados más allá de su finalidad, las organizaciones pueden recibir multas de hasta 200 millones de dongs vietnamitas.

Las grabaciones de sistemas de vigilancia pública plantean otro riesgo específico. EY señala que se sanciona el uso de datos personales, imágenes o grabaciones de voz obtenidos mediante cámaras de vigilancia pública con fines comerciales, para analizar comportamientos o para el reconocimiento facial automatizado con el propósito de crear perfiles, si no existe un consentimiento válido.

Una cámara instalada por motivos de seguridad puede generar información que una empresa quiera utilizar después para otra finalidad. Según las disposiciones descritas por EY, ese uso comercial o analítico posterior requiere su propia evaluación legal y, cuando así se especifique, un consentimiento válido. También importan los plazos de conservación: algunos acuerdos de transferencia de datos deben indicar un período de almacenamiento adecuado a la finalidad de la transferencia.

La inteligencia artificial y las redes sociales implican responsabilidades para usuarios y operadores

El uso de inteligencia artificial para suplantar la imagen, la voz o la identidad de otra persona puede acarrear sanciones cuando implica fraude, información falsa, vulneración de derechos legítimos o recopilación y uso ilícitos de datos personales. La sanción aplicable depende de la conducta y de su gravedad.

Las empresas siguen siendo responsables de sus decisiones de recopilar información, incorporarla a un sistema de inteligencia artificial y utilizar los resultados obtenidos. Por tanto, el tratamiento automatizado debe someterse a los mismos controles sobre base legal, finalidad, consentimiento y protección que se aplican a otras actividades de tratamiento.

Las obligaciones relativas a las redes sociales se extienden a sus proveedores, responsables, operadores y usuarios. Quienes publican o comparten contenido son responsables de este, también cuando implica suplantación de identidad, fraude o vulneración de los derechos e intereses legítimos de otra persona.

Las disposiciones de ciberseguridad también abordan los ataques, el acceso no autorizado, los programas maliciosos y la falta de cooperación con las fuerzas especializadas en ciberseguridad. Cuando un caso presenta indicios de delito, la explicación publicada por el Gobierno señala que el expediente debe remitirse conforme a las disposiciones pertinentes de la Ley de Tramitación de Infracciones Administrativas.

Las multas pueden ir seguidas de la eliminación de datos o la suspensión

Según la infracción concreta, las sanciones complementarias pueden incluir la pérdida del derecho a utilizar determinadas licencias o certificados por un período de entre uno y 24 meses, la suspensión de actividades durante el mismo período, la confiscación de equipos u otros bienes utilizados en la infracción y la expulsión de ciudadanos extranjeros.

El artículo 43 vincula determinadas infracciones de consentimiento con la eliminación irreversible de los datos recopilados o tratados ilícitamente. También contempla la confiscación en casos específicos y la devolución de los beneficios obtenidos de forma ilícita por las infracciones incluidas en el rango de multas más alto. En consecuencia, una empresa puede perder acceso a la información y, además, recibir una sanción económica.

La devolución de los beneficios obtenidos de forma ilícita es una medida correctiva cuyo cálculo tiene sus propias reglas. EY explica que, en los casos aplicables que no implican comercio ilegal de datos, puede abarcar los ingresos generados por actividades empresariales que utilizan datos recopilados, tratados, utilizados o transferidos ilícitamente, sin descontar los costos.

Tilleke & Gibbins enumera otras sanciones que afectan al cumplimiento cotidiano: hasta 80 millones de dongs vietnamitas por infracciones de las obligaciones de notificación de incidentes, 100 millones por incumplimientos relacionados con las evaluaciones de impacto del tratamiento de datos y 30 millones por no designar a un responsable o departamento de protección de datos.

Una evaluación de impacto es un examen documentado de las posibles consecuencias del tratamiento para los datos de las personas y de cómo se gestionarán los riesgos. Las medidas correctivas pueden incluir la obligación de presentar la evaluación y la suspensión del tratamiento hasta que se cumplan los requisitos de presentación. Pueden aplicarse medidas similares a las evaluaciones exigidas para las transferencias al extranjero. EY también señala multas de hasta 40 millones de dongs vietnamitas para las organizaciones que incumplan los plazos legales para responder a una solicitud de ejercicio de los derechos de una persona sobre sus datos.

Cuándo se aplican las normas y cómo pueden tramitarse los casos

El Decreto 330 entró en vigor el mismo día de su emisión, sin un período de transición. Su aprobación fue precedida por varios años de desarrollo del marco de Vietnam para la protección de datos personales:

• 1 de julio de 2023: entró en vigor el Decreto n.º 13/2023/ND-CP sobre protección de datos personales.
• 1 de enero de 2026: entró en vigor la Ley de Protección de Datos Personales, con requisitos de aplicación establecidos en el Decreto n.º 356/2025/ND-CP.
• 19 de agosto de 2026: se emitió y entró en vigor el Decreto n.º 330/2026/ND-CP.
• 26 de agosto de 2026: el Gobierno publicó su explicación del decreto y de las sanciones por infracciones relacionadas con el consentimiento.

El plazo de prescripción de las sanciones administrativas es de un año. En el caso de una infracción ya concluida, el inicio del plazo está vinculado al cumplimiento de la obligación o a la confirmación por parte de una autoridad competente de que la infracción terminó. Las autoridades también deben determinar si la conducta concluyó o sigue en curso.

Tilleke & Gibbins describe una norma transitoria para las infracciones cometidas antes del 19 de agosto, pero descubiertas o aún en revisión después de esa fecha. Por lo general, se aplica el régimen de sanciones vigente cuando se cometió la infracción. Las disposiciones más favorables del Decreto 330 pueden aplicarse si eximen de responsabilidad o imponen una sanción menor.

El marco reconoce las pruebas electrónicas y permite tramitar electrónicamente las actas de infracción y las decisiones sancionadoras, incluso mediante autenticación biométrica cuando no se dispone de firmas digitales. Por ello, los registros de cumplimiento, como los registros de consentimiento, el historial de solicitudes y los comprobantes de transacciones, pueden ser especialmente relevantes para examinar un caso.

No se especifica un calendario para inspecciones o casos concretos de aplicación de la norma. El cambio práctico inmediato es que las obligaciones existentes cuentan ahora con un marco de sanciones específico que abarca la documentación, el personal, la seguridad, el consentimiento y el uso efectivo de la información personal.

Puntos clave

• El Decreto 330 entró en vigor el 19 de agosto de 2026 y abarca la ciberseguridad y la protección de datos personales.
• Algunos incumplimientos relacionados con el consentimiento se sancionan con multas de entre 30 y 50 millones de dongs vietnamitas.
• Considerar el silencio como consentimiento o ignorar deliberadamente solicitudes para detener el tratamiento puede acarrear multas de entre 50 y 70 millones de dongs vietnamitas.
• Algunas transferencias graves al extranjero pueden acarrear multas vinculadas a los ingresos de hasta el 5 %.
• Las normas también se aplican a determinadas organizaciones extranjeras, además de a empresas y personas vietnamitas.
• Entre las consecuencias adicionales pueden figurar la suspensión, la eliminación irreversible de datos y la devolución de beneficios obtenidos de forma ilícita.