Vietnam propone cinco niveles de riesgo de datos, controles más estrictos para las transferencias al extranjero y salvaguardias para la IA

Cinco niveles de riesgo determinarían cómo protege Vietnam los datos

El Gobierno de Vietnam presentó ante la Asamblea Nacional el 26 de octubre de 2026 un proyecto de Ley de Seguridad de los Datos que propone cinco niveles de riesgo, controles más estrictos para los datos sensibles enviados al extranjero y salvaguardias para la información utilizada por la inteligencia artificial. El proyecto consta de seis capítulos y 29 artículos, y contempla solo dos procedimientos de aprobación administrativa, ambos centrados en los datos de mayor riesgo.

El ministro de Seguridad Pública, el general Luong Tam Quang, presentó la propuesta en nombre del primer ministro durante el segundo período de sesiones de la XVI Asamblea Nacional. En un primer momento, las empresas y otros responsables del tratamiento de datos evaluarían sus propios datos, aplicarían medidas de protección acordes con el riesgo y asumirían la responsabilidad de esa evaluación. Las autoridades se centrarían principalmente en verificar el cumplimiento a posteriori.

El Gobierno propone que la ley entre en vigor el 1 de julio de 2027. Estaba previsto que los diputados debatieran el proyecto en grupos durante la tarde del 26 de octubre. La iniciativa sigue siendo una propuesta, y los revisores parlamentarios piden controles más estrictos sobre la información más sensible, procedimientos de evaluación más claros y una mayor protección de los datos biométricos y genéticos.

El proyecto abarcaría también a organizaciones que no tienen su sede en Vietnam. Se aplicaría a organismos, organizaciones y personas vietnamitas; a organizaciones y personas extranjeras en Vietnam; y a quienes se encuentren en el extranjero y traten datos sujetos a la jurisdicción vietnamita o actúen contra la seguridad de los datos de Vietnam.

Para las empresas, el cambio principal sería un sistema gradual: el tratamiento habitual estaría sujeto a salvaguardias básicas y pocos trámites, mientras que las actividades capaces de causar daños graves exigirían evaluaciones, auditorías o aprobación antes de comenzar. Para las personas, la propuesta añade obligaciones de seguridad para proteger la información a medida que circula por sistemas, proveedores y fronteras nacionales.

Por qué el Gobierno quiere una ley independiente

Luong Tam Quang dijo a los legisladores que en 2025 se registraron alrededor de 552.000 ciberataques contra los sistemas de información vietnamitas, que causaron daños a 5.230 organismos y empresas. También mencionó unos 300 casos detectados de datos ofrecidos en venta, que afectaban a más de 1,7 millones de registros, y un robo de más de 160 millones de registros de clientes en una entidad de crédito.

El ministro afirmó que entre el 60% y el 70% de las filtraciones de datos se originaron en personal de las propias organizaciones. Por ello, el acceso de empleados y contratistas es una cuestión central, junto con la protección frente a atacantes externos. Limitar quién puede ver la información, vigilar el acceso y retirar permisos cuando sea necesario son medidas prácticas del marco propuesto.

El Gobierno sostiene que las normas vigentes abordan distintas partes del problema. La Ley de Datos regula actividades como la creación, gestión, intercambio y clasificación de datos. La legislación de protección de datos personales establece las condiciones del tratamiento y los derechos de las personas. La legislación de ciberseguridad protege los sistemas de información frente a amenazas.

La propuesta de Ley de Seguridad de los Datos se centraría en la información durante todo su ciclo: recopilación, almacenamiento, tratamiento, transmisión y destrucción. Entre sus fundamentos normativos figura la Resolución n.º 57-NQ/TW del Politburó, del 22 de diciembre de 2024, sobre ciencia, tecnología, innovación y transformación digital nacional.

Qué implicarían los cinco niveles

El artículo 8 clasificaría los datos según la probabilidad de que se produzca un incidente y los daños que este podría causar a la defensa nacional, la seguridad nacional, la seguridad pública y los derechos legítimos de organizaciones y personas. El nivel 1 sería el más bajo y el nivel 5, el más alto.

Las categorías propuestas ofrecen a las empresas un punto de partida para determinar sus obligaciones:

• El nivel 1 incluye datos públicos y abiertos, con baja probabilidad de incidentes y consecuencias limitadas.
• El nivel 2 incluye información interna, datos empresariales y datos personales que no pertenecen a una categoría de mayor riesgo; su riesgo sería medio.
• El nivel 3 incluye datos importantes y datos personales sensibles tratados a gran escala, con umbrales que establecería el Gobierno.
• El nivel 4 abarcaría, por lo general, datos esenciales asociados a un riesgo muy alto y a posibles daños graves.
• El nivel 5 incluye datos esenciales de defensa y seguridad, así como información utilizada para operar o controlar instalaciones especialmente importantes relacionadas con la seguridad nacional.

La clasificación del riesgo se aplicaría junto con la clasificación prevista en la Ley de Datos. Las organizaciones y las personas conservarían sus derechos legítimos de propiedad, gestión y uso de la información. El nivel de seguridad determinaría las medidas de protección exigidas.

Cuándo empezarían los trámites y controles previos

La presentación del Gobierno identifica dos procedimientos administrativos: la evaluación de los documentos de diseño de sistemas de nivel 4 y 5, conforme al artículo 11, y la evaluación y aprobación de transferencias al extranjero de esos niveles, conforme al artículo 19.

El nivel 1 no implicaría ningún procedimiento administrativo. Los responsables del tratamiento de datos de nivel 2 prepararían un plan simplificado de protección siguiendo un modelo y lo conservarían. Los responsables de nivel 3 evaluarían sus propias actividades sin presentarlas para su evaluación ni notificarlas. A partir del nivel 3, se exigirían evaluaciones de impacto y auditorías periódicas de seguridad.

Los sistemas que traten datos de nivel 4 o 5 necesitarían una evaluación de seguridad de los datos antes de entrar en funcionamiento oficial, coordinada con la evaluación de ciberseguridad. Una evaluación de impacto analiza qué podría salir mal y quién podría resultar perjudicado; una auditoría comprueba si las protecciones previstas funcionan realmente.

Por lo general, los negocios familiares, las pequeñas y microempresas y las empresas emergentes innovadoras que manejen datos de uso habitual seguirían las directrices básicas de protección. Sus obligaciones seguirían dependiendo del riesgo de sus actividades de tratamiento, por lo que el tipo y el volumen de información que manejan serían factores prácticos para determinar el cumplimiento.

El proyecto también busca reducir la duplicación de trámites. Cuando varias leyes exijan controles sobre el mismo asunto y nivel de riesgo, la organización utilizaría un único conjunto de documentos y un solo punto de contacto. Se reconocerían los resultados válidos obtenidos conforme a otras leyes. La evaluación de la seguridad de los datos utilizados por la IA se integraría en el proceso de evaluación de riesgos previsto en la legislación sobre IA.

Las transferencias al extranjero tendrían tres vías distintas

Los datos enviados al extranjero recibirían un tratamiento distinto según su nivel. Los niveles 1 y 2 no exigirían ningún procedimiento de transferencia conforme a esta ley. Los responsables de datos de nivel 3 evaluarían la transferencia por su cuenta y conservarían los registros. Las transferencias de los niveles 4 y 5 requerirían revisión y aprobación de una autoridad competente antes de realizarse.

Por tanto, los servicios en la nube, las plataformas internacionales y las empresas que operan en varios países tendrían que identificar qué información se envía al extranjero y qué nivel de riesgo se le ha asignado. Seguirían aplicándose las obligaciones vigentes previstas en otras leyes pertinentes.

El Comité de Defensa Nacional, Seguridad y Asuntos Exteriores de la Asamblea Nacional apoyó, en términos generales, los controles basados en el riesgo sin exigir que todos los datos se almacenen en Vietnam. Propuso una norma más estricta para el nivel 5: se prohibirían las transferencias al extranjero, salvo que el primer ministro decidiera lo contrario.

El comité también propuso restringir las transferencias al extranjero de claves de descifrado y parámetros criptográficos de sistemas de nivel 4 y 5. Una clave de descifrado permite acceder a información cifrada, por lo que su control plantea un problema de seguridad distinto del lugar donde se almacenan los datos.

Otras propuestas aclararían quién puede restringir o suspender temporalmente servicios que operan a través de fronteras y exigirían notificar los cambios de control en una empresa que gestione datos de nivel 4 o superior. El proyecto también aborda las solicitudes directas de información por parte de entidades extranjeras mediante mecanismos destinados a exigir canales legales, incluidos los acuerdos de asistencia judicial.

Las salvaguardias para la IA empezarían por los datos de entrenamiento

Las organizaciones que investiguen, desarrollen o implementen sistemas de IA que traten datos de alto riesgo tendrían que incorporar la seguridad desde la fase de diseño. Deberían establecer el origen legítimo y la integridad de los datos de entrenamiento y de la información derivada de ellos.

La propuesta aborda el envenenamiento de datos, la extracción no autorizada y el control humano de las decisiones automatizadas. El envenenamiento de datos consiste en corromper deliberadamente la información utilizada para entrenar o hacer funcionar un sistema de IA, lo que puede producir resultados poco fiables o manipulados. La extracción no autorizada implica obtener información protegida sin permiso.

La legislación aplicable tendría que permitir la intervención y la supervisión humanas en las decisiones automatizadas. Este requisito vincula la protección de la información subyacente con las decisiones que toma un sistema a partir de ella.

Se prohibiría a las autoridades exigir el código fuente o los parámetros de los modelos de IA, salvo en investigaciones penales. El código fuente contiene las instrucciones de un programa; los parámetros de un modelo son los valores numéricos que un sistema de IA aprende durante el entrenamiento. Ambos pueden contener conocimientos comerciales valiosos.

Las empresas de IA utilizarían el proceso de evaluación previsto en la legislación sobre IA, en lugar de preparar un expediente independiente de seguridad de los datos o someterse a una evaluación separada. De este modo, los controles de seguridad propuestos se integrarían en un proceso normativo existente, sin eliminar las obligaciones específicas relativas a los datos.

Los proveedores formarían parte del plan de seguridad

Los responsables del tratamiento de datos tendrían obligaciones que abarcarían a los proveedores, intermediarios y otras partes que intervengan en el tratamiento de información. Antes de conectar un producto o servicio, evaluarían los riesgos del proveedor y limitarían su acceso a lo necesario.

Los contratos tendrían que especificar las obligaciones de confidencialidad y las consecuencias de las filtraciones de datos. Los responsables también supervisarían el acceso durante la relación y lo revocarían cuando detectaran riesgos o incidentes. El acceso remoto de proveedores a sistemas que manejen datos de mayor riesgo estaría sujeto a controles más estrictos.

El ámbito de aplicación abarca las infraestructuras digitales críticas, las infraestructuras nacionales de datos, el tratamiento a gran escala y los sistemas que conectan controles digitales con equipos físicos. En esos entornos, los datos dañados o manipulados pueden afectar al funcionamiento de máquinas e instalaciones, además de exponer información.

El comité pidió que las responsabilidades se correspondieran con el poder de decisión efectivo de cada parte y con su control sobre los datos. Esto ayudaría a distinguir las obligaciones de un responsable que decide cómo se utiliza la información de las de un proveedor que presta un servicio más limitado.

Las facultades de emergencia tendrían límites legales

El proyecto establecería mecanismos de supervisión, alertas tempranas, notificación de incidentes y respuestas coordinadas. Las modificaciones descritas en la presentación del Gobierno también incluyen informar a las personas afectadas cuando se produzcan incidentes y limitar el alcance de las suspensiones temporales de transferencias de datos.

Las medidas técnicas de emergencia requerirían fundamento legal, una autoridad facultada para adoptarlas, un alcance definido y una duración especificada. Se indicaría a las autoridades que opten por la medida que menos restrinja los derechos y que la retiren cuando dejen de concurrir las razones que la justificaron.

Las organizaciones y las personas afectadas conservarían el derecho a presentar reclamaciones, iniciar acciones judiciales y solicitar una indemnización conforme a la ley. Los revisores parlamentarios también pidieron condiciones y mecanismos de compensación más claros cuando las autoridades movilicen personal, equipos u otros recursos privados.

El proyecto anima a las personas responsables de la seguridad de los datos y a especialistas independientes a detectar, probar y comunicar vulnerabilidades de buena fe, y contempla proteger su identidad e intereses legítimos, así como eximirlos de responsabilidad en determinadas circunstancias. El comité propuso además realizar ejercicios de respuesta a incidentes para sistemas de nivel 4 y 5.

Los revisores piden normas más estrictas para los riesgos más altos

El teniente general sénior Le Tan Toi, presidente del Comité de Defensa Nacional, Seguridad y Asuntos Exteriores de la Asamblea Nacional, presentó el informe de evaluación. El comité respaldó la necesidad de la ley y consideró que la propuesta estaba lista para su examen parlamentario.

Sin embargo, los revisores pidieron criterios más claros para cada nivel de riesgo. Algunos propusieron que las autoridades especializadas revisen y actualicen periódicamente las clasificaciones, con un procedimiento más estricto para el nivel 5, en lugar de dejar esa decisión en manos de los propios responsables del tratamiento.

El comité también pidió una norma más clara que establezca que el riesgo de los datos determina el nivel de protección exigido al sistema que los trata. Solicitó salvaguardias más estrictas para la información biométrica y genética, como los datos sobre características físicas o rasgos hereditarios.

Siguen debatiéndose cuestiones de procedimiento, entre ellas los plazos de evaluación de sistemas de nivel 4 y 5 que no estén sujetos a una evaluación de ciberseguridad. El comité pidió que se delimiten con mayor claridad la criptografía de seguridad, los sistemas criptográficos gubernamentales y la criptografía civil, así como las normas de coordinación de incidentes para los sistemas criptográficos militares y gubernamentales.

El Ministerio de Seguridad Pública dirigiría la gestión estatal de la seguridad de los datos; el Ministerio de Defensa Nacional supervisaría los datos y sistemas de información militares; y el Comité Gubernamental de Cifrado gestionaría los sistemas de información criptográficos. No se crearía ningún organismo nuevo.

Qué cambió y qué ocurrirá ahora

La propuesta presentada a los legisladores pasó de 25 a 29 artículos, eliminó la creación prevista de un Centro Nacional de Gobernanza de la Seguridad de los Datos y descartó las multas calculadas como porcentaje de los ingresos. Una descripción anterior, fechada el 7 de septiembre, había planteado cuatro niveles de datos, posibles multas de hasta el 5% de los ingresos del ejercicio fiscal anterior y requisitos de almacenamiento nacional para los datos críticos y esenciales. La propuesta parlamentaria, en cambio, contempla cinco niveles de riesgo y controles diferenciados para las transferencias.

El Gobierno también eliminó un plazo fijo para pasar a una criptografía resistente a la computación cuántica y dejó el calendario en manos de futuras normas gubernamentales. Los incentivos de inversión y fiscales propuestos apoyarían la investigación en seguridad, los servicios de nube soberana, los centros de datos seguros y las tecnologías criptográficas, además de ofrecer asistencia a las empresas más pequeñas y a las empresas emergentes. El proyecto pide evitar políticas que otorguen el monopolio a un producto o proveedor determinado.

La criptografía resistente a la computación cuántica está diseñada para soportar ataques realizados con futuros ordenadores cuánticos. Al Gobierno le preocupa que la información que se recopila ahora en forma cifrada pueda descifrarse más adelante, a medida que avance la capacidad de procesamiento.

El calendario legislativo ha cambiado durante la elaboración del proyecto:

• Agosto de 2026: concluyó la consulta pública, según el calendario de elaboración anterior.
• 7 de septiembre de 2026: una descripción anterior situaba el proyecto bajo revisión del Ministerio de Justicia.
• 26 de octubre de 2026: el Gobierno presentó la propuesta; ese mismo día estaba previsto debatirla en grupos.
• 1 de julio de 2027: fecha prevista para la entrada en vigor de la propuesta parlamentaria, en sustitución del 1 de diciembre de 2027, mencionado anteriormente.

El proyecto modificaría la Ley de Ciberseguridad y la Ley de Datos, y mantendría la validez de los registros y resultados de evaluación existentes mediante disposiciones transitorias. Los sistemas existentes dispondrían de una vía para cumplir los nuevos requisitos. Las obligaciones definitivas dependerán del texto que apruebe la Asamblea Nacional y de las normas de aplicación.

Puntos clave

• Vietnam propone cinco niveles de riesgo para la seguridad de los datos, con medidas de protección que aumentan a medida que crece el daño potencial.
• Dos procedimientos de aprobación administrativa abarcarían el diseño de sistemas y las transferencias al extranjero relacionados con los niveles 4 y 5.
• Las salvaguardias para la IA abordarían los datos de entrenamiento, la extracción no autorizada y la supervisión humana, con evaluaciones integradas en los procedimientos sobre IA.
• Los revisores parlamentarios piden controles más estrictos para el nivel 5 y una mayor protección de los datos biométricos y genéticos.
• La propuesta revisada elimina las multas calculadas según los ingresos y la creación de un nuevo centro nacional.
• El Gobierno propone que la ley entre en vigor el 1 de julio de 2027, sujeto a la aprobación parlamentaria.