Vietnã prevê multas de até 70 milhões de dongs por consentimento, com penalidades maiores para violações de dados

Silêncio não pode ser considerado permissão para usar dados pessoais

O Decreto nº 330/2026/ND-CP do Vietnã, em vigor desde 19 de agosto de 2026, prevê multas de 50 milhões a 70 milhões de dongs vietnamitas para quem considerar o silêncio de uma pessoa como consentimento para coletar ou processar dados pessoais. A mesma faixa de multa se aplica a quem continuar deliberadamente o processamento depois que a pessoa pedir sua interrupção ou restrição, ou depois que uma autoridade competente determinar isso por escrito.

As regras de consentimento fazem parte de um regime de sanções muito mais amplo. Algumas violações envolvendo transferências de dados pessoais para o exterior podem resultar em multas de até 5% da receita do ano anterior. Outras violações relacionadas a dados pessoais podem acarretar multas de até 3 bilhões de dongs, enquanto o comércio ilegal de dados pode gerar penalidades calculadas como múltiplos do valor da transação.

O decreto publicado pelo governo, datado de 26 de agosto, descreve um regime composto por quatro capítulos e 82 artigos. Ele abrange cibersegurança, redes sociais, sistemas de informação e proteção de dados pessoais, tendo advertências e multas como principais penalidades.

Para quem usa aplicativos, faz compras online ou recebe mensagens publicitárias, a questão prática é o controle: as empresas precisam ter uma base legal para usar as informações, explicar as finalidades pertinentes e respeitar pedidos de interrupção. Para as empresas, as consequências vão além da multa e podem incluir suspensão, eliminação de dados processados ilegalmente e devolução de ganhos ilícitos.

O que torna o consentimento válido?

O artigo 43(1) prevê multas de 30 milhões a 50 milhões de dongs para diferentes falhas relacionadas ao consentimento. Entre elas estão processar dados pessoais sem consentimento quando a lei o exige, deixar a aceitação pré-selecionada e apresentar instruções pouco claras que confundam a escolha entre aceitar e recusar.

A empresa precisa obter consentimento de forma clara, específica e verificável. Deve ser capaz de demonstrar quem consentiu, quando consentiu e com o que concordou. Os usuários também devem poder escolher separadamente cada finalidade de processamento.

Um serviço de compras, por exemplo, pode precisar de informações para atender a um pedido. O decreto trata de tornar o acesso a esse serviço condicionado à aceitação de usos não relacionados dos dados pessoais. A pessoa deve poder escolher separadamente se aceita essas finalidades adicionais, em vez de ter de aceitá-las para receber o serviço contratado.

O artigo 43 também abrange explicações incompletas sobre os tipos de dados processados, as finalidades, os direitos e deveres da pessoa e a organização responsável pelo processamento. A ausência de registros de consentimento também pode resultar em penalidades. Portanto, a empresa precisa tanto de um processo válido de autorização quanto de provas de que ele funcionou.

Dados pessoais sensíveis recebem proteção adicional. Deixar de informar alguém de que seus dados sensíveis estão sendo processados se enquadra na faixa de 30 milhões a 50 milhões de dongs. As empresas precisam identificar quais informações mantêm e aplicar as salvaguardas pertinentes.

Por que 70 milhões de dongs são apenas parte do quadro

A multa máxima por violações de consentimento é 20 milhões de dongs maior que o teto da faixa inferior, passando de 50 milhões para 70 milhões. A faixa mais alta se aplica a duas práticas específicas: presumir consentimento a partir do silêncio e ignorar deliberadamente um pedido de interrupção ou restrição do processamento.

No regime mais amplo, o teto das multas por violações de cibersegurança é de 200 milhões de dongs para organizações e 100 milhões para pessoas físicas. A proteção de dados pessoais tem uma estrutura diferente, que inclui faixas fixas de multas, penalidades vinculadas ao comércio ilegal e penalidades calculadas com base na receita.

O alerta jurídico de outubro da EY descreve multas de duas a dez vezes o valor da transação por comércio ilegal de dados pessoais. Segundo o alerta, esse valor é calculado com base em provas como contratos, faturas, registros de pagamento, mensagens e extratos bancários, sem dedução de custos.

Algumas violações graves envolvendo transferências para o exterior estão sujeitas a multas de 1% a 5% da receita. A EY inclui nessa categoria transferências que causem a perda ou o vazamento de dados de pelo menos 10 mil cidadãos vietnamitas e indica a alíquota máxima de 5% para casos que afetem pelo menos um milhão de pessoas. A tabela da consultoria define o teto como uma parcela da receita obtida no Vietnã no ano anterior, limitado a 3 bilhões de dongs quando não houve receita naquele ano.

Empresas estrangeiras também estão sujeitas às regras

O Decreto 330 se aplica a pessoas físicas e organizações vietnamitas e estrangeiras. Seu alcance inclui empresas estrangeiras que atendam aos critérios e ofereçam serviços de telecomunicações, internet, conteúdo online, tecnologia da informação, cibersegurança ou serviços transfronteiriços, bem como organizações estrangeiras envolvidas no processamento de dados pessoais vietnamitas abrangidos pelas regras.

Entre os grupos protegidos estão cidadãos vietnamitas e pessoas de origem vietnamita residentes no Vietnã que possuam certificados de identidade, mas cuja nacionalidade ainda não tenha sido determinada. Portanto, o local onde a empresa opera é uma questão que precisa ser avaliada junto com os serviços prestados e as pessoas cujas informações são tratadas.

Em sua análise do decreto de sanções, a Tilleke & Gibbins identifica o Ministério da Segurança Pública como a autoridade responsável pela proteção de dados pessoais e pela cibersegurança. A análise descreve o decreto como um instrumento que respalda as obrigações previstas nas leis de proteção de dados pessoais e de cibersegurança com um regime detalhado de sanções administrativas.

Para uma empresa que opera fora do Vietnã, o trabalho prático inclui verificar se seus serviços e atividades de processamento se enquadram nesse escopo. Sistemas de publicidade, bancos de dados de clientes e transferências para prestadores de serviços no exterior podem exigir análise à luz das disposições pertinentes.

Listas de publicidade precisam de base legal

O artigo 37 trata de e-mails e mensagens publicitárias não solicitados e de outras violações das regras de publicidade online. O artigo 48 também pode ser pertinente quando as informações usadas para publicidade foram coletadas ilegalmente. Assim, a atividade publicitária e a coleta dos dados subjacentes geram questões de conformidade distintas.

Uma empresa que compra uma lista de números de telefone precisa verificar a origem dos dados, a base legal para usá-los e a finalidade para a qual foram coletados. Também deve oferecer uma forma para as pessoas recusarem a publicidade ou o compartilhamento pertinente de suas informações.

O artigo 43 incorpora as regras de consentimento a esse processo. Quem não responde a um pedido de autorização não consentiu. Uma empresa que continue deliberadamente o processamento após um pedido de interrupção ou restrição está sujeita à faixa mais alta, de 50 milhões a 70 milhões de dongs.

A EY também identifica uma sanção específica para o consentimento pré-selecionado à divulgação de dados pessoais a uma rede de publicidade afiliada. Essas redes conectam empresas a parceiros que promovem produtos ou direcionam possíveis clientes a elas. O compartilhamento de informações nessas condições exige atenção à escolha da pessoa, e não a um consentimento selecionado previamente.

Para os consumidores, essas disposições relacionam a coleta inicial de um número de telefone ao uso posterior dele. Para as empresas, verificar uma mensagem de marketing é apenas parte da tarefa: a origem da lista de contatos, as permissões associadas a ela e o tratamento das recusas também importam.

Dados de crianças e de vigilância exigem verificações mais rigorosas

Plataformas, serviços educacionais, aplicativos de entretenimento e varejistas online que tratam informações de crianças estão sujeitos a exigências sobre a finalidade do processamento, a validade do consentimento, o volume de dados coletados e as medidas de proteção. A EY aponta penalidades para quem deixar de verificar a idade da criança antes de processar dados pessoais.

A EY também destaca uma diferença de redação entre a lei de proteção de dados pessoais e o decreto. A lei exige o consentimento tanto da criança com sete anos ou mais quanto de seu representante legal quando o processamento tiver como finalidade revelar a vida privada ou os segredos pessoais da criança. Segundo a análise da EY, a disposição do decreto que prevê sanção pela falta de consentimento de ambos tem redação mais ampla.

Empresas que atendem crianças precisam, portanto, analisar se seus procedimentos de verificação de idade e consentimento são adequados à atividade em questão. A EY indica multa máxima de 200 milhões de dongs para organizações em alguns casos de descumprimento da obrigação de excluir ou destruir dados de crianças processados além da finalidade prevista.

Gravações de sistemas de vigilância pública geram outro risco específico. A EY identifica sanções para o uso de dados pessoais, imagens ou gravações de voz de câmeras de vigilância pública para fins comerciais, análise comportamental ou reconhecimento facial automatizado destinado à criação de perfis sem consentimento válido.

Uma câmera instalada para fins de segurança pode gerar informações que a empresa queira usar posteriormente para outra finalidade. De acordo com as disposições descritas pela EY, esse uso comercial ou analítico posterior exige avaliação jurídica própria e consentimento válido nos casos previstos. Os prazos de retenção também importam: certos acordos de transferência de dados precisam especificar um período de armazenamento adequado à finalidade da transferência.

IA e redes sociais geram responsabilidades para usuários e operadores

O uso de inteligência artificial para imitar a imagem, a voz ou a identidade de outra pessoa pode resultar em sanções quando envolver fraude, informações falsas, violação de direitos legítimos ou coleta e uso ilegais de dados pessoais. A penalidade aplicável depende da conduta e de sua gravidade.

As empresas continuam responsáveis por suas decisões de coletar informações, inseri-las em um sistema de IA e usar os resultados gerados. Portanto, o processamento automatizado deve passar pelas mesmas verificações de base legal, finalidade, consentimento e proteção aplicáveis a outras atividades de processamento.

As obrigações relacionadas às redes sociais abrangem provedores, gestores, operadores e usuários. Quem publica ou compartilha conteúdo é responsável por ele, inclusive quando envolver imitação de identidade, fraude ou violação dos direitos e interesses legítimos de outra pessoa.

As disposições de cibersegurança também tratam de ataques, acesso não autorizado, códigos maliciosos e falta de cooperação com forças especializadas de cibersegurança. Quando um caso apresentar indícios de crime, a explicação publicada pelo governo informa que os autos serão encaminhados conforme as disposições pertinentes da Lei de Tratamento de Violações Administrativas.

As multas podem ser acompanhadas de exclusão de dados ou suspensão

Dependendo da violação específica, as penalidades complementares incluem a perda do direito de usar determinadas licenças ou certificados por um período de um a 24 meses, a suspensão das atividades pelo mesmo período, o confisco de equipamentos ou outros itens utilizados na violação e a deportação de cidadãos estrangeiros.

O artigo 43 vincula determinadas violações de consentimento à exclusão irreversível de dados coletados ou processados ilegalmente. Também prevê confisco em casos especificados e devolução de ganhos ilícitos para as violações enquadradas na faixa mais alta de multas. Assim, uma empresa pode perder o acesso às informações e ainda ter de pagar uma penalidade.

A devolução de ganhos ilícitos é uma medida reparatória com cálculo próprio. A EY explica que, nos casos aplicáveis que não envolvam comércio ilegal de dados, ela pode abranger a receita gerada por atividades empresariais que utilizem dados coletados, processados, usados ou transferidos ilegalmente, sem dedução de custos.

A Tilleke & Gibbins lista outras penalidades que afetam a conformidade cotidiana: até 80 milhões de dongs por violações das regras de notificação de incidentes, 100 milhões por violações relacionadas a avaliações de impacto do processamento de dados e 30 milhões por descumprimento das exigências de nomeação de um encarregado ou departamento de proteção de dados.

Uma avaliação de impacto é uma análise documentada de como o processamento pode afetar os dados das pessoas e de como os riscos serão gerenciados. As medidas corretivas podem incluir a entrega obrigatória da avaliação e a suspensão do processamento até o cumprimento das exigências de apresentação. Medidas semelhantes podem ser aplicadas às avaliações exigidas para transferências ao exterior. A EY também aponta multas de até 40 milhões de dongs para organizações que descumprirem os prazos legais para responder a pedidos relacionados aos direitos de dados de uma pessoa.

Quando as regras se aplicam e como os casos podem tramitar

O Decreto 330 entrou em vigor no dia de sua publicação, sem período de transição. Sua adoção ocorreu após vários anos de desenvolvimento do regime de proteção de dados pessoais do Vietnã:

• 1º de julho de 2023: entrou em vigor o Decreto nº 13/2023/ND-CP sobre proteção de dados pessoais.
• 1º de janeiro de 2026: entrou em vigor a Lei de Proteção de Dados Pessoais, com requisitos de implementação previstos no Decreto nº 356/2025/ND-CP.
• 19 de agosto de 2026: o Decreto nº 330/2026/ND-CP foi promulgado e entrou em vigor.
• 26 de agosto de 2026: o governo publicou sua explicação sobre o decreto e as penalidades por violações de consentimento.

O prazo de prescrição para sanções administrativas é de um ano. No caso de uma violação consumada, o início da contagem está vinculado ao cumprimento da obrigação ou à confirmação, por uma autoridade competente, de que a violação terminou. As autoridades também precisam determinar se a conduta foi encerrada ou continua em curso.

A Tilleke & Gibbins descreve uma regra de transição para violações cometidas antes de 19 de agosto, mas descobertas ou ainda sob análise depois dessa data. Em geral, aplica-se o regime de sanções vigente no momento da violação. As disposições mais favoráveis do Decreto 330 podem ser aplicadas quando afastarem a responsabilidade ou impuserem penalidade mais branda.

O regime reconhece provas eletrônicas e permite registros de infrações e decisões de sanção em formato eletrônico, inclusive com autenticação biométrica quando não houver assinaturas digitais. Isso torna especialmente relevantes os registros de conformidade, como logs de consentimento, histórico de solicitações e registros de transações, para a análise de um caso.

Não foi divulgado um cronograma para inspeções ou processos específicos. A mudança prática imediata é que as obrigações existentes agora contam com um regime de sanções próprio, que abrange documentação, pessoal, segurança, consentimento e o uso efetivo de informações pessoais.

Principais pontos

• O Decreto 330 entrou em vigor em 19 de agosto de 2026 e abrange cibersegurança e proteção de dados pessoais.
• Determinadas violações de consentimento estão sujeitas a multas de 30 milhões a 50 milhões de dongs.
• Considerar o silêncio como consentimento ou ignorar deliberadamente pedidos de interrupção pode resultar em multas de 50 milhões a 70 milhões de dongs.
• Algumas transferências graves para o exterior podem resultar em multas calculadas com base na receita, de até 5%.
• Organizações estrangeiras que atendam aos critérios estão abrangidas pelas regras, assim como empresas e pessoas físicas vietnamitas.
• As consequências adicionais podem incluir suspensão, exclusão irreversível de dados e devolução de ganhos ilícitos.