Vietnã propõe cinco níveis de risco para dados, regras mais rígidas para transferências ao exterior e salvaguardas para IA

Cinco níveis de risco determinariam como o Vietnã protege os dados

O governo do Vietnã apresentou à Assembleia Nacional, em 26 de outubro de 2026, um projeto de Lei de Segurança de Dados que propõe cinco níveis de risco, verificações mais rigorosas para dados sensíveis enviados ao exterior e salvaguardas para informações usadas por inteligência artificial. O projeto contém seis capítulos e 29 artigos, com apenas dois procedimentos administrativos de aprovação, ambos voltados aos níveis de risco mais altos.

O ministro da Segurança Pública, general Luong Tam Quang, apresentou a proposta em nome do primeiro-ministro durante a segunda sessão da 16ª Assembleia Nacional. Inicialmente, empresas e outros controladores de dados avaliariam os próprios dados, aplicariam proteções compatíveis com o nível de risco e continuariam responsáveis por essa avaliação. As autoridades verificariam principalmente o cumprimento das regras posteriormente.

O governo propõe que a lei entre em vigor em 1º de julho de 2027. Os deputados tinham discussões em grupos previstas para a tarde de 26 de outubro. A legislação ainda é uma proposta, e os parlamentares que a analisam querem controles mais rigorosos para as informações mais sensíveis, procedimentos de avaliação mais claros e maior proteção para dados biométricos e genéticos.

O projeto teria alcance além das organizações sediadas no Vietnã. Abrange órgãos, organizações e indivíduos vietnamitas; organizações e indivíduos estrangeiros no Vietnã; e aqueles que estejam no exterior, mas processem dados sob jurisdição vietnamita ou atuem contra a segurança de dados do país.

Para as empresas, a principal mudança seria um sistema gradual: o processamento rotineiro teria salvaguardas básicas e pouca burocracia, enquanto atividades capazes de causar danos graves exigiriam avaliações, auditorias ou aprovação prévia. Para as pessoas, a proposta acrescenta obrigações de segurança para as informações à medida que circulam por sistemas, fornecedores e fronteiras nacionais.

Por que o governo quer uma lei específica

Luong Tam Quang disse aos parlamentares que os sistemas de informação vietnamitas registraram cerca de 552 mil ataques cibernéticos em 2025, causando prejuízos a 5.230 órgãos e empresas. Ele também citou cerca de 300 casos detectados de dados anunciados para venda, envolvendo mais de 1,7 milhão de registros, e um roubo de mais de 160 milhões de registros de clientes de uma instituição de crédito.

O ministro afirmou que de 60% a 70% dos vazamentos de dados tiveram origem em pessoas que trabalhavam dentro das organizações. Isso torna o acesso de funcionários e prestadores de serviços uma questão central, além da proteção contra ataques externos. Restringir quem pode visualizar as informações, monitorar o acesso e revogar permissões quando necessário são medidas práticas do modelo proposto.

O governo argumenta que as regras existentes tratam de diferentes aspectos do problema. A Lei de Dados rege atividades como criar, gerenciar, compartilhar e classificar dados. A legislação de proteção de dados pessoais regula as condições de processamento e os direitos das pessoas. A legislação de cibersegurança protege os sistemas de informação contra ameaças.

A proposta de Lei de Segurança de Dados se concentraria nas informações ao longo de todo o ciclo, da coleta, armazenamento, processamento e transmissão à destruição. Entre suas bases estão a Resolução nº 57-NQ/TW do Politburo, de 22 de dezembro de 2024, sobre ciência, tecnologia, inovação e transformação digital nacional.

O que significariam os cinco níveis

O artigo 8 classificaria os dados de acordo com a probabilidade de um incidente e os danos que ele poderia causar à defesa nacional, à segurança nacional, à segurança pública e aos direitos legítimos de organizações e indivíduos. O nível 1 seria o mais baixo, e o nível 5, o mais alto.

As categorias propostas oferecem às empresas um ponto de partida para identificar suas obrigações:

• O nível 1 inclui dados públicos e abertos, com baixa probabilidade de incidentes e consequências limitadas.
• O nível 2 inclui informações internas, dados empresariais e dados pessoais que não se enquadram em categorias de risco mais alto, com risco médio.
• O nível 3 inclui dados importantes e dados pessoais sensíveis processados em grande escala, sujeitos a limites definidos pelo governo.
• O nível 4 geralmente abrange dados essenciais associados a risco muito alto e a possíveis danos graves.
• O nível 5 inclui dados essenciais de defesa e segurança e informações usadas para operar ou controlar instalações especialmente importantes ligadas à segurança nacional.

A classificação de risco seria aplicada em paralelo à classificação prevista na Lei de Dados. Organizações e indivíduos manteriam seus direitos legítimos de propriedade, gestão e uso das informações. O nível de segurança determinaria as proteções exigidas.

Quando começariam a burocracia e as verificações prévias

A apresentação do governo prevê dois procedimentos administrativos: a análise dos documentos de projeto de sistemas nos níveis 4 e 5, conforme o artigo 11, e a análise e aprovação de transferências ao exterior nesses níveis, conforme o artigo 19.

O nível 1 não envolveria procedimentos administrativos. Os controladores de nível 2 preparariam um plano simplificado de proteção, usando um modelo, e o manteriam consigo. Os controladores de nível 3 avaliariam suas próprias atividades sem submetê-las a análise ou notificação. A partir do nível 3, seriam exigidas avaliações de impacto e auditorias periódicas de segurança.

Sistemas que processassem dados dos níveis 4 ou 5 precisariam passar por uma avaliação de segurança de dados antes de entrarem em operação oficial, coordenada com a análise de cibersegurança. A avaliação de impacto examina o que pode dar errado e quem pode ser prejudicado; a auditoria verifica se as proteções prometidas funcionam de fato.

Empresas familiares, pequenas e microempresas e startups inovadoras que lidassem com dados rotineiros geralmente seguiriam orientações básicas de proteção. Ainda assim, suas obrigações dependeriam do risco do processamento, tornando o tipo e o volume das informações tratadas uma questão prática de conformidade.

O projeto também busca reduzir a duplicação de exigências. Quando várias leis exigirem verificações sobre o mesmo tema e risco, a organização usaria um conjunto de documentos e um único ponto de contato. Resultados válidos obtidos com base em outras leis seriam reconhecidos. A avaliação de segurança de dados para IA seria incorporada ao processo de avaliação de risco previsto na legislação sobre inteligência artificial.

Transferências ao exterior teriam três procedimentos diferentes

Os dados enviados ao exterior receberiam tratamento distinto conforme seu nível. Os níveis 1 e 2 não exigiriam procedimento de transferência nos termos desta lei. Os controladores de nível 3 avaliariam a transferência por conta própria e manteriam registros. Para os níveis 4 e 5, seria necessária análise e aprovação de uma autoridade competente antes da transferência.

Serviços em nuvem, plataformas internacionais e empresas que operam em vários países precisariam, portanto, identificar quais informações são enviadas ao exterior e qual nível de risco lhes foi atribuído. As obrigações existentes previstas em outras leis pertinentes continuariam valendo.

A Comissão de Defesa Nacional, Segurança e Relações Exteriores da Assembleia Nacional apoiou, em linhas gerais, controles baseados em risco, sem uma exigência geral de manter todos os dados dentro do Vietnã. A comissão propôs uma regra mais rigorosa para o nível 5: transferências ao exterior seriam proibidas, salvo decisão em contrário do primeiro-ministro.

A comissão também propôs restringir a transferência ao exterior de chaves de descriptografia e parâmetros criptográficos de sistemas dos níveis 4 e 5. Uma chave de descriptografia permite desbloquear informações criptografadas, por isso o controle dessa chave é uma questão de segurança distinta do local onde os dados estão armazenados.

Outras propostas esclareceriam quem pode restringir ou suspender temporariamente serviços que operam além das fronteiras e exigiriam notificação quando houver mudança de controle em uma empresa que gerencia dados do nível 4 ou superior. O projeto também trata de pedidos diretos de informações feitos por governos estrangeiros por meio de mecanismos que exigiriam canais legais, incluindo acordos de cooperação judicial.

As salvaguardas para IA começariam pelos dados de treinamento

Organizações que pesquisem, desenvolvam ou implementem IA que processe dados de alto risco teriam de incorporar a segurança desde a etapa de projeto. Precisariam estabelecer a origem lícita e a integridade dos dados de treinamento e das informações deles derivadas.

A proposta trata do envenenamento de dados, da extração não autorizada e do controle humano sobre decisões automatizadas. Envenenamento de dados é a corrupção deliberada das informações usadas para treinar ou operar um sistema de IA, o que pode levar a resultados pouco confiáveis ou manipulados. A extração não autorizada consiste em obter informações protegidas sem permissão.

A intervenção e a supervisão humanas teriam de continuar sendo possíveis nas decisões automatizadas, conforme a legislação aplicável. Essa exigência conecta a proteção das informações de origem às decisões tomadas por um sistema que as utiliza.

As autoridades não poderiam exigir o código-fonte ou os pesos do modelo de IA, exceto em investigações criminais. O código-fonte contém as instruções de um programa; os pesos do modelo são os parâmetros numéricos que um sistema de IA aprende durante o treinamento. Ambos podem conter conhecimento comercial valioso.

As empresas de IA usariam o processo de avaliação previsto na legislação sobre inteligência artificial, em vez de preparar um arquivo separado de segurança de dados ou passar por uma análise à parte. Assim, as verificações de segurança propostas seriam integradas a um processo regulatório existente, sem eliminar as obrigações específicas relativas aos dados.

Fornecedores passariam a fazer parte do plano de segurança

Os controladores de dados teriam responsabilidades que se estenderiam a fornecedores, intermediários e outras partes envolvidas no processamento de informações. Antes de conectar um produto ou serviço, avaliariam os riscos do fornecedor e limitariam seu acesso ao estritamente necessário.

Os contratos precisariam especificar obrigações de confidencialidade e consequências para vazamentos de dados. Os controladores também monitorariam o acesso durante a relação comercial e o revogariam quando fossem detectados riscos ou incidentes. O acesso remoto de fornecedores a sistemas que tratam dados de risco mais elevado estaria sujeito a controles mais rigorosos.

O escopo abrange infraestrutura digital crítica, infraestrutura nacional de dados, processamento em grande escala e sistemas que conectam controles digitais a equipamentos físicos. Nesses casos, dados danificados ou manipulados podem afetar o funcionamento de máquinas e instalações, além de expor informações.

A comissão pediu que as responsabilidades fossem definidas conforme o poder de decisão e o controle efetivo de cada parte sobre os dados. Isso ajudaria a distinguir as obrigações de um controlador que decide como as informações serão usadas das de um fornecedor que presta um serviço mais limitado.

Poderes de emergência teriam limites legais

O projeto estabeleceria monitoramento, alertas antecipados, comunicação de incidentes e respostas coordenadas. As revisões descritas na apresentação do governo também incluem informar as pessoas afetadas quando houver incidentes e limitar o alcance de suspensões temporárias de transferências de dados.

Medidas técnicas de emergência exigiriam fundamento legal, decisão de uma autoridade competente, escopo definido e duração especificada. As autoridades deveriam dar preferência à medida que menos restringisse os direitos e encerrá-la quando deixassem de existir as razões que a justificaram.

Organizações e indivíduos afetados manteriam o direito de apresentar reclamações, recorrer à Justiça e buscar indenização conforme a lei. Os parlamentares que analisam o projeto também pediram condições e regras de indenização mais claras quando as autoridades mobilizarem pessoal, equipamentos ou outros recursos privados.

O projeto incentiva responsáveis pela segurança de dados e especialistas independentes a detectar, testar e comunicar vulnerabilidades de boa-fé, com proteção de sua identidade e de seus interesses legítimos e isenções de responsabilidade correspondentes. A comissão também propôs exercícios de resposta a incidentes para sistemas dos níveis 4 e 5.

Parlamentares querem regras mais rígidas para os riscos mais altos

O tenente-general sênior Le Tan Toi, presidente da Comissão de Defesa Nacional, Segurança e Relações Exteriores da Assembleia Nacional, apresentou o relatório de análise. A comissão apoiou a necessidade da lei e considerou que a proposta estava pronta para ser examinada pelo Parlamento.

Ainda assim, os parlamentares pediram critérios mais claros para cada nível de risco. Alguns propuseram que autoridades especializadas revisassem e atualizassem regularmente as classificações, com um processo mais rigoroso para o nível 5, em vez de deixar essa decisão a cargo dos próprios controladores.

A comissão também pediu uma regra mais clara segundo a qual o risco dos dados determina o nível de proteção exigido do sistema de processamento. Solicitou salvaguardas mais robustas para informações biométricas e genéticas, como dados sobre características físicas ou traços hereditários.

Questões de procedimento continuam em discussão, inclusive os prazos de análise para sistemas dos níveis 4 e 5 que não estejam sujeitos à análise de cibersegurança. A comissão pediu uma definição mais clara dos limites entre criptografia de segurança, sistemas de cifras governamentais e criptografia civil, além de regras de coordenação de incidentes para sistemas militares e governamentais de cifras.

O Ministério da Segurança Pública lideraria a gestão estatal da segurança de dados; o Ministério da Defesa supervisionaria os dados e sistemas de informação militares; e o Comitê Governamental de Cifras ficaria responsável pelos sistemas de informação criptográfica. Nenhum novo órgão seria criado.

O que mudou e quais são os próximos passos

A proposta apresentada aos parlamentares passou de 25 para 29 artigos, retirou a previsão de criação de um Centro Nacional de Governança da Segurança de Dados e eliminou multas calculadas como percentual da receita. Uma descrição anterior, datada de 7 de setembro, previa quatro níveis de dados, multas de até 5% da receita do exercício fiscal anterior e exigências de armazenamento doméstico para dados críticos e essenciais. A proposta parlamentar, em vez disso, prevê cinco níveis de risco e controles diferenciados para transferências.

O governo também retirou um prazo fixo para a adoção de criptografia resistente à computação quântica, deixando o cronograma para futuras regras governamentais. Incentivos propostos a investimentos e benefícios fiscais apoiariam pesquisas de segurança, serviços de nuvem soberana, centros de dados seguros e tecnologias criptográficas, com assistência para empresas menores e startups. O projeto prevê evitar políticas que concedam monopólio a um produto ou fornecedor específico.

A criptografia resistente à computação quântica é projetada para suportar ataques com futuros computadores quânticos. A preocupação do governo inclui informações que estão sendo coletadas criptografadas agora e que poderão ser decodificadas mais tarde, à medida que a capacidade computacional avançar.

O cronograma legislativo mudou durante a elaboração do projeto:

• Agosto de 2026: encerrou-se a consulta pública, segundo o cronograma inicial de elaboração.
• 7 de setembro de 2026: uma descrição anterior informava que o projeto estava sendo analisado pelo Ministério da Justiça.
• 26 de outubro de 2026: o governo apresentou a proposta, com discussões em grupos previstas para aquela tarde.
• 1º de julho de 2027: data prevista para a entrada em vigor na proposta parlamentar, em substituição à data de 1º de dezembro de 2027 mencionada anteriormente.

O projeto alteraria a Lei de Cibersegurança e a Lei de Dados e preservaria registros e resultados de avaliações existentes que continuem válidos, por meio de disposições transitórias. Os sistemas existentes teriam um caminho para se adequar às novas exigências. As obrigações definitivas dependerão do texto aprovado pela Assembleia Nacional e das regras de implementação.

Principais pontos

• O Vietnã propõe cinco níveis de risco para a segurança de dados, com proteções mais rigorosas à medida que aumenta o potencial de dano.
• Dois procedimentos administrativos de aprovação abrangeriam projetos de sistemas e transferências ao exterior envolvendo os níveis 4 e 5.
• As salvaguardas para IA tratariam de dados de treinamento, extração não autorizada e supervisão humana, com avaliações integradas aos procedimentos previstos para IA.
• Os parlamentares que analisam a proposta pedem controles mais rigorosos para o nível 5 e maior proteção para dados biométricos e genéticos.
• A proposta revisada elimina multas calculadas com base na receita e a previsão de criação de um novo centro nacional.
• O governo propõe que a lei entre em vigor em 1º de julho de 2027, sujeita à aprovação parlamentar.