Vietname prevê coimas até 70 milhões de VND por falta de consentimento e sanções mais elevadas por violações de dados

O silêncio não pode ser considerado consentimento para utilizar dados pessoais

O Decreto n.º 330/2026/ND-CP do Vietname, em vigor desde 19 de agosto de 2026, prevê coimas entre 50 milhões e 70 milhões de VND para quem considere o silêncio de uma pessoa como consentimento para recolher ou tratar dados pessoais. O mesmo escalão aplica-se a quem prossiga deliberadamente o tratamento depois de a pessoa pedir a sua interrupção ou limitação, ou depois de uma autoridade competente o ordenar por escrito.

As regras relativas ao consentimento fazem parte de um regime sancionatório muito mais abrangente. Certas infrações relacionadas com transferências de dados pessoais para o estrangeiro podem dar origem a coimas até 5% da receita do ano anterior. Outras infrações relativas a dados pessoais podem ser punidas com coimas até 3 mil milhões de VND, enquanto o comércio ilícito de dados pode desencadear sanções calculadas como múltiplos do valor da transação.

O decreto publicado pelo Governo, datado de 26 de agosto, descreve um regime composto por quatro capítulos e 82 artigos. Abrange a cibersegurança, as redes sociais, os sistemas de informação e a proteção de dados pessoais, tendo as advertências e as coimas como principais sanções.

Para quem utiliza aplicações, faz compras online ou recebe mensagens publicitárias, a questão prática é o controlo: as empresas têm de dispor de uma base legal para utilizar as informações, explicar as finalidades relevantes e respeitar os pedidos de interrupção. Para as empresas, as consequências podem ir além de uma coima e incluir a suspensão da atividade, a eliminação de dados tratados ilicitamente e a restituição dos ganhos ilícitos.

O que torna válido o consentimento?

O artigo 43.º, n.º 1, prevê coimas entre 30 milhões e 50 milhões de VND para várias situações de incumprimento das regras de consentimento. Entre elas estão o tratamento de dados pessoais sem consentimento quando a lei o exige, a definição do consentimento como opção predefinida e a apresentação de instruções pouco claras que confundam a escolha entre aceitar e recusar.

Uma empresa tem de obter consentimento de forma clara, específica e verificável. Deve poder demonstrar quem consentiu, quando o fez e o que aceitou. Os utilizadores também têm de poder escolher separadamente cada finalidade de tratamento.

Por exemplo, um serviço de compras pode precisar de informações para processar uma encomenda. O decreto aborda a prática de condicionar o acesso a esse serviço à aceitação de utilizações não relacionadas dos dados pessoais. A pessoa deve poder escolher separadamente essas finalidades adicionais, em vez de ter de as aceitar para receber o serviço acordado.

O artigo 43.º abrange também explicações incompletas sobre os tipos de dados tratados, as finalidades, os direitos e deveres da pessoa e a organização responsável pelo tratamento. A falta de registos de consentimento também pode ser punida. Por isso, uma empresa precisa tanto de um processo válido de obtenção de consentimento como de provas de que esse processo funcionou.

Os dados pessoais sensíveis beneficiam de proteção adicional. A falta de notificação à pessoa de que os seus dados sensíveis estão a ser tratados é punível com coimas entre 30 milhões e 50 milhões de VND. As empresas têm de identificar as informações que detêm e aplicar as salvaguardas pertinentes.

Porque é que 70 milhões de VND são apenas parte da questão

A coima mais elevada por infrações às regras de consentimento é 20 milhões de VND superior ao limite máximo do escalão inferior, passando de 50 milhões para 70 milhões de VND. O escalão mais elevado visa duas práticas específicas: presumir que o silêncio significa acordo e ignorar deliberadamente um pedido para interromper ou limitar o tratamento.

No âmbito do regime mais abrangente, os limites máximos das coimas por infrações de cibersegurança são de 200 milhões de VND para organizações e 100 milhões de VND para pessoas singulares. A proteção de dados pessoais tem uma estrutura diferente, que inclui escalões fixos de coimas, sanções associadas ao comércio ilícito e sanções ligadas à receita.

O alerta jurídico de outubro da EY descreve coimas entre duas e dez vezes o valor da transação por comércio ilegal de dados pessoais. Segundo a EY, esse valor é calculado com base em elementos como contratos, faturas, comprovativos de pagamento, mensagens e extratos bancários, sem dedução de custos.

Certas infrações graves relacionadas com transferências para o estrangeiro são punidas com coimas entre 1% e 5% da receita. A EY inclui nesta categoria as transferências que provoquem a perda ou fuga de dados pertencentes a pelo menos 10 000 cidadãos vietnamitas e indica o escalão máximo de 5% para casos que afetem pelo menos um milhão de pessoas. A tabela da EY apresenta o máximo como uma percentagem da receita obtida no Vietname no ano anterior, com um limite de 3 mil milhões de VND quando não houve receita nesse ano.

As empresas estrangeiras também estão abrangidas

O Decreto 330 aplica-se a pessoas singulares e coletivas vietnamitas e estrangeiras. O seu âmbito inclui empresas estrangeiras que preencham os critérios e prestem serviços de telecomunicações, internet, conteúdos online, tecnologias da informação, cibersegurança ou serviços transfronteiriços, bem como organizações estrangeiras envolvidas no tratamento dos dados pessoais abrangidos de cidadãos vietnamitas.

Os grupos protegidos incluem cidadãos vietnamitas e pessoas de origem vietnamita residentes no Vietname que disponham de certificados de identidade, mas cuja nacionalidade ainda não tenha sido determinada. Assim, a localização no estrangeiro continua a ser um fator que as empresas têm de avaliar, a par dos serviços que prestam e das pessoas cujas informações tratam.

A Tilleke & Gibbins, na sua análise do decreto sancionatório, identifica o Ministério da Segurança Pública como a autoridade responsável pela proteção de dados pessoais e pela cibersegurança. A análise descreve o decreto como um instrumento que sustenta as obrigações previstas nas leis de proteção de dados pessoais e de cibersegurança com um regime administrativo sancionatório detalhado.

Para uma empresa que opera fora do Vietname, o trabalho prático inclui verificar se os seus serviços e atividades de tratamento estão abrangidos. Os sistemas de publicidade, as bases de dados de clientes e as transferências para prestadores de serviços no estrangeiro podem todos exigir uma análise à luz das disposições pertinentes.

As listas de publicidade precisam de uma base legal

O artigo 37.º aborda os emails e as mensagens publicitárias não solicitados, bem como outras infrações às regras de publicidade online. O artigo 48.º também pode ser relevante quando as informações utilizadas para publicidade foram recolhidas ilicitamente. Assim, a atividade publicitária e a recolha dos dados subjacentes levantam questões distintas de conformidade.

Uma empresa que compre uma lista de números de telefone tem de verificar a origem dos dados, a base legal para a sua utilização e a finalidade para a qual foram recolhidos. Tem também de disponibilizar uma forma de as pessoas recusarem publicidade ou a partilha relevante das suas informações.

O artigo 43.º aplica as regras de consentimento a esse processo. Quem não responde a um pedido de autorização não deu o seu consentimento. Uma empresa que prossiga deliberadamente o tratamento depois de receber um pedido de interrupção ou limitação arrisca uma coima do escalão mais elevado, entre 50 milhões e 70 milhões de VND.

A EY identifica ainda uma sanção específica relacionada com o consentimento predefinido para divulgar dados pessoais a uma rede de publicidade de empresas afiliadas. Estas redes ligam empresas a parceiros que promovem produtos ou lhes encaminham potenciais clientes. A partilha de informações através desses acordos exige que se tenha em conta a escolha da pessoa, em vez de uma opção selecionada antecipadamente.

Para os consumidores, estas disposições ligam a recolha inicial de um número de telefone à sua utilização posterior. Para as empresas, verificar uma mensagem de marketing é apenas uma parte da tarefa: também importam a origem da lista de contactos, as autorizações associadas e a forma como são tratadas as recusas.

Os dados de crianças e de vigilância exigem verificações mais rigorosas

As plataformas, os serviços educativos, as aplicações de entretenimento e os retalhistas online que tratam informações de crianças estão sujeitos a requisitos relativos à finalidade do tratamento, à validade do consentimento, à quantidade de dados recolhidos e às medidas de proteção. A EY identifica sanções por não verificar a idade de uma criança antes de tratar dados pessoais.

A EY assinala também uma diferença de redação entre a lei de proteção de dados pessoais e o decreto. A lei exige o consentimento tanto da criança com sete ou mais anos como do seu representante legal quando o tratamento se destina a divulgar aspetos da vida privada ou segredos pessoais da criança. Segundo a análise da EY, a disposição sancionatória do decreto relativa ao consentimento de ambos tem uma redação mais abrangente.

As empresas que prestam serviços a crianças devem, por isso, analisar de que forma as verificações de idade e os procedimentos de consentimento se adequam à atividade em causa. A EY indica uma coima máxima de 200 milhões de VND para organizações por certas falhas na eliminação ou destruição de dados de crianças tratados para além da finalidade prevista.

As gravações de videovigilância em espaços públicos representam outro risco específico. A EY identifica sanções pela utilização, para fins comerciais, análise comportamental ou reconhecimento facial automatizado destinado à criação de perfis sem consentimento válido, de dados pessoais, imagens ou gravações de voz provenientes de câmaras de vigilância em espaços públicos.

Uma câmara instalada por motivos de segurança pode gerar informações que uma empresa queira posteriormente utilizar para outra finalidade. Nos termos das disposições descritas pela EY, essa utilização comercial ou analítica posterior exige uma avaliação legal própria e consentimento válido nos casos previstos. Os prazos de conservação também são relevantes: determinados acordos de transferência de dados têm de indicar um período de armazenamento adequado à finalidade da transferência.

A inteligência artificial e as redes sociais acarretam responsabilidades para utilizadores e operadores

A utilização da inteligência artificial para se fazer passar por outra pessoa através da sua imagem, voz ou identidade pode ser sancionada quando envolva fraude, informações falsas, violação de direitos legalmente protegidos ou recolha e utilização ilícitas de dados pessoais. A sanção aplicável depende da conduta e da sua gravidade.

As empresas continuam a ser responsáveis pelas decisões de recolher informações, introduzi-las num sistema de inteligência artificial e utilizar os resultados obtidos. O tratamento automatizado tem, por isso, de estar sujeito às mesmas verificações relativas à base legal, à finalidade, ao consentimento e à proteção que se aplicam a outras atividades de tratamento.

As obrigações relativas às redes sociais abrangem prestadores, gestores, operadores e utilizadores. As pessoas que publicam ou partilham conteúdos são responsáveis por eles, inclusive quando envolvam usurpação de identidade, fraude ou violação dos direitos e interesses legalmente protegidos de outra pessoa.

As disposições de cibersegurança abrangem também ataques, acesso não autorizado, código malicioso e falta de cooperação com forças especializadas em cibersegurança. Quando um caso apresentar indícios de crime, a explicação publicada pelo Governo determina que o processo seja transferido nos termos das disposições pertinentes da Lei relativa ao Tratamento de Infrações Administrativas.

As coimas podem ser acompanhadas da eliminação de dados ou da suspensão da atividade

Consoante a infração em causa, as sanções acessórias incluem a perda do direito de utilizar licenças ou certificados específicos por um período de um a 24 meses, a suspensão da atividade pelo mesmo período, a apreensão de equipamentos ou outros objetos utilizados na infração e a expulsão de cidadãos estrangeiros.

O artigo 43.º associa determinadas infrações às regras de consentimento à eliminação irreversível de dados recolhidos ou tratados ilicitamente. Prevê também a apreensão em casos específicos e a restituição dos ganhos ilícitos no caso das infrações incluídas no escalão de coimas mais elevado. Assim, uma empresa pode perder o acesso às informações e, além disso, ser punida com uma coima.

A restituição dos ganhos ilícitos é uma medida corretiva cujo cálculo segue regras próprias. A EY explica que, nos casos aplicáveis que não envolvam comércio ilegal de dados, pode abranger as receitas geradas por atividades empresariais que utilizem dados recolhidos, tratados, utilizados ou transferidos ilicitamente, sem dedução de custos.

A Tilleke & Gibbins enumera outras sanções com impacto na conformidade quotidiana: até 80 milhões de VND por infrações às obrigações de notificação de violações de dados, 100 milhões de VND por infrações relativas às avaliações de impacto do tratamento de dados e 30 milhões de VND pelo incumprimento das obrigações de nomeação de um encarregado ou departamento de proteção de dados.

Uma avaliação de impacto é uma análise documentada da forma como o tratamento pode afetar os dados das pessoas e de como os riscos serão geridos. As medidas corretivas podem incluir a apresentação obrigatória da avaliação e a suspensão do tratamento até ao cumprimento dos requisitos de entrega. Medidas semelhantes podem aplicar-se às avaliações obrigatórias de transferências para o estrangeiro. A EY indica ainda coimas até 40 milhões de VND para organizações que não respeitem os prazos legais de resposta a pedidos relativos aos direitos de dados de uma pessoa.

Quando as regras se aplicam e como podem decorrer os processos

O Decreto 330 entrou em vigor no dia em que foi emitido, sem período de transição. A sua entrada em vigor sucede a vários anos de desenvolvimento do quadro de proteção de dados pessoais do Vietname:

• 1 de julho de 2023: entrou em vigor o Decreto n.º 13/2023/ND-CP relativo à proteção de dados pessoais.
• 1 de janeiro de 2026: entrou em vigor a Lei relativa à Proteção de Dados Pessoais, com requisitos de execução previstos no Decreto n.º 356/2025/ND-CP.
• 19 de agosto de 2026: o Decreto n.º 330/2026/ND-CP foi emitido e entrou em vigor.
• 26 de agosto de 2026: o Governo publicou a sua explicação do decreto e das sanções relativas ao consentimento.

O prazo de prescrição das sanções administrativas é de um ano. No caso de uma infração consumada, o início do prazo está associado ao cumprimento da obrigação ou à confirmação, por uma autoridade competente, de que a infração terminou. As autoridades têm também de determinar se a conduta terminou ou continua.

A Tilleke & Gibbins descreve uma regra transitória para infrações cometidas antes de 19 de agosto, mas detetadas ou ainda sob análise depois dessa data. Em geral, aplica-se o regime sancionatório em vigor no momento da infração. As disposições mais favoráveis do Decreto 330 podem aplicar-se quando eliminem a responsabilidade ou prevejam uma sanção mais leve.

O regime reconhece a prova eletrónica e permite a elaboração eletrónica de autos de infração e de decisões sancionatórias, incluindo autenticação biométrica quando não estejam disponíveis assinaturas digitais. Por isso, os registos que demonstram a conformidade, como os registos de consentimento, o histórico de pedidos e os registos de transações, são especialmente relevantes para a análise de um processo.

Não é indicado qualquer calendário para inspeções ou processos de execução específicos. A mudança prática imediata é que as obrigações existentes passam a estar abrangidas por um regime sancionatório próprio, que cobre a documentação, os recursos humanos, a segurança, o consentimento e a utilização efetiva das informações pessoais.

Principais pontos

• O Decreto 330 entrou em vigor em 19 de agosto de 2026 e abrange a cibersegurança e a proteção de dados pessoais.
• Determinadas infrações às regras de consentimento são punidas com coimas entre 30 milhões e 50 milhões de VND.
• Considerar o silêncio como consentimento ou ignorar deliberadamente pedidos de interrupção pode dar origem a coimas entre 50 milhões e 70 milhões de VND.
• Certas transferências graves para o estrangeiro podem dar origem a coimas calculadas com base na receita, até 5%.
• As organizações estrangeiras que preencham os critérios estão abrangidas, tal como as empresas e as pessoas singulares vietnamitas.
• As consequências adicionais podem incluir a suspensão da atividade, a eliminação irreversível de dados e a restituição de ganhos ilícitos.