Vietname propõe cinco níveis de risco dos dados, regras mais rigorosas para transferências para o estrangeiro e salvaguardas para a IA

Cinco níveis de risco determinariam a forma como o Vietname protege os dados

O Governo do Vietname apresentou à Assembleia Nacional, a 26 de outubro de 2026, uma Lei da Segurança dos Dados que propõe cinco níveis de risco, controlos mais rigorosos sobre dados sensíveis enviados para o estrangeiro e salvaguardas para as informações utilizadas pela inteligência artificial. O projeto contém seis capítulos e 29 artigos, prevendo apenas dois procedimentos administrativos de aprovação, ambos centrados nos dados dos níveis de risco mais elevados.

O ministro da Segurança Pública, o general Luong Tam Quang, apresentou a proposta durante a segunda sessão da 16.ª Assembleia Nacional, em representação do primeiro-ministro. Inicialmente, as empresas e outros responsáveis pelo tratamento de dados avaliariam os próprios dados, aplicariam medidas de proteção adequadas ao respetivo risco e continuariam a ser responsáveis por essa avaliação. As autoridades verificariam sobretudo o cumprimento das regras numa fase posterior.

O Governo propõe que a lei entre em vigor a 1 de julho de 2027. Os deputados deveriam discuti-la em grupos na tarde de 26 de outubro. A legislação continua a ser uma proposta, e os parlamentares que a estão a analisar pretendem controlos mais rigorosos para as informações mais sensíveis, procedimentos de avaliação mais claros e maior proteção dos dados biométricos e genéticos.

O projeto abrangeria também organizações sediadas fora do Vietname. Aplicar-se-ia a organismos, organizações e pessoas singulares vietnamitas; a organizações e pessoas singulares estrangeiras no Vietname; e a entidades no estrangeiro que tratem dados sob jurisdição vietnamita ou atuem contra a segurança dos dados do Vietname.

Para as empresas, a principal mudança seria um sistema gradual: o tratamento de rotina estaria sujeito a salvaguardas básicas e a pouca burocracia, enquanto as atividades suscetíveis de causar danos graves exigiriam avaliações, auditorias ou aprovação antes de começarem. Para as pessoas singulares, a proposta introduz obrigações de segurança relativas às informações à medida que estas circulam por sistemas, fornecedores e através das fronteiras nacionais.

Por que razão o Governo quer uma lei autónoma

Luong Tam Quang disse aos deputados que os sistemas de informação vietnamitas registaram cerca de 552 000 ciberataques em 2025, causando prejuízos a 5 230 organismos e empresas. Referiu também cerca de 300 casos detetados de dados anunciados para venda, envolvendo mais de 1,7 milhões de registos, e um roubo de mais de 160 milhões de registos de clientes numa instituição de crédito.

O ministro afirmou que 60% a 70% das fugas de dados tinham origem em funcionários das próprias organizações. Por isso, o acesso de trabalhadores e prestadores de serviços é uma questão central, a par da proteção contra atacantes externos. Restringir quem pode consultar as informações, monitorizar o acesso e retirar permissões quando necessário são medidas práticas previstas no quadro proposto.

O Governo argumenta que as regras existentes abordam diferentes partes do problema. A Lei dos Dados rege atividades como a criação, a gestão, a partilha e a classificação de dados. A legislação de proteção de dados pessoais regula as condições de tratamento e os direitos das pessoas singulares. A legislação de cibersegurança protege os sistemas de informação contra ameaças.

A proposta de Lei da Segurança dos Dados centrar-se-ia nas próprias informações ao longo de todo o ciclo, desde a recolha, o armazenamento, o tratamento e a transmissão até à destruição. Entre os seus fundamentos políticos está a Resolução n.º 57-NQ/TW do Politburo, de 22 de dezembro de 2024, sobre ciência, tecnologia, inovação e transformação digital nacional.

O que significariam os cinco níveis

O artigo 8.º classificaria os dados de acordo com a probabilidade de ocorrência de um incidente e os danos que este poderia causar à defesa nacional, à segurança nacional, à segurança pública e aos direitos legítimos de organizações e pessoas singulares. O nível 1 seria o mais baixo e o nível 5, o mais elevado.

As categorias propostas dariam às empresas um ponto de partida para identificarem as suas obrigações:

• O nível 1 inclui dados públicos e abertos, com baixa probabilidade de incidentes e consequências reduzidas.
• O nível 2 inclui informações internas, dados empresariais e dados pessoais que não se enquadrem na categoria superior, com risco médio.
• O nível 3 inclui dados importantes e dados pessoais sensíveis tratados em grande escala, sujeitos a limiares definidos pelo Governo.
• O nível 4 abrange, em geral, dados essenciais associados a um risco muito elevado e a danos potencialmente graves.
• O nível 5 inclui dados essenciais de defesa e segurança, bem como informações utilizadas para operar ou controlar instalações particularmente importantes ligadas à segurança nacional.

A classificação de risco coexistiria com a classificação prevista na Lei dos Dados. As organizações e as pessoas singulares manteriam os direitos legítimos de propriedade, gestão e utilização das suas informações. O nível de segurança determinaria a proteção exigida.

Quando começariam a burocracia e os controlos prévios

A apresentação do Governo identifica dois procedimentos administrativos: a apreciação dos documentos de conceção de sistemas dos níveis 4 e 5, ao abrigo do artigo 11.º, e a apreciação e aprovação das transferências para o estrangeiro desses níveis, ao abrigo do artigo 19.º.

O nível 1 não implicaria qualquer procedimento administrativo. Os responsáveis pelo tratamento de dados do nível 2 elaborariam um plano de proteção simplificado, com base num modelo, e guardá-lo-iam. Os responsáveis pelo nível 3 avaliariam as próprias atividades, sem as submeter a apreciação ou notificação. A partir do nível 3, seriam obrigatórias avaliações de impacto e auditorias periódicas de segurança.

Os sistemas que tratassem dados dos níveis 4 ou 5 teriam de ser sujeitos a uma avaliação da segurança dos dados antes de entrarem oficialmente em funcionamento, em coordenação com a apreciação de cibersegurança. Uma avaliação de impacto analisa o que poderia correr mal e quem poderia ser prejudicado; uma auditoria verifica se as proteções previstas funcionam efetivamente.

As empresas familiares, as pequenas e microempresas e as startups inovadoras que tratassem dados de rotina seguiriam, em geral, orientações básicas de proteção. As suas obrigações continuariam a depender do risco do tratamento, pelo que o tipo e a escala das informações tratadas seriam fatores práticos para determinar o cumprimento das regras.

O projeto procura também evitar a duplicação de procedimentos. Quando várias leis exigissem controlos sobre o mesmo objeto e risco, a organização utilizaria um único conjunto de documentos e um só ponto de contacto. Seriam reconhecidos os resultados válidos obtidos ao abrigo de outras leis. A avaliação da segurança dos dados de IA seria integrada no processo de avaliação de risco previsto na legislação sobre IA.

As transferências para o estrangeiro teriam três regimes distintos

Os dados enviados para o estrangeiro teriam tratamentos diferentes consoante o nível. Para os níveis 1 e 2, esta lei não exigiria qualquer procedimento de transferência. Os responsáveis pelo tratamento de dados do nível 3 avaliariam a transferência por iniciativa própria e conservariam os registos. Os níveis 4 e 5 exigiriam apreciação e aprovação por uma autoridade competente antes da transferência.

Os serviços na nuvem, as plataformas internacionais e as empresas com operações em vários países teriam, por isso, de identificar que informações são transferidas para o estrangeiro e qual o risco que lhes foi atribuído. Continuariam a aplicar-se as obrigações existentes ao abrigo de outras leis pertinentes.

A Comissão dos Assuntos de Defesa Nacional, Segurança e Negócios Estrangeiros da Assembleia Nacional apoiou, em termos gerais, controlos baseados no risco, sem uma obrigação geral de manter todos os dados no Vietname. Propôs uma regra mais rigorosa para o nível 5: as transferências para o estrangeiro seriam proibidas, salvo decisão em contrário do primeiro-ministro.

A comissão propôs também restringir as transferências para o estrangeiro de chaves de desencriptação e parâmetros criptográficos de sistemas dos níveis 4 e 5. Uma chave de desencriptação permite aceder a informações encriptadas, pelo que o controlo dessa chave constitui uma questão de segurança distinta da localização dos dados armazenados.

Outras propostas clarificariam quem pode restringir ou suspender temporariamente serviços que operem além-fronteiras e exigiriam uma notificação quando mudasse o controlo de uma empresa que gerisse dados do nível 4 ou superior. O projeto aborda também pedidos diretos de informação feitos por entidades estrangeiras, através de mecanismos destinados a assegurar o recurso a canais legais, incluindo acordos de cooperação judiciária.

As salvaguardas para a IA começariam pelos dados de treino

As organizações que investigassem, desenvolvessem ou implementassem sistemas de IA que tratassem dados de alto risco teriam de integrar a segurança desde a fase de conceção. Teriam de estabelecer a origem lícita e a integridade dos dados de treino e das informações deles derivadas.

A proposta aborda o envenenamento de dados, a extração não autorizada e o controlo humano sobre decisões automatizadas. O envenenamento de dados consiste em corromper deliberadamente as informações utilizadas para treinar ou operar um sistema de IA, podendo provocar resultados pouco fiáveis ou manipulados. A extração não autorizada consiste na obtenção de informações protegidas sem permissão.

De acordo com a legislação aplicável, teria de continuar a ser possível intervir e exercer supervisão humana sobre as decisões automatizadas. Este requisito liga a proteção das informações subjacentes às decisões que um sistema toma com base nelas.

As autoridades não poderiam exigir o código-fonte ou os pesos dos modelos de IA, exceto em investigações criminais. O código-fonte contém as instruções de um programa; os pesos de um modelo são os parâmetros numéricos que um sistema de IA aprende durante o treino. Ambos podem conter conhecimentos comerciais valiosos.

As empresas de IA recorreriam ao processo de avaliação previsto na legislação sobre IA, em vez de prepararem um processo autónomo de segurança dos dados ou serem sujeitas a uma apreciação separada. Assim, as verificações de segurança propostas seriam integradas num processo regulamentar existente, mantendo obrigações específicas relativas aos próprios dados.

Os fornecedores passariam a integrar o plano de segurança

Os responsáveis pelo tratamento de dados teriam responsabilidades que se estenderiam aos fornecedores, intermediários e outras partes envolvidas no tratamento de informações. Antes de estabelecerem a ligação a um produto ou serviço, avaliariam os riscos do fornecedor e limitariam o respetivo acesso ao estritamente necessário.

Os contratos teriam de especificar as obrigações de confidencialidade e as consequências das fugas de dados. Os responsáveis pelo tratamento monitorizariam também o acesso durante a relação contratual e revogá-lo-iam se fossem detetados riscos ou incidentes. O acesso remoto de fornecedores a sistemas que tratassem dados de maior risco estaria sujeito a controlos mais rigorosos.

O âmbito abrange infraestruturas digitais críticas, infraestruturas de dados nacionais, o tratamento em grande escala e sistemas que ligam controlos digitais a equipamento físico. Nesses contextos, dados danificados ou manipulados podem afetar o funcionamento de máquinas e instalações, além de exporem informações.

A comissão pediu que as responsabilidades fossem proporcionais ao poder de decisão e ao controlo efetivos de cada parte sobre os dados. Isso ajudaria a distinguir os deveres de um responsável pelo tratamento que decide como as informações são utilizadas dos deveres de um prestador que executa um serviço mais limitado.

Os poderes de emergência teriam limites legais

O projeto estabeleceria mecanismos de monitorização, alertas precoces, comunicação de incidentes e resposta coordenada. As alterações descritas na apresentação do Governo incluem também a informação das pessoas afetadas quando ocorrem incidentes e a limitação do âmbito de suspensões temporárias de transferências de dados.

As medidas técnicas de emergência exigiriam fundamento legal, uma entidade decisora autorizada, um âmbito definido e uma duração especificada. As autoridades deveriam privilegiar a medida que menos restringisse os direitos e pôr-lhe termo quando deixassem de se verificar os motivos que a justificavam.

As organizações e pessoas singulares afetadas manteriam o direito de apresentar reclamações, recorrer aos tribunais e pedir indemnização ao abrigo da lei. Os parlamentares que analisaram o projeto pediram também condições e mecanismos de indemnização mais claros quando as autoridades mobilizassem pessoal, equipamento ou outros recursos privados.

O projeto incentiva os responsáveis pela segurança dos dados e os especialistas independentes a detetar, testar e comunicar vulnerabilidades de boa-fé, prevendo a proteção da sua identidade e dos seus interesses legítimos, bem como isenções de responsabilidade correspondentes. A comissão propôs ainda exercícios de resposta a incidentes para sistemas dos níveis 4 e 5.

Os parlamentares querem regras mais rigorosas para os riscos mais elevados

O tenente-general sénior Le Tan Toi, presidente da Comissão dos Assuntos de Defesa Nacional, Segurança e Negócios Estrangeiros da Assembleia Nacional, apresentou o relatório de apreciação. A comissão apoiou a necessidade da lei e considerou que a proposta estava pronta para ser apreciada pela Assembleia Nacional.

Ainda assim, os parlamentares pediram critérios mais claros para cada nível de risco. Alguns propuseram que as autoridades especializadas revejam e atualizem regularmente as classificações, com um processo mais rigoroso para o nível 5, em vez de deixarem essa decisão a cargo dos próprios responsáveis pelo tratamento.

A comissão pediu também uma regra mais clara segundo a qual o risco dos dados determina a proteção exigida ao sistema que os trata. Solicitou salvaguardas reforçadas para informações biométricas e genéticas, como dados sobre características físicas ou traços hereditários.

Continuam em discussão questões processuais, incluindo os prazos de apreciação dos sistemas dos níveis 4 e 5 que não estejam abrangidos pela apreciação de cibersegurança. A comissão pediu uma delimitação mais clara entre a criptografia de segurança, os sistemas criptográficos do Governo e a criptografia civil, bem como regras de coordenação da resposta a incidentes para sistemas criptográficos militares e governamentais.

O Ministério da Segurança Pública seria responsável pela gestão estatal da segurança dos dados, o Ministério da Defesa Nacional supervisionaria os dados e sistemas de informação militares, e a Comissão de Cifras do Governo geriria os sistemas de informação criptográfica. Não seria criada nenhuma nova entidade.

O que mudou e quais são os próximos passos

A proposta apresentada aos deputados passou de 25 para 29 artigos, eliminou a criação prevista de um Centro Nacional de Governação da Segurança dos Dados e abandonou as multas calculadas como percentagem das receitas. Uma descrição anterior, datada de 7 de setembro, previa quatro níveis de dados, multas até 5% das receitas do exercício financeiro anterior e requisitos de armazenamento no país para dados críticos e essenciais. A proposta parlamentar estabelece, em vez disso, cinco níveis de risco e controlos diferenciados das transferências.

O Governo eliminou também um prazo fixo para a adoção de criptografia resistente à computação quântica, deixando o calendário para futuras regras governamentais. Os incentivos propostos ao investimento e à fiscalidade apoiariam a investigação em segurança, os serviços de nuvem soberana, os centros de dados seguros e as tecnologias criptográficas, com apoio a empresas mais pequenas e startups. O projeto prevê que se evitem políticas que atribuam o monopólio a um determinado produto ou fornecedor.

A criptografia resistente à computação quântica foi concebida para resistir a ataques de futuros computadores quânticos. A preocupação do Governo inclui a possibilidade de as informações serem recolhidas agora em formato encriptado e decifradas mais tarde, à medida que a capacidade de computação avança.

O calendário legislativo foi alterado durante a elaboração do projeto:

• Agosto de 2026: terminou a consulta pública, de acordo com o calendário anterior de elaboração do projeto.
• 7 de setembro de 2026: uma descrição anterior indicava que o projeto estava a ser analisado pelo Ministério da Justiça.
• 26 de outubro de 2026: o Governo apresentou a proposta, estando previstas discussões em grupos nessa tarde.
• 1 de julho de 2027: data prevista para a entrada em vigor da proposta parlamentar, em substituição de 1 de dezembro de 2027, a data indicada anteriormente.

O projeto alteraria a Lei da Cibersegurança e a Lei dos Dados e preservaria, através de disposições transitórias, os registos e resultados de avaliações existentes que fossem válidos. Os sistemas existentes teriam um prazo para cumprir os novos requisitos. As obrigações definitivas dependerão do texto aprovado pela Assembleia Nacional e das regras de execução.

Pontos principais

• O Vietname propõe cinco níveis de risco para a segurança dos dados, com proteções mais exigentes à medida que aumenta o potencial de dano.
• Dois procedimentos administrativos de aprovação abrangeriam a conceção de sistemas e as transferências para o estrangeiro que envolvessem os níveis 4 e 5.
• As salvaguardas para a IA abrangeriam os dados de treino, a extração não autorizada e a supervisão humana, com avaliações integradas nos procedimentos relativos à IA.
• Os parlamentares que analisaram o projeto pedem controlos mais rigorosos para o nível 5 e maior proteção dos dados biométricos e genéticos.
• A proposta revista elimina as multas calculadas com base nas receitas e a criação prevista de um novo centro nacional.
• O Governo propõe que a lei entre em vigor a 1 de julho de 2027, sob reserva de aprovação parlamentar.