O marco legal
A PDPL preserva o DNA de consentimento prévio do Decreto 13: o consentimento deve ser explícito, afirmativo e específico para cada finalidade, o silêncio nunca é considerado consentimento, e o tratamento de dados sensíveis traz deveres adicionais de notificação. Os usos de marketing e publicidade são tratados especificamente, exigindo consentimento e respeito à recusa. Os direitos dos titulares incluem acesso, exclusão, restrição e oposição, dentro de prazos legais curtos.
As avaliações de impacto são a primeira coisa que as empresas estrangeiras percebem. Tanto uma avaliação de impacto do tratamento quanto uma avaliação de transferência transfronteiriça devem ser preparadas e apresentadas ao departamento A05 do Ministério de Segurança Pública, um regime burocrático sem verdadeiro equivalente no GDPR. A PDPL também se insere em uma malha de leis correlatas (a Lei de Dados, para dados essenciais e importantes, e a Lei de Cibersegurança de 2025, que consolida as regras cibernéticas a partir de 1º de julho de 2026), de modo que as questões de classificação determinam quais obrigações se acumulam.
Principais instrumentos
Lei de Proteção de Dados Pessoais (91/2025/QH15)
A primeira lei abrangente de privacidade em nível de estatuto formal do Vietnã: bases centradas no consentimento, regras sobre dados sensíveis, apresentação de avaliações de impacto, restrições ao marketing e direitos dos titulares.
Decreto 356/2025/ND-CP
Decreto de regulamentação da PDPL, que substitui o Decreto 13/2023; detalha procedimentos, dossiês e responsabilidades.
Marketing e publicidade
O consentimento é a base central, com exceções limitadas; o uso para marketing exige consentimento, e os titulares devem poder recusar. A maioria das decisões de canal aqui decorre dessa regra de consentimento.
Transferências internacionais
Dossiês de avaliação de impacto de transferência apresentados ao Ministério de Segurança Pública; a Lei de Dados acrescenta controles para dados essenciais e importantes.
Fiscalização e sanções
Sanções administrativas com componentes baseados no faturamento introduzidos pelo novo arcabouço legal; responsabilidade criminal para o tráfico de dados.