Nagtakda ang Vietnam ng Multang Hanggang VND 70 Milyon sa mga Paglabag sa Pahintulot, at Mas Malalaking Parusa sa mga Paglabag sa Data

Hindi maituturing na pahintulot ang pananahimik sa paggamit ng personal na data

Nagtatakda ang Decree No. 330/2026/ND-CP ng Vietnam, na magkakabisa sa Agosto 19, 2026, ng multang VND 50 milyon hanggang VND 70 milyon sa pagtrato sa pananahimik ng isang tao bilang pahintulot na mangolekta o magproseso ng personal na data. Saklaw rin ng kaparehong antas ng multa ang sadyang pagpapatuloy ng pagproseso matapos humiling ang tao na itigil o limitahan ito, o matapos mag-utos nito nang nakasulat ang karampatang awtoridad.

Bahagi lamang ang mga tuntunin sa pahintulot ng mas malawak na balangkas ng mga parusa. Maaaring umabot sa 5% ng kita noong nakaraang taon ang multa sa ilang paglabag na may kinalaman sa paglilipat ng personal na data sa ibang bansa. Maaaring umabot sa VND 3 bilyon ang multa sa iba pang paglabag sa personal na data, habang maaaring ibatay sa maraming ulit ng halaga ng transaksiyon ang parusa sa ilegal na pangangalakal ng data.

Inilalarawan sa inilathalang dekreto ng pamahalaan, na may petsang Agosto 26, ang balangkas na binubuo ng apat na kabanata at 82 artikulo. Saklaw nito ang cybersecurity, social media, mga information system at proteksiyon ng personal na data, at pangunahing parusa rito ang mga babala at multa.

Para sa mga gumagamit ng app, namimili online o tumatanggap ng mga mensahe ng patalastas, ang praktikal na usapin ay kontrol: dapat may legal na batayan ang paggamit ng mga negosyo sa kanilang impormasyon, ipaliwanag ang mga kaugnay na layunin at igalang ang mga kahilingang itigil ang paggamit nito. Para sa mga negosyo, hindi lamang multa ang maaaring kaharapin kundi pati suspensiyon, pagbura ng data na ilegal na naproseso at pagsasauli ng mga ilegal na kinita.

Ano ang mga katangian ng balidong pahintulot?

Nagtatakda ang Artikulo 43(1) ng multang VND 30 milyon hanggang VND 50 milyon para sa iba’t ibang paglabag sa pagkuha ng pahintulot. Kabilang dito ang pagproseso ng personal na data nang walang pahintulot kung hinihingi ito ng batas, pagtatakda sa pagsang-ayon bilang default, at pagbibigay ng malabong tagubilin na nakalilito sa pagpili kung tatanggap o tatanggi.

Dapat kumuha ang negosyo ng pahintulot sa malinaw, tiyak at mapatutunayang paraan. Dapat nitong maipakita kung sino ang pumayag, kailan sila pumayag at kung ano ang tinanggap nila. Dapat ding makapili ang mga gumagamit nang hiwalay para sa bawat layunin ng pagproseso.

Halimbawa, maaaring mangailangan ng impormasyon ang isang serbisyong pamimili para matupad ang isang order. Tinutugunan ng dekreto ang paggawa sa pag-access sa serbisyong iyon bilang nakasalalay sa pagtanggap sa mga walang kaugnayang paggamit ng personal na data. Dapat makapili nang hiwalay ang isang tao tungkol sa mga karagdagang layuning iyon sa halip na kailanganin niyang tanggapin ang mga ito para matanggap ang napagkasunduang serbisyo.

Saklaw rin ng Artikulo 43 ang mga hindi kumpletong paliwanag tungkol sa mga uri ng data na pinoproseso, mga layunin nito, mga karapatan at obligasyon ng tao, at organisasyong kumokontrol sa pagproseso. Maaari ring pagmultahin ang hindi pagtatago ng mga talaan ng pahintulot. Kaya kailangan ng negosyo kapwa ng balidong proseso ng pagkuha ng pahintulot at ebidensiyang gumana ang prosesong ito.

May dagdag na proteksiyon ang sensitibong personal na data. Saklaw ng multang VND 30 milyon hanggang VND 50 milyon ang hindi pagpapaalam sa isang tao na pinoproseso ang sensitibong data niya. Kailangang tukuyin ng mga negosyo kung anong impormasyon ang hawak nila at ilapat ang mga kaugnay na pananggalang.

Hindi lang multa na VND 70 milyon ang dapat ikabahala

VND 20 milyon ang lamang ng pinakamataas na multa sa paglabag sa pahintulot kumpara sa pinakamataas sa mas mababang antas, na umaakyat mula VND 50 milyon tungong VND 70 milyon. Tinutumbok ng mas mataas na antas ang dalawang partikular na gawain: ipagpalagay na may pagsang-ayon dahil lamang sa pananahimik at sadyang balewalain ang kahilingang itigil o limitahan ang pagproseso.

Sa mas malawak na balangkas, VND 200 milyon ang pinakamataas na multa sa cybersecurity para sa mga organisasyon at VND 100 milyon para sa mga indibidwal. Iba ang pagkakabuo ng mga parusa sa proteksiyon ng personal na data: kabilang dito ang mga takdang halaga ng multa, mga parusang nakabatay sa ilegal na pangangalakal at mga parusang nakatali sa kita.

Inilalarawan ng legal alert ng EY noong Oktubre ang mga multang katumbas ng dalawa hanggang sampung ulit ng halaga ng transaksiyon para sa ilegal na pangangalakal ng personal na data. Ayon dito, kinakalkula ang halagang iyon batay sa mga ebidensiya gaya ng mga kontrata, invoice, talaan ng bayad, mensahe at bank statement, nang hindi ibinabawas ang mga gastos.

May multang 1% hanggang 5% ng kita sa ilang malulubhang paglabag na may kinalaman sa paglilipat ng data sa ibang bansa. Kabilang sa kategoryang ito, ayon sa EY, ang mga paglilipat na nagdudulot ng pagkawala o pagtagas ng data ng hindi bababa sa 10,000 mamamayang Vietnamese. Nasa pinakamataas na antas na 5% naman ang mga kasong nakaaapekto sa hindi bababa sa isang milyon. Ayon sa talaan nito, bahagi ng kitang kinita sa Vietnam noong nakaraang taon ang pinakamataas na multa; kung walang kita noong taong iyon, VND 3 bilyon ang pinakamataas.

Saklaw din ng mga tuntunin ang mga dayuhang negosyo

Saklaw ng Decree 330 ang mga indibidwal at organisasyong Vietnamese at dayuhan. Kabilang dito ang mga kuwalipikadong dayuhang negosyong nagbibigay ng serbisyo sa telekomunikasyon, internet, online na nilalaman, information technology, cybersecurity o mga serbisyong tumatawid sa mga hangganan, gayundin ang mga dayuhang organisasyong nagpoproseso ng personal na data ng mga Vietnamese na saklaw ng dekreto.

Kabilang sa mga pinoprotektahang grupo ang mga mamamayang Vietnamese at mga taong may lahing Vietnamese na naninirahan sa Vietnam, may mga sertipiko ng pagkakakilanlan ngunit hindi pa natutukoy ang nasyonalidad. Kaya dapat ding tasahin ng mga negosyo kung saan sila nakabase, kasabay ng mga serbisyong ibinibigay nila at ng mga taong may impormasyong hinahawakan nila.

Tinutukoy ng pagsusuri ng Tilleke & Gibbins sa dekreto ng mga parusa ang Ministry of Public Security bilang awtoridad na responsable sa proteksiyon ng personal na data at cybersecurity. Ayon dito, sinusuportahan ng dekreto ang mga obligasyong nakasaad sa mga batas sa proteksiyon ng personal na data at cybersecurity sa pamamagitan ng detalyadong balangkas ng mga administratibong parusa.

Para sa kumpanyang nagpapatakbo sa labas ng Vietnam, kabilang sa mga praktikal na hakbang ang pagtukoy kung saklaw ng mga tuntuning ito ang mga serbisyo at gawaing pagproseso nito. Maaaring kailangang suriin ang mga sistema ng advertising, database ng customer at paglilipat ng data sa mga service provider sa ibang bansa ayon sa mga kaugnay na probisyon.

Dapat may legal na batayan ang mga listahan para sa patalastas

Tinutugunan ng Artikulo 37 ang mga hindi hiniling na email at mensahe ng patalastas, pati ang iba pang paglabag sa mga tuntunin sa online advertising. Maaari ring maging mahalaga ang Artikulo 48 kung ilegal na nakolekta ang impormasyong ginamit sa patalastas. Kaya magkahiwalay na usapin sa pagsunod sa batas ang mismong pag-aanunsiyo at ang pangongolekta sa pinagmulan nitong data.

Kailangang alamin ng negosyong bumibili ng listahan ng mga numero ng telepono kung saan nagmula ang data, ano ang legal na batayan sa paggamit nito at para saan ito nakolekta. Dapat din itong magbigay ng paraan para tanggihan ng mga tao ang mga patalastas o ang kaugnay na pagbabahagi ng kanilang impormasyon.

Saklaw ng Artikulo 43 ang mga tuntunin sa pahintulot sa prosesong ito. Ang taong hindi sumagot sa kahilingan para sa pahintulot ay hindi pumayag. Haharap sa mas mataas na antas ng multa na VND 50 milyon hanggang VND 70 milyon ang negosyong sadyang magpapatuloy sa pagproseso matapos hilinging itigil o limitahan ito.

Tinutukoy rin ng EY ang isang partikular na parusa sa pagtatakda bilang default ng pahintulot na ibunyag ang personal na data sa kaakibat na advertising network. Iniuugnay ng mga network na ito ang mga negosyo sa mga partner na nagtataguyod ng mga produkto o nagdadala sa kanila ng mga potensiyal na customer. Sa pagbabahagi ng impormasyon sa ganitong mga kaayusan, kailangang isaalang-alang ang pinili ng tao sa halip na ang pagsang-ayong itinakda nang maaga.

Para sa mga mamimili, iniuugnay ng mga probisyong ito ang unang pangongolekta ng numero ng telepono sa paggamit nito sa kalaunan. Para sa mga kumpanya, isang bahagi lamang ng tungkulin ang pagsusuri sa mensahe ng patalastas: mahalaga rin ang pinagmulan ng listahan ng mga contact, ang mga pahintulot na kaugnay nito at ang pag-asikaso sa mga pagtanggi.

Kailangan ng masusing pagsusuri sa data ng mga bata at surveillance

May mga kinakailangan para sa mga plataporma, serbisyong pang-edukasyon, entertainment app at online retailer na humahawak ng impormasyon ng mga bata. Kabilang dito ang layunin ng pagproseso, balidong pahintulot, dami ng kinokolektang data at mga hakbang na pangproteksiyon. Tinutukoy ng EY ang mga parusa sa hindi pagtiyak sa edad ng bata bago iproseso ang personal na data nito.

Binibigyang-pansin din ng EY ang pagkakaiba sa pananalita ng batas sa proteksiyon ng personal na data at ng dekreto. Hinihingi ng batas ang pahintulot kapwa ng batang pitong taong gulang pataas at ng legal na kinatawan nito kapag nilalayong ibunyag sa pagproseso ang pribadong buhay o personal na mga lihim ng bata. Mas malawak naman ang pagkakasulat ng probisyon sa parusa ng dekreto hinggil sa pahintulot ng dalawa, ayon sa pagsusuri ng EY.

Kaya kailangang suriin ng mga negosyong naglilingkod sa mga bata kung angkop sa kanilang gawain ang mga pagsusuri sa edad at mga pamamaraan ng pagkuha ng pahintulot. Nagtatala ang EY ng pinakamataas na multang VND 200 milyon para sa mga organisasyon sa ilang paglabag sa pagbura o pagsira sa data ng mga batang naproseso nang lampas sa layunin nito.

May isa pang partikular na panganib sa mga recording mula sa pampublikong surveillance. Tinutukoy ng EY ang mga parusa sa paggamit ng personal na data, larawan o recording ng boses mula sa mga pampublikong surveillance camera para sa komersiyal na layunin, pagsusuri ng asal o awtomatikong pagkilala sa mukha para bumuo ng mga profile nang walang balidong pahintulot.

Maaaring makalikha ng impormasyon ang kamerang ikinabit para sa seguridad na nais gamitin ng negosyo sa ibang layunin sa kalaunan. Ayon sa mga probisyong inilalarawan ng EY, kailangan ng hiwalay na legal na pagsusuri sa ganitong kasunod na komersiyal o analitikal na paggamit, gayundin ng balidong pahintulot kung itinakda ito. Mahalaga rin ang mga panahon ng pagtatago ng data: dapat tukuyin sa ilang kasunduan sa paglilipat ng data ang panahong itatago ito na angkop sa layunin ng paglilipat.

Nagdudulot ng mga pananagutan para sa mga gumagamit at operator ang AI at social media

Maaaring patawan ng parusa ang paggamit ng artificial intelligence para magpanggap na ibang tao gamit ang larawan, boses o pagkakakilanlan nito kung sangkot dito ang pandaraya, maling impormasyon, paglabag sa mga legal na karapatan o ilegal na pangongolekta at paggamit ng personal na data. Nakabatay sa gawain at bigat nito ang naaangkop na parusa.

Responsable pa rin ang mga negosyo sa mga desisyon nilang mangolekta ng impormasyon, magpasok nito sa isang AI system at gamitin ang kalalabasang resulta. Kaya dapat sumailalim ang awtomatikong pagproseso sa parehong mga pagsusuri sa legal na batayan, layunin, pahintulot at proteksiyon na umiiral sa iba pang gawain ng pagproseso.

Saklaw ng mga obligasyon sa social media ang mga provider, manager, operator at gumagamit. Responsable ang mga taong nagpo-post o nagbabahagi ng nilalaman, kabilang ang mga materyal na may kinalaman sa pagpapanggap bilang iba, pandaraya o paglabag sa mga legal na karapatan at interes ng ibang tao.

Tinutugunan din ng mga probisyon sa cybersecurity ang mga pag-atake, hindi awtorisadong pag-access, mapaminsalang code at hindi pakikipagtulungan sa mga espesyalisadong puwersa sa cybersecurity. Kapag nagpapakita ng palatandaan ng krimen ang isang kaso, sinasabi sa paliwanag ng pamahalaan na ililipat ang rekord nito alinsunod sa mga kaugnay na probisyon ng Law on Handling of Administrative Violations.

Maaaring sundan ng pagbura o suspensiyon ang mga multa

Depende sa partikular na paglabag, kabilang sa mga karagdagang parusa ang pagkawala ng karapatang gumamit ng mga tinukoy na lisensiya o sertipiko sa loob ng isa hanggang 24 na buwan, suspensiyon ng operasyon sa kaparehong panahon, kumpiskasyon ng kagamitan o iba pang bagay na ginamit sa paglabag, at deportasyon ng mga dayuhang mamamayan.

Iniuugnay ng Artikulo 43 ang ilang partikular na paglabag sa pahintulot sa hindi na maibabalik na pagbura ng ilegal na nakolekta o naprosesong data. Itinatadhana rin nito ang kumpiskasyon sa mga tinukoy na kaso at pagsasauli ng ilegal na kinita para sa mga paglabag sa mas mataas na antas ng multa. Dahil dito, maaaring mawalan ng access sa impormasyon ang isang negosyo bukod pa sa pagharap sa multang salapi.

May sariling paraan ng pagkalkula ang pagsasauli ng ilegal na kinita bilang hakbang na panumbalik. Ipinaliwanag ng EY na sa mga naaangkop na kasong hindi sangkot ang ilegal na pangangalakal ng data, maaari nitong saklawin ang kitang nalikha ng mga gawaing negosyo gamit ang data na ilegal na nakolekta, naproseso, ginamit o inilipat, nang hindi ibinabawas ang mga gastos.

Nagtatala ang Tilleke & Gibbins ng iba pang parusang nakaaapekto sa pang-araw-araw na pagsunod sa batas: hanggang VND 80 milyon sa paglabag sa mga kinakailangan sa pag-uulat ng paglabag sa seguridad, VND 100 milyon sa mga paglabag na may kinalaman sa mga pagsusuri sa epekto ng pagproseso ng data, at VND 30 milyon sa hindi pagtatalaga ng opisyal o departamento para sa proteksiyon ng data.

Dokumentadong pagsusuri ang pagtatasa ng epekto sa kung paano maaaring makaapekto ang pagproseso sa data ng mga tao at kung paano pamamahalaan ang mga panganib. Maaaring kabilang sa mga hakbang na panumbalik ang sapilitang pagsusumite ng pagtatasa at suspensiyon ng pagproseso hanggang matugunan ang mga kinakailangan sa paghahain nito. Maaari ring ilapat ang mga kahalintulad na hakbang sa mga kinakailangang pagtatasa para sa paglilipat sa ibang bansa. Nagtatala rin ang EY ng mga multang hanggang VND 40 milyon para sa mga organisasyong lumampas sa itinakdang panahon sa pagtugon sa kahilingan ng isang tao tungkol sa kanyang mga karapatan sa data.

Kailan umiiral ang mga tuntunin at paano maaaring umusad ang mga kaso

Nagkabisa ang Decree 330 sa araw ng pagkakaloob nito, nang walang palugit para sa transisyon. Sinundan nito ang ilang taong pagbuo sa balangkas ng Vietnam para sa proteksiyon ng personal na data:

• Hulyo 1, 2023: Nagkabisa ang Decree No. 13/2023/ND-CP tungkol sa proteksiyon ng personal na data.
• Enero 1, 2026: Nagkabisa ang Law on Personal Data Protection, kasama ang mga kinakailangan sa pagpapatupad sa ilalim ng Decree No. 356/2025/ND-CP.
• Agosto 19, 2026: Ipinatupad at nagkabisa ang Decree No. 330/2026/ND-CP.
• Agosto 26, 2026: Inilathala ng pamahalaan ang paliwanag nito tungkol sa dekreto at mga parusa sa paglabag sa pahintulot.

Isang taon ang palugit para magpataw ng mga administratibong parusa. Para sa natapos nang paglabag, nakabatay ang pagsisimula ng palugit sa pagtupad sa obligasyon o sa pagkumpirma ng karampatang awtoridad na natapos na ang paglabag. Kailangan ding tukuyin ng mga awtoridad kung natapos na o nagpapatuloy pa ang ginawa.

Inilalarawan ng Tilleke & Gibbins ang isang tuntunin sa transisyon para sa mga paglabag na ginawa bago ang Agosto 19 ngunit natuklasan o sinusuri pa rin pagkatapos nito. Karaniwang umiiral ang balangkas ng mga parusang ipinatutupad noong mangyari ang paglabag. Maaaring ilapat ang mas paborableng mga probisyon ng Decree 330 kung inaalis ng mga ito ang pananagutan o nagtatakda ng mas magaang parusa.

Kinikilala ng balangkas ang mga elektronikong ebidensiya at pinahihintulutan ang mga elektronikong rekord ng paglabag at desisyon sa parusa, kabilang ang biometric authentication kung walang digital signature. Dahil dito, partikular na mahalaga sa pagsisiyasat ng kaso ang mga rekord na may kaugnayan sa pagsunod sa batas, gaya ng mga tala ng pahintulot, kasaysayan ng mga kahilingan at tala ng transaksiyon.

Walang nakasaad na iskedyul para sa mga partikular na inspeksiyon o kaso ng pagpapatupad ng batas. Ang agarang praktikal na pagbabago ay mayroon nang nakalaang balangkas ng mga parusa para sa mga umiiral na tungkulin na sumasaklaw sa dokumentasyon, tauhan, seguridad, pahintulot at aktuwal na paggamit ng personal na impormasyon.

Mahahalagang Punto

• Nagkabisa ang Decree 330 noong Agosto 19, 2026, at saklaw nito ang cybersecurity at proteksiyon ng personal na data.
• May multang VND 30 milyon hanggang VND 50 milyon sa mga tinukoy na paglabag sa pahintulot.
• Maaaring patawan ng multang VND 50 milyon hanggang VND 70 milyon ang pagtrato sa pananahimik bilang pahintulot o sadyang pagbalewala sa mga kahilingang itigil ang pagproseso.
• Maaaring umabot sa 5% ng kita ang mga parusa sa ilang malulubhang paglilipat ng data sa ibang bansa.
• Saklaw ang mga kuwalipikadong dayuhang organisasyon, gayundin ang mga negosyong Vietnamese at mga indibidwal.
• Kabilang sa mga karagdagang kahihinatnan ang suspensiyon, hindi na maibabalik na pagbura ng data at pagsasauli ng ilegal na kinita.