Vietnam Menetapkan Denda Persetujuan sehingga VND 70 Juta, dengan Hukuman Lebih Berat bagi Pelanggaran Data

Berdiam diri tidak boleh dianggap sebagai kebenaran untuk menggunakan data peribadi

Decree No. 330/2026/ND-CP Vietnam, yang berkuat kuasa pada 19 Ogos 2026, menetapkan denda VND 50 juta hingga VND 70 juta bagi tindakan menganggap seseorang yang berdiam diri sebagai bersetuju dengan pengumpulan atau pemprosesan data peribadinya. Julat denda yang sama dikenakan bagi tindakan sengaja meneruskan pemprosesan selepas individu itu meminta supaya pemprosesan dihentikan atau dihadkan, atau selepas pihak berkuasa berwibawa mengarahkannya secara bertulis.

Peraturan persetujuan ini sebahagian daripada rangka kerja sekatan yang jauh lebih luas. Sesetengah pelanggaran berkaitan pemindahan data peribadi ke luar negara boleh dikenakan denda sehingga 5% daripada hasil tahun sebelumnya. Pelanggaran data peribadi yang lain boleh membawa denda sehingga VND 3 bilion, manakala perdagangan data secara haram boleh mengakibatkan denda yang dikira berdasarkan gandaan nilai transaksi.

Dekri yang diterbitkan oleh kerajaan itu, bertarikh 26 Ogos, memperincikan rangka kerja yang mengandungi empat bab dan 82 artikel. Rangka kerja itu merangkumi keselamatan siber, media sosial, sistem maklumat dan perlindungan data peribadi, dengan amaran dan denda sebagai hukuman utama.

Bagi pengguna aplikasi, pembeli dalam talian atau penerima mesej pengiklanan, isu praktikalnya ialah kawalan: perniagaan mesti mempunyai asas yang sah untuk menggunakan maklumat mereka, menjelaskan tujuan berkaitan dan menghormati permintaan supaya penggunaan dihentikan. Bagi perniagaan, risikonya bukan sekadar denda, malah boleh merangkumi penggantungan operasi, pemadaman data yang diproses secara haram dan pembayaran balik keuntungan haram.

Apakah yang menjadikan persetujuan sah?

Artikel 43(1) menetapkan denda VND 30 juta hingga VND 50 juta bagi pelbagai kegagalan mendapatkan persetujuan. Ini termasuk memproses data peribadi tanpa persetujuan apabila undang-undang mewajibkannya, menetapkan persetujuan sebagai pilihan lalai dan memberikan arahan yang tidak jelas sehingga mengelirukan pilihan antara menerima dengan menolak.

Perniagaan mesti mendapatkan persetujuan dengan cara yang jelas, khusus dan boleh disahkan. Perniagaan itu perlu dapat menunjukkan siapa yang bersetuju, bila mereka bersetuju dan perkara yang dipersetujui. Pengguna juga mesti boleh membuat pilihan secara berasingan bagi setiap tujuan pemprosesan.

Sebagai contoh, perkhidmatan membeli-belah mungkin memerlukan maklumat untuk memenuhi pesanan. Dekri itu menangani amalan menjadikan akses kepada perkhidmatan tersebut bergantung pada persetujuan untuk penggunaan data peribadi bagi tujuan lain yang tidak berkaitan. Seseorang patut diberi pilihan berasingan tentang tujuan tambahan itu, dan bukan dipaksa menerimanya untuk mendapatkan perkhidmatan yang telah dipersetujui.

Artikel 43 turut meliputi penjelasan yang tidak lengkap tentang jenis data yang diproses, tujuan pemprosesan, hak dan kewajipan individu serta organisasi yang mengawal pemprosesan. Kegagalan menyimpan rekod persetujuan juga boleh dikenakan denda. Oleh itu, perniagaan memerlukan proses kebenaran yang sah serta bukti bahawa proses itu berjalan dengan baik.

Data peribadi sensitif menerima perlindungan tambahan. Kegagalan memaklumkan seseorang bahawa data sensitifnya sedang diproses termasuk dalam julat denda VND 30 juta hingga VND 50 juta. Perniagaan perlu mengenal pasti maklumat yang disimpannya dan melaksanakan perlindungan yang berkaitan.

Mengapa VND 70 juta hanya sebahagian daripada gambaran

Denda persetujuan tertinggi ialah VND 20 juta melebihi had atas julat denda persetujuan yang lebih rendah, iaitu meningkat daripada VND 50 juta kepada VND 70 juta. Julat lebih tinggi itu menyasarkan dua amalan khusus: menganggap persetujuan diberikan kerana seseorang berdiam diri dan sengaja mengabaikan permintaan untuk menghentikan atau mengehadkan pemprosesan.

Dalam rangka kerja yang lebih luas, had maksimum denda keselamatan siber ialah VND 200 juta bagi organisasi dan VND 100 juta bagi individu. Perlindungan data peribadi pula mempunyai struktur yang berbeza, termasuk julat denda tetap, denda yang dikaitkan dengan perdagangan haram dan denda berdasarkan hasil.

Makluman undang-undang Oktober EY memperincikan denda antara dua hingga sepuluh kali nilai transaksi bagi perdagangan data peribadi secara haram. Menurut makluman itu, nilai tersebut dikira berdasarkan bukti seperti kontrak, invois, rekod pembayaran, mesej dan penyata bank, tanpa menolak kos.

Sesetengah pelanggaran serius yang melibatkan pemindahan ke luar negara dikenakan denda 1% hingga 5% daripada hasil. EY menyenaraikan pemindahan yang menyebabkan kehilangan atau kebocoran data milik sekurang-kurangnya 10,000 warga Vietnam dalam kategori ini, dan menyatakan kadar maksimum 5% bagi kes yang melibatkan sekurang-kurangnya satu juta orang. Jadualnya menyatakan kadar maksimum itu sebagai bahagian daripada hasil yang diperoleh di Vietnam pada tahun sebelumnya, dengan had VND 3 bilion jika tiada hasil pada tahun tersebut.

Perniagaan asing juga tertakluk pada peraturan ini

Decree 330 terpakai kepada individu dan organisasi Vietnam serta asing. Skopnya merangkumi perusahaan asing yang memenuhi syarat dan menyediakan perkhidmatan telekomunikasi, internet, kandungan dalam talian, teknologi maklumat, keselamatan siber atau perkhidmatan rentas sempadan, serta organisasi asing yang terlibat dalam pemprosesan data peribadi warga Vietnam yang diliputi dekri itu.

Kumpulan yang dilindungi termasuk warga Vietnam dan individu berketurunan Vietnam yang menetap di Vietnam serta memiliki sijil pengenalan diri tetapi kewarganegaraan mereka belum ditentukan. Oleh itu, lokasi di luar negara tetap menjadi perkara yang perlu dinilai oleh perniagaan, di samping perkhidmatan yang disediakan dan individu yang maklumatnya dikendalikan.

Tilleke & Gibbins, dalam analisis dekri sekatannya, menyatakan bahawa Kementerian Keselamatan Awam ialah pihak berkuasa yang bertanggungjawab terhadap perlindungan data peribadi dan keselamatan siber. Firma itu menjelaskan bahawa dekri tersebut menyokong kewajipan di bawah undang-undang perlindungan data peribadi dan keselamatan siber dengan rangka kerja sekatan pentadbiran yang terperinci.

Bagi syarikat yang beroperasi di luar Vietnam, langkah praktikal termasuk menyemak sama ada perkhidmatan dan aktiviti pemprosesannya termasuk dalam skop tersebut. Sistem pengiklanan, pangkalan data pelanggan dan pemindahan kepada penyedia perkhidmatan di luar negara mungkin semuanya perlu diteliti berdasarkan peruntukan yang berkaitan.

Senarai pengiklanan memerlukan asas yang sah

Artikel 37 menangani e-mel dan mesej pengiklanan yang tidak diminta serta pelanggaran lain terhadap peraturan pengiklanan dalam talian. Artikel 48 juga mungkin terpakai apabila maklumat yang digunakan untuk pengiklanan dikumpulkan secara haram. Oleh itu, aktiviti pengiklanan dan pengumpulan data yang mendasarinya menimbulkan isu pematuhan yang berasingan.

Perniagaan yang membeli senarai nombor telefon perlu menyemak sumber data itu, asas undang-undang untuk menggunakannya dan tujuan data tersebut dikumpulkan. Perniagaan itu juga mesti menyediakan cara untuk orang ramai menolak pengiklanan atau perkongsian maklumat mereka yang berkaitan.

Artikel 43 menerapkan peraturan persetujuan dalam proses itu. Penerima yang tidak menjawab permintaan kebenaran tidak dianggap bersetuju. Perniagaan yang sengaja meneruskan pemprosesan selepas menerima permintaan untuk menghentikan atau mengehadkannya berdepan julat denda lebih tinggi, iaitu VND 50 juta hingga VND 70 juta.

EY turut mengenal pasti sekatan khusus yang melibatkan persetujuan lalai untuk mendedahkan data peribadi kepada rangkaian pengiklanan sekutu. Rangkaian sedemikian menghubungkan perniagaan dengan rakan kongsi yang mempromosikan produk atau mengarahkan bakal pelanggan kepada mereka. Perkongsian maklumat melalui aturan tersebut memerlukan perhatian terhadap pilihan individu, bukannya persetujuan yang telah dipilih terlebih dahulu.

Bagi pengguna, peruntukan ini menghubungkan pengumpulan awal nombor telefon dengan penggunaannya kemudian. Bagi syarikat, menyemak mesej pemasaran hanyalah sebahagian daripada tugas: sumber senarai kenalan, kebenaran yang berkaitan dengannya dan pengendalian penolakan semuanya penting.

Data kanak-kanak dan pengawasan memerlukan penelitian lebih rapi

Platform, perkhidmatan pendidikan, aplikasi hiburan dan peruncit dalam talian yang mengendalikan maklumat kanak-kanak tertakluk pada keperluan berkaitan tujuan pemprosesan, persetujuan yang sah, jumlah data yang dikumpulkan dan langkah perlindungan. EY menyatakan bahawa penalti boleh dikenakan jika umur kanak-kanak tidak disahkan sebelum data peribadi diproses.

EY turut menyorot perbezaan kata-kata antara undang-undang perlindungan data peribadi dengan dekri tersebut. Undang-undang mewajibkan persetujuan daripada kanak-kanak berumur tujuh tahun ke atas dan wakil sah kanak-kanak itu apabila pemprosesan bertujuan mendedahkan kehidupan peribadi atau rahsia peribadinya. Menurut analisis EY, peruntukan sekatan dalam dekri berkenaan persetujuan kedua-dua pihak itu dirumuskan dengan skop yang lebih luas.

Oleh itu, perniagaan yang menyediakan perkhidmatan kepada kanak-kanak perlu meneliti kesesuaian semakan umur dan prosedur persetujuan mereka dengan aktiviti yang dijalankan. EY menyenaraikan denda maksimum VND 200 juta bagi organisasi untuk sesetengah kegagalan memadam atau memusnahkan data kanak-kanak yang diproses di luar tujuan asal.

Rakaman pengawasan awam menimbulkan satu lagi risiko khusus. EY menyatakan bahawa sekatan boleh dikenakan terhadap penggunaan data peribadi, imej atau rakaman suara daripada kamera pengawasan awam untuk tujuan komersial, analisis tingkah laku atau pengecaman wajah automatik bagi membina profil tanpa persetujuan yang sah.

Kamera yang dipasang untuk tujuan keselamatan boleh menghasilkan maklumat yang kemudiannya mahu digunakan oleh perniagaan bagi tujuan lain. Menurut peruntukan yang diperincikan oleh EY, penggunaan komersial atau analisis susulan itu memerlukan penilaian undang-undang tersendiri dan persetujuan yang sah apabila ditetapkan. Tempoh penyimpanan juga penting: perjanjian tertentu untuk pemindahan data mesti menyatakan tempoh penyimpanan yang sesuai dengan tujuan pemindahan tersebut.

AI dan media sosial membawa tanggungjawab kepada pengguna dan pengendali

Penggunaan kecerdasan buatan untuk menyamar sebagai orang lain melalui imej, suara atau identiti mereka boleh dikenakan sekatan jika tindakan itu melibatkan penipuan, maklumat palsu, pencabulan hak yang sah atau pengumpulan dan penggunaan data peribadi secara haram. Penalti yang dikenakan bergantung pada perbuatan dan tahap keseriusannya.

Perniagaan tetap bertanggungjawab atas keputusan mereka untuk mengumpulkan maklumat, memasukkannya ke dalam sistem AI dan menggunakan hasil yang dikeluarkan. Oleh itu, pemprosesan automatik perlu tertakluk pada semakan yang sama tentang asas undang-undang, tujuan, persetujuan dan perlindungan seperti aktiviti pemprosesan lain.

Kewajipan media sosial terpakai kepada penyedia, pengurus, pengendali dan pengguna. Individu yang menyiarkan atau berkongsi kandungan bertanggungjawab terhadapnya, termasuk jika bahan itu melibatkan penyamaran, penipuan atau pencabulan hak dan kepentingan sah orang lain.

Peruntukan keselamatan siber turut menangani serangan, akses tanpa kebenaran, kod berbahaya dan kegagalan bekerjasama dengan pasukan keselamatan siber khusus. Jika sesuatu kes menunjukkan tanda-tanda kesalahan jenayah, penjelasan kerajaan yang diterbitkan menyatakan bahawa fail kes perlu dipindahkan mengikut peruntukan berkaitan dalam Law on Handling of Administrative Violations.

Denda boleh disusuli pemadaman atau penggantungan

Bergantung pada jenis pelanggaran, hukuman tambahan boleh merangkumi kehilangan hak menggunakan lesen atau sijil tertentu selama satu hingga 24 bulan, penggantungan operasi bagi tempoh yang sama, pelucuthakan peralatan atau barangan lain yang digunakan dalam pelanggaran itu, serta pengusiran warga asing.

Artikel 43 mengaitkan pelanggaran persetujuan tertentu dengan pemadaman kekal data yang dikumpulkan atau diproses secara haram. Artikel itu juga memperuntukkan pelucuthakan dalam kes tertentu dan pembayaran balik keuntungan haram bagi pelanggaran dalam julat denda yang lebih tinggi. Kesannya, perniagaan mungkin kehilangan akses kepada maklumat selain dikenakan penalti kewangan.

Pembayaran balik keuntungan haram ialah langkah pemulihan dengan kaedah pengiraannya sendiri. EY menjelaskan bahawa, dalam kes yang berkenaan selain perdagangan data haram, jumlah itu boleh merangkumi hasil daripada aktiviti perniagaan yang menggunakan data yang dikumpulkan, diproses, digunakan atau dipindahkan secara haram, tanpa menolak kos.

Tilleke & Gibbins menyenaraikan hukuman lain yang menjejaskan pematuhan harian: sehingga VND 80 juta bagi pelanggaran kewajipan memaklumkan kebocoran data, VND 100 juta bagi pelanggaran berkaitan penilaian kesan pemprosesan data dan VND 30 juta bagi kegagalan melantik pegawai atau jabatan perlindungan data.

Penilaian kesan ialah pemeriksaan yang didokumenkan tentang kemungkinan kesan pemprosesan terhadap data seseorang dan cara risiko akan diuruskan. Langkah pemulihan boleh merangkumi kewajipan menyerahkan penilaian tersebut dan penggantungan pemprosesan sehingga keperluan pemfailan dipenuhi. Langkah serupa boleh dikenakan terhadap penilaian yang diwajibkan bagi pemindahan ke luar negara. EY turut menyenaraikan denda sehingga VND 40 juta bagi organisasi yang terlepas tarikh akhir statutori untuk memenuhi permintaan seseorang berkaitan hak datanya.

Bila peraturan berkuat kuasa dan bagaimana kes boleh diteruskan

Decree 330 berkuat kuasa pada tarikh ia dikeluarkan, tanpa tempoh peralihan. Pelaksanaannya menyusuli pembangunan rangka kerja perlindungan data peribadi Vietnam selama beberapa tahun:

• 1 Julai 2023: Decree No. 13/2023/ND-CP mengenai perlindungan data peribadi mula berkuat kuasa.
• 1 Januari 2026: Law on Personal Data Protection mula berkuat kuasa, dengan keperluan pelaksanaan di bawah Decree No. 356/2025/ND-CP.
• 19 Ogos 2026: Decree No. 330/2026/ND-CP dikeluarkan dan mula berkuat kuasa.
• 26 Ogos 2026: Kerajaan menerbitkan penjelasan tentang dekri dan penalti persetujuan.

Tempoh had bagi sekatan pentadbiran ialah satu tahun. Bagi pelanggaran yang telah selesai, tarikh mula pengiraan dikaitkan dengan pemenuhan kewajipan atau pengesahan oleh pihak berkuasa berwibawa bahawa pelanggaran itu telah berakhir. Pihak berkuasa juga mesti menentukan sama ada perbuatan tersebut telah selesai atau masih berterusan.

Tilleke & Gibbins memperincikan peraturan peralihan bagi pelanggaran yang dilakukan sebelum 19 Ogos tetapi hanya ditemukan atau masih dalam semakan selepas tarikh itu. Secara umumnya, rejim sekatan yang berkuat kuasa ketika pelanggaran berlaku akan digunakan. Peruntukan yang lebih memihak dalam Decree 330 boleh digunakan jika peruntukan itu menghapuskan liabiliti atau mengenakan penalti lebih ringan.

Rangka kerja ini mengiktiraf bukti elektronik dan membenarkan rekod pelanggaran serta keputusan sekatan dalam bentuk elektronik, termasuk pengesahan biometrik apabila tandatangan digital tidak tersedia. Oleh itu, rekod pematuhan seperti log persetujuan, sejarah permintaan dan rekod transaksi amat penting dalam pemeriksaan sesuatu kes.

Tiada jadual bagi pemeriksaan atau tindakan penguatkuasaan tertentu dinyatakan. Perubahan praktikal serta-merta ialah kewajipan sedia ada kini disokong rangka kerja sekatan khusus yang meliputi dokumentasi, kakitangan, keselamatan, persetujuan dan penggunaan sebenar maklumat peribadi.

Perkara Utama

• Decree 330 berkuat kuasa pada 19 Ogos 2026 dan meliputi keselamatan siber serta perlindungan data peribadi.
• Pelanggaran persetujuan tertentu dikenakan denda VND 30 juta hingga VND 50 juta.
• Menganggap sikap berdiam diri sebagai persetujuan atau sengaja mengabaikan permintaan untuk menghentikan pemprosesan boleh dikenakan denda VND 50 juta hingga VND 70 juta.
• Pemindahan serius tertentu ke luar negara boleh dikenakan denda berdasarkan hasil sehingga 5%.
• Organisasi asing yang memenuhi syarat turut diliputi, selain perniagaan dan individu Vietnam.
• Akibat tambahan boleh merangkumi penggantungan, pemadaman kekal data dan pembayaran balik keuntungan haram.