Legge sulla protezione dei dati personali: come gestire i dati dei dipendenti in Vietnam

La Legge sulla Protezione dei Dati Personali 2025 (“PDPL 2025”), che entrerà in vigore il 1° gennaio 2026, rappresenta uno sviluppo importante nel quadro giuridico vietnamita per la privacy e la protezione dei dati personali. Man mano che le aziende diventano sempre più orientate ai dati, le informazioni sui dipendenti sono emerse come uno dei tipi di dati più utilizzati e sensibili dal punto di vista legale. Categorie di informazioni di routine come registri di reclutamento, dati di identificazione o valutazioni delle prestazioni, insieme a informazioni sensibili come dati sanitari o identificatori biometrici, rientrano tutte nell’ambito della PDPL 2025. Se gestiti in modo improprio, queste categorie di dati possono esporre le aziende a una significativa responsabilità legale.

Un cambiamento centrale introdotto dal PDPL 2025 è l’espansione sostanziale di ciò che costituisce i dati personali dei dipendenti, accompagnata da un rafforzamento del requisito di trasparenza. Secondo la nuova legge, quasi tutte le informazioni relative ai dipendenti sono considerate dati personali. Ciò include identificazione di base e dati di contatto, informazioni su stipendio e busta paga, numeri di conto bancari, dati sanitari, localizzazione e persino filmati delle telecamere sul posto di lavoro. A causa di questa ampia classificazione, le aziende sono tenute a informare chiaramente i dipendenti ogni volta che i loro dati vengono raccolti o elaborati. Tale avviso deve includere gli scopi del trattamento, l’ambito dei dati raccolti, i periodi di conservazione applicabili e i diritti che i dipendenti hanno riguardato i loro dati. Fondamentale, le aziende devono essere in grado di dimostrare la reale conformità a questi obblighi di trasparenza invece di limitarsi a farli riferimento nei contratti di lavoro o nelle regole interne.

Il PDPL 2025 rafforza inoltre il requisito di consenso esplicito in alcune attività di trattamento dei dati dei dipendenti. Qualsiasi trattamento che coinvolga pratiche particolarmente sensibili o intrusive—come sistemi di misurazione del tempo per impronte digitali o riconoscimento facciale, raccolta di informazioni sanitarie, tracciamento della posizione di veicoli aziendali o dispositivi di lavoro, l’uso di filmati di telecamere di sicurezza per scopi al di là della sicurezza, la condivisione dei dati dei dipendenti con terzi o il trasferimento di tali dati all’estero, può essere effettuato solo con il via libera del dipendente,  consenso specifico e volontario esplicito. Perché il consenso sia valido, le aziende devono fornire spiegazioni chiare, ottenere l’accordo affermativo del dipendente, conservare i registri di tale consenso e permettere al dipendente di ritirarlo in qualsiasi momento. I dati preraccolti o il consenso implicito non soddisfano gli standard stabiliti dalla nuova legge.

Per categorie di dati personali sensibili, in particolare informazioni biometriche e sanitarie, la PDPL 2025 va oltre richiedendo alle aziende di effettuare una Data Protection Impact Assessment (DPIA) prima di qualsiasi trattamento. Un DPIA valuta se il trattamento è necessario, ne valuta l’impatto sulla privacy dei dipendenti, considera i rischi potenziali in caso di incidenti di dati e individua misure tecniche o organizzative che riducono tali rischi. Le autorità possono richiedere di rivedere il DPIA durante le ispezioni, rendendolo un componente critico del quadro di conformità di un’azienda.

La nuova legge impone inoltre obblighi rigorosi riguardo all’archiviazione, condivisione e cancellazione dei dati dei dipendenti. Le aziende devono stabilire periodi di conservazione adeguati agli scopi per cui i dati vengono raccolti e trattati, e devono implementare misure di sicurezza sufficienti per prevenire accessi non autorizzati. La condivisione dei dati dei dipendenti con terze parti è consentita solo quando vi è una valida base legale o quando è stato ottenuto un consenso esplicito. Quando un rapporto di lavoro termina, le aziende devono valutare i dati che detengono ed eliminare o distruggere qualsiasi informazione non più necessaria, salvo quando la conservazione continua sia espressamente richiesta dalla legge. La sovraconservazione dei dati dei dipendenti è stata un problema persistente nella pratica, e il PDPL 2025 mira ad affrontare questa sfida imponendo obblighi più severi di minimizzazione e cancellazione dei dati.

Nel complesso, il PDPL 2025 crea un ambiente normativo molto più impegnativo per la gestione dei dati dei dipendenti in Vietnam. Per soddisfare questi requisiti, le aziende devono rivedere le attività di elaborazione dati esistenti, aggiornare le procedure interne e adottare meccanismi di governance più robusti. Oltre a garantire la conformità, questi cambiamenti offrono alle aziende l’opportunità di migliorare la trasparenza, costruire una maggiore fiducia con i dipendenti e ridurre i rischi legali in un contesto aziendale sempre più influenzato dall’uso responsabile dei dati.