Perché la conformità dei dati in Vietnam è diversa
La CSL stabilisce il quadro di riferimento per la sicurezza delle reti e la protezione dei sistemi informativi, in particolare quando sono coinvolti la sicurezza nazionale, la cybersicurezza e i sistemi informativi critici. La DL classifica e categorizza i dati in base alla loro sensibilità, concentrandosi in particolare sui dati «importanti» e «core», e introduce rigorosi divieti in materia di trasferimenti transfrontalieri e di gestione statale. La PDPL è la normativa organica del Vietnam in materia di dati personali e si affianca a tali regimi anziché sostituirli. In pratica, una singola attività di trattamento dei dati può far sorgere contemporaneamente obblighi ai sensi di tutti e tre i quadri normativi, il che rappresenta spesso la prima grande sorpresa per le società che entrano nel mercato vietnamita.
La PDPL condivide diversi concetti con il GDPR, tra cui le basi giuridiche, i diritti degli interessati e gli obblighi di notifica delle violazioni dei dati, ma differisce per importanti dettagli operativi. Il consenso rimane centrale in molte attività di trattamento del settore privato e la legge è rigorosa in materia di informativa, limitazione delle finalità e trattamento dei dati personali sensibili. Si applica inoltre a determinate attività di trattamento effettuate all’estero che coinvolgono i dati personali di individui in Vietnam, il che significa che le società non possono presumere che una struttura all’estero consenta automaticamente di evitare gli obblighi di conformità previsti dalla normativa vietnamita. Inoltre, le valutazioni relative ai trasferimenti transfrontalieri e gli altri adempimenti locali in materia di conformità non corrispondono perfettamente ai meccanismi del GDPR, per cui considerare la PDPL come il «GDPR del Vietnam» costituisce una semplificazione eccessiva che può creare lacune nella conformità.
L’attività di enforcement coinvolge autorità di regolamentazione con competenze sovrapposte — con il Ministero della Pubblica Sicurezza (MPS) che svolge il ruolo principale — mentre le autorità di settore prevedono proprie norme per i servizi finanziari, l’assistenza sanitaria e gli operatori di sistemi informativi critici. L’attività di enforcement dispone di strumenti concretamente incisivi: le violazioni relative ai trasferimenti transfrontalieri possono ora comportare sanzioni fino al 5% del fatturato realizzato in Vietnam dal trasgressore nell’anno precedente. Per una società straniera, ciò significa che la conformità non consiste in un singolo adempimento, ma in un’attività continuativa da mantenere nei confronti di molteplici autorità.
Legge sulla cybersecurity e la Legge sui dati in Vietnam
La CSL vietnamita si applica in modo ampio alle organizzazioni che gestiscono sistemi informativi o forniscono servizi digitali in Vietnam. Essa impone obblighi di sicurezza di base, comprese misure di salvaguardia tecniche e amministrative, e può comportare misure di localizzazione dei dati o requisiti di presenza locale in determinati casi qualora le violazioni in materia di cybersicurezza non vengano sanate a seguito di una notifica. Per le società straniere, il punto fondamentale è che la conformità in materia di cybersicurezza in Vietnam può incidere, fin dall’inizio, sulla progettazione delle infrastrutture, sulla gestione dei fornitori, sulla risposta agli incidenti e sui rapporti con le autorità di regolamentazione locali.
La DL si affianca alla CSL, istituendo un sistema di classificazione dei dati — dati generali, importanti e core — con obblighi crescenti per ciascun livello, oltre a un rigoroso controllo normativo delle attività relative ai dati che incidono sulla sicurezza nazionale. Insieme alla PDPL, queste leggi fanno sì che la conformità in materia di cybersicurezza e la protezione dei dati in Vietnam non costituiscano ambiti di attività separati: un singolo sistema può essere contemporaneamente soggetto agli obblighi di sicurezza previsti dalla CSL, agli obblighi di classificazione e trattamento previsti dalla DL e alle norme in materia di informazioni personali previste dalla PDPL. Per le imprese a investimento estero, la conseguenza pratica è che le infrastrutture IT, il trattamento dei dati e le prassi in materia di privacy devono essere tutti progettati fin dall’inizio tenendo conto di questo quadro normativo combinato in materia di protezione dei dati — adeguare la conformità a posteriori, dopo che un sistema è stato realizzato, è molto più costoso.
Conformità alla PDPL: obblighi principali
La conformità alla PDPL si fonda su una serie di obblighi che risultano familiari a chi conosce il GDPR, ma che differiscono nei dettagli operativi che determinano se un’azienda sia effettivamente conforme. Per molte attività di trattamento del settore privato, il consenso rimane la principale base giuridica e deve essere informato, specifico e prestato dopo che l’interessato ha ricevuto un’informativa chiara sulle finalità e sulle modalità del trattamento, sul periodo di conservazione e sui propri diritti. I dati personali sensibili richiedono un livello di attenzione maggiore e le aziende dovrebbero evitare di fare affidamento su formule generiche o cumulative in materia di privacy come sostituto di procedure di acquisizione del consenso adeguatamente strutturate.
Le informazioni personali sensibili, comprese categorie quali dati biometrici, dati finanziari, dati relativi alla salute e dati relativi alla localizzazione, possono richiedere un’ulteriore giustificazione interna e misure di conformità documentate. Le organizzazioni che trattano dati personali dovrebbero inoltre conservare un fascicolo relativo alla Valutazione d’Impatto sulla Protezione dei Dati (Data Protection Impact Assessment) ed essere in grado di aggiornarlo al mutare dell’attività di trattamento. Gli interessati devono poter esercitare diritti quali l’accesso, la rettifica, la cancellazione, la revoca del consenso e gli altri diritti riconosciuti dalle norme vietnamite applicabili. In pratica, la conformità richiede più di un documento contenente una policy; richiede un processo operativo funzionante che l’impresa possa effettivamente seguire.
La PDPL richiede inoltre alle organizzazioni che trattano dati personali di nominare un Responsabile della Protezione dei Dati (Data Protection Officer – DPO) o un dipartimento designato, i cui dati devono essere formalmente comunicati alle autorità. Il rispetto di tali requisiti normativi non costituisce un mero adempimento documentale una tantum; significa integrare le procedure di acquisizione del consenso, i processi di valutazione e la capacità di rispondere alle richieste degli interessati nelle modalità con cui l’impresa opera concretamente in Vietnam.
Trasferimento transfrontaliero dei dati in Vietnam
Il trasferimento transfrontaliero dei dati rappresenta l’aspetto operativamente più complesso della conformità in materia di dati in Vietnam. Il trasferimento di informazioni personali al di fuori del Paese richiede la predisposizione e la presentazione formale di un fascicolo relativo alla Valutazione d’Impatto sul Trasferimento Transfrontaliero (Cross-border Transfer Impact Assessment – CTIA) direttamente al MPS entro 60 giorni dal primo trasferimento.
Le soglie sono rigorose e richiedono un’ampia conformità per quasi ogni trasferimento verso l’estero di dati personali raccolti in Vietnam, rendendo necessari aggiornamenti continui alle autorità ogni sei mesi. Il fascicolo CTIA deve indicare meticolosamente le informazioni relative al mittente e al destinatario, gli obblighi giuridici vincolanti gravanti sul destinatario straniero e le specifiche misure tecniche di salvaguardia implementate.
Nella pratica, la valutazione rappresenta l’aspetto più complesso: richiede una mappatura dettagliata dei dati, può comportare tempi di preparazione considerevoli ed è soggetta a un controllo attivo da parte dello Stato. Per i flussi di dati tra UE e Vietnam, i due regimi si sovrappongono: un trasferimento può richiedere sia un meccanismo di trasferimento ai sensi del GDPR sul versante dell’UE da cui i dati vengono trasferiti, sia un meccanismo CTIA ai sensi della PDPL sul versante vietnamita. Commettere errori al riguardo non comporta conseguenze meramente teoriche: i trasferimenti transfrontalieri non autorizzati costituiscono una priorità attiva nell’attività di enforcement e il costo di un’esportazione di dati non approvata può consistere in sanzioni devastanti, che possono arrivare fino al 5% dei ricavi, nonché nella sospensione operativa del flusso di dati dal quale dipende l’attività dell’impresa.
Localizzazione dei dati e requisiti di sicurezza
Due requisiti colgono impreparate le società straniere quando realizzano infrastrutture IT in Vietnam: la localizzazione dei dati e gli standard obbligatori di protezione della sicurezza delle informazioni.
La localizzazione dei dati trova applicazione più direttamente ai sensi della CSL e dei relativi decreti attuativi, imponendo alle imprese straniere che forniscono servizi di telecomunicazione, internet e servizi a valore aggiunto di conservare i dati degli utenti in Vietnam e di istituire un ufficio locale qualora non pongano rimedio alle violazioni in materia di cybersicurezza a seguito di un avvertimento. Gli standard di sicurezza delle informazioni sono obbligatori ai sensi della CSL e richiedono che i sistemi di rete rispettino specifici requisiti tecnici e gestionali volti a prevenire lo spionaggio informatico e l’estrazione non autorizzata di dati. Le società straniere spesso trascurano questi sistemi di sicurezza quando implementano sistemi in Vietnam, per poi scoprire l’esistenza di tali obblighi nel corso di un audit o di un’operazione. Alla base di entrambi vi è il sistema di classificazione previsto dalla DL, che determina il livello di rigore con cui deve essere gestito ciascun insieme di dati. Progettare fin dall’inizio le infrastrutture e la gestione dei dati in conformità a tali requisiti è molto meno costoso che intervenire successivamente per porvi rimedio.
Applicazione della normativa e risposta delle autorità di regolamentazione in Vietnam
L’attività di enforcement in materia di dati in Vietnam è ripartita tra diverse autorità di regolamentazione con competenze sovrapposte. Il MPS, in particolare il dipartimento A05, è la principale autorità di regolamentazione in materia di dati e cybersicurezza. Le autorità di regolamentazione settoriali aggiungono ulteriori livelli di controllo.
L’attività di enforcement si è intensificata e le sanzioni sono considerevoli, con nuovi quadri normativi che consentono l’imposizione di ingenti sanzioni calcolate in base ai ricavi. Quando si verifica un’indagine o una violazione dei dati, la risposta è soggetta a tempistiche stringenti e a specifiche procedure: la PDPL e la CSL impongono rigorosi obblighi di notifica delle violazioni alle autorità di regolamentazione, richiedendo spesso la presentazione di comunicazioni entro 72 ore — o persino entro 24 ore ai sensi della relativa normativa in materia di tutela dei consumatori. Il modo in cui una società gestisce la notifica, l’interazione con l’autorità di regolamentazione e le misure correttive nei primi giorni determina spesso se un incidente rimarrà una questione gestibile oppure si trasformerà in una responsabilità molto più significativa. Disporre di un consulente legale locale in grado di gestire direttamente i rapporti con l’autorità di regolamentazione può fare la differenza tra una risposta controllata e una situazione in progressiva escalation.
Il nostro ruolo come studio legale specializzato in cybersicurezza e conformità in materia di dati in Vietnam
In qualità di team di avvocati specializzati in cybersicurezza con una presenza permanente in Vietnam, forniamo servizi di conformità in materia di dati alle imprese straniere che devono rispettare contemporaneamente la PDPL, la CSL e la DL. I nostri avvocati abilitati in Vietnam gestiscono localmente le relative attività, rispondendo alle richieste delle imprese in materia di sicurezza dei dati e protezione delle informazioni personali, conducendo analisi di conformità e di classificazione dei dati, redigendo informative e policy sulla privacy e fornendo assistenza nella preparazione e nella presentazione al MPS dei fascicoli CTIA e DPIA.
Un avvocato specializzato in protezione dei dati del nostro team in Vietnam gestisce inoltre i rapporti con le autorità di regolamentazione — rispondendo alle richieste del MPS, gestendo le notifiche delle violazioni e rappresentando il cliente nelle indagini — mentre la nostra rete europea e asiatica, più in generale, garantisce che il programma adottato in Vietnam sia allineato al GDPR e agli altri obblighi della società, affinché i flussi di dati tra UE e Vietnam siano gestiti in modo coerente su entrambi i versanti.
Poiché la conformità in materia di dati raramente costituisce una materia a sé stante, lo stesso team si avvale delle nostre competenze in materia societaria, giuslavoristica e contrattuale — dalle clausole sui dati contenute in un contratto di fornitura, alla gestione dei dati dei dipendenti nell’ambito delle risorse umane, fino alla due diligence nell’ambito di un’operazione — affinché una società possa beneficiare di un unico programma coordinato, anziché di consulenze separate fornite da studi diversi.
