เวียดนามกำหนดค่าปรับกรณีความยินยอมสูงสุด 70 ล้านดอง พร้อมบทลงโทษที่สูงกว่าสำหรับการละเมิดข้อมูล

การนิ่งเฉยไม่อาจถือเป็นการอนุญาตให้ใช้ข้อมูลส่วนบุคคล

กฤษฎีกาเลขที่ 330/2026/ND-CP ของเวียดนาม ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 19 สิงหาคม 2026 กำหนดค่าปรับ 50 ล้านถึง 70 ล้านดองเวียดนาม สำหรับการถือว่าการนิ่งเฉยของบุคคลเป็นความยินยอมให้เก็บรวบรวมหรือประมวลผลข้อมูลส่วนบุคคล อัตราค่าปรับเดียวกันนี้ใช้กับกรณีที่จงใจประมวลผลข้อมูลต่อไปหลังบุคคลนั้นร้องขอให้หยุดหรือจำกัดการประมวลผล หรือหลังหน่วยงานผู้มีอำนาจมีคำสั่งเป็นลายลักษณ์อักษร

ข้อกำหนดเรื่องความยินยอมเป็นส่วนหนึ่งของกรอบบทลงโทษที่กว้างกว่านั้นมาก การละเมิดบางประเภทที่เกี่ยวข้องกับการโอนข้อมูลส่วนบุคคลไปต่างประเทศอาจมีโทษปรับสูงสุดถึง 5% ของรายได้ในปีก่อนหน้า การละเมิดอื่น ๆ เกี่ยวกับข้อมูลส่วนบุคคลอาจมีโทษปรับสูงถึง 3 พันล้านดอง ขณะที่การซื้อขายข้อมูลโดยมิชอบด้วยกฎหมายอาจมีโทษปรับโดยคำนวณเป็นทวีคูณของมูลค่าธุรกรรม

รายละเอียดกฤษฎีกาที่รัฐบาลเผยแพร่ลงวันที่ 26 สิงหาคม ระบุว่ากรอบดังกล่าวประกอบด้วย 4 หมวดและ 82 มาตรา ครอบคลุมความมั่นคงปลอดภัยทางไซเบอร์ สื่อสังคมออนไลน์ ระบบสารสนเทศ และการคุ้มครองข้อมูลส่วนบุคคล โดยใช้คำเตือนและค่าปรับเป็นบทลงโทษหลัก

สำหรับผู้ใช้แอป ซื้อสินค้าออนไลน์ หรือได้รับข้อความโฆษณา ประเด็นในทางปฏิบัติคือการควบคุมข้อมูล: ธุรกิจต้องมีฐานทางกฎหมายในการใช้ข้อมูล อธิบายวัตถุประสงค์ที่เกี่ยวข้อง และเคารพคำขอให้หยุด สำหรับธุรกิจ ความเสี่ยงไม่ได้จำกัดอยู่แค่ค่าปรับ แต่อาจรวมถึงการระงับกิจการ การลบข้อมูลที่ประมวลผลโดยมิชอบ และการคืนผลประโยชน์ที่ได้มาโดยมิชอบ

ความยินยอมแบบใดจึงถือว่าถูกต้อง?

มาตรา 43(1) กำหนดค่าปรับ 30 ล้านถึง 50 ล้านดอง สำหรับการบกพร่องด้านความยินยอมหลายกรณี ซึ่งรวมถึงการประมวลผลข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอมในกรณีที่กฎหมายกำหนดให้ต้องได้รับ การตั้งค่าการยินยอมไว้เป็นค่าเริ่มต้น และการให้คำแนะนำที่ไม่ชัดเจนจนทำให้สับสนระหว่างการยอมรับกับการปฏิเสธ

ธุรกิจต้องขอความยินยอมด้วยวิธีที่ชัดเจน เฉพาะเจาะจง และตรวจสอบได้ และต้องสามารถแสดงให้เห็นว่าใครให้ความยินยอม เมื่อใด และยินยอมต่อเรื่องใด ผู้ใช้ต้องสามารถเลือกแยกตามวัตถุประสงค์การประมวลผลแต่ละข้อได้ด้วย

ตัวอย่างเช่น บริการซื้อสินค้าอาจต้องใช้ข้อมูลเพื่อดำเนินการตามคำสั่งซื้อ กฤษฎีกากล่าวถึงกรณีที่กำหนดให้ต้องยอมรับการใช้ข้อมูลส่วนบุคคลในวัตถุประสงค์อื่นที่ไม่เกี่ยวข้องจึงจะเข้าถึงบริการได้ บุคคลควรมีทางเลือกแยกต่างหากสำหรับวัตถุประสงค์เพิ่มเติมเหล่านั้น แทนที่จะต้องยอมรับเพื่อรับบริการตามที่ตกลงกันไว้

มาตรา 43 ยังครอบคลุมการชี้แจงไม่ครบถ้วนเกี่ยวกับประเภทข้อมูลที่ประมวลผล วัตถุประสงค์ สิทธิและหน้าที่ของบุคคล ตลอดจนองค์กรที่ควบคุมการประมวลผล การไม่มีบันทึกความยินยอมก็อาจถูกลงโทษได้เช่นกัน ดังนั้นธุรกิจจึงต้องมีทั้งกระบวนการขออนุญาตที่ถูกต้องและหลักฐานว่ากระบวนการนั้นได้ผล

ข้อมูลส่วนบุคคลที่มีความอ่อนไหวได้รับความคุ้มครองเพิ่มเติม การไม่แจ้งบุคคลว่ากำลังประมวลผลข้อมูลอ่อนไหวของเขาอยู่ มีโทษปรับในช่วง 30 ล้านถึง 50 ล้านดอง ธุรกิจจึงต้องระบุว่าตนถือครองข้อมูลใดบ้างและใช้มาตรการคุ้มครองที่เกี่ยวข้อง

เหตุใดค่าปรับ 70 ล้านดองจึงเป็นเพียงส่วนหนึ่งของภาพรวม

ค่าปรับสูงสุดกรณีความยินยอมสูงกว่าค่าปรับสูงสุดในช่วงล่าง 20 ล้านดอง โดยเพิ่มจาก 50 ล้านเป็น 70 ล้านดอง อัตราที่สูงกว่านี้มุ่งใช้กับการกระทำเฉพาะสองประเภท ได้แก่ การถือว่าการนิ่งเฉยเป็นการยินยอม และการจงใจเพิกเฉยต่อคำขอให้หยุดหรือจำกัดการประมวลผล

ในกรอบบทลงโทษโดยรวม เพดานค่าปรับด้านความมั่นคงปลอดภัยทางไซเบอร์อยู่ที่ 200 ล้านดองสำหรับองค์กร และ 100 ล้านดองสำหรับบุคคล การคุ้มครองข้อมูลส่วนบุคคลมีโครงสร้างแตกต่างออกไป โดยรวมถึงค่าปรับเป็นจำนวนคงที่ บทลงโทษที่เชื่อมโยงกับการซื้อขายโดยมิชอบ และบทลงโทษที่คำนวณจากรายได้

บทวิเคราะห์กฎหมายประจำเดือนตุลาคมของ EY ระบุค่าปรับตั้งแต่สองถึงสิบเท่าของมูลค่าธุรกรรมสำหรับการซื้อขายข้อมูลส่วนบุคคลอย่างผิดกฎหมาย โดยคำนวณมูลค่าจากหลักฐาน เช่น สัญญา ใบแจ้งหนี้ บันทึกการชำระเงิน ข้อความ และรายการเดินบัญชีธนาคาร โดยไม่หักต้นทุน

การละเมิดร้ายแรงบางประเภทที่เกี่ยวข้องกับการโอนข้อมูลไปต่างประเทศมีโทษปรับ 1% ถึง 5% ของรายได้ EY ระบุว่าการโอนที่ทำให้ข้อมูลของพลเมืองเวียดนามอย่างน้อย 10,000 คนสูญหายหรือรั่วไหลอยู่ในกลุ่มนี้ และระบุว่าอัตราสูงสุด 5% ใช้กับกรณีที่กระทบอย่างน้อยหนึ่งล้านคน ตารางของ EY อธิบายว่าอัตราสูงสุดคิดเป็นสัดส่วนของรายได้ที่เกิดขึ้นในเวียดนามในปีก่อนหน้า โดยกำหนดเพดานไว้ที่ 3 พันล้านดอง หากไม่มีรายได้ในปีนั้น

ธุรกิจต่างชาติก็อยู่ภายใต้กฎนี้เช่นกัน

กฤษฎีกา 330 ใช้กับบุคคลและองค์กรทั้งชาวเวียดนามและชาวต่างชาติ โดยครอบคลุมถึงบริษัทต่างชาติที่เข้าเกณฑ์และให้บริการโทรคมนาคม อินเทอร์เน็ต เนื้อหาออนไลน์ เทคโนโลยีสารสนเทศ ความมั่นคงปลอดภัยทางไซเบอร์ หรือบริการข้ามพรมแดน ตลอดจนองค์กรต่างชาติที่เกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลของชาวเวียดนามตามที่กฤษฎีกาครอบคลุม

กลุ่มที่ได้รับความคุ้มครองรวมถึงพลเมืองเวียดนามและผู้มีเชื้อสายเวียดนามที่พำนักอยู่ในเวียดนาม ซึ่งมีเอกสารรับรองตัวตนแต่ยังไม่ได้กำหนดสัญชาติ สถานที่ตั้งในต่างประเทศจึงเป็นอีกประเด็นที่ธุรกิจต้องประเมินควบคู่กับบริการที่ให้และบุคคลที่เป็นเจ้าของข้อมูลที่ตนดูแล

Tilleke & Gibbins ระบุในบทวิเคราะห์กฤษฎีกาว่าด้วยบทลงโทษว่า กระทรวงความมั่นคงสาธารณะเป็นหน่วยงานรับผิดชอบด้านการคุ้มครองข้อมูลส่วนบุคคลและความมั่นคงปลอดภัยทางไซเบอร์ โดยอธิบายว่ากฤษฎีกานี้สนับสนุนการบังคับใช้ข้อกำหนดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลและกฎหมายความมั่นคงปลอดภัยทางไซเบอร์ ด้วยกรอบบทลงโทษทางปกครองที่มีรายละเอียดชัดเจน

สำหรับบริษัทที่ดำเนินงานนอกเวียดนาม งานในทางปฏิบัติคือการตรวจสอบว่าบริการและกิจกรรมการประมวลผลของตนอยู่ในขอบเขตดังกล่าวหรือไม่ ระบบโฆษณา ฐานข้อมูลลูกค้า และการโอนข้อมูลให้ผู้ให้บริการในต่างประเทศ อาจต้องได้รับการตรวจสอบตามบทบัญญัติที่เกี่ยวข้อง

รายชื่อเพื่อการโฆษณาต้องมีฐานทางกฎหมาย

มาตรา 37 กล่าวถึงอีเมลและข้อความโฆษณาที่ไม่ได้ร้องขอ รวมถึงการละเมิดกฎการโฆษณาออนไลน์ประเภทอื่น มาตรา 48 อาจเกี่ยวข้องด้วย หากข้อมูลที่นำมาใช้โฆษณาถูกเก็บรวบรวมโดยมิชอบ กิจกรรมโฆษณาและการเก็บรวบรวมข้อมูลต้นทางจึงเป็นประเด็นด้านการปฏิบัติตามกฎเกณฑ์ที่แยกจากกัน

ธุรกิจที่ซื้อรายชื่อหมายเลขโทรศัพท์ต้องตรวจสอบว่าได้ข้อมูลมาจากไหน มีฐานทางกฎหมายสำหรับการใช้งานหรือไม่ และเก็บรวบรวมมาเพื่อวัตถุประสงค์ใด นอกจากนี้ต้องจัดให้มีช่องทางให้บุคคลปฏิเสธโฆษณาหรือการแบ่งปันข้อมูลของตนที่เกี่ยวข้องได้

มาตรา 43 ทำให้กฎเรื่องความยินยอมครอบคลุมถึงกระบวนการนี้ด้วย ผู้รับที่ไม่ตอบคำขออนุญาตยังไม่ถือว่าให้ความยินยอม ธุรกิจที่จงใจประมวลผลข้อมูลต่อหลังได้รับคำขอให้หยุดหรือจำกัดการประมวลผล มีโทษปรับในอัตราสูงกว่า คือ 50 ล้านถึง 70 ล้านดอง

EY ยังระบุบทลงโทษเฉพาะกรณีตั้งค่าเริ่มต้นให้ยินยอมเปิดเผยข้อมูลส่วนบุคคลแก่เครือข่ายโฆษณาของบริษัทในเครือ เครือข่ายเหล่านี้เชื่อมธุรกิจกับพันธมิตรที่ช่วยโปรโมตผลิตภัณฑ์หรือนำผู้มีโอกาสเป็นลูกค้ามาให้ การแบ่งปันข้อมูลผ่านข้อตกลงดังกล่าวต้องคำนึงถึงทางเลือกของบุคคล แทนการเลือกความยินยอมไว้ล่วงหน้า

สำหรับผู้บริโภค ข้อกำหนดเหล่านี้เชื่อมโยงการเก็บหมายเลขโทรศัพท์ในครั้งแรกเข้ากับการนำไปใช้ในภายหลัง สำหรับบริษัท การตรวจข้อความทางการตลาดเป็นเพียงส่วนหนึ่งของงานเท่านั้น ที่มาของรายชื่อผู้ติดต่อ ความยินยอมที่กำกับการใช้รายชื่อนั้น และการจัดการเมื่อมีผู้ปฏิเสธ ล้วนมีความสำคัญ

ข้อมูลเกี่ยวกับเด็กและข้อมูลจากการเฝ้าระวังต้องตรวจสอบอย่างรอบคอบ

แพลตฟอร์ม บริการการศึกษา แอปความบันเทิง และร้านค้าออนไลน์ที่จัดการข้อมูลของเด็ก ต้องปฏิบัติตามข้อกำหนดเกี่ยวกับวัตถุประสงค์ในการประมวลผล ความยินยอมที่ถูกต้อง ปริมาณข้อมูลที่เก็บรวบรวม และมาตรการคุ้มครอง EY ระบุบทลงโทษกรณีไม่ตรวจสอบอายุของเด็กก่อนประมวลผลข้อมูลส่วนบุคคล

EY ยังชี้ให้เห็นความแตกต่างของถ้อยคำระหว่างกฎหมายคุ้มครองข้อมูลส่วนบุคคลกับกฤษฎีกา กฎหมายกำหนดให้ต้องได้รับความยินยอมทั้งจากเด็กอายุ 7 ปีขึ้นไปและผู้แทนโดยชอบด้วยกฎหมายของเด็ก หากมีวัตถุประสงค์เพื่อเปิดเผยชีวิตส่วนตัวหรือความลับส่วนบุคคลของเด็ก ส่วนบทบัญญัติเรื่องบทลงโทษในกฤษฎีกาที่กล่าวถึงการขอความยินยอมจากทั้งสองฝ่ายนั้นใช้ถ้อยคำกว้างกว่า ตามบทวิเคราะห์ของ EY

ธุรกิจที่ให้บริการแก่เด็กจึงต้องตรวจสอบว่าการตรวจสอบอายุและขั้นตอนขอความยินยอมสอดคล้องกับกิจกรรมที่ดำเนินการหรือไม่ EY ระบุโทษปรับสูงสุดสำหรับองค์กรที่ 200 ล้านดอง สำหรับการไม่ลบหรือทำลายข้อมูลเด็กที่ประมวลผลเกินวัตถุประสงค์ในบางกรณี

ภาพบันทึกจากกล้องเฝ้าระวังในที่สาธารณะเป็นความเสี่ยงเฉพาะอีกประการ EY ระบุบทลงโทษกรณีนำข้อมูลส่วนบุคคล ภาพ หรือเสียงจากกล้องดังกล่าวไปใช้ในเชิงพาณิชย์ วิเคราะห์พฤติกรรม หรือจดจำใบหน้าโดยอัตโนมัติเพื่อสร้างโปรไฟล์ โดยไม่ได้รับความยินยอมที่ถูกต้อง

กล้องที่ติดตั้งเพื่อความปลอดภัยอาจสร้างข้อมูลที่ธุรกิจต้องการนำไปใช้เพื่อวัตถุประสงค์อื่นในภายหลัง ตามข้อกำหนดที่ EY อธิบาย การใช้ข้อมูลในภายหลังเพื่อการค้าหรือการวิเคราะห์ต้องได้รับการประเมินทางกฎหมายแยกต่างหาก และต้องมีความยินยอมที่ถูกต้องในกรณีที่กำหนด ระยะเวลาเก็บรักษาก็มีความสำคัญเช่นกัน โดยข้อตกลงบางประเภทสำหรับการโอนข้อมูลต้องระบุระยะเวลาเก็บรักษาที่เหมาะสมกับวัตถุประสงค์ของการโอน

AI และสื่อสังคมออนไลน์สร้างความรับผิดชอบให้ทั้งผู้ใช้และผู้ให้บริการ

การใช้ปัญญาประดิษฐ์เพื่อปลอมแปลงภาพ เสียง หรืออัตลักษณ์ของบุคคลอื่น อาจมีโทษหากเกี่ยวข้องกับการฉ้อโกง การเผยแพร่ข้อมูลเท็จ การละเมิดสิทธิอันชอบด้วยกฎหมาย หรือการเก็บรวบรวมและใช้ข้อมูลส่วนบุคคลโดยมิชอบ บทลงโทษที่ใช้ขึ้นอยู่กับลักษณะและความร้ายแรงของการกระทำ

ธุรกิจยังคงต้องรับผิดชอบต่อการตัดสินใจเก็บรวบรวมข้อมูล นำข้อมูลเข้าสู่ระบบ AI และใช้ผลลัพธ์ที่ได้ การประมวลผลโดยอัตโนมัติจึงต้องอยู่ภายใต้การตรวจสอบเรื่องฐานทางกฎหมาย วัตถุประสงค์ ความยินยอม และการคุ้มครอง เช่นเดียวกับกิจกรรมประมวลผลประเภทอื่น

ข้อกำหนดเกี่ยวกับสื่อสังคมออนไลน์ครอบคลุมผู้ให้บริการ ผู้จัดการ ผู้ดำเนินงาน และผู้ใช้ ผู้ที่โพสต์หรือแบ่งปันเนื้อหาต้องรับผิดชอบต่อเนื้อหานั้น รวมถึงกรณีที่เกี่ยวข้องกับการปลอมตัว การฉ้อโกง หรือการละเมิดสิทธิและผลประโยชน์อันชอบด้วยกฎหมายของผู้อื่น

ข้อกำหนดด้านความมั่นคงปลอดภัยทางไซเบอร์ยังกล่าวถึงการโจมตี การเข้าถึงโดยไม่ได้รับอนุญาต โค้ดอันตราย และการไม่ให้ความร่วมมือกับหน่วยงานเฉพาะทางด้านความมั่นคงปลอดภัยทางไซเบอร์ คำชี้แจงที่รัฐบาลเผยแพร่ระบุว่า หากกรณีใดมีลักษณะเข้าข่ายความผิดอาญา ให้ส่งสำนวนตามบทบัญญัติที่เกี่ยวข้องของกฎหมายว่าด้วยการจัดการการละเมิดทางปกครอง

ค่าปรับอาจตามมาด้วยการลบข้อมูลหรือการระงับกิจการ

บทลงโทษเสริมขึ้นอยู่กับการละเมิดแต่ละประเภท และอาจรวมถึงการเพิกถอนสิทธิใช้ใบอนุญาตหรือใบรับรองที่กำหนดเป็นเวลา 1 ถึง 24 เดือน การระงับกิจการในช่วงเวลาเดียวกัน การยึดอุปกรณ์หรือสิ่งของอื่นที่ใช้กระทำการละเมิด และการเนรเทศชาวต่างชาติ

มาตรา 43 กำหนดให้การละเมิดข้อกำหนดเรื่องความยินยอมบางกรณีต้องลบข้อมูลที่เก็บรวบรวมหรือประมวลผลโดยมิชอบอย่างถาวร นอกจากนี้ยังมีการยึดทรัพย์ในกรณีที่กำหนด และการคืนผลประโยชน์ที่ได้มาโดยมิชอบสำหรับการละเมิดในกลุ่มอัตราค่าปรับที่สูงกว่า ดังนั้นธุรกิจอาจสูญเสียสิทธิในการเข้าถึงข้อมูลควบคู่ไปกับการถูกปรับเป็นเงิน

การคืนผลประโยชน์ที่ได้มาโดยมิชอบเป็นมาตรการเยียวยาที่มีหลักคำนวณเฉพาะ EY อธิบายว่า ในกรณีที่เกี่ยวข้องซึ่งไม่ใช่การซื้อขายข้อมูลอย่างผิดกฎหมาย อาจครอบคลุมรายได้ที่เกิดจากกิจกรรมทางธุรกิจซึ่งใช้ข้อมูลที่เก็บรวบรวม ประมวลผล ใช้ หรือโอนโดยมิชอบ โดยไม่หักต้นทุน

Tilleke & Gibbins ระบุบทลงโทษอื่น ๆ ที่เกี่ยวข้องกับการปฏิบัติตามกฎเกณฑ์ในชีวิตประจำวัน ได้แก่ สูงสุด 80 ล้านดองสำหรับการละเมิดข้อกำหนดการแจ้งเหตุละเมิดข้อมูล 100 ล้านดองสำหรับการละเมิดที่เกี่ยวข้องกับการประเมินผลกระทบจากการประมวลผลข้อมูล และ 30 ล้านดองสำหรับการไม่แต่งตั้งเจ้าหน้าที่หรือหน่วยงานคุ้มครองข้อมูล

การประเมินผลกระทบคือการตรวจสอบและจัดทำเอกสารว่าการประมวลผลอาจส่งผลต่อข้อมูลของบุคคลอย่างไร และจะจัดการความเสี่ยงอย่างไร มาตรการเยียวยาอาจรวมถึงการสั่งให้ยื่นผลการประเมินและระงับการประมวลผลจนกว่าจะปฏิบัติตามข้อกำหนดการยื่นเอกสารได้ มาตรการในลักษณะเดียวกันอาจใช้กับการประเมินที่จำเป็นสำหรับการโอนข้อมูลไปต่างประเทศด้วย EY ยังระบุโทษปรับสำหรับองค์กรสูงสุด 40 ล้านดอง กรณีไม่ปฏิบัติตามกำหนดเวลาตามกฎหมายในการดำเนินการตามคำขอใช้สิทธิในข้อมูลของบุคคล

กฎมีผลเมื่อใด และคดีดำเนินการอย่างไร

กฤษฎีกา 330 มีผลบังคับใช้ในวันที่ออก โดยไม่มีระยะเวลาเปลี่ยนผ่าน การประกาศใช้เกิดขึ้นหลังจากเวียดนามพัฒนากรอบการคุ้มครองข้อมูลส่วนบุคคลมาหลายปี:

• 1 กรกฎาคม 2023: กฤษฎีกาเลขที่ 13/2023/ND-CP ว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้
• 1 มกราคม 2026: กฎหมายว่าด้วยการคุ้มครองข้อมูลส่วนบุคคลมีผลบังคับใช้ พร้อมข้อกำหนดในการดำเนินงานภายใต้กฤษฎีกาเลขที่ 356/2025/ND-CP
• 19 สิงหาคม 2026: มีการออกกฤษฎีกาเลขที่ 330/2026/ND-CP และมีผลบังคับใช้
• 26 สิงหาคม 2026: รัฐบาลเผยแพร่คำชี้แจงเกี่ยวกับกฤษฎีกาและบทลงโทษกรณีความยินยอม

อายุความสำหรับการลงโทษทางปกครองคือหนึ่งปี สำหรับการละเมิดที่เสร็จสิ้นแล้ว จุดเริ่มนับระยะเวลาผูกกับการปฏิบัติตามหน้าที่ให้ครบถ้วน หรือการที่หน่วยงานผู้มีอำนาจยืนยันว่าการละเมิดสิ้นสุดลงแล้ว นอกจากนี้ หน่วยงานต้องพิจารณาด้วยว่าการกระทำนั้นสิ้นสุดแล้วหรือยังดำเนินอยู่

Tilleke & Gibbins อธิบายบทเฉพาะกาลสำหรับการละเมิดที่เกิดขึ้นก่อนวันที่ 19 สิงหาคม แต่ถูกตรวจพบหรือยังอยู่ระหว่างการพิจารณาหลังจากนั้น โดยทั่วไปจะใช้บทลงโทษที่มีผลในเวลาที่เกิดการละเมิด บทบัญญัติในกฤษฎีกา 330 ที่เป็นคุณมากกว่าอาจนำมาใช้ได้ หากทำให้พ้นความรับผิดหรือได้รับโทษเบาลง

กรอบนี้รับรองพยานหลักฐานอิเล็กทรอนิกส์ และอนุญาตให้จัดทำบันทึกการละเมิดและคำสั่งลงโทษทางอิเล็กทรอนิกส์ รวมถึงใช้การยืนยันตัวตนด้วยข้อมูลชีวมิติเมื่อไม่สามารถใช้ลายมือชื่อดิจิทัลได้ ดังนั้น บันทึกที่เกี่ยวข้องกับการปฏิบัติตามกฎ เช่น บันทึกความยินยอม ประวัติคำขอ และข้อมูลธุรกรรม จึงมีความสำคัญเป็นพิเศษต่อการตรวจสอบคดี

ไม่มีการระบุกำหนดเวลาสำหรับการตรวจสอบหรือบังคับใช้กฎหมายในกรณีเฉพาะ การเปลี่ยนแปลงในทางปฏิบัติที่เกิดขึ้นทันทีคือ หน้าที่ที่มีอยู่เดิมขณะนี้มีกรอบบทลงโทษเฉพาะรองรับ ครอบคลุมเอกสาร บุคลากร ความปลอดภัย ความยินยอม และการใช้ข้อมูลส่วนบุคคลจริง

ประเด็นสำคัญ

• กฤษฎีกา 330 มีผลบังคับใช้วันที่ 19 สิงหาคม 2026 ครอบคลุมความมั่นคงปลอดภัยทางไซเบอร์และการคุ้มครองข้อมูลส่วนบุคคล
• การละเมิดข้อกำหนดเรื่องความยินยอมบางกรณีมีโทษปรับ 30 ล้านถึง 50 ล้านดอง
• การถือว่าความนิ่งเฉยเป็นความยินยอม หรือจงใจเพิกเฉยต่อคำขอให้หยุด อาจมีโทษปรับ 50 ล้านถึง 70 ล้านดอง
• การโอนข้อมูลไปต่างประเทศที่ร้ายแรงบางกรณีอาจมีโทษปรับตามสัดส่วนรายได้สูงสุด 5%
• องค์กรต่างชาติที่เข้าเกณฑ์อยู่ภายใต้กฎนี้ เช่นเดียวกับธุรกิจและบุคคลชาวเวียดนาม
• ผลตามมาเพิ่มเติมอาจรวมถึงการระงับกิจการ การลบข้อมูลอย่างถาวร และการคืนผลประโยชน์ที่ได้มาโดยมิชอบ