Vietnam Tetapkan Denda Persetujuan hingga VND 70 Juta, dengan Sanksi Lebih Besar untuk Pelanggaran Data

Diam tidak dapat dianggap sebagai izin untuk menggunakan data pribadi

Decree No. 330/2026/ND-CP Vietnam, yang berlaku mulai 19 Agustus 2026, menetapkan denda sebesar VND 50 juta hingga VND 70 juta bagi pihak yang menganggap diamnya seseorang sebagai persetujuan untuk mengumpulkan atau memproses data pribadi. Rentang denda yang sama berlaku jika pemrosesan sengaja dilanjutkan setelah orang tersebut meminta penghentian atau pembatasan, atau setelah otoritas berwenang memerintahkannya secara tertulis.

Aturan persetujuan ini merupakan bagian dari kerangka sanksi yang jauh lebih luas. Pelanggaran tertentu terkait transfer data pribadi ke luar negeri dapat dikenai denda hingga 5% dari pendapatan tahun sebelumnya. Pelanggaran data pribadi lainnya dapat dikenai denda hingga VND 3 miliar, sedangkan perdagangan data ilegal dapat memicu sanksi yang dihitung berdasarkan kelipatan nilai transaksi.

Naskah dekret yang diterbitkan pemerintah, tertanggal 26 Agustus, merinci kerangka yang terdiri atas empat bab dan 82 pasal. Aturan ini mencakup keamanan siber, media sosial, sistem informasi, dan perlindungan data pribadi, dengan teguran dan denda sebagai sanksi utama.

Bagi pengguna aplikasi, pembeli daring, atau penerima pesan iklan, persoalan praktisnya adalah kendali: perusahaan harus memiliki dasar hukum untuk menggunakan informasi mereka, menjelaskan tujuan yang relevan, serta menghormati permintaan untuk menghentikan pemrosesan. Bagi perusahaan, risikonya tidak hanya berupa denda, tetapi juga kemungkinan penangguhan, penghapusan data yang diproses secara ilegal, dan pengembalian keuntungan yang diperoleh secara tidak sah.

Apa yang membuat persetujuan sah?

Pasal 43(1) menetapkan denda sebesar VND 30 juta hingga VND 50 juta untuk berbagai pelanggaran terkait persetujuan. Pelanggaran ini mencakup pemrosesan data pribadi tanpa persetujuan ketika diwajibkan oleh hukum, menjadikan persetujuan sebagai pilihan bawaan, serta memberikan petunjuk yang tidak jelas sehingga membingungkan pilihan antara menerima dan menolak.

Perusahaan harus memperoleh persetujuan dengan cara yang jelas, spesifik, dan dapat diverifikasi. Perusahaan harus dapat menunjukkan siapa yang menyetujui, kapan persetujuan diberikan, dan apa yang disetujui. Pengguna juga harus dapat memilih secara terpisah untuk setiap tujuan pemrosesan.

Sebagai contoh, layanan belanja mungkin memerlukan informasi untuk memenuhi pesanan. Dekret ini mengatur larangan mensyaratkan akses ke layanan tersebut pada persetujuan untuk penggunaan data pribadi yang tidak terkait. Seseorang harus dapat menentukan secara terpisah apakah akan menyetujui tujuan tambahan itu, tanpa harus menerimanya untuk mendapatkan layanan yang disepakati.

Pasal 43 juga mencakup penjelasan yang tidak lengkap tentang jenis data yang diproses, tujuannya, hak dan kewajiban seseorang, serta organisasi yang mengendalikan pemrosesan. Tidak adanya catatan persetujuan juga dapat dikenai sanksi. Karena itu, perusahaan memerlukan proses perolehan izin yang sah sekaligus bukti bahwa proses tersebut telah dijalankan dengan benar.

Data pribadi sensitif mendapat perlindungan tambahan. Kegagalan memberi tahu seseorang bahwa data sensitifnya sedang diproses termasuk dalam rentang denda VND 30 juta hingga VND 50 juta. Perusahaan perlu mengidentifikasi informasi yang mereka miliki dan menerapkan perlindungan yang relevan.

Mengapa denda VND 70 juta hanya sebagian dari gambaran

Denda tertinggi untuk pelanggaran persetujuan adalah VND 20 juta lebih tinggi dari batas atas rentang denda yang lebih rendah, yakni naik dari VND 50 juta menjadi VND 70 juta. Rentang yang lebih tinggi menyasar dua praktik spesifik: menganggap diam sebagai persetujuan dan sengaja mengabaikan permintaan penghentian atau pembatasan pemrosesan.

Dalam kerangka yang lebih luas, batas maksimum denda keamanan siber adalah VND 200 juta bagi organisasi dan VND 100 juta bagi individu. Perlindungan data pribadi memiliki struktur berbeda, termasuk rentang denda tetap, sanksi yang dikaitkan dengan perdagangan ilegal, serta sanksi yang dikaitkan dengan pendapatan.

Pemberitahuan hukum EY pada Oktober menjelaskan denda sebesar dua hingga sepuluh kali nilai transaksi untuk perdagangan data pribadi ilegal. Menurut EY, nilai tersebut dihitung berdasarkan bukti seperti kontrak, faktur, catatan pembayaran, pesan, dan rekening koran bank, tanpa mengurangi biaya.

Pelanggaran serius tertentu terkait transfer ke luar negeri dikenai denda sebesar 1% hingga 5% dari pendapatan. EY memasukkan transfer yang mengakibatkan hilang atau bocornya data milik sedikitnya 10.000 warga Vietnam dalam kategori ini, serta mencantumkan tingkat maksimum 5% untuk kasus yang berdampak pada sedikitnya satu juta orang. Tabel EY menyebut batas maksimum tersebut sebagai bagian dari pendapatan yang diperoleh di Vietnam pada tahun sebelumnya, dengan batas VND 3 miliar jika tidak ada pendapatan pada tahun itu.

Perusahaan asing juga tercakup dalam aturan

Decree 330 berlaku bagi individu dan organisasi Vietnam maupun asing. Cakupannya meliputi perusahaan asing yang memenuhi kriteria dan menyediakan layanan telekomunikasi, internet, konten daring, teknologi informasi, keamanan siber, atau layanan lintas batas, serta organisasi asing yang terlibat dalam pemrosesan data pribadi warga Vietnam yang tercakup.

Kelompok yang dilindungi mencakup warga negara Vietnam dan orang keturunan Vietnam yang tinggal di Vietnam, memiliki sertifikat identitas, tetapi kewarganegaraannya belum ditentukan. Karena itu, lokasi di luar negeri tetap menjadi persoalan yang perlu dinilai perusahaan, bersama dengan layanan yang mereka sediakan dan pihak yang datanya mereka tangani.

Tilleke & Gibbins, dalam analisis dekret sanksinya, menyebut Kementerian Keamanan Publik sebagai otoritas yang bertanggung jawab atas perlindungan data pribadi dan keamanan siber. Menurut analisis tersebut, dekret ini mendukung kewajiban berdasarkan undang-undang perlindungan data pribadi dan keamanan siber dengan kerangka sanksi administratif yang terperinci.

Bagi perusahaan yang beroperasi di luar Vietnam, langkah praktisnya mencakup pemeriksaan apakah layanan dan kegiatan pemrosesan mereka termasuk dalam cakupan aturan. Sistem periklanan, basis data pelanggan, dan transfer kepada penyedia layanan di luar negeri mungkin perlu ditinjau berdasarkan ketentuan yang relevan.

Daftar iklan harus memiliki dasar hukum

Pasal 37 mengatur email dan pesan iklan yang tidak diminta, serta pelanggaran lain terhadap aturan periklanan daring. Pasal 48 juga dapat berlaku jika informasi yang digunakan untuk iklan dikumpulkan secara ilegal. Karena itu, kegiatan periklanan dan pengumpulan data yang mendasarinya menimbulkan persoalan kepatuhan yang terpisah.

Perusahaan yang membeli daftar nomor telepon perlu memeriksa asal data, dasar hukum penggunaannya, dan tujuan pengumpulannya. Perusahaan juga harus menyediakan cara bagi orang untuk menolak iklan atau pembagian informasi mereka yang terkait.

Pasal 43 menerapkan aturan persetujuan dalam proses tersebut. Penerima yang tidak menjawab permintaan izin berarti belum menyetujui. Perusahaan yang sengaja terus memproses data setelah menerima permintaan penghentian atau pembatasan dapat dikenai denda yang lebih tinggi, yakni VND 50 juta hingga VND 70 juta.

EY juga mengidentifikasi sanksi khusus terkait persetujuan bawaan untuk mengungkapkan data pribadi kepada jaringan iklan afiliasi. Jaringan semacam itu menghubungkan perusahaan dengan mitra yang mempromosikan produk atau mengarahkan calon pelanggan kepada mereka. Pembagian informasi melalui pengaturan tersebut harus memperhatikan pilihan seseorang, bukan persetujuan yang telah ditentukan sebelumnya.

Bagi konsumen, ketentuan ini menghubungkan pengumpulan awal nomor telepon dengan penggunaannya di kemudian hari. Bagi perusahaan, memeriksa pesan pemasaran hanyalah satu bagian dari tugas: asal daftar kontak, izin yang melekat padanya, dan penanganan penolakan juga penting.

Data anak dan pengawasan memerlukan pemeriksaan lebih ketat

Platform, layanan pendidikan, aplikasi hiburan, dan peritel daring yang menangani informasi anak menghadapi persyaratan terkait tujuan pemrosesan, persetujuan yang sah, jumlah data yang dikumpulkan, dan langkah perlindungan. EY mengidentifikasi sanksi atas kegagalan memverifikasi usia anak sebelum memproses data pribadi.

EY juga menyoroti perbedaan redaksi antara undang-undang perlindungan data pribadi dan dekret tersebut. Undang-undang mewajibkan persetujuan dari anak berusia tujuh tahun ke atas dan perwakilan hukumnya apabila pemrosesan dimaksudkan untuk mengungkapkan kehidupan pribadi atau rahasia pribadi anak. Menurut analisis EY, ketentuan sanksi dalam dekret mengenai persetujuan dari keduanya dirumuskan secara lebih luas.

Karena itu, perusahaan yang melayani anak perlu memeriksa kesesuaian prosedur verifikasi usia dan persetujuan mereka dengan kegiatan yang dilakukan. EY mencantumkan denda maksimum VND 200 juta bagi organisasi untuk kegagalan tertentu dalam menghapus atau memusnahkan data anak yang diproses melampaui tujuannya.

Rekaman pengawasan di ruang publik menimbulkan risiko spesifik lainnya. EY mengidentifikasi sanksi atas penggunaan data pribadi, gambar, atau rekaman suara dari kamera pengawasan publik untuk tujuan komersial, analisis perilaku, atau pengenalan wajah otomatis guna membangun profil tanpa persetujuan yang sah.

Kamera yang dipasang untuk keamanan dapat menghasilkan informasi yang kemudian ingin digunakan perusahaan untuk tujuan lain. Menurut ketentuan yang dijelaskan EY, penggunaan komersial atau analitis di kemudian hari memerlukan penilaian hukum tersendiri serta persetujuan yang sah jika diwajibkan. Masa penyimpanan juga penting: perjanjian tertentu untuk transfer data harus mencantumkan jangka waktu penyimpanan yang sesuai dengan tujuan transfer.

AI dan media sosial membawa tanggung jawab bagi pengguna dan operator

Penggunaan kecerdasan buatan untuk meniru gambar, suara, atau identitas orang lain dapat dikenai sanksi jika tindakan tersebut melibatkan penipuan, informasi palsu, pelanggaran hak yang sah, atau pengumpulan dan penggunaan data pribadi secara ilegal. Sanksi yang berlaku bergantung pada tindakan dan tingkat keparahannya.

Perusahaan tetap bertanggung jawab atas keputusan mereka untuk mengumpulkan informasi, memasukkannya ke dalam sistem AI, dan menggunakan hasil yang dihasilkan. Karena itu, pemrosesan otomatis harus menjalani pemeriksaan dasar hukum, tujuan, persetujuan, dan perlindungan yang sama seperti kegiatan pemrosesan lainnya.

Kewajiban media sosial berlaku bagi penyedia, pengelola, operator, dan pengguna. Orang yang mengunggah atau membagikan konten bertanggung jawab atas konten tersebut, termasuk jika materi itu melibatkan peniruan identitas, penipuan, atau pelanggaran hak dan kepentingan sah orang lain.

Ketentuan keamanan siber juga mencakup serangan, akses tanpa izin, kode berbahaya, dan kegagalan bekerja sama dengan pasukan khusus keamanan siber. Jika suatu perkara menunjukkan indikasi tindak pidana, penjelasan pemerintah yang diterbitkan menyatakan bahwa berkas perkara harus dilimpahkan sesuai ketentuan Undang-Undang tentang Penanganan Pelanggaran Administratif.

Denda dapat diikuti penghapusan data atau penangguhan

Bergantung pada jenis pelanggarannya, sanksi tambahan mencakup pencabutan hak menggunakan lisensi atau sertifikat tertentu selama satu hingga 24 bulan, penangguhan operasi selama jangka waktu yang sama, penyitaan peralatan atau barang lain yang digunakan dalam pelanggaran, serta deportasi warga negara asing.

Pasal 43 mengaitkan pelanggaran persetujuan tertentu dengan penghapusan secara permanen atas data yang dikumpulkan atau diproses secara ilegal. Pasal itu juga mengatur penyitaan dalam kasus tertentu dan pengembalian keuntungan ilegal untuk pelanggaran yang dikenai rentang denda lebih tinggi. Akibatnya, perusahaan dapat kehilangan akses ke informasi sekaligus menghadapi denda.

Pengembalian keuntungan ilegal merupakan tindakan pemulihan dengan perhitungan tersendiri. EY menjelaskan bahwa, untuk kasus yang berlaku di luar perdagangan data ilegal, pengembalian ini dapat mencakup pendapatan dari kegiatan usaha yang menggunakan data yang dikumpulkan, diproses, digunakan, atau ditransfer secara ilegal, tanpa mengurangi biaya.

Tilleke & Gibbins mencantumkan sanksi lain yang berdampak pada kepatuhan sehari-hari: hingga VND 80 juta untuk pelanggaran kewajiban pemberitahuan kebocoran, VND 100 juta untuk pelanggaran terkait penilaian dampak pemrosesan data, dan VND 30 juta untuk kegagalan menunjuk petugas atau departemen perlindungan data.

Penilaian dampak merupakan pemeriksaan terdokumentasi mengenai kemungkinan dampak pemrosesan terhadap data seseorang dan cara mengelola risikonya. Tindakan pemulihan dapat mencakup kewajiban menyerahkan penilaian serta penangguhan pemrosesan sampai persyaratan pengajuan dipenuhi. Langkah serupa dapat berlaku untuk penilaian yang diwajibkan bagi transfer ke luar negeri. EY juga mencantumkan denda bagi organisasi hingga VND 40 juta karena melewati tenggat waktu berdasarkan undang-undang untuk menanggapi permintaan seseorang terkait hak atas datanya.

Kapan aturan berlaku dan bagaimana perkara dapat diproses

Decree 330 berlaku pada hari diterbitkan, tanpa masa transisi. Penerbitannya menyusul perkembangan kerangka perlindungan data pribadi Vietnam selama beberapa tahun:

• 1 Juli 2023: Decree No. 13/2023/ND-CP tentang perlindungan data pribadi mulai berlaku.
• 1 Januari 2026: Undang-Undang tentang Perlindungan Data Pribadi mulai berlaku, dengan persyaratan pelaksanaan berdasarkan Decree No. 356/2025/ND-CP.
• 19 Agustus 2026: Decree No. 330/2026/ND-CP diterbitkan dan mulai berlaku.
• 26 Agustus 2026: Pemerintah menerbitkan penjelasan mengenai dekret dan sanksi persetujuan.

Jangka waktu kedaluwarsa penjatuhan sanksi administratif adalah satu tahun. Untuk pelanggaran yang telah selesai, awal perhitungan dikaitkan dengan pemenuhan kewajiban atau konfirmasi oleh otoritas berwenang bahwa pelanggaran telah berakhir. Otoritas juga harus menentukan apakah suatu tindakan telah selesai atau masih berlangsung.

Tilleke & Gibbins menjelaskan aturan peralihan untuk pelanggaran yang dilakukan sebelum 19 Agustus, tetapi baru ditemukan atau masih ditinjau setelah tanggal tersebut. Pada umumnya, rezim sanksi yang berlaku saat pelanggaran terjadi tetap diterapkan. Ketentuan Decree 330 yang lebih menguntungkan dapat berlaku jika menghapus tanggung jawab atau menetapkan sanksi yang lebih ringan.

Kerangka ini mengakui bukti elektronik dan mengizinkan pembuatan berita acara pelanggaran serta keputusan sanksi secara elektronik, termasuk autentikasi biometrik apabila tanda tangan digital tidak tersedia. Karena itu, catatan kepatuhan seperti log persetujuan, riwayat permintaan, dan catatan transaksi menjadi sangat relevan dalam pemeriksaan perkara.

Tidak ada jadwal yang disebutkan untuk pemeriksaan atau kasus penegakan tertentu. Perubahan praktis yang langsung berlaku adalah bahwa kewajiban yang sudah ada kini memiliki kerangka sanksi khusus yang mencakup dokumentasi, kepegawaian, keamanan, persetujuan, dan penggunaan informasi pribadi secara nyata.

Poin-Poin Utama

• Decree 330 mulai berlaku pada 19 Agustus 2026 dan mencakup keamanan siber serta perlindungan data pribadi.
• Pelanggaran persetujuan tertentu dikenai denda sebesar VND 30 juta hingga VND 50 juta.
• Menganggap diam sebagai persetujuan atau sengaja mengabaikan permintaan penghentian dapat dikenai denda VND 50 juta hingga VND 70 juta.
• Transfer serius tertentu ke luar negeri dapat dikenai denda berdasarkan pendapatan hingga 5%.
• Organisasi asing yang memenuhi kriteria tercakup, bersama perusahaan dan individu Vietnam.
• Konsekuensi tambahan dapat mencakup penangguhan, penghapusan data secara permanen, dan pengembalian keuntungan ilegal.