Derecho internacional sobre protección de datos personales e implicaciones para Vietnam

La protección de datos personales no es una cuestión sencilla, especialmente cuando se sitúa en el contexto de la integración, cuando se realizan actividades de seguimiento y recopilación de datos personales a gran escala y el sistema jurídico vietnamita que regula esta cuestión todavía está en proceso de construcción y perfeccionamiento.

Como uno de los países con mayor desarrollo de Internet y velocidad de aplicación en el mundo , con casi el 80% de la población usándolo, los datos personales de 2/3 de la población de Vietnam se almacenan, publican, comparten y recopilan en el ciberespacio en muchas formas y niveles de detalle diferentes.

En 2022 y 2023, Vietnam interpuso cinco procesos penales relacionados con la compraventa de miles de gigabytes de datos y miles de millones de información personal. Esto demuestra la urgencia de mejorar la legislación sobre protección de datos personales con base en la investigación y la referencia al derecho internacional.

Derecho internacional sobre protección de datos personales

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

El RGPD se considera un gran avance jurídico que crea el mecanismo de protección de información personal más estricto del mundo actual.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea (UE) se considera un importante avance jurídico que crea el mecanismo de protección de información personal más estricto del mundo actual y se aplica a todas las organizaciones y empresas que procesan datos personales de ciudadanos en la UE.

El RGPD impone sanciones uniformes a las empresas por infracciones en todo el bloque. En concreto, las multas ascienden hasta el 2 % de la facturación o 10 millones de euros para infracciones leves, y hasta el 4 % de la facturación o 20 millones de euros para infracciones graves. Además de las multas, las empresas que incumplan el RGPD también pueden estar sujetas a otras sanciones, como la obligación de interrumpir el tratamiento de datos o la eliminación de los datos tratados en infracción del RGPD.

La autoridad de protección de datos personales de la UE es la Autoridad de Supervisión de Protección de Datos de la UE (SEPD), un organismo independiente cuyos miembros incluyen abogados experimentados, expertos en TI y administradores.

Este organismo tiene como función principal supervisar el tratamiento de datos personales en las agencias y organizaciones de la UE, así como asesorar sobre cuestiones relacionadas con los datos personales. El RGPD también exige el establecimiento de una Autoridad de Protección de Datos Personales en cada Estado miembro, como una Comisión Nacional de Protección de Datos Personales (Francia, Irlanda, etc.) o una Inspección de Protección de Datos (Finlandia, Letonia, etc.).

Junto con el SEPD, la UE también creó el Comité Europeo de Protección de Datos (CEPD), que está compuesto por representantes de las autoridades nacionales de protección de datos de los Estados miembros y representantes de la UE, y funciona como el principal organismo asesor independiente sobre cuestiones de protección de datos personales, responsable de la aplicación coherente del RGPD en toda la Unión.

El RGPD establece sanciones altamente disuasorias, tanto materiales como inmateriales. Además, la autoridad de protección de datos personales de la UE se implementa según el modelo de la Comisión/Comisario, por lo que cuenta con amplias facultades independientes para imponer sanciones si las organizaciones incumplen la normativa de protección de datos personales y puede evaluar y decidir de forma independiente sobre el tratamiento de datos personales.

La Ley de Protección de Información Personal de China (PIPL), promulgada en 2021, se considera la primera ley integral de protección de información personal a nivel nacional en China. La PIPL adopta una visión relativamente unificada de los datos personales como información que identifica a una persona específica, dirigida a un grupo reducido de personas dentro del territorio chino (Artículo 4, Capítulo 1 de la PIPL). Al mismo tiempo, regula la cuestión de los datos personales sensibles para establecer normas sobre los derechos y obligaciones de las partes con respecto a grupos de datos más específicos.

Las sanciones por violación de los derechos de datos personales bajo la Ley de Protección de Datos Personales (PIPL) son muy severas, e incluyen la remediación forzosa, la confiscación de ingresos ilegales, la suspensión de servicios, la revocación de licencias comerciales o de operación, y multas de hasta 50 millones de yuanes o el 5% de los ingresos anuales de la organización durante el ejercicio fiscal anterior. Además, las infracciones pueden registrarse en el expediente de crédito de la unidad de procesamiento, bajo el sistema nacional de crédito social.

Además, las unidades de procesamiento serán responsables de indemnizar los daños causados si vulneran los derechos e intereses de organizaciones e individuos. Las sanciones penales por este tipo de infracciones también están específicamente estipuladas en el Código Penal chino, que establece una responsabilidad penal más severa para quienes sean responsables de la confidencialidad de la información, añade la confiscación de bienes y estipula la cadena perpetua como la pena máxima.

La Ley de Protección de Datos Personales de Singapur (PDPA), aprobada en 2012 (modificada en 2020), reconoce el derecho a la protección de datos personales, así como la necesidad de que las organizaciones recopilen, utilicen y divulguen información con fines adecuados en determinadas circunstancias.

La PDPA también prevé severas sanciones económicas por la filtración de datos. Quienes infrinjan la ley estarán sujetos a multas o penas de prisión. La multa depende de la naturaleza y la gravedad de la infracción, con multas que oscilan entre 2.000 y 100.000 dólares de Singapur (equivalentes a 1.600 millones de VND) y/o penas de prisión de hasta 12 meses, y en casos graves, hasta 3 años¹. Las agencias y empresas que infrinjan la ley pueden ser multadas con hasta el 10 % de su facturación anual.

El organismo que desempeña un papel importante para garantizar la implementación de la PDPA es la Comisión de Protección de Datos Personales (PDPC). Este es un organismo especializado con amplias facultades y amplias capacidades de cumplimiento, con la facultad de solicitar a personas y organizaciones que proporcionen información y documentos relacionados con el procesamiento de datos personales, imponer sanciones económicas por infracciones y aplicar otras medidas.

La creación de una agencia especializada, la Comisión de Protección de Datos Personales de Singapur, que trabaja de forma independiente y proactiva en la detección, el manejo de violaciones y la aplicación de sanciones, es también una de las condiciones para la aplicación efectiva de la protección de datos personales en Singapur.

Recomendaciones para mejorar las leyes de protección de datos personales en Vietnam

Actualmente en Vietnam, hay 69 documentos legales directamente relacionados con el tema de la protección de datos personales estipulados en diferentes documentos, incluidos la Constitución, el Código (4), la Ley (39), la Ordenanza (1), el Decreto (2), la Circular/Circular Conjunta (4), la Decisión del Ministro (1).

Estos documentos abordan la protección de datos personales, promoviendo el principio de garantizar la privacidad del titular, pero incluyen diferentes regulaciones sobre la información relacionada con los datos personales, en referencia a sus derechos y obligaciones, el procesamiento de la información y los métodos de protección. La ley que regula la protección de datos personales en Vietnam ha logrado resultados notables, especialmente el 17 de abril de 2023, cuando el Gobierno emitió el Decreto n.° 12/2023/ND-CP sobre protección de datos personales, un documento independiente que regula esta cuestión en nuestro país. Estos documentos legales han creado un marco legal para la protección de datos personales; especifican los derechos de los titulares de los datos y de los responsables del procesamiento, establecen sanciones por violaciones de la protección de datos personales e identifican al Departamento de Ciberseguridad y Prevención de Delitos de Alta Tecnología del Ministerio de Seguridad Pública como el organismo especializado en protección de datos personales.

Vietnam se enfrenta a muchos riesgos, desafíos y peligros provenientes del ciberespacio, especialmente la fuga y apropiación de información y datos personales, lo que causa muchos efectos nocivos para los ciudadanos y la sociedad.

Sin embargo, la implementación real de estos documentos también ha revelado muchas limitaciones, como que los documentos legales separados actuales solo tienen el nivel de Decreto, lo que no satisface la importancia de proteger los datos personales, muchos contenidos están actualmente regulados de manera general y poco claros, lo que genera una falta de instrucciones específicas para cada caso específico, y las sanciones siguen siendo leves y no son lo suficientemente disuasorias...

En esta situación, la mejora continua de la legislación sobre protección de datos personales en Vietnam ha sido y es un tema que debe estudiarse con base en la experiencia de otros países. En concreto:

En primer lugar, elaborar una Ley de Protección de Datos Personales . En el contexto de la revolución industrial 4.0, a escala regional y nacional, 80 países han emitido leyes específicas para proteger los datos personales. Vietnam necesita investigar y emitir pronto una ley general y especializada sobre datos, como la Ley de Privacidad de Datos, al igual que la UE, China o Singapur, que identifique los aspectos y principios básicos para la protección de datos personales. La promulgación de una ley específica sobre datos personales constituirá una base legal importante para la protección de datos personales, dado que actualmente la terminología y el contenido de las leyes relacionadas con este tema en nuestro país son inconsistentes.

En segundo lugar, modificar y complementar las sanciones por violaciones de datos personales, aumentando su severidad para que se ajusten a la naturaleza y gravedad de la infracción. Si bien las sanciones por violaciones de datos personales en nuestro país incluyen sanciones administrativas, civiles y penales, generalmente son bastante leves y no tienen un gran efecto disuasorio. El principal método actual sigue siendo la aplicación de sanciones por infracciones administrativas, pero la normativa se encuentra dispersa en numerosos decretos con multas bastante bajas, siendo las más altas: 100 millones de VND para personas físicas y 200 millones de VND para organizaciones.

Si bien el daño que las infracciones administrativas de datos personales pueden causar no solo son materiales, sino también contra el honor y la dignidad, además de las sanciones administrativas, las sanciones penales por infracciones de datos personales solo se reflejan en la normativa sobre privacidad y en el ámbito de las tecnologías de la información y la seguridad de las redes, en los artículos 159 y 288 del Código Penal vigente, con penas de prisión relativamente bajas, de no más de 7 años de prisión, y multas de no más de 1.000 millones de dongs. Esta multa, en comparación con los 20 millones de euros de la UE, el millón de dólares singapurenses o la cadena perpetua de China, sigue siendo muy baja, inconmensurable con muchas infracciones.

Al mismo tiempo, es necesario regular muchos grupos de conductas que actualmente no están mencionadas en la ley, como el comercio de datos a gran escala, el establecimiento de sistemas para violar datos, las infracciones en el negocio de servicios de comercialización, etc.

En tercer lugar, sobre el modelo de la agencia de protección de datos personales en Vietnam . Actualmente, el Departamento de Ciberseguridad y Prevención de Delitos de Alta Tecnología, dependiente del Ministerio de Seguridad Pública, es el organismo especializado en protección de datos personales. Con referencia a la normativa internacional, se podría considerar el establecimiento de una agencia independiente de protección de datos personales, responsable de aplicar la Ley de Protección de Datos Personales, realizar inspecciones, exámenes, emitir directrices y recomendaciones, y aplicar sanciones en caso de infracciones.

Podemos referirnos a estos modelos en la UE o Singapur... para aplicar eficazmente las leyes de protección de datos personales, equilibrando la protección de los derechos personales y garantizando la seguridad de la red.

Investigar el derecho internacional sobre esta cuestión en referencia a la situación práctica en Vietnam nos ayudará a construir pronto un marco jurídico para la protección integral de datos personales, compatible con el derecho internacional y su aplicación efectiva.

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

[anuncio_2]
Fuente