वियतनाम में सहमति उल्लंघन पर 7 करोड़ डोंग तक जुर्माना, डेटा उल्लंघनों पर इससे भी बड़ी सजा

चुप्पी को निजी डेटा के इस्तेमाल की अनुमति नहीं माना जा सकता

वियतनाम का डिक्री संख्या 330/2026/ND-CP, जो 19 अगस्त 2026 से प्रभावी है, किसी व्यक्ति की चुप्पी को निजी डेटा एकत्र करने या संसाधित करने की सहमति मानने पर 5 करोड़ से 7 करोड़ वियतनामी डोंग (VND) तक का जुर्माना तय करता है। यही जुर्माना तब भी लागू होता है जब कोई संस्था व्यक्ति के रोकने या सीमित करने का अनुरोध करने के बाद, या सक्षम प्राधिकरण के लिखित आदेश के बाद, जानबूझकर डेटा का प्रसंस्करण जारी रखती है।

सहमति से जुड़े नियम कहीं अधिक व्यापक दंड ढांचे का हिस्सा हैं। निजी डेटा को विदेश भेजने से जुड़े कुछ उल्लंघनों पर पिछले वर्ष के राजस्व का 5% तक जुर्माना लगाया जा सकता है। निजी डेटा से जुड़े अन्य उल्लंघनों पर 3 अरब डोंग तक जुर्माना हो सकता है, जबकि गैरकानूनी डेटा कारोबार पर लेनदेन के मूल्य के गुणकों के आधार पर दंड लगाया जा सकता है।

सरकार के प्रकाशित डिक्री के विवरण में 26 अगस्त की तारीख के साथ चार अध्यायों और 82 अनुच्छेदों वाला ढांचा बताया गया है। इसमें साइबर सुरक्षा, सोशल मीडिया, सूचना प्रणाली और निजी डेटा संरक्षण शामिल हैं। चेतावनी और जुर्माने इसके मुख्य दंड हैं।

ऐप इस्तेमाल करने, ऑनलाइन खरीदारी करने या विज्ञापन संदेश पाने वाले लोगों के लिए व्यावहारिक मुद्दा नियंत्रण का है: कारोबारों के पास उनकी जानकारी इस्तेमाल करने का वैध आधार होना चाहिए, उन्हें संबंधित उद्देश्यों की जानकारी देनी चाहिए और रोकने के अनुरोधों का सम्मान करना चाहिए। कारोबारों को जुर्माने के अलावा कामकाज पर रोक, गैरकानूनी ढंग से संसाधित डेटा मिटाने और गैरकानूनी लाभ लौटाने का भी सामना करना पड़ सकता है।

सहमति कब वैध मानी जाएगी?

अनुच्छेद 43(1) में सहमति से जुड़ी कई खामियों पर 3 करोड़ से 5 करोड़ डोंग तक के जुर्माने तय हैं। इनमें उन मामलों में सहमति के बिना निजी डेटा का प्रसंस्करण शामिल है जहां कानून इसकी मांग करता है, सहमति को पहले से चुना हुआ विकल्प बनाना, और ऐसे अस्पष्ट निर्देश देना जिनसे स्वीकार या इनकार करने का विकल्प समझना मुश्किल हो जाए।

किसी कारोबार को स्पष्ट, विशिष्ट और सत्यापित किए जा सकने वाले तरीके से सहमति लेनी होगी। उसे यह दिखा पाना चाहिए कि किसने, कब और किस बात के लिए सहमति दी। उपयोगकर्ताओं को प्रसंस्करण के हर उद्देश्य के लिए अलग-अलग विकल्प भी मिलना चाहिए।

उदाहरण के लिए, खरीदारी सेवा को ऑर्डर पूरा करने के लिए जानकारी की जरूरत हो सकती है। डिक्री में इस सेवा का इस्तेमाल ऐसी निजी जानकारी के असंबंधित उपयोगों को स्वीकार करने पर निर्भर बनाने का प्रावधान शामिल है। व्यक्ति को उन अतिरिक्त उद्देश्यों के लिए अलग से विकल्प मिलना चाहिए, न कि सहमत सेवा पाने के लिए उन्हें स्वीकार करने की मजबूरी होनी चाहिए।

अनुच्छेद 43 में संसाधित किए जा रहे डेटा के प्रकार, उद्देश्यों, व्यक्ति के अधिकारों और दायित्वों तथा प्रसंस्करण नियंत्रित करने वाली संस्था के बारे में अधूरी जानकारी देना भी शामिल है। सहमति के रिकॉर्ड न रखने पर भी जुर्माना लग सकता है। इसलिए कारोबारों को वैध सहमति प्रक्रिया के साथ-साथ इस बात का प्रमाण भी रखना होगा कि प्रक्रिया सही ढंग से पूरी हुई।

संवेदनशील निजी डेटा को अतिरिक्त संरक्षण दिया गया है। किसी व्यक्ति को यह सूचना न देना कि उसके संवेदनशील डेटा का प्रसंस्करण हो रहा है, 3 करोड़ से 5 करोड़ डोंग वाले जुर्माने के दायरे में आता है। कारोबारों को यह पहचानना होगा कि उनके पास कौन-सी जानकारी है और उस पर लागू सुरक्षा उपाय करने होंगे।

7 करोड़ डोंग का जुर्माना पूरे जोखिम का केवल एक हिस्सा

सहमति से जुड़े सबसे ऊंचे जुर्माने की सीमा निचले दंड वर्ग की ऊपरी सीमा से 2 करोड़ डोंग अधिक है: यह 5 करोड़ से बढ़कर 7 करोड़ डोंग हो जाती है। ऊंचा जुर्माना दो खास तरीकों पर लक्षित है: चुप्पी को सहमति मान लेना और प्रसंस्करण रोकने या सीमित करने के अनुरोध को जानबूझकर अनदेखा करना।

व्यापक ढांचे में साइबर सुरक्षा उल्लंघनों पर अधिकतम जुर्माना संगठनों के लिए 20 करोड़ और व्यक्तियों के लिए 10 करोड़ डोंग है। निजी डेटा संरक्षण के लिए अलग ढांचा है, जिसमें तय मौद्रिक दंड वर्ग, गैरकानूनी कारोबार से जुड़े जुर्माने और राजस्व से जुड़े जुर्माने शामिल हैं।

EY की अक्टूबर की कानूनी चेतावनी में निजी डेटा के गैरकानूनी कारोबार पर लेनदेन मूल्य के दो से दस गुना तक जुर्माने का उल्लेख है। इसके अनुसार, मूल्य की गणना अनुबंधों, चालानों, भुगतान रिकॉर्ड, संदेशों और बैंक विवरण जैसे साक्ष्यों से की जाती है और इसमें लागत नहीं घटाई जाती।

विदेश में डेटा भेजने से जुड़े कुछ गंभीर उल्लंघनों पर राजस्व का 1% से 5% तक जुर्माना लगाया जा सकता है। EY के अनुसार, इस श्रेणी में ऐसे हस्तांतरण शामिल हैं जिनसे कम से कम 10,000 वियतनामी नागरिकों का डेटा खोता है या लीक होता है। इसकी तालिका में कम से कम 10 लाख लोगों को प्रभावित करने वाले मामलों के लिए अधिकतम 5% जुर्माने का उल्लेख है। तालिका के मुताबिक, यह अधिकतम दर पिछले वर्ष वियतनाम में अर्जित राजस्व के हिस्से के रूप में तय होती है। अगर उस वर्ष कोई राजस्व नहीं था, तो जुर्माने की अधिकतम सीमा 3 अरब डोंग है।

विदेशी कारोबार भी नियमों के दायरे में

डिक्री 330 वियतनामी और विदेशी व्यक्तियों तथा संगठनों पर लागू होती है। इसके दायरे में पात्र विदेशी उद्यम भी शामिल हैं, जो दूरसंचार, इंटरनेट, ऑनलाइन सामग्री, सूचना प्रौद्योगिकी, साइबर सुरक्षा या सीमा पार सेवाएं देते हैं। इसमें वियतनामी निजी डेटा के निर्धारित दायरे का प्रसंस्करण करने वाले विदेशी संगठन भी आते हैं।

संरक्षित समूहों में वियतनामी नागरिक और वियतनामी मूल के वे लोग शामिल हैं जो वियतनाम में रहते हैं, जिनके पास पहचान प्रमाणपत्र है, लेकिन जिनकी राष्ट्रीयता अभी तय नहीं हुई है। इसलिए कारोबारों को अपनी सेवाओं और जिन लोगों की जानकारी वे संभालते हैं, उनके साथ-साथ अपने विदेश स्थित परिचालन पर भी विचार करना होगा।

टिल्लेके एंड गिबिन्स ने अपने दंड डिक्री के विश्लेषण में सार्वजनिक सुरक्षा मंत्रालय को निजी डेटा संरक्षण और साइबर सुरक्षा के लिए जिम्मेदार प्राधिकरण बताया है। उसके अनुसार, डिक्री निजी डेटा संरक्षण और साइबर सुरक्षा कानूनों के दायित्वों को विस्तृत प्रशासनिक दंड ढांचे का आधार देती है।

वियतनाम के बाहर काम करने वाली कंपनी को यह जांचना होगा कि उसकी सेवाएं और डेटा प्रसंस्करण गतिविधियां इस दायरे में आती हैं या नहीं। विज्ञापन प्रणाली, ग्राहक डेटाबेस और विदेशी सेवा प्रदाताओं को डेटा भेजने की प्रक्रिया, सभी की संबंधित प्रावधानों के तहत समीक्षा की जरूरत हो सकती है।

विज्ञापन सूचियों के लिए वैध आधार जरूरी

अनुच्छेद 37 बिना मांगे भेजे गए विज्ञापन ईमेल और संदेशों तथा ऑनलाइन विज्ञापन नियमों के अन्य उल्लंघनों से संबंधित है। अगर विज्ञापन में इस्तेमाल जानकारी गैरकानूनी ढंग से जुटाई गई हो, तो अनुच्छेद 48 भी लागू हो सकता है। इस तरह विज्ञापन गतिविधि और उसके लिए इस्तेमाल किए गए मूल डेटा का संग्रह, अनुपालन के अलग-अलग मुद्दे बनते हैं।

फोन नंबरों की सूची खरीदने वाले कारोबार को यह जांचना चाहिए कि डेटा कहां से आया, उसके इस्तेमाल का कानूनी आधार क्या है और उसे किस उद्देश्य से एकत्र किया गया था। उसे लोगों को विज्ञापन या उनकी जानकारी साझा करने से इनकार करने का विकल्प भी देना होगा।

अनुच्छेद 43 सहमति के नियमों को इस प्रक्रिया पर भी लागू करता है। अनुमति के अनुरोध का जवाब न देने वाले व्यक्ति ने सहमति नहीं दी है। रोकने या सीमित करने का अनुरोध आने के बाद जानबूझकर प्रसंस्करण जारी रखने वाले कारोबार पर 5 करोड़ से 7 करोड़ डोंग तक का ऊंचा जुर्माना लग सकता है।

EY ने सहमति के एक खास उल्लंघन का भी उल्लेख किया है: किसी संबद्ध विज्ञापन नेटवर्क के साथ निजी डेटा साझा करने के लिए पहले से सहमति मान लेना। ऐसे नेटवर्क कारोबारों को उन साझेदारों से जोड़ते हैं जो उत्पादों का प्रचार करते हैं या संभावित ग्राहकों को कारोबारों तक पहुंचाते हैं। इन व्यवस्थाओं के तहत जानकारी साझा करते समय पहले से चुनी गई सहमति पर निर्भर रहने के बजाय व्यक्ति की पसंद का ध्यान रखना जरूरी है।

उपभोक्ताओं के लिए इन प्रावधानों का संबंध फोन नंबर पहली बार जुटाने और बाद में उसके इस्तेमाल से है। कंपनियों के लिए विपणन संदेश की जांच करना काम का केवल एक हिस्सा है: संपर्क सूची का स्रोत, उससे जुड़ी अनुमतियां और इनकार को संभालने का तरीका, सभी मायने रखते हैं।

बच्चों और निगरानी के डेटा की अधिक सावधानी से जांच जरूरी

बच्चों की जानकारी संभालने वाले प्लेटफॉर्म, शिक्षा सेवाएं, मनोरंजन ऐप और ऑनलाइन खुदरा विक्रेताओं को प्रसंस्करण के उद्देश्य, वैध सहमति, एकत्र किए जा रहे डेटा की मात्रा और सुरक्षा उपायों से जुड़ी शर्तों का पालन करना होगा। EY ने निजी डेटा संसाधित करने से पहले बच्चे की उम्र की पुष्टि न करने पर दंड का उल्लेख किया है।

EY ने निजी डेटा संरक्षण कानून और डिक्री की भाषा में अंतर की ओर भी ध्यान दिलाया है। कानून के तहत, सात वर्ष या उससे अधिक उम्र के बच्चे के निजी जीवन या व्यक्तिगत रहस्यों का खुलासा करने के उद्देश्य से डेटा संसाधित किए जाने पर बच्चे और उसके कानूनी प्रतिनिधि, दोनों की सहमति जरूरी है। EY के विश्लेषण के अनुसार, डिक्री में दोनों की सहमति से जुड़े दंड प्रावधान की भाषा अधिक व्यापक है।

बच्चों को सेवाएं देने वाले कारोबारों को इस बात की जांच करनी चाहिए कि उनकी उम्र सत्यापन और सहमति प्रक्रियाएं संबंधित गतिविधि के अनुरूप हैं या नहीं। EY के अनुसार, उद्देश्य से अधिक संसाधित किए गए बच्चों के डेटा को मिटाने या नष्ट करने में कुछ विफलताओं पर संगठनों को अधिकतम 20 करोड़ डोंग का जुर्माना हो सकता है।

सार्वजनिक निगरानी कैमरों की रिकॉर्डिंग से एक और खास जोखिम पैदा होता है। EY के अनुसार, वैध सहमति के बिना सार्वजनिक निगरानी कैमरों से मिली निजी जानकारी, तस्वीरों या आवाज की रिकॉर्डिंग का व्यावसायिक उद्देश्यों, व्यवहार विश्लेषण या प्रोफाइल बनाने के लिए स्वचालित चेहरे की पहचान में इस्तेमाल करने पर दंड लगाया जा सकता है।

सुरक्षा के लिए लगाया गया कैमरा ऐसी जानकारी जुटा सकता है जिसे कोई कारोबार बाद में किसी दूसरे उद्देश्य के लिए इस्तेमाल करना चाहे। EY के बताए प्रावधानों के तहत, बाद के व्यावसायिक या विश्लेषणात्मक इस्तेमाल की अलग कानूनी समीक्षा जरूरी है और जहां निर्धारित हो, वहां वैध सहमति भी चाहिए। डेटा कितने समय तक रखा जाता है, यह भी मायने रखता है: डेटा हस्तांतरण के कुछ समझौतों में हस्तांतरण के उद्देश्य के अनुरूप भंडारण अवधि बताना जरूरी है।

AI और सोशल मीडिया में उपयोगकर्ताओं तथा संचालकों की जिम्मेदारी

किसी दूसरे व्यक्ति की तस्वीर, आवाज या पहचान की नकल करने के लिए कृत्रिम बुद्धिमत्ता (AI) का इस्तेमाल करने पर दंड लग सकता है, अगर इस आचरण में धोखाधड़ी, झूठी जानकारी, वैध अधिकारों का उल्लंघन या निजी डेटा का गैरकानूनी संग्रह और उपयोग शामिल हो। लागू जुर्माना आचरण के प्रकार और उसकी गंभीरता पर निर्भर करता है।

जानकारी जुटाने, उसे AI प्रणाली में डालने और उससे मिले नतीजे इस्तेमाल करने के अपने फैसलों के लिए कारोबार जिम्मेदार बने रहेंगे। इसलिए स्वचालित प्रसंस्करण पर भी वही जांच लागू होनी चाहिए जो अन्य गतिविधियों में कानूनी आधार, उद्देश्य, सहमति और सुरक्षा के लिए जरूरी है।

सोशल मीडिया से जुड़े दायित्व सेवा प्रदाताओं, प्रबंधकों, संचालकों और उपयोगकर्ताओं पर लागू होते हैं। सामग्री पोस्ट या साझा करने वाले लोग उसके लिए जिम्मेदार हैं, इसमें दूसरे व्यक्ति की पहचान की नकल, धोखाधड़ी या उसके वैध अधिकारों और हितों का उल्लंघन करने वाली सामग्री भी शामिल है।

साइबर सुरक्षा प्रावधानों में हमलों, अनधिकृत पहुंच, हानिकारक कोड और विशेष साइबर सुरक्षा बलों के साथ सहयोग न करने से जुड़े मामले भी शामिल हैं। अगर किसी मामले में आपराधिक अपराध के संकेत मिलते हैं, तो सरकार के प्रकाशित विवरण के अनुसार, प्रशासनिक उल्लंघनों के निपटारे से जुड़े कानून के संबंधित प्रावधानों के तहत मामला आगे भेजा जाएगा।

जुर्माने के बाद डेटा मिटाने या कामकाज रोकने का आदेश भी हो सकता है

उल्लंघन के प्रकार के अनुसार, अतिरिक्त दंड में एक से 24 महीने तक निर्दिष्ट लाइसेंस या प्रमाणपत्र इस्तेमाल करने का अधिकार छीनना, इसी अवधि के लिए कामकाज निलंबित करना, उल्लंघन में इस्तेमाल उपकरण या अन्य वस्तुएं जब्त करना और विदेशी नागरिकों को देश से निष्कासित करना शामिल है।

अनुच्छेद 43 में सहमति से जुड़े कुछ उल्लंघनों के लिए गैरकानूनी ढंग से एकत्र या संसाधित डेटा को अपरिवर्तनीय रूप से मिटाने का प्रावधान है। इसमें निर्दिष्ट मामलों में जब्ती और उच्च जुर्माना श्रेणी वाले उल्लंघनों में गैरकानूनी लाभ लौटाना भी शामिल है। इस तरह किसी कारोबार पर आर्थिक दंड के साथ-साथ जानकारी तक पहुंच खोने का जोखिम भी है।

गैरकानूनी लाभ लौटाने की गणना एक अलग सुधारात्मक उपाय के तौर पर की जाती है। EY के अनुसार, गैरकानूनी डेटा कारोबार से अलग, लागू मामलों में इसमें गैरकानूनी रूप से एकत्र, संसाधित, इस्तेमाल या हस्तांतरित डेटा के जरिए कारोबारी गतिविधियों से अर्जित राजस्व शामिल हो सकता है। इसमें लागत नहीं घटाई जाती।

टिल्लेके एंड गिबिन्स ने रोजमर्रा के अनुपालन पर असर डालने वाले अन्य दंड भी गिनाए हैं: उल्लंघन की सूचना देने में खामी पर 8 करोड़ डोंग तक, डेटा प्रसंस्करण प्रभाव आकलन से जुड़े उल्लंघनों पर 10 करोड़ डोंग, और डेटा संरक्षण अधिकारी या विभाग नियुक्त न करने पर 3 करोड़ डोंग तक।

प्रभाव आकलन एक दस्तावेजी जांच है कि डेटा प्रसंस्करण लोगों की जानकारी को कैसे प्रभावित कर सकता है और जोखिमों का प्रबंधन कैसे किया जाएगा। सुधारात्मक उपायों में आकलन जमा करने का आदेश और दाखिल करने की आवश्यकताएं पूरी होने तक प्रसंस्करण रोकना शामिल हो सकता है। विदेश में डेटा भेजने के लिए जरूरी आकलनों पर भी ऐसे ही उपाय लागू हो सकते हैं। EY के अनुसार, किसी व्यक्ति के डेटा अधिकार संबंधी अनुरोध की कानूनी समयसीमा चूकने पर संगठनों को 4 करोड़ डोंग तक जुर्माना हो सकता है।

नियम कब लागू होते हैं और मामलों की प्रक्रिया कैसे आगे बढ़ सकती है

डिक्री 330 जारी होने के दिन से प्रभावी हुई और इसमें संक्रमण अवधि नहीं थी। इसके लागू होने से पहले वियतनाम के निजी डेटा संरक्षण ढांचे में कई वर्षों तक बदलाव होते रहे:

• 1 जुलाई 2023: निजी डेटा संरक्षण पर डिक्री संख्या 13/2023/ND-CP लागू हुई।
• 1 जनवरी 2026: निजी डेटा संरक्षण कानून लागू हुआ और इसके कार्यान्वयन की आवश्यकताएं डिक्री संख्या 356/2025/ND-CP के तहत तय हुईं।
• 19 अगस्त 2026: डिक्री संख्या 330/2026/ND-CP जारी हुई और प्रभावी हुई।
• 26 अगस्त 2026: सरकार ने डिक्री और सहमति से जुड़े जुर्मानों का विवरण प्रकाशित किया।

प्रशासनिक दंड के लिए सीमाकाल एक वर्ष है। पूरा हो चुके उल्लंघन के मामले में इसकी शुरुआत दायित्व पूरा होने या सक्षम प्राधिकरण द्वारा उल्लंघन समाप्त होने की पुष्टि से जुड़ी है। प्राधिकरणों को यह भी तय करना होगा कि आचरण समाप्त हो चुका है या जारी है।

टिल्लेके एंड गिबिन्स के अनुसार, संक्रमणकालीन नियम उन उल्लंघनों पर लागू होता है जो 19 अगस्त से पहले किए गए, लेकिन बाद में सामने आए या समीक्षा के अधीन रहे। आम तौर पर उल्लंघन के समय लागू दंड व्यवस्था लागू होती है। अगर डिक्री 330 के अधिक अनुकूल प्रावधान दायित्व खत्म करते हैं या हल्का दंड लगाते हैं, तो उन्हें लागू किया जा सकता है।

इस ढांचे में इलेक्ट्रॉनिक साक्ष्य को मान्यता दी गई है। इलेक्ट्रॉनिक उल्लंघन रिकॉर्ड और दंड संबंधी फैसलों की अनुमति है। डिजिटल हस्ताक्षर उपलब्ध न होने पर बायोमेट्रिक प्रमाणीकरण भी इस्तेमाल किया जा सकता है। इसलिए सहमति लॉग, अनुरोधों का इतिहास और लेनदेन रिकॉर्ड जैसे अनुपालन दस्तावेज, किसी मामले की जांच में खास मायने रखते हैं।

विशेष निरीक्षणों या प्रवर्तन मामलों के लिए कोई समय-सारिणी घोषित नहीं की गई है। तुरंत असर यह है कि मौजूदा दायित्वों के लिए अब दस्तावेजीकरण, कर्मचारियों, सुरक्षा, सहमति और निजी जानकारी के वास्तविक इस्तेमाल को समेटने वाला एक समर्पित दंड ढांचा मौजूद है।

मुख्य बातें

• डिक्री 330 साइबर सुरक्षा और निजी डेटा संरक्षण को शामिल करते हुए 19 अगस्त 2026 से प्रभावी हुई।
• सहमति से जुड़ी निर्दिष्ट खामियों पर 3 करोड़ से 5 करोड़ डोंग तक जुर्माना है।
• चुप्पी को सहमति मानने या रोकने के अनुरोधों को जानबूझकर अनदेखा करने पर 5 करोड़ से 7 करोड़ डोंग तक जुर्माना हो सकता है।
• विदेश में डेटा भेजने के कुछ गंभीर मामलों में राजस्व के आधार पर 5% तक जुर्माना लग सकता है।
• वियतनामी कारोबारों और व्यक्तियों के साथ-साथ पात्र विदेशी संगठन भी दायरे में हैं।
• अतिरिक्त नतीजों में कामकाज निलंबित करना, डेटा को अपरिवर्तनीय रूप से मिटाना और गैरकानूनी लाभ लौटाना शामिल हो सकता है।