Cumplimiento de la UE · 6 min de lectura
La ley vietnamita PDPL y el GDPR no son la misma normativa. Aquí es donde los exportadores se quedan atascados.
Stijn Belmans · certificado EADPPPublicado · Actualizado
Respuesta breve
La PDPL vietnamita, en vigor desde el 1 de enero de 2026, se basa en la GDPR pero no es idéntica. Las mayores diferencias: el consentimiento es el estándar en Vietnam y en Europa el último recurso, las reglas sobre cesión y plazos de notificación difieren, y Europa ofrece derechos más amplios a los interesados. Los exportadores vietnamitas a la UE suelen necesitar también un representante en la UE.
El 1 de enero de 2026 entró en vigor la ley de protección de datos personales de Vietnam. La ley 91/2025/QH15 fue aprobada en junio de 2025 por la Asamblea Nacional, y el Decreto 356/2025/ND-CP se publicó el último día del año para aclarar su aplicación práctica.
Si has seguido las noticias, probablemente hayas visto la misma frase una y otra vez: la PDPL se basa en el GDPR. Esto es cierto en líneas generales, y es exactamente la razón por la que muchos exportadores vietnamitas chocarán pronto contra un muro.
Porque "basado en" no es "igual a". Y quien vende a la Unión Europea —y con casi 74.000 millones de dólares en comercio bilateral en 2025, son muchos— opera bajo dos leyes simultáneamente. Superar una auditoría no significa que superes la otra.
Estos son los siete diferencias que encontramos con más frecuencia.
1. En Vietnam, el consentimiento es la norma. En Europa, es el último recurso.
La ley de protección de datos personal de Vietnam (PDPL) se basa fuertemente en el consentimiento. Pide consentimiento explícito, específico e informado, guarda la prueba y estarás en gran medida conforme.
Las autoridades europeas lo ven de manera muy distinta. Bajo el RGPD, el consentimiento es una de seis bases legales, y los supervisores han estado desaconsejando a las empresas durante años — porque el consentimiento puede retirarse en cualquier momento y porque rara vez se otorga libremente en contextos laborales o B2B. Un jurista europeo que lea tu declaración de privacidad y vea escrito «procesamos sus datos sobre la base de su consentimiento» en todas partes, no lo interpretará como exhaustivo. Lo verá como algo descuidado.
Qué haces: vincula cada tratamiento a la base jurídica del GDPR adecuada — consentimiento, obligación legal o interés legítimo — y limita el consentimiento a lo que realmente necesites, como el marketing. Luego, documenta por qué.
2. Transferencias transfronterizas, ahí está el dinero
La PDPL prevé multas de hasta 5% de la facturación anual del año anterior por incumplimientos en transferencias transfronterizas de datos. No es un error de redondeo, y te indica exactamente hacia dónde se dirige la aplicación de la ley en Vietnam.
El GDPR tiene un régimen propio para el mismo problema, pero en dirección inversa: la transferencia de datos personales europeos fuera de Europa requiere una decisión de adecuación, cláusulas contractuales estándar u otro mecanismo del Capítulo V, además de una evaluación de impacto en la transferencia. Vietnam no tiene una decisión de adecuación europea.
Un productor vietnamita con una oficina de ventas europea, un CRM europeo y un equipo de soporte vietnamita opera así dos regímenes de transferencia en direcciones opuestas. Y, por lo general, no tiene documentación para ninguno de los dos.
Qué haces: mapea los flujos reales de datos. No el organigrama, sino los flujos. ¿Qué sistema contiene qué datos, alojados dónde, accesibles para quién y en qué país? Nueve de cada diez veces hay al menos una transferencia que nadie tenía en cuenta, normalmente una herramienta de soporte o una unidad compartida.
3. Probablemente necesites un representante de la UE, y probablemente no lo tengas
Esta es la obligación que más solemos ver descuidada.
El artículo 27 del GDPR obliga a las organizaciones fuera de la UE que ofrezcan bienes o servicios a personas en la UE, o monitoricen su comportamiento, a designar un representante establecido en la Unión. Debe ser por escrito, mencionado en tu política de privacidad y accesible tanto para los interesados como para las autoridades de supervisión.
Esto aplica a una empresa vietnamita con una tienda en línea que apunte a Europa. También aplica si utilizas herramientas de análisis o píxeles publicitarios que rastreen visitantes europeos. No está cubierto por un distribuidor europeo, un abogado europeo o un agente comercial europeo.
Los precios de mercado para este servicio oscilan entre aproximadamente €490 al año en el extremo automatizado hasta €1.500–5.000 para un servicio estándar, y €5.000–15.000 cuando se incluyen apoyo para DPIA y auditorías. El costo de no tenerlo es una respuesta en la primera encuesta seria que un comprador europeo te envíe.
Lo que debes hacer: verifica si el artículo 27 se aplica a ti. Si es así: contrata a alguien y actualiza los datos en tu declaración de privacidad. Es una carencia pequeña, económica y completamente resoluble — por eso mismo parece tan grave cuando se expone.
4. La pregunta sobre el DPO tiene dos respuestas distintas
La PDPL y su decreto de aplicación determinan cuándo una organización vietnamita debe tener una función de protección de datos y registrarse. El artículo 37 de la GDPR establece un criterio diferente, basado en actividades principales, escala y si procesas categorías especiales de datos.
Puedes caer fácilmente en el lado «no obligatorio» en Vietnam y en el lado «obligatorio» en Europa. Los dos criterios no coinciden.
Lo que debes hacer: ejecuta ambas auditorías por separado y documenta el razonamiento en ambas direcciones. "Hemos evaluado esto y concluido que no se requiere un DPO, por estas razones" es una postura defendible. No guardes silencio.
5. Los plazos de notificación no coinciden
Los 72 horas que la GDPR da para notificar una fuga de datos a la autoridad supervisora es legendaria, y 72 horas es mucho menos de lo que parece cuando el incidente comienza un viernes por la noche.
Vietnam tiene requisitos propios de notificación con plazos distintos. Si tu plan de incidentes está basado en una normativa, fallará con la otra, y un incidente es justo el momento en que nadie tiene tiempo para averiguar qué regla aplica.
Lo que haces: un protocolo, construido con el reloj más estricto, que incluya las rutas de contacto de ambos supervisores. Prueba una vez con el equipo. Un ejercicio de mesa tarda una tarde.
6. Los derechos de los interesados son más amplios en Europa
Acceso, rectificación, supresión, limitación, oposición y portabilidad. Especialmente este último —el derecho a recibir tus datos en un formato estructurado, legible por máquina, y transferirlos a otro responsable del tratamiento— deja a las empresas sin aliento cuando sus sistemas nunca fueron diseñados para exportar datos de manera ordenada.
Esto no lo resuelves con tu política. Es una cuestión de sistema, y si la respuesta es «eso lo tendríamos que hacer manualmente», tienes un mes para construir algo mejor.
Lo que haces: toma tus tres sistemas más intensivos en datos y haz una pregunta sencilla: si un cliente europeo solicita hoy todo lo que tenemos sobre él, en un formato estructurado y legible por máquina, ¿cuánto tiempo tardaría? Si la respuesta es más de un día, ya tienes tu proyecto.
7. Tu declaración de privacidad ahora es un documento de venta
Esta parte no trata sobre legalidad, sino sobre ingresos.
Los compradores europeos realizan cada vez más investigaciones de proveedores antes de firmar. El equipo de compras de un minorista o distribuidor europeo revisa tu declaración de privacidad, pide tu mapa de flujo de datos, pregunta por tu representante de la UE y cómo manejas a los subencargados. No porque les guste, sino porque sus propias obligaciones fluyen a través de la cadena.
Las empresas que pueden responder esto en una semana ganan contratos frente a las que tardan tres meses. Lo hemos visto pasar. El expediente de cumplimiento ya no es un documento defensivo. Es material de venta.
¿Qué significa esto concretamente?
La PDPL vietnamita es una ley seria, con sanciones reales, y aplicarla correctamente no es una opción. Pero tratarla como el proyecto de privacidad de 2026 es un error para cualquier empresa con clientes europeos, ya que ambos marcos se solapan en un 70% — y es ese restante 30% lo que aparece en el cuestionario de un comprador.
La buena noticia: la mayor parte del trabajo ya está compartido. Un solo inventario de datos sirve para ambos. Un único conjunto de contratos de procesamiento de datos correctamente redactados sirve para ambos. Un solo protocolo de incidentes, construido bajo los plazos más estrictos, sirve para ambos. La doble carga es menor de lo que parece — pero solo si diseñas desde el principio para ambos en lugar de añadir el segundo después.
¿Dónde podemos ayudarte?
Chuyenso está establecido en Bélgica. Nuestro fundador está certificado como EADPP bajo el marco del GDPR europeo, trabajamos con infraestructura de datos, alojamiento y privacidad durante más de quince años, y acompañamos a empresas fuera de Europa que desean vender en Europa sin que el expediente de cumplimiento retrase el trato.
Nuestra evaluación de Europa abarca tres semanas. En la primera semana, identificamos tu situación actual. En la segunda, ordenamos las brechas según el riesgo y el volumen de ingresos en juego. En la tercera, recibirás un plan de 90 días y un resumen de cumplimiento que podrás enviar directamente a un comprador europeo.
¿Prefieres hablar primero: reserva una reunión de 25 minutos sin costo. Te diremos con honestidad si esto es un problema que tienes o no.
Chuyenso — literalmente: transformación digital. Ayudamos a empresas fuera de Europa a estar preparadas para el mercado europeo: jurídicamente, técnicamente y comercialmente.
Fuentes: La nueva Ley de Protección de Datos Personales de Vietnam: Un Análisis Cercano (Tilleke & Gibbins)
· Nuevo Decreto Proporciona Orientación sobre la Ley de Protección de Datos Personales de Vietnam (Tilleke & Gibbins)
· Artículo 27 del GDPR: La Guía Completa para Empresas Fuera de la UE · Proveedores de Representantes de la UE Comparados (2026)