Os dados pessoais são considerados "quentes" antes de serem protegidos por lei.

O Zalo viola a lei?

A Lei de Proteção de Dados Pessoais de 2025 introduz diversas regulamentações específicas sobre os direitos dos titulares dos dados (usuários), bem como os direitos e responsabilidades das organizações e empresas que coletam e processam dados pessoais. Assim, os dados pessoais devem ser coletados com o consentimento do usuário. As redes sociais e os serviços de comunicação online são responsáveis por divulgar claramente o conteúdo dos dados pessoais coletados; não lhes é permitido solicitar imagens ou vídeos contendo documentos de identificação pessoal, totais ou parciais, para verificação de conta…

A Zalo anuncia novos termos de serviço antes da entrada em vigor da Lei de Proteção de Dados Pessoais de 2025.

Foto: MP

Inesperadamente, pouco antes da lei entrar em vigor, o Zalo – a rede social mais utilizada no Vietnã – exibiu uma notificação atualizando seus termos de serviço, causando preocupação entre muitos usuários. Muitos expressaram dúvidas porque os novos termos dizem respeito ao direito à privacidade de dados pessoais, mas a recusa em aceitá-los significaria a impossibilidade de usar o aplicativo Zalo.

Por exemplo, na cláusula "Coleta, Proteção e Uso de Informações do Usuário", quando um usuário acessa sua conta Zalo , ele concede permissão e consentimento para que a VNG (a desenvolvedora do aplicativo) utilize métodos técnicos para coletar e processar dados relacionados à sua conta. Os dados pessoais básicos fornecidos pelos usuários para fins de identificação incluem número de telefone, documento de identidade, nome completo, idade, sexo, relações familiares, endereço de e-mail e fotos pessoais. Da mesma forma, o aviso de que a VNG recebe, compartilha e transfere dados pessoais dos usuários para suas empresas associadas e afiliadas também gera preocupação entre muitos usuários quanto ao potencial vazamento de suas informações pessoais.

Recentemente, houve um aumento significativo em golpes envolvendo pessoas se passando por entregadores, funcionários de companhias de energia elétrica ou compradores online, todos originados de vazamentos de dados. As vítimas perdem dinheiro ou são atraídas por links ou aplicativos falsos que roubam suas contas, levando a sérias consequências. Embora medidas legais mais rigorosas não possam impedir completamente os vazamentos de dados, elas fornecem uma base sólida para a prevenção e o combate à fraude online.

Sr. Ngo Minh Hieu (Diretor do Projeto Antifraude)

Segundo o Sr. Vo Do Thang, Diretor do Centro de Treinamento em Segurança Cibernética Athena, o Zalo solicita o direito de acessar e processar os dados pessoais dos usuários, mas o novo comunicado não esclarece os benefícios de permitir o fornecimento e uso de seus dados pessoais, nem o valor agregado que o Zalo oferece. Caso os dados sejam vazados e causem danos aos usuários, como o Zalo os indenizará? Essa é a principal preocupação dos usuários do aplicativo. Portanto, o Zalo precisa esclarecer as obrigações e os direitos dos usuários, bem como a responsabilidade pela indenização em caso de vazamento de dados. Além disso, após 1º de janeiro de 2026, como os dados pessoais coletados pelo Zalo de usuários anteriores serão armazenados e utilizados? Haverá alguma diferença de direitos entre aqueles que "concordaram" antes de 1º de janeiro de 2026 e aqueles que o fizerem posteriormente? Ademais, caso o Zalo pretenda fazer alterações, precisa notificar os usuários com pelo menos 30 dias de antecedência para que possam se preparar. Esses são pontos que o aplicativo de mídia social precisa comunicar de forma mais transparente para que os usuários estejam bem informados.

O especialista em cibersegurança Nguyen Van Thu entende o anúncio da Zalo como uma atualização alinhada ao espírito da futura Lei de Proteção de Dados Pessoais de 2025. Anteriormente, muitas redes sociais e outros aplicativos exigiam que os usuários concordassem com os termos e condições estabelecidos pela empresa no momento do cadastro. Muitas pessoas não prestavam atenção, não liam os termos com cuidado e concordavam automaticamente, ou às vezes até ignoravam os termos relacionados a dados pessoais. As empresas também não exigiam explicitamente a concordância dos usuários. No entanto, com a Lei de Proteção de Dados Pessoais de 2025 em vigor, as empresas só poderão coletar informações pessoais dos usuários para criar contas se eles concordarem. Além disso, durante o uso de aplicativos e redes sociais a partir de 2026, se os usuários descobrirem que seus dados pessoais estão sendo processados ou usados para fins diferentes daqueles para os quais concordaram, eles têm o direito de solicitar à Zalo, em particular, ou a outras empresas, em geral, a exclusão dos dados, e até mesmo o direito de entrar com uma ação judicial para obter indenização caso seus direitos sejam afetados.

Contribuindo para a redução da fraude

Uma das disposições da Lei de Proteção de Dados Pessoais de 2025 que merece destaque é a lista clara de sete atos proibidos relacionados a dados pessoais. Esses atos incluem o uso de dados pessoais de terceiros para a prática de atos ilícitos e a compra e venda de dados pessoais . Na realidade, a compra e venda de dados pessoais tem se tornado bastante disseminada e aberta nos últimos tempos, sendo a origem de inúmeros golpes que ocorrem em todo o mundo. Esses indivíduos compram e vendem dados abertamente, em grandes quantidades, por meio de diversos sites, contas e grupos em plataformas de mídia social como Facebook, Zalo, Telegram e fóruns de hackers, ao longo de um extenso período. Em particular, os dados contêm informações pessoais muito detalhadas, como: nome completo, data de nascimento, número de identificação civil, endereço, número de telefone, número da conta bancária (incluindo saldo), parentes, cargo e função.

É proibido que aplicativos de redes sociais solicitem imagens ou vídeos contendo documentos de identificação, totais ou parciais, como forma de verificação de conta.

Foto: Ngoc Duong

O Sr. Ngo Minh Hieu, Diretor do Projeto Antifraude , também acredita que a Lei de Proteção de Dados Pessoais, em vigor desde 1º de janeiro de 2026, embora não acabe imediatamente com o recente aumento de fraudes online, contribuirá para reduzi-las e limitá-las gradualmente. Ele analisou: "Esta lei criará uma estrutura legal mais robusta para a proteção de dados pessoais. Por exemplo, ela estabelece os direitos dos indivíduos em relação aos seus dados privados, dando-lhes o direito de solicitar a exclusão de dados quando estes não forem mais necessários. Ao mesmo tempo, a lei regula rigorosamente a coleta e o processamento de dados; organizações e empresas devem respeitar os processos e a privacidade do cliente, e devem avaliar regularmente a segurança da informação e a segurança cibernética em seus sistemas e aplicativos."

"Caso o sistema de uma organização seja atacado, ela deve notificar imediatamente as autoridades para evitar penalidades. Em alguns casos em que funcionários ou dirigentes de uma empresa ou organização vendem informações externamente, esta lei também estipula claramente sanções, que podem variar de penalidades criminais a multas administrativas muito elevadas com base na receita anual. Recentemente, houve um aumento nos golpes envolvendo a personificação de transportadoras, empresas de energia elétrica ou compradores online... todos decorrentes de vazamentos de dados. As vítimas perdem dinheiro ou são atraídas para links ou aplicativos falsos que roubam suas contas, causando sérias consequências. Com o endurecimento das barreiras legais, embora os vazamentos de informações não possam ser completamente evitados, isso fornece uma base muito sólida para a prevenção e o combate à fraude online", concluiu o Sr. Ngo Minh Hieu.

O especialista Nguyen Van Thu também concordou que, antes da lei entrar em vigor, qualquer empresa coletava e usava informações de clientes indiscriminadamente, causando muitas consequências negativas para os indivíduos e para a sociedade como um todo. Portanto, com a aplicação oficial da lei, esse problema diminuirá com o tempo e a conscientização de cidadãos e empresas sobre a proteção de dados pessoais aumentará. As pessoas serão mais proativas na proteção de si mesmas ao compartilhar informações pessoais online. Quando todos estiverem cientes da importância de proteger seus dados, isso ajudará a limitar o compartilhamento público de informações online e a detectar prontamente atos de roubo e comercialização de dados pessoais, denunciando-os às agências governamentais de gestão para que sejam tratados em tempo hábil. Isso reduzirá a compra e venda de informações pessoais e contribuirá para a redução de fraudes.

Os usuários têm o direito de solicitar a exclusão de seus dados e reivindicar indenização.

A Lei de Proteção de Dados Pessoais de 2025 define uma série de direitos do usuário em relação aos seus dados pessoais. Esses direitos incluem o direito de solicitar a correção ou exclusão de dados caso não sejam mais necessários para a finalidade original da coleta; o direito de revogar o consentimento prévio para o processamento de dados pessoais ; e o direito de apresentar reclamações, ações judiciais e reivindicar indenização por danos. Por exemplo, anteriormente, os usuários concordavam em permitir que as empresas utilizassem suas informações pessoais, como números de telefone e endereços, ao se cadastrarem em serviços. No entanto, se o usuário deixasse de utilizar o serviço, esses dados continuavam sendo armazenados e utilizados pela empresa para fins de publicidade e marketing. A partir de agora, os usuários podem solicitar que as empresas excluam suas informações pessoais.

É importante destacar que a lei também especifica a classificação de dados pessoais comuns e dados pessoais sensíveis. Assim, dados pessoais sensíveis incluem informações como estado de saúde, finanças, dados biométricos, vida privada, opiniões políticas , etc., e o tratamento desse tipo de dado deve cumprir requisitos de proteção mais rigorosos.

O especialista Ngo Minh Hieu enfatizou que a nova lei impactará a maioria das pessoas, pois informações e dados pessoais estão se tornando cada vez mais importantes, especialmente na era do desenvolvimento explosivo da Inteligência Artificial. Entre as novas regulamentações, os usuários têm o direito de excluir ou solicitar a exclusão de seus dados pessoais. As pessoas devem estar atentas a essas novas regulamentações para solicitar que as unidades e organizações de gerenciamento de dados excluam suas informações quando não precisarem mais delas em áreas como finanças e telecomunicações.

"Essa regulamentação certamente causará problemas para muitas pessoas que são constantemente bombardeadas com ofertas de imóveis, títulos ou empréstimos sem saber como impedi-las. Quando a lei entrar em vigor, os usuários terão uma base legal para buscar uma solução", acrescentou o Sr. Ngo Minh Hieu.

Segundo o especialista em cibersegurança Nguyen Van Thu, as empresas serão as mais afetadas no período inicial após a implementação da lei. As empresas coletam e armazenam informações pessoais, o que constitui um enorme "armazém" de dados, tornando-as um alvo principal para hackers que buscam roubar dados para outros fins, como fraudes, invasão de contas e roubo financeiro. Portanto, para cumprir as regulamentações e proteger os dados pessoais dos clientes, as empresas precisarão desenvolver processos internos de coleta, processamento e proteção de dados. Simultaneamente, deverão implementar soluções técnicas, como hardware e software, para impedir a cópia de dados e minimizar os riscos.

Isso inclui a prevenção de ataques externos ou de roubo e distribuição de dados por funcionários internos. Tais medidas podem aumentar os custos operacionais. No entanto, isso é totalmente benéfico para os usuários, e as próprias empresas aprimorarão a segurança cibernética durante suas operações. Além disso, os órgãos governamentais terão fundamentos suficientes para realizar inspeções, controles e impor sanções a organizações e empresas infratoras, protegendo melhor os usuários.

Uma multa máxima de 5% da receita do ano seguinte poderá ser imposta em caso de violações da proteção de dados pessoais.

A Lei de Proteção de Dados Pessoais de 2025 estipula: A multa máxima para infrações administrativas relacionadas à compra e venda de dados pessoais é de 10 vezes a receita obtida com a infração. A multa máxima para infrações administrativas cometidas por organizações que violam as normas sobre transferência internacional de dados pessoais é de 5% da sua receita no ano anterior; isso se aplica caso não haja receita no ano anterior ou se a multa calculada com base na receita for inferior à multa máxima estipulada. A multa máxima para outras infrações na área de proteção de dados pessoais é de 3 bilhões de VND. Indivíduos que cometerem a mesma infração estarão sujeitos a uma multa máxima equivalente à metade da multa imposta às organizações.