Cybersécurité, localisation des données et transferts transfrontaliers : la Loi sur la cybersécurité de 2025 et le décret n° 333/2026/ND-CP, qui doit stocker des données au Vietnam et y ouvrir un bureau local, la Loi sur les données et les données fondamentales et importantes, les analyses d’impact du transfert au titre de la PDPL, la protection des systèmes d’information, les sanctions et un guide de décision pour les données informatiques et RH du groupe

Trois régimes, une question

Une entreprise à capitaux étrangers qui souhaite faire fonctionner ses activités vietnamiennes sur des systèmes du groupe hébergés à l’étranger, qu’il s’agisse d’un ERP, d’un CRM, d’une plateforme RH ou d’un cloud public, doit se demander si les données peuvent quitter le Vietnam et si une partie d’entre elles doit aussi y rester. Trois lois répondent à cette question, chacune selon sa propre logique de régulation, mais toutes placées sous la supervision du ministère de la Sécurité publique. La Loi sur la cybersécurité détermine qui doit stocker des données au Vietnam et y ouvrir un bureau local. La Loi sur les données encadre le transfert à l’étranger des données classées comme fondamentales ou importantes, qu’elles soient personnelles ou non. La Loi sur la protection des données personnelles impose une analyse d’impact du transfert pour tout transfert de données personnelles à l’étranger (FAQ 82). Ces régimes se recoupent, et un même transfert peut relever des trois.

Il n’existe ni interdiction générale d’envoyer des données à l’étranger, ni règle générale imposant que toutes les données soient stockées au Vietnam. Pour la plupart des fabricants, négociants et sociétés de services à capitaux étrangers, les exigences pratiques se résument à l’analyse d’impact du transfert prévue par la PDPL et à une bonne sécurité, les règles de localisation et relatives aux données fondamentales n’étant pertinentes que dans certains secteurs ou après certains faits déclencheurs. Les règles détaillées de la PDPL sont exposées dans Protection des données personnelles.

La Loi sur la cybersécurité de 2025 et ses décrets

La loi n° 24/2018/QH14 sur la cybersécurité a introduit la localisation des données, mise en œuvre à compter du 1er octobre 2022 par le décret n° 53/2022/ND-CP. La loi n° 116/2025/QH15 sur la cybersécurité, en vigueur depuis le 1er juillet 2026, l’a fusionnée avec la Loi sur la sécurité de l’information sur les réseaux de 2015 en une loi unique sur la cybersécurité et la sécurité de l’information sur les réseaux, et a étendu les pouvoirs du ministère de la Sécurité publique. Le 19 août 2026, le Gouvernement a pris sept décrets d’application : le décret n° 327/2026/ND-CP relatif aux informations en ligne nuisibles à la sécurité nationale et à l’ordre public ; le n° 328/2026/ND-CP relatif aux informations fausses et mensongères, en vigueur depuis le 5 octobre 2026 ; le n° 329/2026/ND-CP relatif aux forces de protection de la cybersécurité ; le n° 330/2026/ND-CP relatif aux sanctions administratives en matière de cybersécurité et de protection des données personnelles ; le n° 331/2026/ND-CP relatif à la protection des systèmes d’information, avec une classification en cinq niveaux ; le n° 332/2026/ND-CP relatif aux entreprises de produits et services de cybersécurité ; et le n° 333/2026/ND-CP, qui précise la loi et reprend, avec des révisions, les dispositions du décret n° 53/2022/ND-CP qui restent appropriées, notamment les règles de localisation. Des dispositions transitoires maintiennent certains régimes antérieurs pour les systèmes et contrats existants et pour les demandes de licence reçues avant le 1er juillet 2026.

Le décret n° 331/2026/ND-CP impose aux propriétaires de systèmes d’information de les classer dans l’un des cinq niveaux selon le préjudice qu’une violation causerait et d’appliquer les mesures de protection correspondant à ce niveau, les niveaux les plus élevés étant soumis à approbation et à inspection. La plupart des systèmes commerciaux privés se situent aux niveaux inférieurs, mais les exploitants de grandes plateformes grand public, de services financiers et de systèmes importants pour la sécurité nationale devraient vérifier leur classification.

Qui doit stocker des données au Vietnam et y ouvrir un bureau

Le décret n° 333/2026/ND-CP distingue les entreprises nationales et les entreprises étrangères. Les entreprises nationales, ce qui inclut les sociétés vietnamiennes détenues par des investisseurs étrangers, qui fournissent au Vietnam des services de télécommunications, internet et à valeur ajoutée dans le cyberespace doivent stocker au Vietnam certaines données prescrites : les informations personnelles des utilisateurs du service au Vietnam et les données créées par ces utilisateurs, telles que les noms de compte, les heures d’utilisation du service, les informations de carte de crédit, les adresses électroniques, les dernières adresses IP de connexion et de déconnexion et les numéros de téléphone associés.

Les entreprises étrangères ne sont visées que si elles fournissent au Vietnam des services figurant sur une liste : télécommunications, stockage et partage de données en ligne, enregistrement de noms de domaine, commerce électronique, paiement en ligne et intermédiation de paiement, mise en relation pour le transport en ligne, réseaux sociaux et médias sociaux, jeux en ligne, applications en ligne et certains autres services d’information en ligne. Même dans ce cas, les obligations ne naissent qu’en présence d’un fait déclencheur. Le service doit avoir été utilisé pour commettre une infraction en matière de cybersécurité ; la force spécialisée du ministère de la Sécurité publique doit avoir notifié l’infraction et adressé des demandes écrites de coopération, jusqu’à trois sur une période pouvant aller jusqu’à six mois ; et l’entreprise ne doit pas avoir remédié à l’infraction ni s’être conformée, ou avoir entravé ou neutralisé les mesures de protection. Le ministère peut alors décider que l’entreprise doit stocker les données au Vietnam et y établir une succursale ou un bureau de représentation chargé de la conformité. L’entreprise dispose de 12 mois à compter de la décision pour s’y conformer, doit conserver les données pendant au moins 24 mois et doit maintenir le bureau jusqu’à ce qu’elle cesse ses activités au Vietnam ou la fourniture du service (FAQ 82). Les fournisseurs de télécommunications et d’hébergement doivent retirer ou bloquer les contenus illicites dans les 24 heures suivant une demande de la force spécialisée, fournir l’identification d’adresses IP dans les 24 heures, ou dans les trois heures dans les cas urgents touchant à la sécurité nationale et à la criminalité grave, et conserver les journaux pendant au moins 12 mois.

La Loi sur les données : données fondamentales et importantes

La loi n° 60/2024/QH15 sur les données, en vigueur depuis le 1er juillet 2025 et mise en œuvre par le décret n° 165/2025/ND-CP du 30 juin 2025, régit les données numériques en général, personnelles ou non. Elle classe les données selon leur importance et encadre le transfert à l’étranger des données importantes et des données fondamentales, ces dernières constituant un sous-ensemble des premières dont l’utilisation illicite menacerait directement la défense nationale, la sécurité, les relations extérieures, la macroéconomie, la stabilité sociale ou la santé et la sécurité publiques. Les catégories sont énumérées par la décision n° 20/2025/QD-TTg. Pour les organisations privées, les données importantes comprennent les données personnelles de base de 100 000 personnes ou plus, les données personnelles sensibles de 10 000 personnes ou plus et les données relatives aux comptes bancaires, aux paiements ou aux dettes de 10 000 entreprises ou plus ; les données fondamentales comprennent les catégories correspondantes aux seuils d’un million de personnes, de 100 000 personnes et de 100 000 entreprises, ainsi que les données de défense, de sécurité et de cryptographie et les données détenues par l’État sur les infrastructures critiques, la santé et les finances.

Le transfert à l’étranger de données fondamentales requiert une approbation préalable : le cédant dépose un dossier d’analyse d’impact auprès du ministère de la Sécurité publique, ou du ministère de la Défense nationale pour les données militaires, de défense et cryptographiques, et reçoit une décision écrite. Les données importantes peuvent être transférées sans approbation préalable, mais le cédant doit procéder à une évaluation des risques portant sur la licéité, la nécessité, l’étendue, le niveau de protection du destinataire, les risques de fuite et les responsabilités, et déposer le dossier auprès du ministère. Le décret n° 356/2025/ND-CP prévoit que, lorsque les données sont des données personnelles qui constituent également des données fondamentales ou importantes, seuls les dossiers d’analyse d’impact du traitement et du transfert prévus par la PDPL sont requis, et non une évaluation distincte au titre du décret n° 165/2025/ND-CP. Par ailleurs, les fournisseurs de services d’intermédiation de données doivent implanter leur infrastructure au Vietnam et avoir pour représentant légal un citoyen vietnamien.

Cloud, externalisation et règles sectorielles

Les services de centres de données et de cloud peuvent être détenus à 100 % par des capitaux étrangers et ne requièrent qu’un enregistrement, ou une notification pour les fournisseurs situés à l’étranger, au titre de la loi sur les télécommunications (FAQ 94) ; un groupe peut donc héberger des données vietnamiennes dans un centre de données au Vietnam exploité par un fournisseur à capitaux étrangers s’il choisit de les localiser. Plusieurs secteurs ajoutent leurs propres règles : les banques et les intermédiaires de paiement sont soumis aux exigences de la Banque d’État relatives aux centres de données, aux sites de secours et à l’externalisation des technologies de l’information ; les données relatives aux valeurs mobilières, à l’assurance et à la santé font l’objet de contrôles propres ; et les données des organes de l’État ainsi que les données classées secrets d’État ne peuvent pas quitter le Vietnam. Une entreprise à capitaux étrangers d’un secteur réglementé devrait vérifier ses règles sectorielles avant toute migration à l’étranger. Les amendes pour infraction en matière de cybersécurité prévues par le décret n° 330/2026/ND-CP atteignent 200 millions de VND pour les organisations et 100 millions de VND pour les personnes physiques ; les amendes pour infraction en matière de transfert de données personnelles, proportionnelles au chiffre d’affaires, sont exposées dans Protection des données personnelles.