Protection des données personnelles : la Loi sur la protection des données personnelles de 2025 et le décret n° 356/2025/ND-CP, champ d’application extraterritorial, responsables du traitement et sous-traitants, consentement et autres bases légales, données sensibles, droits des personnes concernées et délais de réponse, analyses d’impact, notification des violations, délégués à la protection des données, période de grâce des PME, sanctions prévues par le décret n° 330/2026/ND-CP et liste de contrôle de conformité

Une loi, et non plus un décret

Le premier texte global du Vietnam en matière de protection des données était le décret n° 13/2023/ND-CP. Il a été remplacé le 1er janvier 2026 par la loi n° 91/2025/QH15 sur la protection des données personnelles (la PDPL), adoptée le 26 juin 2025, et par son décret d’application, le décret n° 356/2025/ND-CP, pris le 31 décembre 2025 et entré en vigueur le lendemain (FAQ 81). Les sanctions figurent dans le décret n° 330/2026/ND-CP, en vigueur depuis le 19 août 2026, qui couvre également les infractions en matière de cybersécurité. La surveillance et le contrôle relèvent du Département de la cybersécurité et de la prévention de la criminalité de haute technologie (A05) du ministère de la Sécurité publique, qui reçoit les dossiers d’analyse d’impact et les notifications de violations, gère le portail national de la protection des données personnelles et contrôle la conformité.

La PDPL s’applique aux organisations et aux personnes physiques vietnamiennes et étrangères au Vietnam, ainsi qu’aux organisations et aux personnes physiques étrangères situées à l’étranger qui traitent directement, ou participent au traitement, des données personnelles de citoyens vietnamiens et de certaines personnes résidant au Vietnam. Une société mère étrangère qui gère le système RH du groupe, un opérateur étranger de commerce électronique qui vend à des consommateurs vietnamiens et un fournisseur étranger de services cloud ou d’analyse qui traite des données pour un client vietnamien peuvent tous entrer dans son champ. Les mêmes règles s’appliquent aux sociétés à capitaux nationaux et à capitaux étrangers. La protection des données personnelles recoupe les règles de cybersécurité et de localisation des données, exposées dans Cybersécurité, localisation des données et transferts transfrontaliers.

Les rôles : responsable du traitement, sous-traitant et tiers

La PDPL répartit les obligations selon les rôles. Le responsable du traitement des données personnelles détermine les finalités et les moyens du traitement ; le sous-traitant des données personnelles traite les données pour le compte du responsable du traitement en vertu d’un contrat ; le responsable-sous-traitant cumule les deux rôles ; et le tiers est toute autre personne autorisée à traiter les données. Le responsable du traitement supporte les principales obligations : identifier une base légale, informer, recueillir le consentement, répondre aux personnes concernées, établir les analyses d’impact, mettre en œuvre les mesures de sécurité et notifier les violations. Le sous-traitant ne doit traiter les données que sur instruction, appliquer des mesures de sécurité, assister le responsable du traitement et supprimer ou restituer les données à la fin du contrat. Le décret n° 356/2025/ND-CP exige un accord écrit pour les transferts aux sous-traitants et aux tiers et pour les transferts réalisés dans le cadre d’une restructuration, précisant la finalité, les personnes concernées, les types de données, la durée, la suppression, la base légale et les responsabilités, et impose le chiffrement, l’anonymisation ou une protection équivalente lors du transfert de données sensibles.

Au sein d’un groupe, la filiale vietnamienne est habituellement responsable du traitement des données de ses clients et salariés, et sa société mère ou un centre de services partagés régional agit en qualité de sous-traitant ou d’autre responsable du traitement. L’accord intragroupe de transfert de données devrait refléter les rôles réels ; une société mère qui fixe les finalités d’un système RH ou CRM mondial est vraisemblablement responsable du traitement à part entière.

Bases légales et consentement

Le consentement est la base par défaut. Il doit être donné librement et expressément pour une finalité déterminée, sur la base d’une information portant sur la finalité, les types de données, les destinataires, les droits de la personne concernée et les conséquences du traitement ; le silence ou l’inaction ne vaut pas consentement. Le décret n° 356/2025/ND-CP exige que le consentement soit consigné de manière à pouvoir en vérifier la date et le contenu, interdit les cases pré-cochées et les paramètres peu clairs ou trompeurs, et admet le consentement donné par téléphone, courrier électronique, site web, plateforme ou application lorsque les paramètres techniques répondent à ces exigences. Le consentement peut être retiré à tout moment, et le responsable du traitement doit alors cesser le traitement dans les délais décrits ci-dessous. Un consentement distinct est nécessaire pour chaque finalité ; un consentement global inséré dans une longue politique de confidentialité est donc fragile.

L’article 19, paragraphe 1, de la PDPL énumère cinq cas dans lesquels des données personnelles peuvent être traitées sans consentement : protéger la vie, la santé, la dignité, les droits ou les intérêts légitimes de la personne concernée ou d’autrui dans des situations d’urgence ; faire face à des urgences, à des menaces pour la sécurité nationale, au terrorisme, à la criminalité et à d’autres infractions ; servir les activités des organes de l’État et la gestion publique conformément à la loi ; exécuter un accord entre la personne concernée et l’organisation ou la personne physique en cause dans les conditions prévues par la loi ; et les autres cas prévus par la loi. Les contrats de travail et les contrats clients peuvent donc fonder les traitements nécessaires à leur exécution, mais le marketing, le profilage, les transferts à des sociétés du groupe pour leurs propres finalités et le partage avec des partenaires nécessitent en général toujours un consentement. La PDPL interdit l’achat et la vente de données personnelles, sauf dans les cas permis par la loi.

Données personnelles sensibles

La PDPL distingue les données personnelles de base et les données personnelles sensibles, et le décret n° 356/2025/ND-CP énumère chacune de ces catégories. Les données sensibles comprennent les données relatives aux opinions politiques et religieuses, à l’état de santé, les données génétiques et biométriques, les données relatives à la vie et à l’orientation sexuelles, aux antécédents judiciaires, à la localisation précise et, parmi les ajouts du décret, les données de suivi du comportement et d’utilisation issues des services de télécommunications, de réseaux sociaux, de médias en ligne et d’autres services du cyberespace, les identifiants et mots de passe des comptes d’identification électronique, les images des cartes d’identité, ainsi que les données relatives aux comptes bancaires, aux cartes de paiement et aux transactions financières. Le traitement de données sensibles exige une information signalant leur caractère sensible ainsi que des mesures de sécurité et de contrôle d’accès renforcées, et il prive l’entreprise de la période de grâce des petites entreprises décrite ci-dessous. Une entreprise qui suit les utilisateurs d’une application, traite des paiements par carte ou conserve des copies des cartes d’identité de ses clients traite donc des données sensibles et devrait s’organiser en conséquence.

Droits des personnes concernées et délais de réponse

Les personnes physiques disposent du droit d’être informées, de consentir et de retirer leur consentement, d’accéder à leurs données et d’en obtenir une copie, de les faire rectifier, de les faire supprimer, de limiter le traitement ou de s’y opposer, de porter plainte et de demander réparation (FAQ 83). Le décret n° 356/2025/ND-CP fixe les délais. Le responsable du traitement doit répondre à toute demande dans un délai de deux jours ouvrables. Il doit ensuite exécuter une demande de retrait du consentement, de limitation ou d’opposition dans un délai de 15 jours (20 jours lorsque des sous-traitants ou des tiers interviennent) ; une demande d’accès, de rectification ou de communication de données dans un délai de 10 jours (15) ; et une demande de suppression dans un délai de 20 jours (30). Chaque délai peut être prorogé une fois, d’un nombre de jours au plus égal. Une entreprise qui traite de grands volumes de consommateurs a besoin d’une procédure de traitement des demandes, d’une vérification d’identité et d’un registre ; les délais de réponse sont trop courts pour être respectés par un traitement au cas par cas.

Analyses d’impact

Les responsables du traitement et les sous-traitants doivent établir une analyse d’impact du traitement des données personnelles et, avant d’envoyer des données personnelles à l’étranger, y compris en les stockant sur des serveurs situés hors du Vietnam ou en recourant à un cloud à l’étranger, une analyse d’impact du transfert, et les déposer en ligne auprès de l’A05 (FAQ 82). Le décret n° 356/2025/ND-CP accorde un délai de 60 jours à compter du début du transfert pour déposer le dossier de transfert ; l’A05 examine un dossier dans un délai de 15 jours et peut exiger qu’il soit complété dans un délai de 30 jours. Les dossiers doivent comprendre les politiques, procédures et modèles internes de protection des données de l’organisation ainsi qu’une description des flux de données pour chaque rôle, et doivent être mis à jour tous les six mois en cas de nouvelles finalités ou de changement de responsable du traitement, de sous-traitant ou de tiers, et dans les dix jours suivant une réorganisation, une dissolution, un changement de prestataire de services de protection ou un changement de secteurs d’activité impliquant des données personnelles. Le décret exonère de l’analyse d’impact du transfert les transferts effectués aux fins de la gestion du personnel conformément aux règles du travail, au règlement intérieur et aux conventions collectives, mais cette exonération est étroite, et les plateformes RH mondiales utilisées à des fins plus larges devraient néanmoins faire l’objet d’une analyse. Lorsque des données personnelles constituent également des données fondamentales ou importantes au sens de la Loi sur les données, les dossiers prévus par la PDPL remplacent l’analyse distincte exigée par la Loi sur les données.

Violations, délégués et période de grâce des PME

Le responsable du traitement doit notifier l’A05 dans les 72 heures suivant la détection d’une violation des règles de protection des données personnelles devant être signalée, et les sous-traitants doivent avertir sans délai le responsable du traitement. Certaines violations doivent également être notifiées aux personnes concernées, notamment les violations survenues chez des prestataires de services financiers et celles portant sur des données biométriques ou de localisation, dans les 72 heures suivant leur découverte ou, lorsqu’une notification individuelle n’est pas réalisable, par voie de communication publique ; les registres des violations doivent être conservés pendant au moins cinq ans après leur correction. Les organisations doivent désigner un service ou un délégué à la protection des données personnelles possédant les qualifications prévues par le décret n° 356/2025/ND-CP, à savoir un diplôme d’études supérieures courtes ou d’un niveau supérieur, au moins deux ans d’expérience pertinente et une formation à la protection des données, ou recourir à un prestataire externe qualifié.

Les petites entreprises et les start-up bénéficient, à compter du 1er janvier 2026, d’une période de grâce de cinq ans pour la désignation d’un délégué ou d’un prestataire de protection des données et pour l’établissement, la mise à jour et le dépôt des analyses d’impact, et les entreprises individuelles et les micro-entreprises en sont largement exemptées. Cet allègement ne s’applique pas à une entreprise qui fournit des services de traitement de données personnelles, traite directement des données personnelles sensibles ou traite les données de 100 000 personnes concernées ou plus ; de nombreuses start-up technologiques et orientées vers les consommateurs n’en bénéficient donc pas.

Sanctions

Le décret n° 330/2026/ND-CP, en vigueur depuis le 19 août 2026, met en œuvre les plafonds de sanctions prévus par la PDPL. Les organisations encourent une amende pouvant atteindre 3 milliards de VND pour la plupart des infractions, et les personnes physiques la moitié. L’achat ou la vente illicite de données personnelles est puni d’une amende pouvant atteindre dix fois le produit obtenu. Les infractions aux règles de transfert transfrontalier, telles que le transfert sans le dossier requis, la dissimulation ou la falsification de flux de données ayant entraîné une fuite, ou la poursuite du transfert après une injonction de cesser, sont punies d’amendes calculées en pourcentage du chiffre d’affaires vietnamien de l’exercice précédent : 1 % à 2 % lorsque 10 000 à moins de 100 000 personnes concernées sont touchées, 2 % à 3 % de 100 000 à moins d’un million, et 3 % à 5 % à partir d’un million, avec des amendes fixes pouvant atteindre 3 milliards de VND en l’absence de chiffre d’affaires vietnamien ou lorsque le pourcentage serait inférieur. Des amendes moins élevées s’appliquent aux manquements relatifs aux dossiers et aux procédures, le traitement peut être suspendu jusqu’à ce qu’un manquement relatif à l’analyse d’impact soit corrigé, et les infractions transfrontalières graves peuvent entraîner la suspension des transferts pendant six à 12 mois. Les personnes physiques responsables peuvent également engager leur responsabilité pénale pour utilisation illicite d’informations sur les réseaux informatiques au titre du Code pénal.