Conformité à la loi sur la protection des données personnelles du Vietnam

Le cadre vietnamien de protection des données personnelles

Le cadre vietnamien actuel de protection des données personnelles repose sur la loi n° 91/2025/QH15 relative à la protection des données personnelles, sur le décret n° 356/2025/ND-CP qui précise la mise en œuvre de la loi, ainsi que sur d'autres textes et exigences sectorielles lorsqu'ils s'appliquent.

• Loi n° 91/2025/QH15 relative à la protection des données personnelles
• Décret n° 356/2025/ND-CP, qui précise la mise en œuvre de la loi
• Autres textes et exigences sectorielles, le cas échéant

La loi reconnaît le consentement comme une base légale importante du traitement, mais le consentement n'est pas la seule base possible pour traiter des données personnelles. Les organisations doivent déterminer la base légale applicable et satisfaire aux exigences légales correspondantes avant de traiter des données.

Lorsque le consentement est exigé ou invoqué, les organisations doivent s'assurer qu'il est recueilli de manière appropriée et qu'il peut être démontré. Le décret 356/2025/ND-CP prévoit des formes de consentement reproductibles, notamment écrites et électroniques.

Que sont les données personnelles selon la loi vietnamienne ?

La loi vietnamienne sur la protection des données personnelles définit largement les données personnelles comme des données numériques ou des informations sous une autre forme qui identifient une personne déterminée ou contribuent à l'identifier.

Le cadre distingue les données personnelles de base des données personnelles sensibles, la classification détaillée de chacune étant fixée par des textes gouvernementaux.

Les organisations doivent donc tenir un inventaire des données indiquant à la fois le type de données personnelles traitées et leur appartenance éventuelle à une catégorie spécialement protégée.

Données personnelles de base

Les données personnelles de base couvrent les informations personnelles courantes et les éléments de contexte utilisés dans les transactions et les relations sociales, et relevant des catégories déterminées par le gouvernement.

Il peut s'agir, selon la classification applicable, d'informations servant à identifier une personne ou à communiquer avec elle.

Données personnelles sensibles

Les données personnelles sensibles sont des données personnelles liées au droit à la vie privée d'une personne, dont l'atteinte pourrait affecter directement les droits et intérêts légitimes des parties concernées.

La classification détaillée des données personnelles sensibles est fixée par des textes gouvernementaux.

Bases légales du traitement des données personnelles

Le consentement n'est pas une exigence générale pour toute activité de traitement dans le cadre de la loi vietnamienne actuelle.

La loi définit le consentement comme l'autorisation donnée par la personne concernée au traitement de ses données personnelles, sauf disposition contraire de la loi.

Les organisations doivent donc déterminer :

• quelles données personnelles sont traitées ;
• pourquoi ces données sont traitées ;
• quelle base légale autorise le traitement ;
• si un consentement est requis ;
• quelles informations doivent être fournies ;
• quelles garanties s'appliquent ; et
• si une analyse d'impact ou une autre documentation est requise.

Il s'agit d'un changement important par rapport à la présentation du cadre vietnamien comme exigeant simplement un consentement pour tout traitement.

Exigences relatives au consentement

Lorsque le consentement est la base légale applicable, les entreprises doivent concevoir leurs mécanismes de consentement de manière claire, démontrable et correctement documentée.

Dans le cadre actuel :

• le consentement est une autorisation accordée par la personne concernée au traitement ;
• les exigences légales applicables déterminent quand le consentement est requis ;
• les organisations doivent être en mesure de démontrer la base du traitement ;
• le consentement doit être recueilli, lorsqu'il est requis, par un mécanisme approprié et reproductible ; et
• les organisations doivent conserver les éléments justifiant l'activité de traitement.

Le décret 356/2025/ND-CP reconnaît notamment le consentement écrit, les appels enregistrés, les SMS, les courriels, les sites web, les plateformes, les applications et tout autre moyen susceptible d'être reproduit ou vérifié.

Le consentement ne remplace pas la gouvernance de la vie privée

Une bannière de consentement ne suffit pas à elle seule à établir une conformité complète.

Les entreprises doivent relier la gestion du consentement aux éléments suivants :

• les mentions d'information ;
• les inventaires de données ;
• les registres de traitement ;
• les processus relatifs aux droits des personnes ;
• les politiques de conservation ;
• les mesures de sécurité ;
• la gestion des prestataires ;
• les contrôles des transferts transfrontaliers ; et
• la documentation des analyses d'impact, le cas échéant.

Mentions d'information et transparence

Les organisations doivent fournir aux personnes une information appropriée sur le traitement de leurs données personnelles.

Une mention d'information utile doit expliquer, lorsque cela est pertinent :

• quelles données personnelles sont collectées ;
• la finalité du traitement ;
• la manière dont les données sont utilisées ;
• la base légale applicable ;
• les destinataires ou catégories de destinataires concernés ;
• les éléments relatifs à la durée de conservation ;
• les transferts internationaux ou transfrontaliers ;
• les droits des personnes ;
• la manière d'exercer ces droits ;
• les coordonnées pour les demandes relatives à la vie privée ; et
• les autres informations exigées par la loi applicable.

Pour les sites web et les applications, la transparence doit s'étendre aux cookies, aux outils de mesure, aux technologies publicitaires, aux technologies de suivi et aux autres identifiants en ligne lorsqu'ils impliquent des données personnelles.

Droits des personnes concernées

La loi vietnamienne sur la protection des données personnelles confère des droits aux personnes concernées et établit les responsabilités correspondantes pour les organisations qui traitent des données personnelles.

Selon les circonstances, les organisations doivent être prêtes à traiter des demandes relatives à :

• l'accès aux données personnelles ;
• la rectification ou la mise à jour de données inexactes ;
• le retrait du consentement lorsque le traitement repose sur celui-ci ;
• l'effacement lorsqu'il est juridiquement applicable ;
• la limitation du traitement lorsqu'elle s'applique ;
• l'opposition ou d'autres droits reconnus par la loi ; et
• les autres droits prévus par la loi sur la protection des données personnelles et ses textes d'application.

Les organisations doivent mettre en place un processus interne de réception, d'authentification, de suivi et de réponse aux demandes des personnes concernées dans les délais légaux applicables.

Données personnelles des enfants

Le traitement des données personnelles relatives aux enfants exige des garanties supplémentaires dans le cadre vietnamien de protection des données personnelles.

Les entreprises qui proposent des services aux enfants ou qui traitent sciemment leurs données personnelles doivent évaluer :

• les exigences liées à l'âge ;
• les exigences de consentement ;
• l'intervention requise des parents ou du représentant légal ;
• des mentions d'information adaptées ;
• la minimisation des données ;
• les mesures de sécurité ; et
• les exigences de conservation et d'effacement.

Les services destinés aux enfants doivent intégrer ces exigences dès la conception du produit plutôt que de les traiter après coup.

Traitement des données personnelles sensibles

Les données personnelles sensibles bénéficient d'une protection renforcée dans le cadre vietnamien.

Les entreprises qui traitent des données personnelles sensibles doivent identifier la catégorie concernée et évaluer si des obligations supplémentaires s'appliquent en matière de :

• base légale ;
• transparence ;
• sécurité ;
• gouvernance ;
• analyses d'impact ;
• contrôles d'accès ;
• conservation ;
• transferts de données ; et
• gestion des incidents.

Un programme de protection de la vie privée doit tenir un inventaire clair indiquant où les données personnelles sensibles sont collectées, traitées, stockées ou transférées.

Analyses d'impact des traitements de données personnelles

Le cadre vietnamien actuel prévoit des exigences d'analyse d'impact pour certaines activités de traitement.

Les organisations doivent évaluer si leur traitement nécessite un dossier d'analyse d'impact du traitement de données personnelles et veiller à ce que la documentation requise soit tenue et transmise conformément aux règles applicables.

Une analyse efficace doit prendre en compte :

• les catégories de données personnelles ;
• les finalités du traitement ;
• les méthodes de traitement ;
• les risques pour les personnes concernées ;
• les mesures de sécurité ;
• la conservation ;
• les modalités de partage des données ;
• les sous-traitants et les tiers ;
• les traitements transfrontaliers ; et
• les mesures destinées à réduire les risques identifiés.

Transferts transfrontaliers de données

Le traitement transfrontalier est un domaine de conformité important dans le cadre de la loi vietnamienne actuelle.

Le décret 356/2025/ND-CP définit largement les activités de transfert transfrontalier, y compris les situations impliquant le déplacement ou le traitement de données personnelles collectées ou stockées au Vietnam via une infrastructure à l'étranger, des services cloud étrangers ou des destinataires à l'étranger.

Les entreprises qui utilisent :

• des fournisseurs cloud internationaux ;
• des systèmes CRM mondiaux ;
• des plateformes de mesure à l'étranger ;
• des plateformes publicitaires internationales ;
• des applications SaaS étrangères ;
• des outils mondiaux de support client ; ou
• des prestataires de traitement de données à l'étranger

doivent évaluer si leurs activités constituent un traitement transfrontalier réglementé.

Selon les circonstances, une organisation peut devoir établir ou tenir un dossier d'analyse d'impact des transferts transfrontaliers de données personnelles, ou respecter un autre mécanisme légal applicable.

Exigences de sécurité des données

Les organisations qui traitent des données personnelles doivent mettre en œuvre des garanties organisationnelles, techniques et humaines appropriées.

Les mesures de sécurité peuvent comprendre :

• des contrôles d'accès ;
• l'authentification ;
• le chiffrement lorsqu'il est approprié ;
• la sécurité des réseaux et des applications ;
• la journalisation et la surveillance ;
• la gestion des vulnérabilités ;
• la sauvegarde et la restauration ;
• la formation du personnel ;
• les exigences de sécurité applicables aux prestataires ;
• les procédures de réponse aux incidents ; et
• la minimisation des données et le contrôle des durées de conservation.

La sécurité doit être proportionnée à la nature des données traitées et aux risques associés.

Notification des violations de données personnelles

La loi vietnamienne actuelle sur la protection des données personnelles impose une notification dans les 72 heures pour les violations concernées portant sur des données personnelles, à compter du moment où l'organisation découvre la violation.

Cette obligation s'applique aux violations susceptibles de porter atteinte, dans les conditions prévues par la loi, à des intérêts tels que la défense ou la sécurité nationale, l'ordre et la sécurité publics, la vie ou la santé, l'honneur et la dignité, ou les biens.

Les organisations doivent donc maintenir un processus de réponse aux incidents capable de :

• détecter une violation potentielle ;
• évaluer l'incident ;
• déterminer si le seuil légal est atteint ;
• faire remonter l'incident en interne ;
• préparer les notifications requises ;
• documenter la réponse ; et
• prendre des mesures correctives.

Le processus de gestion des incidents relatifs à la vie privée doit être relié au programme plus large de réponse aux incidents de cybersécurité de l'organisation.

Responsables du traitement et sous-traitants

Les entreprises doivent définir clairement leur rôle lorsqu'elles traitent des données personnelles.

Selon l'activité, une organisation peut agir en tant que :

• responsable du traitement de données personnelles ;
• sous-traitant de données personnelles ;
• partie exerçant à la fois des fonctions de responsable et de sous-traitant ; ou
• autre participant réglementé de la chaîne de traitement.

Les contrats conclus avec les sous-traitants et les prestataires doivent définir clairement :

• les finalités du traitement ;
• les catégories de données ;
• les obligations de sécurité ;
• la confidentialité ;
• la sous-traitance ultérieure ;
• la conservation des données ;
• l'effacement ou la restitution des données ;
• la notification des incidents ;
• l'assistance aux demandes des personnes concernées ; et
• les responsabilités en matière de traitement transfrontalier.

Conservation et effacement des données

Le cadre vietnamien exige que les données personnelles soient conservées pendant une durée appropriée correspondant à la finalité du traitement, sauf disposition contraire d'une autre loi.

Les organisations doivent donc tenir des calendriers de conservation documentés couvrant :

• les informations clients ;
• les données des salariés ;
• les bases de données marketing ;
• les informations de compte ;
• les preuves de consentement ;
• les données de cookies et de suivi ;
• les dossiers de support ;
• les demandes des personnes concernées ;
• les journaux de sécurité ; et
• les données personnelles détenues par les prestataires.

La conservation ne doit pas se poursuivre indéfiniment au seul motif que le stockage coûte techniquement peu.

Cookies et suivi en ligne

Les entreprises qui exploitent des sites web au Vietnam doivent évaluer leurs cookies et leurs technologies de suivi dans le cadre de leur programme de conformité relatif aux données personnelles.

Cela comprend :

• les cookies de mesure ;
• les cookies publicitaires ;
• les technologies de reciblage ;
• les pixels de réseaux sociaux ;
• le suivi des conversions ;
• les technologies de session ;
• les identifiants d'appareil ;
• les SDK ; et
• les autres technologies qui collectent des informations permettant d'identifier des personnes ou de s'y rapporter.

La nécessité d'un consentement dépend de la base légale applicable et des circonstances. Les organisations ne doivent pas présumer que chaque cookie exige un consentement, mais elles doivent également éviter de déployer des traitements de données personnelles sans base légale appropriée ni garanties.

ConsentX peut aider les entreprises à rendre ce processus opérationnel :

• analyser les sites web à la recherche de cookies et de traceurs ;
• catégoriser les technologies de suivi ;
• bloquer les technologies sélectionnées jusqu'à l'obtention de l'autorisation applicable ;
• enregistrer les choix de consentement ;
• gérer des expériences de consentement propres à chaque région ; et
• conserver des preuves de consentement auditables.

Marketing direct et publicité

Les activités marketing impliquent fréquemment des données personnelles et doivent donc être intégrées au programme de conformité de l'organisation en matière de vie privée.

Les entreprises doivent évaluer :

• la source des données marketing ;
• la base légale du traitement ;
• la nécessité d'un consentement ;
• la manière dont les préférences marketing sont enregistrées ;
• les mécanismes de désinscription et de retrait ;
• les plateformes publicitaires tierces ;
• le partage de données ;
• le profilage ;
• la conservation ; et
• les transferts internationaux.

Lorsque le consentement est requis, le consentement marketing doit être clairement séparé des conditions qui ne s'y rapportent pas.

Traitement automatisé, profilage et IA

Les entreprises qui recourent à l'IA, à la décision automatisée, au profilage ou à l'analyse comportementale doivent évaluer si ces activités portent sur des données personnelles et si des exigences supplémentaires s'appliquent.

Une évaluation relative à la vie privée doit examiner :

• quelles données sont fournies au système ;
• la finalité du traitement ;
• si des données personnelles sensibles sont concernées ;
• si les données sont transférées à un prestataire à l'étranger ;
• si les décisions affectent sensiblement les personnes ;
• si les personnes reçoivent une information appropriée ;
• les contrôles de sécurité et d'accès ;
• la conservation ;
• le traitement par les prestataires ; et
• la supervision humaine lorsqu'elle est appropriée.

Les organisations doivent documenter leurs cas d'usage d'IA et de traitement automatisé dans le cadre de leur gouvernance plus large des données personnelles.

Petites entreprises et startups

La loi vietnamienne sur la protection des données personnelles contient des dispositions transitoires de conformité pour certaines petites entreprises et startups.

En vertu de la loi, les petites entreprises et startups éligibles peuvent choisir d'appliquer ou non certaines dispositions pendant une période de cinq ans à compter de l'entrée en vigueur de la loi, sous réserve des exceptions légales. Cette exemption ne s'applique en principe pas lorsque l'entreprise fournit des services de traitement de données personnelles, traite directement des données personnelles sensibles ou traite des données personnelles concernant un grand nombre de personnes.

Le décret 356/2025/ND-CP apporte des précisions supplémentaires sur les seuils et les exemptions applicables.

Les entreprises doivent donc vérifier leur éligibilité plutôt que de supposer que toutes les startups ou petites entreprises sont automatiquement exemptées des exigences vietnamiennes en matière de vie privée.

Transition depuis le décret 13/2023

Le cadre vietnamien de protection de la vie privée a profondément changé le 1er janvier 2026.

La nouvelle loi sur la protection des données personnelles prévoit expressément un traitement transitoire pour certaines activités de traitement déjà menées sur la base de consentements ou d'accords obtenus sous le décret 13/2023/ND-CP avant l'entrée en vigueur de la nouvelle loi. Certains dossiers d'analyse d'impact déjà déposés peuvent également se poursuivre au titre des règles transitoires.

Parallèlement, le décret 356/2025/ND-CP prévoit que le décret 13/2023/ND-CP cesse de produire effet à compter du 1er janvier 2026.

Les entreprises doivent donc mettre à jour leurs programmes de conformité plutôt que de continuer à s'appuyer exclusivement sur des lignes directrices conçues pour l'ancien régime du décret 13.

Liste de contrôle pour la conformité à la loi vietnamienne sur la protection des données personnelles

Utilisez cette liste de contrôle pour passer en revue le programme de votre organisation au Vietnam :

• Recenser les données personnelles collectées et traitées
• Classer les données personnelles de base et sensibles
• Cartographier les finalités de traitement
• Déterminer la base légale applicable
• Revoir les mécanismes de consentement là où il est requis
• Conserver les preuves de consentement
• Mettre à jour les mentions d'information
• Mettre en place des procédures pour les demandes des personnes concernées
• Déployer des mesures de sécurité appropriées
• Revoir les durées de conservation
• Identifier les sous-traitants et les tiers
• Examiner les transferts internationaux et transfrontaliers
• Évaluer les exigences d'analyse d'impact
• Établir des procédures de réponse aux violations
• Se préparer aux notifications applicables sous 72 heures
• Revoir les technologies marketing et publicitaires
• Analyser les cookies et les traceurs du site web
• Bloquer les technologies non essentielles sélectionnées jusqu'à l'autorisation applicable
• Revoir et mettre à jour régulièrement les contrôles de confidentialité

Pourquoi la conformité vietnamienne compte pour les entreprises numériques

Pour les organisations qui exploitent des sites web, des applications et des plateformes numériques au Vietnam, la conformité en matière de données personnelles exige de plus en plus une coordination entre les équipes vie privée, sécurité, juridique, marketing et technique.

Un programme de conformité moderne doit donc combiner base légale, transparence, gestion du consentement, gouvernance des données, sécurité, gestion des droits, contrôles des transferts et preuves auditables.

ConsentX peut prendre en charge la gestion du consentement et la couche de confidentialité du site web, tandis que les organisations conservent les contrôles juridiques et organisationnels plus larges exigés par le cadre vietnamien.

La loi sur la protection des données personnelles s'applique dans le cadre juridique vietnamien et comporte également des dispositions concernant certaines organisations et personnes étrangères impliquées dans le traitement des données personnelles couvertes.