Loi vietnamienne sur la protection des données personnelles (PDPL)

Qu'est-ce que la loi vietnamienne sur la protection des données personnelles (PDPL) ?

La loi vietnamienne sur la protection des données personnelles (PDPL), loi n° 91/2025/QH15, est la première législation complète du pays en matière de protection des données personnelles. Adoptée par l'Assemblée nationale le 26 juin 2025 et entrée en vigueur le 1er janvier 2026, elle remplace le décret 13/2023/ND-CP, qui constituait le principal cadre relatif aux données personnelles depuis le 1er juillet 2023. La PDPL instaure des droits opposables pour les personnes concernées, l'obligation de désigner des délégués à la protection des données, des exigences formelles en matière d'analyse d'impact, ainsi que des sanctions pénales en plus des amendes administratives.

L'application de la loi relève du ministère de la Sécurité publique, par l'intermédiaire de son Département de la cybersécurité et de la prévention de la criminalité de haute technologie (A05), plutôt que d'une autorité indépendante de protection des données.

À qui s'applique la PDPL vietnamienne ?

La loi s'applique à toute organisation ou personne qui collecte, stocke, utilise, divulgue ou transfère des données personnelles de personnes situées sur le territoire du Vietnam. Son champ d'application couvre à la fois les entités nationales et étrangères qui traitent des données personnelles ou participent au traitement de données personnelles au Vietnam, quel que soit leur lieu d'établissement.

Les organisations sans présence physique au Vietnam doivent tout de même désigner un représentant local ou un point de contact si elles traitent, à grande échelle, des données de personnes situées au Vietnam.

Bases légales du traitement des données personnelles

Le consentement constitue la base légale principale au titre de la PDPL. Contrairement au RGPD, il n'existe pas de base d'intérêt légitime au sens large : l'article 19.1(a) introduit un motif d'intérêt légitime restreint, mais celui-ci se limite à des situations défensives liées à la protection contre une atteinte aux droits du responsable du traitement ou d'un tiers. Il ne permet pas le test de mise en balance générale que permet l'article 6.1(f) du RGPD, et l'intérêt commercial seul ne constitue pas une justification valable du traitement.

Au-delà du consentement, les autres bases reconnues sont la nécessité contractuelle, l'obligation légale, les intérêts vitaux et l'intérêt public tel que défini par la loi. Pour les données personnelles sensibles, un consentement explicite est requis indépendamment de toute autre base. Les organisations qui s'appuient actuellement sur l'intérêt légitime au titre du RGPD devront revoir leurs registres de traitement et, dans la plupart des cas, passer à une collecte fondée sur le consentement.

Exigences relatives au consentement

Le consentement au titre de la PDPL doit être donné librement, spécifique à la finalité déclarée, éclairé et exprimé par un acte positif clair. Il doit être présenté de manière claire et précise, dans un format pouvant être imprimé ou copié par écrit, y compris sous forme électronique. Il doit pouvoir être retiré à tout moment sans préjudice pour la personne concernée. Il est interdit de conditionner l'accès à un service au consentement à des finalités sans rapport avec ce service.

Les cases pré-cochées, le consentement global associé aux conditions d'utilisation et le consentement obtenu au moyen de pratiques trompeuses (dark patterns) ne sont pas valables. Les registres de consentement doivent être conservés et pouvoir être communiqués sur demande de l'A05.

Données personnelles sensibles

Les catégories de données personnelles sensibles sont énumérées dans le décret 356/2025/ND-CP. Toutes nécessitent un consentement explicite et un niveau de protection renforcé :

• Origine ethnique ou raciale
• Opinions politiques ou appartenance à un parti politique
• Convictions religieuses ou philosophiques
• Vie privée, secrets personnels ou secrets familiaux
• Données de santé, y compris les dossiers médicaux
• Données biométriques et caractéristiques génétiques utilisées à des fins d'identification unique
• Vie sexuelle ou orientation sexuelle
• Données de localisation individuelle déterminées par des services de positionnement
• Relations familiales, y compris les relations avec les parents, les enfants et le conjoint
• Identifiants de comptes en ligne, y compris les noms d'utilisateur et mots de passe des comptes d'identification électronique ; images de documents d'identité
• Données financières, y compris les numéros de comptes bancaires, les informations relatives aux cartes bancaires et les relevés de transactions
• Données comportementales et d'usage issues des services de télécommunications, des réseaux sociaux, des plateformes de médias en ligne et des services du cyberespace
• Casier judiciaire ou antécédents d'infractions légales

Le décret 356 a élargi le champ des données sensibles par rapport au précédent décret 13. Les identifiants de comptes en ligne, les images de documents d'identité et les données comportementales et de suivi d'usage sur les plateformes numériques ont été ajoutés en tant que nouvelles catégories sensibles. Les activités et l'historique d'activité dans le cyberespace, auparavant classés comme données personnelles de base, ont été reclassés comme sensibles.

Droits des personnes concernées

La PDPL établit 11 droits :

1. Droit d'être informé des organisations détenant leurs données et de la base sur laquelle elles les traitent
2. Droit de donner son consentement et de le voir respecté
3. Droit d'accès pour demander une copie des données personnelles détenues
4. Droit de retirer son consentement à tout moment
5. Droit à l'effacement des données personnelles
6. Droit à la limitation du traitement
7. Droit à la fourniture des données
8. Droit de s'opposer au traitement sur quelque base que ce soit
9. Droit de déposer des plaintes, des dénonciations ou des recours judiciaires auprès de l'autorité chargée de l'application de la loi ou des tribunaux
10. Droit de demander réparation pour le préjudice causé par un traitement illicite
11. Droit à l'autodéfense contre un traitement illicite

Les refus de donner suite aux demandes des personnes concernées doivent être documentés et motivés. Le calendrier de traitement des demandes prévoit un accusé de réception initial sous deux jours ouvrés et une réponse sur le fond sous sept à dix jours ouvrés.

Exigence relative au délégué à la protection des données (DPO)

Tous les responsables du traitement et sous-traitants doivent désigner un délégué à la protection des données. Il n'existe aucun seuil fondé sur l'échelle ou le type de traitement, contrairement au RGPD.

Les exemptions et périodes de grâce dépendent de la taille de l'entreprise. Les micro-entreprises et les entreprises familiales en sont totalement exemptées. Les petites entreprises et les start-ups bénéficient d'une période de grâce de cinq ans à compter du 1er janvier 2026, mais uniquement si elles n'agissent pas en tant que prestataires de services de traitement de données et ne traitent pas de données personnelles sensibles ni de gros volumes de données. Celles qui le font doivent désigner un DPO sans délai. Toutes les autres organisations doivent se conformer à la loi dès sa date d'entrée en vigueur.

Analyses d'impact relatives à la protection des données (DPIA)

Les organisations qui traitent des données personnelles présentant un risque élevé doivent réaliser une analyse d'impact relative à la protection des données et la soumettre à l'A05 dans un délai de 60 jours à compter de la première date de traitement des données personnelles. L'analyse doit documenter les catégories de données traitées, les finalités, la nécessité et la proportionnalité du traitement, les risques pour les personnes concernées, les mesures d'atténuation, ainsi que les mesures de sécurité techniques et organisationnelles appliquées. Les DPIA doivent être mises à jour lorsque les activités de traitement évoluent de manière significative.

Transferts de données transfrontaliers

Les données personnelles ne peuvent être transférées hors du Vietnam que si des conditions spécifiques sont réunies. Les organisations doivent réaliser une analyse d'impact relative au transfert (Transfer Impact Assessment, TIA) et la soumettre à l'A05 dans un délai de 60 jours à compter du premier transfert transfrontalier. Dans un délai de 15 jours à compter de la soumission, l'A05 évaluera la TIA et demandera des révisions si le dossier est incomplet. Les TIA doivent être mises à jour tous les six mois en cas de changements réglementaires.

Les pays destinataires doivent offrir un niveau de protection des données adéquat, ou des garanties appropriées doivent être mises en place au moyen de clauses contractuelles contraignantes. Le Vietnam n'a pas encore publié de liste officielle des pays adéquats ; la plupart des transferts internationaux nécessitent donc à la fois des protections contractuelles et un enregistrement de la TIA auprès de l'A05.

Notification des violations de données

Les organisations doivent notifier l'A05 dans un délai de 72 heures après avoir eu connaissance d'une violation de données personnelles. La notification doit inclure une description de la violation, les catégories et le volume approximatif des données concernées, les conséquences probables, les mesures prises ou envisagées, ainsi que les coordonnées du DPO ou du responsable concerné. Lorsque la violation concerne des données personnelles sensibles, les personnes concernées doivent également être informées dans un délai de 72 heures après la découverte.

Sanctions en cas de non-conformité

Les amendes administratives prévues par la PDPL suivent une structure à plusieurs niveaux :

• Violations relatives aux transferts de données transfrontaliers : jusqu'à 5 % du chiffre d'affaires de l'organisation au Vietnam pour l'année précédente, ou 3 milliards de VND (environ 115 000 USD), le montant le plus élevé étant retenu
• Commerce ou vente illégale de données personnelles : jusqu'à 10 fois les revenus générés par l'activité illicite, ou 3 milliards de VND, le montant le plus élevé étant retenu
• Autres violations : jusqu'à 3 milliards de VND

Les amendes peuvent être assorties d'une suspension des activités de traitement, d'audits obligatoires ou d'obligations de suppression des données traitées illégalement. En vertu du Code pénal vietnamien, les personnes physiques encourent une peine d'emprisonnement pouvant aller jusqu'à 7 ans en cas de collecte, de transfert ou d'utilisation intentionnelle et illicite de données personnelles, ainsi que des amendes allant de 30 millions à 1 milliard de VND.

Impact sur la publicité numérique et le marketing

L'approche de la PDPL, centrée sur le consentement, affecte directement le suivi par cookies, la publicité comportementale et le partage de données avec des tiers. Les organisations qui collectent le consentement de manière incorrecte risquent de perdre la base légale de leurs données publicitaires, ce qui signifie que les plateformes publicitaires ne peuvent plus utiliser ces données pour le ciblage ou la mesure.

Les principales plateformes publicitaires appliquent déjà des exigences de consentement pour le Vietnam :

• Microsoft Advertising ajoute le Vietnam en tant que marché soumis au consentement obligatoire à compter du 30 juin 2026. Après cette date, Microsoft ne diffusera plus de publicités personnalisées sur le trafic en provenance du Vietnam sans signaux de consentement valides transmis via IAB TCF 2.3. Les identifiants d'appareils Microsoft (par exemple les cookies) ne doivent pas être déposés sur les appareils des utilisateurs finaux sans consentement approprié.
• Google Ads exige des signaux de consentement conformes via Google Consent Mode v2 pour les utilisateurs situés dans les marchés réglementés. Sans consentement valide, les requêtes publicitaires sont traitées comme non consenties, ce qui désactive les publicités personnalisées et réduit les CPM.

En l'absence de collecte de consentement conforme, les organisations s'exposent à une baisse des revenus publicitaires, à une dégradation des performances des campagnes et à d'éventuelles actions réglementaires de la part de l'A05.

Comment UniConsent vous aide à vous conformer à la PDPL vietnamienne

La PDPL étant centrée sur le consentement, les organisations ont besoin de mécanismes de collecte du consentement qui répondent aux exigences de spécificité, de granularité et de possibilité de retrait prévues par la loi. UniConsent fournit les outils nécessaires pour être conforme sans sacrifier la performance publicitaire :

• Bannières de consentement localisées conçues pour les utilisateurs vietnamiens, avec une prise en charge complète de la langue vietnamienne et des descriptions de finalités claires répondant aux exigences de transparence de la PDPL
• Granularité au niveau de la finalité pour chaque activité de traitement, permettant aux utilisateurs de consentir indépendamment à l'analyse, à la publicité et aux cookies fonctionnels, conformément aux règles de spécificité de la PDPL
• Intégration de Google Consent Mode v2, qui transmet des signaux de consentement conformes à Google Ads, Google Analytics et aux autres services Google, préservant ainsi la mesure publicitaire et la modélisation des conversions même lorsque les utilisateurs refusent le suivi personnalisé
• Prise en charge d'IAB TCF v2.3 pour la publicité programmatique, garantissant que les signaux de consentement sont correctement transmis tout au long de la chaîne d'approvisionnement publicitaire, aux plateformes côté demande, aux SSP et aux partenaires publicitaires, y compris Microsoft Advertising
• Centre de gestion des préférences permettant aux utilisateurs de modifier ou de retirer leur consentement à tout moment, répondant ainsi aux exigences de retrait de la PDPL sans perturber l'expérience utilisateur
• Registres de consentement infalsifiables, stockés avec horodatage, choix de consentement et historique des versions, fournissant la documentation dont les organisations ont besoin pour démontrer leur conformité si l'A05 demande des preuves de consentement valide

En collectant le consentement de manière appropriée dès le départ, les organisations protègent leurs sources de revenus publicitaires, conservent l'accès à l'ensemble des fonctionnalités des plateformes publicitaires de Google, Microsoft et des partenaires programmatiques, et constituent un registre de conformité vérifiable qui répond à la fois aux exigences de la PDPL et aux politiques des partenaires publicitaires.

Fait confiance à plus de 5000 éditeurs et marketeurs du monde entier

• 
• 
• 
• 
• 
•