La loi vietnamienne sur la protection des données personnelles : ce qu’elle implique pour les cookies

Quelles sont les règles vietnamiennes de protection des données ?

Le Vietnam a fixé pour la première fois des règles générales de protection des données dans le Decree 13/2023/ND-CP du 17 avril 2023, applicable à partir du 1er juillet 2023. L’Assemblée nationale a ensuite adopté la Law on Personal Data Protection, nº 91/2025/QH15, le 26 juin 2025. Elle compte 39 articles et est en vigueur depuis le 1er janvier 2026. Le Decree 356/2025/ND-CP, pris le 31 décembre 2025, précise la loi à compter de la même date et remplace le Decree 13. Le ministère de la Sécurité publique est chargé de la protection des données personnelles, et son agence spécialisée, le Department of Cybersecurity and High-Tech Crime Prevention (dit A05), reçoit les dossiers d’analyse d’impact et les notifications de violations et mène les inspections.

Un traitement auquel la personne concernée a consenti au titre du Decree 13 avant 2026 peut se poursuivre sans nouvelle demande, et les dossiers d’analyse d’impact déjà déposés au titre du Decree 13 restent valables.

À qui s’applique la loi ?

La loi s’applique aux organismes, organisations et personnes vietnamiens ; aux organismes, organisations et personnes étrangers au Vietnam ; et aux organismes, organisations et personnes étrangers qui participent directement au traitement des données personnelles de citoyens vietnamiens et de personnes d’origine vietnamienne vivant au Vietnam, ou y sont liés. Un site ou une application étrangère qui collecte des données d’utilisateurs au Vietnam devrait considérer qu’il est dans le champ. Les données personnelles couvrent les informations, sous forme numérique ou autre, qui identifient une personne précise ou aident à l’identifier lorsqu’elles sont combinées à d’autres données.

Les petites entreprises et les start-up bénéficient d’un allègement : pendant cinq ans à compter du 1er janvier 2026, elles peuvent choisir de ne pas réaliser d’analyse d’impact du traitement ni de désigner de délégué ou de service chargé de la protection des données. L’allègement ne s’applique pas à celles qui fournissent des services de traitement de données, traitent directement des données sensibles ou traitent les données d’un grand nombre de personnes.

Les cookies exigent-ils un consentement au Vietnam ?

Le consentement est la base par défaut. Selon la loi, le traitement exige le consentement de la personne concernée, sauf dans quatre cas : la protection urgente de la vie, de la santé, de la dignité ou de droits légitimes ; les situations d’urgence, la sécurité nationale et la prévention des infractions ; les activités des organismes de l’État ; et l’exécution d’un accord entre la personne concernée et l’organisation, conformément à la loi. Il n’existe pas de base générale d’intérêt légitime. Les cookies qui collectent des données personnelles à des fins de mesure d’audience ou de publicité exigent donc un consentement, tandis que les cookies nécessaires pour fournir un service auquel la personne a souscrit peuvent reposer sur l’accord.

La loi traite aussi directement du suivi.

• Publicité. Les entreprises qui fournissent des services publicitaires ne peuvent utiliser que des données personnelles qui leur ont été transmises légalement par un responsable de traitement ou collectées dans le cadre de leur propre activité. Utiliser les données de clients à des fins publicitaires exige leur consentement, avec un moyen de refuser la publicité et de la faire cesser sur demande. Pour la publicité comportementale, ciblée ou personnalisée, les données personnelles ne peuvent être collectées par des sites, portails et applications de suivi qu’avec le consentement de la personne concernée, et il doit exister un moyen de refuser le partage, une durée de conservation fixée et une suppression lorsque les données ne sont plus nécessaires.
• Réseaux sociaux et services de communication en ligne. Les fournisseurs doivent offrir aux utilisateurs une option pour refuser la collecte et le partage des cookies servant à enregistrer leur activité, suivre leur comportement, personnaliser l’expérience et faire de la publicité, ainsi qu’une option de ne pas être suivi, ou ne les suivre qu’avec leur consentement.
• Données de localisation. Le suivi de localisation par RFID et technologies similaires exige un consentement sauf disposition légale contraire, et les plateformes d’applications mobiles doivent informer les utilisateurs de l’usage des données de localisation.

À quoi doit ressembler le consentement ?

Le consentement n’est valable que si la personne le donne volontairement après avoir été informée du type de données traitées et de la finalité, de l’identité du responsable de traitement, et de ses propres droits et obligations. Il doit être exprimé de façon claire et précise, sous une forme qui peut être imprimée ou copiée par écrit, y compris sous forme électronique ou dans un autre format vérifiable. Le consentement doit être demandé pour chaque finalité et ne peut pas être subordonné à l’acceptation d’autres finalités. Le silence ou l’absence de réponse ne vaut pas consentement. Le Decree 356 ajoute, selon les synthèses publiées, que les options présélectionnées et les formulations qui brouillent la différence entre accepter et refuser ne sont pas permises, et que les responsables de traitement doivent pouvoir prouver quand la personne a donné son accord et à quoi. Les personnes peuvent retirer leur consentement, ce qui n’affecte pas les traitements effectués auparavant.

Comment les transferts à l’étranger sont-ils encadrés ?

La loi considère trois situations comme des transferts transfrontaliers : le déplacement de données stockées au Vietnam vers un stockage à l’étranger, l’envoi de données personnelles par une partie au Vietnam à une partie à l’étranger, et l’utilisation d’une plateforme située à l’étranger pour traiter des données personnelles collectées au Vietnam. Ce dernier cas couvre la plupart des outils étrangers de mesure d’audience et de publicité. La partie qui transfère doit préparer un dossier d’analyse d’impact du transfert transfrontalier et en envoyer l’original à l’agence spécialisée dans les 60 jours suivant le premier transfert, puis le tenir à jour. Certains transferts sont exemptés, comme ceux des autorités de l’État. L’agence peut inspecter les transferts et ordonner leur arrêt lorsque des données sont utilisées d’une manière qui pourrait nuire à la défense ou à la sécurité nationales.

Quelles sont les sanctions ?

La loi fixe les amendes administratives maximales. Pour les infractions aux règles de transfert transfrontalier, une organisation peut se voir infliger jusqu’à 5 % de son chiffre d’affaires de l’année précédente, ou 3 milliards de VND si elle n’avait pas de chiffre d’affaires ou si ce montant est inférieur. L’achat ou la vente de données personnelles, que la loi interdit, peut être sanctionné jusqu’à 10 fois le produit, ou 3 milliards de VND en l’absence de produit ou si le montant est inférieur. Les autres infractions sont passibles d’amendes jusqu’à 3 milliards de VND pour les organisations, et les personnes physiques encourent la moitié du montant pour chaque infraction. Les cas graves peuvent aussi entraîner une responsabilité pénale au titre d’autres lois.

Que doit faire un site qui s’adresse au Vietnam ?

• Lister les cookies et balises qui collectent des données personnelles ; le scanner de cookies donne un premier inventaire.
• Demander un consentement par finalité avant que les cookies de mesure d’audience et de publicité ne s’exécutent, sans rien de présélectionné, et conserver une trace de chaque consentement.
• Offrir un moyen clair de refuser le suivi et de retirer son consentement plus tard.
• Préparer le dossier de transfert transfrontalier si vos outils de mesure d’audience ou de publicité traitent des données à l’étranger.

Le Vietnam ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet, mais le ciblage géographique est gratuit dans chaque offre : vous pouvez donc ajouter le Vietnam à une liste personnalisée. Les visiteurs qui s’y trouvent voient alors le bandeau de consentement préalable avec « Tout refuser » et des catégories désactivées par défaut, et le registre des consentements enregistre quand et à quoi chaque visiteur a consenti. Les 24 langues du bandeau n’incluent pas encore le vietnamien, et chaque texte est modifiable par langue. Comparez avec la Thaïlande, la Chine et le RGPD.