Le Vietnam prévoit des amendes pouvant atteindre 70 millions de VND en cas de manquement au consentement, et des sanctions plus lourdes pour les violations relatives aux données

Le silence ne vaut pas autorisation d’utiliser des données personnelles

Le décret vietnamien n° 330/2026/ND-CP, entré en vigueur le 19 août 2026, prévoit des amendes de 50 à 70 millions de VND lorsqu’une personne est considérée comme ayant consenti à la collecte ou au traitement de ses données personnelles du seul fait de son silence. La même fourchette s’applique si le traitement se poursuit délibérément après que la personne a demandé son arrêt ou sa limitation, ou après qu’une autorité compétente l’a ordonné par écrit.

Les règles relatives au consentement s’inscrivent dans un cadre de sanctions beaucoup plus vaste. Certaines infractions liées aux transferts de données personnelles à l’étranger peuvent entraîner des amendes allant jusqu’à 5 % du chiffre d’affaires de l’année précédente. D’autres violations en matière de données personnelles sont passibles d’amendes pouvant atteindre 3 milliards de VND, tandis que le commerce illicite de données peut entraîner des sanctions calculées en multiples de la valeur de la transaction.

Le décret publié par le gouvernement, daté du 26 août, détaille un dispositif composé de quatre chapitres et de 82 articles. Il porte sur la cybersécurité, les réseaux sociaux, les systèmes d’information et la protection des données personnelles. Les avertissements et les amendes en constituent les principales sanctions.

Pour les personnes qui utilisent des applications, font des achats en ligne ou reçoivent des messages publicitaires, la question concrète est celle du contrôle : les entreprises doivent disposer d’une base légale pour utiliser leurs informations, expliquer les finalités concernées et respecter les demandes d’arrêt. Pour les entreprises, les risques ne se limitent pas à une amende : ils peuvent aussi inclure une suspension d’activité, la suppression de données traitées illégalement et la restitution des gains illicites.

Qu’est-ce qu’un consentement valide ?

L’article 43, paragraphe 1, prévoit des amendes de 30 à 50 millions de VND pour différentes défaillances en matière de consentement. Sont notamment visés le traitement de données personnelles sans consentement lorsque la loi l’exige, le consentement présumé par défaut et les instructions peu claires qui brouillent le choix entre accepter et refuser.

Une entreprise doit recueillir le consentement de manière claire, précise et vérifiable. Elle doit pouvoir établir qui a consenti, à quel moment et à quoi. Les utilisateurs doivent également pouvoir faire un choix distinct pour chaque finalité de traitement.

Un service de vente en ligne peut, par exemple, avoir besoin d’informations pour honorer une commande. Le décret vise le fait de subordonner l’accès à ce service à l’acceptation d’utilisations sans rapport avec les données personnelles. La personne doit pouvoir choisir séparément d’accepter ou non ces finalités supplémentaires, sans devoir y consentir pour bénéficier du service convenu.

L’article 43 couvre également les explications incomplètes sur les types de données traitées, les finalités, les droits et obligations de la personne et l’organisme responsable du traitement. L’absence de justificatifs du consentement peut aussi être sanctionnée. Une entreprise doit donc disposer à la fois d’une procédure de consentement valide et de preuves attestant de son bon fonctionnement.

Les données personnelles sensibles bénéficient d’une protection supplémentaire. Le défaut d’information d’une personne sur le traitement de ses données sensibles relève de la fourchette de 30 à 50 millions de VND. Les entreprises doivent recenser les informations qu’elles détiennent et appliquer les garanties correspondantes.

Pourquoi l’amende de 70 millions de VND ne dit pas tout

L’amende maximale pour les manquements au consentement dépasse de 20 millions de VND le plafond de la fourchette inférieure, passant de 50 à 70 millions de VND. Cette fourchette supérieure vise deux pratiques précises : considérer le silence comme un accord et ignorer délibérément une demande d’arrêt ou de limitation du traitement.

Dans l’ensemble du dispositif, les amendes maximales en matière de cybersécurité s’élèvent à 200 millions de VND pour les organisations et à 100 millions de VND pour les personnes physiques. La protection des données personnelles obéit à une structure différente, qui comprend des amendes forfaitaires, des sanctions liées au commerce illicite et des sanctions calculées en fonction du chiffre d’affaires.

Dans son alerte juridique d’octobre, EY décrit des amendes équivalant à deux à dix fois la valeur de la transaction pour le commerce illégal de données personnelles. Selon le cabinet, cette valeur est calculée à partir d’éléments tels que les contrats, les factures, les justificatifs de paiement, les messages et les relevés bancaires, sans déduction des coûts.

Certaines infractions graves liées aux transferts à l’étranger sont passibles d’amendes de 1 à 5 % du chiffre d’affaires. EY classe dans cette catégorie les transferts entraînant la perte ou la fuite de données concernant au moins 10 000 citoyens vietnamiens et indique que le taux maximal de 5 % s’applique aux cas touchant au moins un million de personnes. Son tableau précise que le montant maximal est calculé sur la part du chiffre d’affaires réalisée au Vietnam l’année précédente, avec un plafond de 3 milliards de VND en l’absence de chiffre d’affaires cette année-là.

Les entreprises étrangères sont également concernées

Le décret 330 s’applique aux personnes physiques et aux organisations vietnamiennes et étrangères. Son champ d’application comprend les entreprises étrangères répondant aux critères et fournissant des services de télécommunications, d’internet, de contenu en ligne, de technologies de l’information, de cybersécurité ou des services transfrontaliers, ainsi que les organisations étrangères participant au traitement de données personnelles couvertes par le texte.

Les personnes protégées comprennent les citoyens vietnamiens et les personnes d’origine vietnamienne résidant au Vietnam qui disposent d’un certificat d’identité, mais dont la nationalité n’a pas encore été déterminée. Le fait d’être établi à l’étranger reste donc un élément que les entreprises doivent évaluer au regard des services fournis et des personnes dont elles traitent les informations.

Dans son analyse du décret sur les sanctions, Tilleke & Gibbins désigne le ministère de la Sécurité publique comme l’autorité chargée de la protection des données personnelles et de la cybersécurité. Le cabinet présente le décret comme un dispositif détaillé de sanctions administratives venant appuyer les obligations prévues par les lois sur la protection des données personnelles et la cybersécurité.

Pour une entreprise opérant hors du Vietnam, il s’agit concrètement de vérifier si ses services et ses activités de traitement entrent dans ce champ. Les systèmes publicitaires, les bases de données clients et les transferts vers des prestataires établis à l’étranger peuvent tous nécessiter un examen au regard des dispositions applicables.

Les listes publicitaires doivent reposer sur une base légale

L’article 37 porte sur les courriels et les messages publicitaires non sollicités, ainsi que sur d’autres infractions aux règles de la publicité en ligne. L’article 48 peut également s’appliquer lorsque les informations utilisées à des fins publicitaires ont été collectées illégalement. L’activité publicitaire et la collecte des données sous-jacentes soulèvent donc des questions de conformité distinctes.

Une entreprise qui achète une liste de numéros de téléphone doit vérifier l’origine des données, la base légale de leur utilisation et la finalité de leur collecte. Elle doit aussi permettre aux personnes de refuser les publicités ou le partage concerné de leurs informations.

L’article 43 intègre les règles de consentement à ce processus. Une personne qui ne répond pas à une demande d’autorisation n’a pas consenti. Une entreprise qui poursuit délibérément le traitement après une demande d’arrêt ou de limitation s’expose à l’amende plus élevée, de 50 à 70 millions de VND.

EY signale également une sanction spécifique liée au consentement par défaut à la divulgation de données personnelles à un réseau publicitaire affilié. Ces réseaux mettent en relation des entreprises et des partenaires qui font la promotion de produits ou leur adressent des clients potentiels. Le partage d’informations dans ce cadre doit tenir compte du choix de la personne, et non d’un accord sélectionné à l’avance.

Pour les consommateurs, ces dispositions relient la collecte initiale d’un numéro de téléphone à ses utilisations ultérieures. Pour les entreprises, vérifier un message marketing ne suffit pas : il faut aussi examiner l’origine de la liste de contacts, les autorisations qui y sont associées et la manière dont les refus sont traités.

Les données de surveillance et celles des enfants exigent une vigilance accrue

Les plateformes, les services éducatifs, les applications de divertissement et les détaillants en ligne qui traitent des informations concernant des enfants sont soumis à des exigences portant sur la finalité du traitement, la validité du consentement, le volume de données collectées et les mesures de protection. EY signale des sanctions en cas d’absence de vérification de l’âge d’un enfant avant le traitement de ses données personnelles.

EY relève également une différence de formulation entre la loi sur la protection des données personnelles et le décret. La loi exige le consentement de l’enfant âgé de sept ans ou plus et de son représentant légal lorsque le traitement vise à divulguer des éléments de la vie privée ou des secrets personnels de l’enfant. Selon l’analyse d’EY, la disposition du décret prévoyant des sanctions en cas d’absence de double consentement est formulée plus largement.

Les entreprises qui s’adressent aux enfants doivent donc vérifier si leurs contrôles d’âge et leurs procédures de consentement sont adaptés à l’activité concernée. EY indique que, pour certaines omissions de suppression ou de destruction des données d’enfants traitées au-delà de leur finalité, l’amende maximale pour une organisation est de 200 millions de VND.

Les enregistrements de vidéosurveillance dans les lieux publics constituent un autre risque spécifique. EY signale des sanctions en cas d’utilisation, sans consentement valide, de données personnelles, d’images ou d’enregistrements vocaux issus de caméras de surveillance publiques à des fins commerciales, d’analyse comportementale ou de reconnaissance faciale automatisée pour établir des profils.

Une caméra installée à des fins de sécurité peut produire des informations qu’une entreprise souhaite ensuite utiliser pour une autre finalité. Selon les dispositions présentées par EY, cette utilisation ultérieure à des fins commerciales ou analytiques nécessite sa propre évaluation juridique et, lorsque le texte l’exige, un consentement valide. Les durées de conservation comptent également : certains accords de transfert de données doivent préciser une durée de conservation adaptée à la finalité du transfert.

L’IA et les réseaux sociaux engagent la responsabilité des utilisateurs et des opérateurs

Le recours à l’intelligence artificielle pour usurper l’image, la voix ou l’identité d’une autre personne peut donner lieu à des sanctions lorsque les faits impliquent une fraude, de fausses informations, une atteinte aux droits légitimes ou la collecte et l’utilisation illicites de données personnelles. La sanction applicable dépend des faits et de leur gravité.

Les entreprises restent responsables de leurs décisions de collecter des informations, de les intégrer à un système d’IA et d’utiliser les résultats produits. Le traitement automatisé doit donc respecter les mêmes vérifications concernant la base légale, la finalité, le consentement et la protection que les autres activités de traitement.

Les obligations relatives aux réseaux sociaux concernent les fournisseurs, les gestionnaires, les opérateurs et les utilisateurs. Les personnes qui publient ou partagent du contenu en sont responsables, notamment lorsque celui-ci implique une usurpation d’identité, une fraude ou une atteinte aux droits et intérêts légitimes d’une autre personne.

Les dispositions relatives à la cybersécurité portent également sur les attaques, les accès non autorisés, les codes malveillants et les manquements à l’obligation de coopérer avec les forces spécialisées en cybersécurité. Lorsqu’une affaire présente des indices d’infraction pénale, l’explication publiée par le gouvernement précise que le dossier doit être transmis conformément aux dispositions applicables de la loi sur le traitement des infractions administratives.

Les amendes peuvent s’accompagner d’une suppression des données ou d’une suspension

Selon l’infraction concernée, les sanctions complémentaires peuvent comprendre le retrait, pour une durée d’un à 24 mois, du droit d’utiliser certaines licences ou certains certificats, la suspension des activités pour la même durée, la confiscation des équipements ou autres objets utilisés pour commettre l’infraction et l’expulsion des ressortissants étrangers.

L’article 43 prévoit, pour certaines infractions relatives au consentement, la suppression irréversible des données collectées ou traitées illégalement. Il prévoit également la confiscation dans certains cas et la restitution des gains illicites pour les infractions relevant de sa fourchette d’amendes supérieure. Une entreprise risque donc de perdre l’accès aux informations en plus de se voir infliger une sanction pécuniaire.

La restitution des gains illicites est une mesure réparatrice dont le calcul obéit à ses propres règles. EY explique que, dans les cas concernés autres que le commerce illégal de données, elle peut couvrir les revenus générés par des activités commerciales reposant sur des données collectées, traitées, utilisées ou transférées illégalement, sans déduction des coûts.

Tilleke & Gibbins recense d’autres sanctions qui concernent la conformité au quotidien : jusqu’à 80 millions de VND pour les manquements à l’obligation de notifier une violation, 100 millions de VND pour les infractions relatives aux évaluations d’impact du traitement des données et 30 millions de VND en cas de manquement à l’obligation de désigner un délégué ou un service chargé de la protection des données.

Une évaluation d’impact consiste en une analyse documentée des effets possibles d’un traitement sur les données des personnes et des mesures prévues pour gérer les risques. Les mesures correctives peuvent inclure l’obligation de soumettre l’évaluation et la suspension du traitement jusqu’au respect des exigences de dépôt. Des mesures similaires peuvent s’appliquer aux évaluations requises pour les transferts à l’étranger. EY mentionne également des amendes pouvant atteindre 40 millions de VND pour les organisations qui ne respectent pas les délais légaux de réponse aux demandes d’exercice des droits sur les données.

Quand les règles s’appliquent et comment les procédures peuvent se dérouler

Le décret 330 est entré en vigueur dès sa publication, sans période transitoire. Il a été adopté après plusieurs années d’évolution du cadre vietnamien de protection des données personnelles :

• 1er juillet 2023 : entrée en vigueur du décret n° 13/2023/ND-CP sur la protection des données personnelles.
• 1er janvier 2026 : entrée en vigueur de la loi sur la protection des données personnelles, dont les modalités d’application sont définies par le décret n° 356/2025/ND-CP.
• 19 août 2026 : publication et entrée en vigueur du décret n° 330/2026/ND-CP.
• 26 août 2026 : publication par le gouvernement de son explication du décret et des sanctions relatives au consentement.

Le délai de prescription des sanctions administratives est d’un an. Pour une infraction achevée, le point de départ est lié à l’exécution de l’obligation ou à la confirmation, par une autorité compétente, de la fin de l’infraction. Les autorités doivent également déterminer si les faits ont cessé ou se poursuivent.

Tilleke & Gibbins décrit une règle transitoire applicable aux infractions commises avant le 19 août, mais découvertes ou toujours à l’examen après cette date. Le régime de sanctions en vigueur au moment des faits s’applique généralement. Les dispositions plus favorables du décret 330 peuvent s’appliquer si elles suppriment la responsabilité ou prévoient une sanction moins lourde.

Le dispositif reconnaît les preuves électroniques et autorise l’établissement électronique de procès-verbaux d’infraction et de décisions de sanction, avec authentification biométrique lorsque les signatures numériques ne sont pas disponibles. Les documents de conformité, tels que les journaux de consentement, l’historique des demandes et les pièces relatives aux transactions, peuvent donc jouer un rôle important dans l’examen d’une affaire.

Aucun calendrier précis d’inspections ou de procédures de sanction n’est indiqué. Le changement immédiat tient à la mise en place d’un cadre de sanctions dédié, qui couvre les obligations existantes en matière de documentation, de personnel, de sécurité, de consentement et d’utilisation effective des informations personnelles.

À retenir

• Le décret 330 est entré en vigueur le 19 août 2026 et porte sur la cybersécurité et la protection des données personnelles.
• Certains manquements aux règles de consentement sont passibles d’amendes de 30 à 50 millions de VND.
• Considérer le silence comme un consentement ou ignorer délibérément une demande d’arrêt peut entraîner des amendes de 50 à 70 millions de VND.
• Certains transferts graves à l’étranger peuvent donner lieu à des amendes calculées en fonction du chiffre d’affaires et atteindre 5 % de celui-ci.
• Les organisations étrangères répondant aux critères sont concernées, de même que les entreprises et les personnes physiques vietnamiennes.
• Les sanctions complémentaires peuvent inclure une suspension, la suppression irréversible des données et la restitution des gains illicites.