Le Vietnam propose cinq niveaux de risque pour les données, un encadrement plus strict des transferts à l’étranger et des garanties pour l’IA

Cinq niveaux de risque détermineraient la protection des données au Vietnam

Le gouvernement vietnamien a présenté à l’Assemblée nationale, le 26 octobre 2026, un projet de loi sur la sécurité des données qui prévoit cinq niveaux de risque, des contrôles plus stricts pour les données sensibles transférées à l’étranger et des garanties pour les informations utilisées par l’intelligence artificielle. Le texte comprend six chapitres et 29 articles, et ne prévoit que deux procédures d’autorisation administrative, toutes deux concernant les données présentant les niveaux de risque les plus élevés.

Le ministre de la Sécurité publique, le général Luong Tam Quang, agissant sur autorisation du Premier ministre, a présenté le projet lors de la deuxième session de la 16e Assemblée nationale. Les entreprises et les autres responsables du traitement des données évalueraient d’abord leurs propres données, appliqueraient des mesures de protection adaptées à leur niveau de risque et resteraient responsables de cette évaluation. Les autorités vérifieraient principalement la conformité a posteriori.

Le gouvernement propose une entrée en vigueur de la loi au 1er juillet 2027. Les députés devaient en débattre en groupes dans l’après-midi du 26 octobre. Le texte reste un projet, et les parlementaires chargés de l’examiner souhaitent renforcer les contrôles sur les informations les plus sensibles, clarifier les procédures d’évaluation et mieux protéger les données biométriques et génétiques.

Le projet de loi s’appliquerait aussi au-delà des organisations établies au Vietnam. Il concernerait les agences, organisations et personnes physiques vietnamiennes ; les organisations et personnes physiques étrangères présentes au Vietnam ; ainsi que celles établies à l’étranger qui traitent des données relevant de la juridiction vietnamienne ou portent atteinte à la sécurité des données du pays.

Pour les entreprises, le principal changement serait la mise en place d’un système progressif : les traitements courants seraient soumis à des garanties de base et à peu de formalités, tandis que les activités susceptibles de causer des dommages graves nécessiteraient des évaluations, des audits ou une autorisation préalable. Pour les particuliers, le projet prévoit de nouvelles obligations de sécurité concernant les informations tout au long de leur circulation entre systèmes, prestataires et pays.

Pourquoi le gouvernement veut une loi distincte

Luong Tam Quang a indiqué aux députés que les systèmes d’information vietnamiens avaient enregistré environ 552 000 cyberattaques en 2025, et que 5 230 agences et entreprises en avaient subi les conséquences. Il a également cité près de 300 cas détectés de données mises en vente, concernant plus de 1,7 million d’enregistrements, ainsi qu’un vol de plus de 160 millions de dossiers clients dans un établissement de crédit.

Selon le ministre, 60 à 70 % des fuites de données provenaient de personnes travaillant au sein des organisations concernées. L’accès des employés et des prestataires constitue donc un enjeu central, au même titre que la protection contre les attaques extérieures. Restreindre les personnes autorisées à consulter les informations, surveiller les accès et retirer les autorisations si nécessaire sont des mesures concrètes prévues par le cadre proposé.

Le gouvernement estime que les règles en vigueur traitent chacune un aspect différent du problème. La loi sur les données encadre des activités telles que la création, la gestion, le partage et la classification des données. La législation sur la protection des données à caractère personnel régit les conditions de traitement et les droits des personnes. La législation sur la cybersécurité protège les systèmes d’information contre les menaces.

Le projet de loi sur la sécurité des données porterait sur les informations elles-mêmes, tout au long de leur collecte, stockage, traitement, transmission et destruction. Ses fondements politiques comprennent la résolution no 57-NQ/TW du Bureau politique, datée du 22 décembre 2024, sur la science, la technologie, l’innovation et la transformation numérique nationale.

Ce que signifient les cinq niveaux

L’article 8 classerait les données selon la probabilité d’un incident et les dommages qu’il pourrait causer à la défense nationale, à la sécurité nationale, à la sécurité publique et aux droits légitimes des organisations et des personnes. Le niveau 1 serait le plus faible et le niveau 5, le plus élevé.

Les catégories proposées donnent aux entreprises un premier repère pour déterminer leurs obligations :

• Le niveau 1 comprend les données publiques et ouvertes, pour lesquelles la probabilité d’incident et ses conséquences sont faibles.
• Le niveau 2 comprend les informations internes, les données commerciales et les données à caractère personnel qui ne relèvent pas d’une catégorie supérieure, avec un risque moyen.
• Le niveau 3 comprend les données importantes et les données sensibles à caractère personnel traitées à grande échelle, selon des seuils fixés par le gouvernement.
• Le niveau 4 couvre généralement les données essentielles associées à un risque très élevé et à des dommages potentiellement graves.
• Le niveau 5 comprend les données essentielles de défense et de sécurité ainsi que les informations utilisées pour exploiter ou contrôler des installations particulièrement importantes pour la sécurité nationale.

Le niveau de risque s’ajouterait à la classification prévue par la loi sur les données. Les organisations et les personnes conserveraient leurs droits légitimes de propriété, de gestion et d’utilisation de leurs informations. Le niveau de sécurité déterminerait les protections requises.

À partir de quand s’appliqueraient les formalités et les contrôles préalables

La présentation du gouvernement recense deux procédures administratives : l’examen des documents de conception des systèmes traitant des données de niveaux 4 et 5, prévu à l’article 11, et l’examen et l’autorisation des transferts à l’étranger de données de ces niveaux, prévus à l’article 19.

Le niveau 1 ne serait soumis à aucune procédure administrative. Les responsables du traitement de données de niveau 2 prépareraient un plan de protection simplifié à partir d’un modèle et le conserveraient eux-mêmes. Ceux qui traitent des données de niveau 3 évalueraient leurs propres activités sans les soumettre à un examen ni à une notification. À partir du niveau 3, des évaluations d’impact et des audits de sécurité périodiques seraient obligatoires.

Les systèmes traitant des données de niveaux 4 ou 5 devraient faire l’objet d’une évaluation de sécurité avant leur mise en service officielle, coordonnée avec l’examen de cybersécurité. Une évaluation d’impact examine ce qui pourrait mal se passer et qui pourrait en subir les conséquences ; un audit vérifie si les protections annoncées sont effectivement opérationnelles.

Les entreprises individuelles, les petites et microentreprises ainsi que les jeunes pousses innovantes traitant des données courantes suivraient généralement des recommandations de protection de base. Leurs obligations dépendraient toutefois du risque associé à leurs traitements : la nature et le volume des informations traitées constitueraient donc un enjeu concret de conformité.

Le projet vise également à réduire les doublons. Lorsque plusieurs lois imposent des contrôles sur le même sujet et pour le même niveau de risque, une organisation utiliserait un seul jeu de documents et un interlocuteur unique. Les résultats valides obtenus au titre d’autres lois seraient reconnus. L’évaluation de la sécurité des données utilisées par l’IA serait intégrée au processus d’évaluation des risques prévu par la législation sur l’IA.

Trois régimes distincts pour les transferts à l’étranger

Les données envoyées à l’étranger seraient traitées différemment selon leur niveau. Aucun transfert de données de niveaux 1 et 2 ne nécessiterait de procédure au titre de cette loi. Les responsables du traitement de données de niveau 3 évalueraient eux-mêmes le transfert et en conserveraient une trace. Pour les niveaux 4 et 5, le transfert nécessiterait un examen et l’autorisation d’une autorité compétente préalable.

Les services cloud, les plateformes internationales et les entreprises présentes dans plusieurs pays devraient donc déterminer quelles informations sont transférées à l’étranger et quel niveau de risque leur a été attribué. Les obligations existantes prévues par d’autres lois applicables resteraient en vigueur.

La commission de l’Assemblée nationale chargée de la Défense nationale, de la Sécurité et des Affaires étrangères a globalement soutenu une approche fondée sur les risques, sans obligation générale de conserver toutes les données au Vietnam. Elle a proposé une règle plus stricte pour le niveau 5 : les transferts à l’étranger seraient interdits, sauf décision contraire du Premier ministre.

La commission a également proposé de restreindre les transferts à l’étranger de clés de déchiffrement et de paramètres cryptographiques pour les systèmes de niveaux 4 et 5. Une clé de déchiffrement permet d’accéder à des informations chiffrées : son contrôle constitue donc un enjeu de sécurité distinct du lieu où les données sont stockées.

D’autres propositions viseraient à préciser qui peut restreindre ou suspendre temporairement des services transfrontaliers, et à imposer une notification en cas de changement de contrôle d’une entreprise qui gère des données de niveau 4 ou supérieur. Le projet traite également des demandes directes d’informations formulées par des pays étrangers, au moyen de mécanismes destinés à imposer des voies légales, notamment les accords d’entraide judiciaire.

Les garanties pour l’IA commenceraient par les données d’entraînement

Les organisations qui recherchent, développent ou déploient des systèmes d’IA traitant des données à haut risque devraient intégrer la sécurité dès la phase de conception. Elles devraient établir l’origine licite et l’intégrité des données d’entraînement ainsi que des informations qui en sont dérivées.

Le projet aborde l’empoisonnement des données, l’extraction non autorisée et le contrôle humain des décisions automatisées. L’empoisonnement des données consiste à altérer délibérément les informations utilisées pour entraîner ou faire fonctionner un système d’IA, ce qui peut conduire à des résultats peu fiables ou manipulés. L’extraction non autorisée consiste à obtenir des informations protégées sans permission.

La loi applicable devrait garantir la possibilité d’une intervention et d’une supervision humaines dans les décisions automatisées. Cette exigence relie la protection des informations sous-jacentes aux décisions prises par un système à partir de celles-ci.

Il serait interdit aux autorités d’exiger le code source ou les poids des modèles d’IA, sauf dans le cadre d’enquêtes pénales. Le code source contient les instructions d’un programme ; les poids d’un modèle sont les paramètres numériques appris par un système d’IA durant son entraînement. Ces deux éléments peuvent représenter un savoir-faire commercial précieux.

Les entreprises du secteur de l’IA suivraient la procédure d’évaluation prévue par la législation sur l’IA, sans préparer de dossier distinct sur la sécurité des données ni se soumettre à un examen séparé. Les contrôles de sécurité proposés seraient ainsi rattachés à une procédure réglementaire existante, tout en maintenant des obligations spécifiques concernant les données elles-mêmes.

Les prestataires feraient partie du plan de sécurité

Les responsables du traitement des données auraient des obligations couvrant les prestataires, les intermédiaires et les autres parties intervenant dans le traitement des informations. Avant de connecter un produit ou un service, ils évalueraient les risques associés au prestataire et limiteraient ses accès au strict nécessaire.

Les contrats devraient préciser les obligations de confidentialité et les conséquences d’une fuite de données. Les responsables du traitement surveilleraient également les accès pendant toute la durée de la relation et les révoqueraient en cas de risque ou d’incident. L’accès à distance des prestataires aux systèmes traitant des données à risque élevé serait soumis à des contrôles plus stricts.

Le dispositif concernerait les infrastructures numériques critiques, les infrastructures nationales de données, les traitements à grande échelle et les systèmes reliant des commandes numériques à des équipements physiques. Dans ces contextes, des données altérées ou manipulées peuvent perturber le fonctionnement de machines et d’installations, en plus d’exposer des informations.

La commission a demandé que les responsabilités de chaque partie soient déterminées en fonction de son pouvoir de décision et de son contrôle effectifs sur les données. Cela permettrait de distinguer les obligations du responsable du traitement, qui décide de l’utilisation des informations, de celles d’un prestataire chargé d’une mission plus limitée.

Les pouvoirs d’urgence seraient encadrés par la loi

Le projet mettrait en place une surveillance, des alertes précoces, la déclaration des incidents et des réponses coordonnées. Les modifications présentées par le gouvernement prévoient également d’informer les personnes concernées en cas d’incident et de limiter la portée des suspensions temporaires de transferts de données.

Les mesures techniques d’urgence devraient reposer sur des fondements juridiques, être décidées par une autorité habilitée, avoir une portée définie et une durée déterminée. Les autorités devraient privilégier la mesure qui limite le moins les droits et y mettre fin dès que ses motifs ne s’appliquent plus.

Les organisations et les personnes concernées conserveraient le droit de déposer une plainte, d’engager une procédure judiciaire et de demander réparation en vertu de la loi. Les parlementaires chargés de l’examen ont également demandé que soient clarifiées les conditions de réquisition de personnels, d’équipements ou d’autres ressources privées par les autorités, ainsi que les modalités d’indemnisation.

Le projet encourage les responsables de la sécurité des données et les spécialistes indépendants à détecter, tester et signaler de bonne foi les vulnérabilités. Il prévoit la protection de leur identité et de leurs intérêts légitimes, ainsi que des exemptions de responsabilité correspondantes. La commission a également proposé des exercices de réponse aux incidents pour les systèmes de niveaux 4 et 5.

Les parlementaires réclament des règles plus strictes pour les risques les plus élevés

Le lieutenant-général principal Le Tan Toi, président de la commission de l’Assemblée nationale chargée de la Défense nationale, de la Sécurité et des Affaires étrangères, a présenté le rapport d’examen. La commission a estimé que la loi était nécessaire et que le projet pouvait être soumis à l’examen du Parlement.

Les parlementaires ont néanmoins demandé que les critères de chaque niveau de risque soient clarifiés. Certains ont proposé que des autorités spécialisées réexaminent et mettent régulièrement à jour les classifications, et que la procédure applicable au niveau 5 soit plus stricte plutôt que de laisser cette décision aux responsables du traitement eux-mêmes.

La commission a également demandé qu’il soit précisé que le niveau de protection exigé du système de traitement dépend du risque associé aux données. Elle a réclamé des garanties renforcées pour les informations biométriques et génétiques, telles que celles portant sur des caractéristiques corporelles ou des traits héréditaires.

Des questions de procédure restent à l’étude, notamment les délais d’examen des systèmes de niveaux 4 et 5 qui ne relèvent pas de l’examen de cybersécurité. La commission a demandé que soient mieux définies les limites entre la cryptographie de sécurité, les systèmes de chiffrement gouvernementaux et la cryptographie civile, ainsi que les règles de coordination en cas d’incident concernant les systèmes de chiffrement militaires et gouvernementaux.

Le ministère de la Sécurité publique serait chargé de la gestion étatique de la sécurité des données, le ministère de la Défense nationale superviserait les données et systèmes d’information militaires, et le Comité gouvernemental du chiffrement gérerait les systèmes d’information chiffrés. Aucune nouvelle agence ne serait créée.

Ce qui a changé et les prochaines étapes

Le projet présenté aux députés est passé de 25 à 29 articles, abandonne la création prévue d’un Centre national de gouvernance de la sécurité des données et supprime les amendes calculées en pourcentage du chiffre d’affaires. Une version antérieure, datée du 7 septembre, prévoyait quatre niveaux de données, des amendes pouvant atteindre 5 % du chiffre d’affaires de l’exercice précédent et l’obligation de stocker dans le pays les données critiques et essentielles. Le projet soumis au Parlement retient plutôt cinq niveaux de risque et des contrôles différenciés pour les transferts.

Le gouvernement a également supprimé l’échéance fixe pour passer à une cryptographie résistante à l’informatique quantique, laissant le soin au gouvernement de fixer le calendrier dans des règles ultérieures. Des incitations à l’investissement et des avantages fiscaux proposés soutiendraient la recherche en sécurité, les services cloud souverains, les centres de données sécurisés et les technologies cryptographiques, avec une aide destinée aux petites entreprises et aux jeunes pousses. Le projet demande d’éviter les politiques qui conféreraient un monopole à un produit ou à un fournisseur donné.

La cryptographie résistante à l’informatique quantique est conçue pour résister aux attaques menées à l’aide de futurs ordinateurs quantiques. Le gouvernement s’inquiète notamment du fait que des informations actuellement recueillies sous forme chiffrée puissent être déchiffrées ultérieurement, à mesure que les capacités informatiques progressent.

Le calendrier législatif a évolué au cours de la rédaction :

• Août 2026 : clôture de la consultation publique, selon le calendrier de rédaction antérieur.
• 7 septembre 2026 : une version antérieure indiquait que le projet était soumis à l’examen du ministère de la Justice.
• 26 octobre 2026 : le gouvernement a présenté le projet ; les discussions en groupes étaient prévues dans l’après-midi.
• 1er juillet 2027 : date d’entrée en vigueur prévue par le projet parlementaire, en remplacement du 1er décembre 2027 précédemment annoncé.

Le projet de loi modifierait la loi sur la cybersécurité et la loi sur les données, tout en préservant, grâce à des dispositions transitoires, la validité des documents et résultats d’évaluation existants. Les systèmes en service disposeraient d’un délai pour se conformer aux nouvelles exigences. Les obligations définitives dépendront du texte adopté par l’Assemblée nationale et de ses textes d’application.

Points clés

• Le Vietnam propose cinq niveaux de risque pour la sécurité des données, avec des protections renforcées à mesure que les dommages potentiels augmentent.
• Deux procédures d’autorisation administrative concerneraient la conception des systèmes et les transferts à l’étranger impliquant des données de niveaux 4 et 5.
• Les garanties relatives à l’IA porteraient sur les données d’entraînement, l’extraction non autorisée et la supervision humaine, les évaluations étant intégrées aux procédures prévues par la législation sur l’IA.
• Les parlementaires chargés de l’examen réclament des contrôles plus stricts pour le niveau 5 et une meilleure protection des données biométriques et génétiques.
• Le projet révisé abandonne les amendes calculées en fonction du chiffre d’affaires et la création prévue d’un nouveau centre national.
• Le gouvernement propose une entrée en vigueur au 1er juillet 2027, sous réserve de l’approbation du Parlement.