Le décret n°13/2023/NĐ‑CP du Vietnam sur la protection des données personnelles est entré en vigueur le 1er juillet 2023. Premier texte complet sur la protection des données du pays, il a une portée extraterritoriale contraignante. Il régit le traitement des numéros de téléphone mobile, des enregistrements d’appels et autres données dans les services SMS et voix A2P, et définit les obligations des fournisseurs, les droits des utilisateurs ainsi que les sanctions en cas d’infraction.
La réglementation classe les numéros de téléphone mobile des clients comme des données personnelles ordinaires. Pour collecter ces numéros dans le cadre de leurs activités, les fournisseurs doivent obtenir le consentement actif et explicite des utilisateurs ; le silence de l’utilisateur ne peut pas être assimilé à un consentement. L’utilisateur peut retirer son consentement à tout moment, et le commerçant doit mettre en œuvre ce retrait dans les 72 heures.
Les opérateurs A2P doivent déterminer s’ils agissent en tant que responsables du traitement ou sous-traitants. Dans les 60 jours suivant le début du traitement des données utilisateur, ces deux catégories d’entités doivent soumettre une évaluation d’impact sur la protection des données personnelles aux autorités de sécurité publique compétentes. Les utilisateurs disposent de onze droits, dont le droit d’accès, d’effacement et d’opposition au traitement. Les fournisseurs doivent répondre aux demandes des utilisateurs dans les 72 heures après réception.
S’il est nécessaire de transférer les données des résidents vietnamiens à l’étranger, l’entreprise doit réaliser une évaluation des risques liés au transfert transfrontalier de données et déposer une déclaration. Les infractions peuvent entraîner de lourdes amendes, et les cas graves peuvent engager la responsabilité pénale. Les exploitants d’activités A2P doivent mettre en place des canaux légitimes de collecte du consentement utilisateur, clarifier leurs rôles sur les données et créer un mécanisme rapide de traitement des demandes. Les entreprises ayant des besoins de transfert transfrontalier de données doivent effectuer les démarches de conformité à l’avance afin de prévenir les risques de sanctions.
