Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Réglementations › Reste du monde › Viêt Nam
PDPL
Loi sur la protection des données personnelles (n° 91/2025/QH15)
QuandEn vigueur depuis le 1er janvier 2026
Qui en assure l’applicationMinistère de la Sécurité publique, Département de la cybersécurité et de la prévention de la criminalité liée aux hautes technologies (A05)
À qui elle s’appliqueOrganisations et personnes physiques au Viêt Nam et entités étrangères qui traitent directement des données personnelles de citoyens et de résidents vietnamiens.
Informer le régulateurNotifier l’organisme spécialisé (A05) dans un délai de 72 heures à compter de la détection d’une violation susceptible de causer un préjudice gra…
DPO requisObligation de désigner un personnel ou un service qualifié en protection des données, ou de recourir à un prestataire de services
EnregistrementAucun enregistrement des responsables du traitement
Transferts à l’étrangerLe dossier d’analyse d’impact des transferts doit être déposé auprès du MPS dans un délai de 60 jours à compter du premier transfert, pl…
Délai de réponse aux demandesAccuser réception dans un délai de 2 jours ouvrables
Amende maximaleJusqu’à 5% du chiffre d’affaires de l’exercice précédent pour les violations transfrontalières, 10 fois le chiffre d’affaires pour le commerce illicite de donn…
43%
of Vietnam's 21 requirements are already met by European Union (GDPR). Here is what PDPL adds, biggest gaps first.
Base légalePortée et base légaleBig gap
GDPR1 Six lawful bases, including consent, contract, legal obligation, vital interests, public task and legitimate interests.
PDPL adds3 Consent is the default basis; the Law adds listed exceptions such as contract performance, legal obligations and protecting legitimate rights.
Art. 9 (exceptions in later articles) · source ↗
LocalisationTransfertsBig gap
GDPR– Not addressed
PDPL adds2 Certain domestic and foreign service providers must store specified user data in Vietnam under cybersecurity rules.
Cybersecurity Law 2018 Art. 26; Decree 53/2022 · source ↗
Portée extraterritorialePortée et base légaleGap
GDPR2 Applies to non-EU controllers offering goods or services to, or monitoring the behavior of, people in the EU.
PDPL adds3 Applies to foreign entities in Vietnam and to foreign entities directly processing data of Vietnamese citizens and residents in Vietnam.
Art. 1(2) · source ↗
ConsentementPortée et base légaleGap
GDPR2 Consent must be freely given, specific, informed and unambiguous by clear affirmative action, and the controller must be able to demonstrate it.
PDPL adds3 Consent must be voluntary, informed, per purpose and provable in writing or verifiable form; silence, defaults and pre-ticked boxes are invalid.
Art. 9; Decree 356 Art. 6 · source ↗
Délai de réponse aux demandesDroits des personnesGap
GDPR2 Respond within one month, extendable by two further months for complex or numerous requests.
PDPL adds3 Acknowledge within 2 working days; access or correction within 10 days, restriction or objection 15 days, deletion 20 days (longer if processors involved).
Decree 356 Art. 5 · source ↗
DPO requisGouvernanceGap
GDPR1 DPO required for public bodies, large-scale systematic monitoring, or large-scale special-category or criminal data processing.
PDPL adds2 Must appoint qualified data protection personnel or department, or hire a service provider.
Art. 33(1)-(2) · source ↗
Qualifications du DPOGouvernanceGap
GDPR1 DPO chosen for professional qualities, especially expert knowledge of data protection law and practice; no certification required.
PDPL adds2 College degree or higher, at least 2 years relevant experience, and training in personal data protection law and skills.
Decree 356 Art. 13(2) · source ↗
EnregistrementGouvernanceGap
GDPR0 No general registration; controllers communicate DPO contact details to the supervisory authority.
PDPL adds1 No controller registration; impact assessment dossiers are filed with the Ministry of Public Security instead.
Arts. 21-22 · source ↗
DPIAGouvernanceGap
GDPR2 DPIA required before processing likely to result in high risk; prior consultation if residual high risk remains.
PDPL adds3 Impact assessment dossier must be filed with the A05 department within 60 days of starting processing and updated every 6 months.
Arts. 21-22 · source ↗
ConservationGouvernanceGap
GDPR1 Storage limitation: keep identifiable data no longer than necessary; erase when no longer needed.
PDPL adds2 Delete when purpose is complete, retention period ends, ordered by authorities, or on request.
Art. 14 · source ↗
Transferts à l’étrangerTransfertsGap
GDPR2 Transfers outside the EEA need an adequacy decision or appropriate safeguards (SCCs, BCRs), or a listed derogation.
PDPL adds3 Transfer impact assessment dossier must be filed with MPS within 60 days of first transfer, plus a written agreement with the recipient.
Art. 20 · source ↗
Responsabilité pénaleApplicationGap
GDPR1 Member States set other penalties, including criminal penalties, for infringements not subject to administrative fines.
PDPL adds2 Violations may be criminally prosecuted depending on severity under the Penal Code.
Art. 8(1); Penal Code Art. 288 · source ↗
Already covered by GDPR: Sensitive data, Children, Rights, Marketing, Records, Tell the regulator, Tell people, Maximum fine, Private action.
A gap means PDPL is more demanding than GDPR on that requirement, on our 0 to 3 scale (how we score). Read the cited section before acting. Not legal advice.
Bibliothèque des réglementations
Toutes les lois des États américains sur la vie privée, sur une seule carte
24 États disposent d’une loi générale sur la vie privée dans la bibliothèque, aux côtés des lois de l’UE, du Royaume-Uni, des lois fédérales américaines et des lois du reste du monde : 102 au total, chacune expliquée en termes simples avec ses sources. Sélectionnez un État pour voir ce qui s’y applique.
- En vigueur
- Entrée en vigueur prochaine
- Lois sectorielles