Le gouvernement a promulgué le décret n°333/2026/ND-CP détaillant les mesures d’application de la Loi sur la cybersécurité, notamment des exigences notables concernant les activités de garantie de la sécurité de l’information menées par les entreprises nationales et étrangères opérant dans le cyberespace au Vietnam.

Publié le 19 août, le décret comprend six chapitres et 32 articles portant sur les mesures de protection en matière de cybersécurité, la garantie de la sécurité de l’information, la formation spécialisée en cybersécurité ainsi que la gestion de l’identification des adresses IP pour les fournisseurs de services de télécommunications et d’accès à Internet.

  Photo d'illustration: VNA  

 Conformément à l’article 16, les entreprises nationales et étrangères fournissant des services sur les réseaux de télécommunications, Internet et des services à valeur ajoutée basés dans le cyberespace au Vietnam sont tenues de mener des activités garantissant la sécurité de l’information, en conformité avec ledit article et les autres réglementations pertinentes du droit vietnamien.

Les entreprises doivent vérifier les informations des utilisateurs lors de l’enregistrement de comptes numériques et authentifier ces comptes utilisant un numéro de téléphone mobile au Vietnam. Les utilisateurs ne disposant pas d’un tel numéro doivent utiliser leur numéro d’identification personnel ou tout autre moyen d’identification électronique légal.

Les utilisateurs effectuant des diffusions en direct à des fins commerciales doivent authentifier leur compte utilisant leur numéro d’identification personnel. Les entreprises doivent également mettre en œuvre les mesures administratives et techniques nécessaires pour protéger les informations et les comptes des utilisateurs, et n’autoriser que les comptes vérifiés à publier du contenu, à partager des informations et à utiliser les fonctionnalités interactives.

En matière de communication d’informations pour la protection de la cybersécurité, les entreprises sont tenues de transmettre des informations sur les utilisateurs aux services spécialisés en cybersécurité relevant du ministère de la Sécurité publique, sur demande dûment justifiée et formulée conformément à la législation vietnamienne, aux fins de vérification, d’enquête et de traitement des infractions à la loi.

Ces informations doivent généralement être communiquées dans les 24 heures suivant la réception d’une demande. Ce délai est ramené à trois heures en cas d’urgence impliquant une menace pour la sécurité nationale ou la vie humaine.

Les entreprises doivent également restreindre l’accès aux informations, services et applications illégaux au Vietnam, ou les supprimer, à la demande des forces spécialisées en cybersécurité. Ces exigences doivent être remplies dans un délai de 24 heures, ou de six heures en cas d’urgence menaçant la sécurité nationale.

En cas de violations répétées, les comptes, pages, groupes communautaires et chaînes de contenu peuvent faire l’objet de restrictions de visibilité au Vietnam ou d’une suspension temporaire. Les comptes publiant des informations illégales à au moins trois reprises sur une période de 30 jours peuvent être soumis à des restrictions ou suspendus pour une durée allant jusqu’à 60 jours, tandis que ceux publiant de telles informations à au moins 10 reprises sur une période de 90 jours peuvent faire l’objet de restrictions ou d’une suspension pouvant aller jusqu’à 180 jours, selon la nature et la gravité des violations.

Des restrictions à durée indéterminée ou un blocage de compte peuvent s’appliquer aux comptes, pages, groupes communautaires et chaînes de contenu utilisés pour diffuser des informations portant atteinte à la sécurité nationale du Vietnam, pour poursuivre des violations après avoir été temporairement bloqués au moins trois fois, ou servant par ailleurs d’outils pour des violations en matière de cybersécurité lorsque le blocage définitif est jugé nécessaire.

Un compte bloqué pour une durée indéterminée peut être rétabli si les motifs de cette mesure n’existent plus, si une erreur a été commise lors de la vérification ou du traitement, si de nouvelles circonstances apparaissent ou si les autorités compétentes déterminent que le compte n’est pas utilisé pour des violations liées à la cybersécurité.

Le décret prévoit également la suspension ou la cessation des services pour les organisations et les particuliers publiant des informations visées par des dispositions spécifiques de la Loi sur la cybersécurité, à la demande des forces spécialisées en cybersécurité.

Les entreprises doivent également conserver et gérer les journaux système aux fins de la gestion étatique, de la garantie de la sécurité de l’information et du traitement des infractions légales. Ces journaux doivent inclure, au minimum, les informations relatives aux comptes utilisateurs, les heures de connexion et de déconnexion, les adresses IP, les ports sources ainsi que les enregistrements du traitement des informations publiées, et doivent être conservés sous une forme exploitable pendant une durée minimale de 12 mois.

Le décret est entré en vigueur le 19 août 2026. – VNA/VI