Hanoi (VNA) – Si les données des consommateurs sont devenues un actif crucial pour le commerce en ligne et la publicité ciblée, leur exploitation croissante multiplie les risques de détournement, de fuites et de revente illégale à des fins d’escroquerie.
La protection s’étiole à mesure que les données s’éloignent
À Hanoi, il suffit désormais qu’un consommateur télécharge une application d’e-commerce étrangère et y enregistre ses données personnelles ainsi que sa carte bancaire pour que ses informations traversent instantanément les frontières. En quelques minutes, ces données hautement sensibles sont acheminées vers le serveur de la plateforme à l’étranger, avant d’être partagées avec des vendeurs d’un pays tiers, des transporteurs et des prestataires de paiement. Parallèlement à ce flux logistique, l’application cartographie en temps réel le comportement de l’utilisateur en enregistrant précisément les produits consultés et le temps passé sur chaque page.
Quelques mois après son achat, ce consommateur vietnamien reçoit un appel frauduleux ciblant précisément l’article commandé, une mésaventure qui illustre le flou juridique entourant la responsabilité et l’indemnisation en cas de fuite de données transfrontalière.
Ce type de risque est loin d’être marginal dans le pays, où la protection des informations personnelles reste un défi majeur. Rien qu’au cours du premier trimestre 2026, plus de 6,9 millions de comptes d’utilisateurs ont ainsi été compromis au Vietnam.
« Jusqu’où la législation vietnamienne nous protège-t-elle lorsque nos données personnelles quittent le territoire national, et de quels recours disposons-nous encore pour nous défendre ? », s’interroge Nguyên Manh Tung, résidant à Hai Phong (Nord).
En tant que sujets de données, les consommateurs bénéficient pleinement des prérogatives de la Loi sur la protection des données personnelles — incluant les droits d’accès, de consentement, de rectification ou de suppression — parallèlement à leurs droits sectoriels de consommateurs. La législation exige que ces protections soient garanties de manière strictement identique, que les données soient traitées sur le territoire national ou transférées à l’étranger.
Si la majorité de ces droits ne pose pas de difficulté particulière lors des flux transfrontaliers, le droit à l’information en cas de faille de sécurité s’avère plus complexe à appliquer hors des frontières. L’hypothèse d’une cyberattaque visant un serveur étranger et compromettant les données de centaines de milliers de clients vietnamiens d’une plateforme d’e-commerce illustre parfaitement ce défi. Dans un tel scénario, l’information effective du consommateur dépend entièrement de l’activation d’une chaîne continue d’obligations légales imposant la notification directe de l’incident aux personnes concernées.
Or, à l’heure actuelle, cette obligation légale de notification ne s’applique qu’à des cas bien précis, tels que les incidents touchant aux données biométriques, aux données de géolocalisation ou aux données sensibles des secteurs de la finance, de la banque et du crédit.
En conséquence, la compromission massive d’informations courantes comme les noms, numéros de téléphone, adresses et historiques d’achats échappe encore à ce cadre réglementaire. Faute de contrainte légale, les consommateurs concernés par ces violations de données du quotidien ne disposent d’aucun droit automatique à l’information. Cette faille s’accentue considérablement lorsque la cyberattaque ou la fuite survient sur des serveurs situés à l’étranger. Dans une telle configuration transfrontalière, les usagers risquent ainsi de ne jamais être informés que leur vie privée a été exposée.
Du point de vue du consommateur, le transfert de données personnelles vers l’étranger s’opère selon trois mécanismes principaux, analyse la Dr Nguyên Ngoc Quyên, de la Faculté de droit économique de l’Université de droit de Hanoi.
Dans le premier cas, la collecte s’effectue de manière directe lors de l’utilisation d’une application ou d’un site web étranger, les informations étant alors immédiatement acheminées vers ses serveurs externes.
Le deuxième scénario implique des entreprises locales qui, après avoir recueilli les données, choisissent de les stocker hors des frontières, d’en sous-traiter le traitement ou de les partager avec une maison mère ou des partenaires internationaux.
Enfin, le troisième canal concerne le commerce en ligne transfrontalier, où les plateformes, vendeurs, transporteurs et prestataires de paiement fragmentent et conservent chacun une partie des données dans différents pays.
Le cadre juridique vietnamien encadre désormais les trois modes de transfert transfrontalier de données via ses lois sur la protection des données personnelles, des consommateurs et du commerce électronique, bien que le niveau de protection s’étiole à mesure que les données s’éloignent.
Lorsque des données sont transférées à l’étranger par une entreprise locale, les droits des consommateurs restent encadrés par de simples clauses contractuelles, sans qu’aucune évaluation de la législation du pays d’accueil ne soit effectuée. De plus, en cas de fuite ou de litige au sein d’une chaîne de sous-traitants multiples, le manque de mécanismes de contrôle conjoint et de responsabilité solidaire contraint l’utilisateur à identifier lui-même le maillon défaillant.
Selon la Dr Nguyên Ngoc Quyên, si les droits des consommateurs en matière de données sont globalement bien reconnus, il manque encore les mécanismes juridiques nécessaires pour encadrer leur transfert à l’étranger. Pour y remédier, la spécialiste préconise l’adoption de textes d’application spécifiques et une révision ciblée de la Loi sur la protection des données personnelles.
La délicate gestion des violations de données personnelles des consommateurs
Les infractions liées à l’exploitation abusive de données clients, à leur revente via des intermédiaires ou aux fuites sur les plateformes de commerce en ligne se sont multipliées ces derniers mois. Toutefois, malgré le renforcement du cadre juridique visant à protéger les consommateurs, l’application effective des sanctions face aux violations de la vie privée se heurte encore à de nombreuses difficultés sur le terrain.
La protection des consommateurs face à l’exploitation de leurs données personnelles dans l’univers numérique se heurte à des obstacles majeurs en raison de la complexité des réseaux technologiques et juridiques, alerte Hoàng Bich Thuy, représentante de la Commission nationale de la concurrence relevant du ministère de l’Industrie et du Commerce.
Le premier défi réside dans l’identification du responsable légal en cas d’infraction. Dans l’écosystème digital, le parcours des données implique une multitude d’acteurs interdépendants : entreprises de collecte, plateformes intermédiaires, hébergeurs, analystes, régies publicitaires et utilisateurs finaux. Une entité peut ainsi décider de la finalité de l’usage des données sans pour autant les stocker, tandis qu’une autre peut les archiver et les transférer sans en avoir défini l’objectif initial.
Le deuxième obstacle majeur concerne la collecte des preuves. Les transactions de données s’effectuent par le biais de systèmes électroniques, de comptes intermédiaires ou de plateformes souvent hébergées hors du territoire vietnamien, rendant les investigations particulièrement complexes.
Face à ce circuit opaque et transfrontalier, le consommateur se retrouve démuni. Il lui est extrêmement difficile de savoir qui détient réellement ses informations, de prouver que ses données ont été utilisées illégalement, de désigner le coupable ou encore de quantifier le préjudice subi.
Pour remédier à la prolifération des fuites et du commerce illégal de données personnelles, la représentante de la Commission nationale de la concurrence, préconise un renforcement drastique des contrôles et du cadre réglementaire.
Selon elle, la révision des textes de loi existants doit impérativement s’accompagner d’une plus grande capacité à démanteler les réseaux organisés de trafic de données, en particulier dans les secteurs du commerce électronique et de la publicité en ligne. La responsable insiste également sur la nécessité d’accroître la responsabilité et le niveau de conformité des entreprises et des plateformes numériques.
« Dans le contexte de l’économie numérique, un cadre juridique efficace doit reposer sur trois piliers : la prévention par le respect des obligations de conformité, des sanctions sévères et proportionnelles à la gravité des infractions, et la restauration des droits et intérêts des victimes», martèle-t-elle.
Pour la représentante ministérielle, cette triple approche constitue le seul levier capable de responsabiliser durablement les entreprises, de restaurer la confiance des consommateurs et de renforcer l’efficacité de la régulation étatique sur les activités économiques fondées sur l’exploitation des données. – VNA
