Actualités

Transfert des données RH hors du Vietnam : EOR, PEO, paie

Par Nguyễn Quốc Trung — Directeur général adjoint · Mis à jour 2026-09-23

Lorsque les données des salariés au Vietnam — paie, pointage, dossiers du personnel — sont envoyées ou mises à disposition d'une entreprise à l'étranger, il s'agit d'un transfert transfrontalier de données personnelles au sens de l'article 20, paragraphe 1, de la loi sur la protection des données personnelles n° 91/2025/QH15. La partie qui transfère doit établir un dossier d'analyse d'impact et le déposer auprès de l'autorité spécialisée en protection des données personnelles relevant du ministère de la Sécurité publique dans les 60 jours suivant le premier transfert, sauf exemption. Avec l'EOR, le PEO et la paie externalisée, la question décisive est qui est la partie qui transfère : le prestataire, ou votre propre entreprise.

Cet article s'adresse aux entreprises étrangères qui emploient du personnel au Vietnam via un prestataire, et aux filiales vietnamiennes qui remontent des données RH à leur groupe. Chaque disposition citée provient du texte original de la loi 91/2025/QH15 et du décret 356/2025/NĐ-CP, tous deux en vigueur depuis le 1er janvier 2026.

Quand les données RH sont-elles considérées comme transférées hors du Vietnam ?

La loi 91/2025/QH15 considère trois activités comme des transferts transfrontaliers de données personnelles, et toutes trois sont courantes dès que la gestion RH comporte un élément étranger :

• Stockage à l'étranger : des données conservées au Vietnam sont déplacées vers un système situé hors du pays, par exemple une plateforme RH commune au groupe.
• Envoi à une organisation étrangère : une organisation au Vietnam transmet des données à une organisation ou une personne à l'étranger, par exemple un état de paie détaillé envoyé à un client ou à la maison mère.
• Traitement sur une plateforme étrangère : une plateforme située hors du Vietnam traite des données collectées au Vietnam, par exemple un logiciel de paie hébergé à l'étranger.

L'article 17 du décret 356/2025/NĐ-CP reprend ces trois cas et précise qu'ils s'appliquent à tous les rôles — responsable du traitement, sous-traitant et tiers. Autrement dit, un prestataire qui envoie des données à l'étranger à la demande d'un client effectue lui-même un transfert transfrontalier.

Si un client étranger se contente de consulter un portail, est-ce encore un transfert ?

La lecture prudente est oui. La loi ne prévoit aucune exception pour la « simple consultation », et l'article 2, paragraphe 6, de la loi 91/2025/QH15 range la « fourniture » de données parmi les activités de traitement. Quand une personne à l'étranger ouvre un écran de paie, les données parviennent à son appareil : elles peuvent donc être considérées comme fournies à une organisation étrangère.

Cela ne retire pas son intérêt à l'approche « consultation seule » — bien au contraire. Le dossier d'analyse d'impact doit décrire les mesures de sécurité des données après le transfert, ainsi que la procédure par laquelle le destinataire transmet des données à des tiers (article 18, paragraphe 3, du décret 356/2025/NĐ-CP). Lorsque le client ne peut que consulter les données dans le système de la partie qui transfère, il y a moins de copies, moins de points de fuite, et la partie qui transfère peut démontrer qu'elle garde la maîtrise des données de bout en bout. La consultation seule ne supprime pas l'obligation, mais c'est la manière la plus solide de la remplir.

Qui dépose le dossier en EOR, en PEO ou en paie externalisée ?

Le dossier est déposé par la partie qui effectue le transfert vers l'étranger, et cela dépend de qui est l'employeur. En EOR, le prestataire est l'employeur et la partie qui met les données à disposition du client étranger : c'est donc lui qui dépose. En PEO et en paie externalisée, votre entité vietnamienne est l'employeur ; lorsqu'elle partage des données avec la maison mère, l'obligation lui incombe.

Le partage des rôles le plus net en PEO et en paie : le prestataire remet les rapports à votre entité vietnamienne, et leur transmission au groupe relève de la décision — et du dossier — de l'employeur. Si vous demandez au prestataire d'envoyer directement à la maison mère, il devient lui aussi une partie qui transfère et doit figurer dans le dossier. La différence complète entre les deux modèles est détaillée dans EOR ou PEO au Vietnam.

Les transferts vers une maison mère sont-ils dispensés d'analyse d'impact ?

Ils peuvent l'être, si le transfert sert à la gestion transfrontalière du personnel conformément au règlement intérieur, aux règlements de travail et à la convention collective. Il s'agit d'une nouvelle exemption prévue à l'article 17, paragraphe 3, point d, du décret 356/2025/NĐ-CP, pensée pour les groupes qui gèrent du personnel dans plusieurs pays.

La condition figure dans le texte même : le partage doit se faire conformément au règlement intérieur, aux règlements de travail et à la convention collective de l'employeur. Une entreprise qui n'a pas inscrit le reporting RH vers le groupe dans ces documents aura du mal à invoquer l'exemption. La loi prévoit une autre exemption, mais de portée étroite : une organisation qui stocke les données de ses propres salariés sur un service d'informatique en nuage (article 20, paragraphe 6, point b, de la loi 91/2025/QH15). Elle ne couvre que le stockage ; envoyer ou partager ces mêmes données avec une maison mère à l'étranger reste un transfert soumis au dossier.

Pourquoi l'EOR peut-il difficilement s'appuyer sur l'exemption de gestion du personnel ?

En EOR, le client étranger n'est pas l'employeur : il ne signe aucun contrat de travail, n'édicte aucun règlement intérieur et n'appartient pas au même groupe que le prestataire. Les données passent de l'employeur à une entité juridique distincte à l'étranger — exactement le cas du « transfert à une organisation étrangère » que l'exemption de gestion du personnel ne vise pas. Aucune instruction ne tranche encore ce point ; la voie prudente consiste donc à le traiter comme un transfert transfrontalier ordinaire et à déposer le dossier.

Être dispensé du dossier ne signifie pas être dispensé de la loi. Toutes les autres obligations demeurent : une base légale de traitement, la sécurité, un contrat qui engage le destinataire, et la suppression des données du salarié à la fin du contrat de travail, sauf accord ou disposition légale contraire (article 25, paragraphe 2, de la loi 91/2025/QH15). Par ailleurs, l'analyse d'impact du traitement des données personnelles est un dossier distinct, que le responsable du traitement doit déposer dans les 60 jours suivant le premier traitement (article 21 de la loi 91/2025/QH15) : être dispensé du dossier de transfert ne dispense pas de celui-ci.

Que doit imposer le contrat avec un client étranger ?

Le contrat doit imposer au destinataire étranger des responsabilités précises, car une copie de ce contrat est une pièce obligatoire du dossier d'analyse d'impact (article 18, paragraphe 2, point b, du décret 356/2025/NĐ-CP). Le principe à retenir : le client ne peut que consulter les données pour diriger le travail, et toute autre activité de traitement est exclue :

• Consultation seule, pour la finalité prévue : pointage, paie et dossiers, dans la mesure nécessaire pour confier et réceptionner le travail.
• Pas de collecte ni de stockage propres : aucune copie des données personnelles dans les systèmes du client.
• Pas d'analyse ni d'agrégation à d'autres fins : aucun profil distinct constitué sur les salariés.
• Pas de modification : toute correction passe par l'employeur.
• Pas de communication ni de transfert ultérieur : rien n'est transmis à des filiales, partenaires ou tiers.
• Signalement des incidents et retrait des accès : signalement immédiat si un compte de consultation est compromis ; comptes fermés et copies supprimées à la fin du contrat de service.

Cette liste reprend les activités que l'article 2, paragraphe 6, de la loi 91/2025/QH15 définit comme « traitement de données personnelles » : collecter, analyser, agréger, modifier, fournir, transférer. Exclure chacune d'elles du périmètre du client, c'est ce qui donne une assise juridique à une clause « consultation seule, aucun traitement », au lieu d'une simple promesse. Lors de la sélection d'un prestataire, demandez si cette clause est prête — la liste complète des questions figure dans comment choisir un Employer of Record au Vietnam.

Quelles données RH sont « sensibles » selon le décret 356 ?

Selon l'article 4 du décret 356/2025/NĐ-CP, les quatre catégories de données RH sensibles les plus fréquentes sont les images de la carte d'identité, la localisation déterminée par un service de géolocalisation, les données biométriques et l'état de santé. En revanche, le numéro d'identité et le numéro de téléphone ne sont que des données de base (article 3).

Cette frontière détermine ce qui doit partir à l'étranger :

• Images de la carte d'identité dans les dossiers de recrutement : un client étranger n'en a pas besoin pour diriger le travail.
• Données de localisation des applications de pointage : les heures d'arrivée et de départ suffisent, les coordonnées sont inutiles.
• Empreintes et données faciales des terminaux de pointage : les données biométriques doivent rester dans le système d'origine.
• Certificats médicaux et arrêts maladie : n'envoyer que ce dont le travail a besoin, par exemple le nombre de jours d'absence, jamais le dossier médical.

Règle générale : envoyer des rapports agrégés ou désidentifiés chaque fois que possible. Les données désidentifiées sont des données qui ne permettent pas d'identifier une personne précise, ni d'aider à l'identifier (article 2, paragraphe 11, de la loi 91/2025/QH15). Attention aux petits effectifs : un récapitulatif de paie « par service » pour un service d'une seule personne reste la donnée de cette personne.

Quels sont les risques en cas de non-conformité ?

L'amende maximale pour une organisation qui enfreint les règles de transfert transfrontalier est de 5 % de son chiffre d'affaires de l'année précédente ; s'il n'y a pas de chiffre d'affaires l'année précédente, ou si 5 % représentent moins de 3 milliards de VND, le maximum est de 3 milliards de VND (article 8, paragraphes 4 et 5, de la loi 91/2025/QH15).

Au-delà de l'amende, trois échéances de procédure comptent :

• 60 jours : délai de dépôt du dossier, à compter du premier jour de transfert à l'étranger (article 20, paragraphe 2, de la loi 91/2025/QH15).
• Établi une fois, toujours disponible : le dossier est établi une seule fois pour toute la durée d'activité, mais doit rester disponible pour les contrôles de l'autorité.
• 6 mois : mise à jour périodique lorsqu'une nouvelle finalité apparaît ou qu'un responsable, un sous-traitant ou un tiers change (article 20 du décret 356/2025/NĐ-CP).

La mise à jour semestrielle pèse particulièrement en EOR : chaque nouveau client étranger est un nouveau destinataire de données. Au moment de choisir un prestataire, vous êtes en droit de demander directement si son dossier d'analyse d'impact a été déposé, et si le flux de données vers votre entreprise y a été ajouté.

Comment Nhan Kiet traite-t-il les données des clients étrangers ?

Nhan Kiet sépare les rôles selon le modèle. En EOR, Nhan Kiet est l'employeur et la partie qui transfère : l'obligation d'analyse d'impact lui incombe et n'est pas reportée sur le client ; le client étranger signe les engagements de destinataire sur le principe « consultation seule, aucun traitement ». En PEO et en paie externalisée, Nhan Kiet agit en sous-traitant sous contrat et remet les rapports à l'entité vietnamienne du client.

Ce partage indique à chaque client exactement quelle est sa part. Avec les services EOR au Vietnam, vous signez les engagements de destinataire. Avec la paie externalisée ou le PEO, le partage ultérieur avec votre groupe relève des règlements de travail et du dossier de votre propre entreprise.

Nhan Kiet Manpower Supply Company Limited (code fiscal 0308022768) a été fondée en avril 2009 et entre dans sa 17e année. Elle opère sous la licence de mise à disposition de main-d'œuvre n° 15/2019/SHCM, est certifiée ISO 9001:2015, ISO 45001 et ISO 14001, et gère plus de 40 000 travailleurs pour plus de 500 clients dans 34 provinces et villes.

Sources

• Loi sur la protection des données personnelles n° 91/2025/QH15 — articles 2, 8, 20, 25 ; en vigueur au 1er janvier 2026
• Décret 356/2025/NĐ-CP — articles 3, 4, 17, 18, 20 ; en vigueur au 1er janvier 2026, remplace le décret 13/2023/NĐ-CP

Cet article résume la réglementation pour orienter les entreprises ; chaque situation particulière appelle un conseil individuel.

Nous contacter

Les entreprises qui doivent organiser les flux de données RH vers l'étranger dans le cadre d'un EOR, d'un PEO ou d'une paie externalisée peuvent contacter :

• Nguyen Quoc Trung — Directeur général adjoint
• Téléphone : 0908 636 108 — [email protected]
• Standard : 028 3505 4224
• Siège : Bureau 202, Immeuble 57, 57 Le Thi Hong Gam, quartier de Ben Thanh, Hô-Chi-Minh-Ville

← Tous les articles