PDP Law

これらの原則は、プライバシー・コンプライアンスを組織のより広範なデータガバナンスおよびセキュリティのプログラムに組み込むべきであることを意味します。

ベトナムの法律における個人データとは何ですか？

ベトナムの個人データ保護法は、個人データを、特定の個人を識別し、または識別するのに役立つ電子的なデータもしくはその他の形式の情報として広く定義しています。

この枠組みでは、次の区分が設けられています。

したがって組織は、取り扱う個人データの種類と、それが特別に保護されるカテゴリーに該当するかどうかの双方を明らかにするデータ台帳を整備する必要があります。

個人データを取り扱うための法的根拠

ベトナムの現行法において、同意はすべての取扱い活動に一律に求められる要件ではありません。

同法は同意を、法律に別段の定めがある場合を除き、個人データ主体が自らの個人データの取扱いを許可することと定義しています。

したがって組織は、次の事項を判断する必要があります。

1. 1どのような個人データを取り扱っているか
2. 2なぜそのデータを取り扱うのか
3. 3どの法的根拠が当該取扱いを認めているか
4. 4同意が必要かどうか
5. 5どのような通知を提供しなければならないか
6. 6どのような安全管理措置が適用されるか
7. 7ならびに、影響評価その他の文書が必要かどうか

これは、ベトナムの枠組みを単にすべての取扱いに同意を求めるものとして説明することからの重要な変更点です。

同意の要件

同意が適用される法的根拠である場合、事業者は、同意の仕組みが明確で、証明可能であり、適切に記録されるように設計する必要があります。

現行の枠組みでは、次のとおりです。

• 同意とは、データ主体が取扱いについて与える許可である。
• 同意が必要となる場面は、適用される法的要件によって定まる。
• 組織は、取扱いの根拠を示せるようにしておく必要がある。
• 必要な場合、同意は適切かつ再現可能な仕組みを通じて取得されるべきである。
• ならびに、組織は、取扱い活動を裏付ける証跡を保持すべきである。

Decree 356/2025/ND-CP は、書面による同意、録音された通話、SMS、電子メール、ウェブサイト、プラットフォーム、アプリケーション、その他再現または検証が可能な方法を認めています。

同意はプライバシーガバナンスの代わりにはならない

同意バナーだけでは、完全なコンプライアンスは成立しません。

事業者は、同意管理を次の事項と結び付ける必要があります。

• プライバシー通知。
• データ台帳。
• 取扱いの記録。
• データ主体の権利行使のワークフロー。
• 保存ポリシー。
• セキュリティ管理。
• ベンダー管理。
• 国境を越えた移転の管理。
• ならびに、該当する場合の影響評価の文書。

プライバシー通知と透明性

組織は、個人データの取扱いについて、個人に適切な情報を提供する必要があります。

実務的なプライバシー通知では、関連する場合に次の事項を説明すべきです。

• どのような個人データを収集するか。
• 取扱いの目的。
• データをどのように利用するか。
• 適用される法的根拠。
• 関連する提供先または提供先のカテゴリー。
• データの保存に関する考え方。
• 国際移転または国境を越えた移転。
• 個人の権利。
• 個人が権利を行使する方法。
• プライバシーに関する請求の連絡先。
• ならびに、適用される法令が求めるその他の情報。

ウェブサイトやアプリケーションについては、Cookie、分析、広告技術、トラッキング技術その他のオンライン識別子が個人データに関わる場合、透明性はこれらにも及ぶべきです。

データ主体の権利

ベトナムの個人データ保護法は、個人データ主体に権利を認めるとともに、個人データを取り扱う組織に対応する責任を課しています。

組織は、状況に応じて、次の事項に関する請求に対応できるよう備える必要があります。

• 個人データへのアクセス。
• 不正確なデータの訂正または更新。
• 同意に依拠して取り扱う場合の同意の撤回。
• 法的に該当する場合の削除。
• 該当する場合の取扱いの制限。
• 異議申立てその他同法が認める権利。
• ならびに、個人データ保護法およびその施行規定が定めるその他の権利。

組織は、データ主体からの請求を受け付け、本人確認を行い、進捗を管理し、適用される法定期間内に対応するための社内ワークフローを整備する必要があります。

子どもの個人データ

子どもに関する個人データの取扱いには、ベトナムの個人データ保護の枠組みにおいて追加の保護措置が求められます。

子ども向けにサービスを提供する事業者や、子どもの個人データを取り扱っていることを認識している事業者は、次の事項を評価する必要があります。

• 年齢に関する要件。
• 同意の要件。
• 必要な場合の親または法定代理人の関与。
• 適切なプライバシー通知。
• データ最小化。
• 安全管理措置。
• ならびに、保存および削除の要件。

子どもを対象とするサービスでは、これらの要件を後付けの対応とするのではなく、製品設計に組み込むべきです。

センシティブな個人データ

センシティブな個人データは、ベトナムの枠組みにおいてより手厚い保護を受けます。

センシティブな個人データを取り扱う事業者は、該当するカテゴリーを特定し、次の事項について追加の義務が適用されるかどうかを評価する必要があります。

• 法的根拠。
• 透明性。
• セキュリティ。
• ガバナンス。
• 影響評価。
• アクセス制御。
• 保存。
• データの移転。
• ならびに、インシデント管理。

プライバシー・プログラムでは、センシティブな個人データがどこで収集、取扱い、保存または移転されているかを明確に示す台帳を維持すべきです。

個人データ取扱いの影響評価

ベトナムの現行の枠組みには、指定された取扱い活動についての影響評価の要件が含まれています。

組織は、自らの取扱いに個人データ取扱影響評価書類が必要かどうかを評価し、求められる文書を適用されるルールに従って作成・維持し、提出することを確保する必要があります。

効果的な評価では、次の事項を考慮すべきです。

• 個人データのカテゴリー。
• 取扱いの目的。
• 取扱いの方法。
• データ主体に対するリスク。
• 安全管理措置。
• 保存。
• データ共有の取決め。
• 処理者および第三者。
• 国境を越えた取扱い。
• ならびに、特定されたリスクを低減するために用いる措置。

国境を越えたデータ移転

国境を越えた取扱いは、ベトナムの現行法における重要なコンプライアンス領域です。

Decree 356/2025/ND-CP は、ベトナム国内で収集または保存された個人データを海外のインフラ、外国のクラウドサービスまたは海外の受領者を通じて移動させ、もしくは取り扱う場合を含め、国境を越えた移転活動を広く定義しています。

次のようなものを利用している事業者は、

• 国際的なクラウドプロバイダー。
• グローバルな CRM システム。
• 海外の分析プラットフォーム。
• 国際的な広告プラットフォーム。
• 外国の SaaS アプリケーション。
• グローバルなカスタマーサポートツール。
• または、海外のデータ処理ベンダー

自らの活動が規制対象となる国境を越えた取扱いに該当するかどうかを評価する必要があります。

状況によっては、組織は国境を越えた個人データ移転影響評価書類を作成・維持し、または適用される他の法定の仕組みを遵守する必要が生じることがあります。

データセキュリティの要件

個人データを取り扱う組織は、適切な組織的、技術的および人的な安全管理措置を講じる必要があります。

セキュリティ対策には、次のようなものが含まれます。

• アクセス制御。
• 認証。
• 適切な場合の暗号化。
• ネットワークおよびアプリケーションのセキュリティ。
• ログの取得と監視。
• 脆弱性管理。
• バックアップと復旧。
• 従業員への研修。
• ベンダーのセキュリティ管理。
• インシデント対応手順。
• ならびに、データ最小化と保存の管理。

セキュリティは、取り扱うデータの性質とそれに伴うリスクに見合ったものであるべきです。

個人データ違反の通知

ベトナムの現行の個人データ保護法は、組織が違反を発見した後の要件に該当する個人データ違反についての 72時間の通知義務を定めています。

この要件は、法定の条件に従い、国防または安全保障、社会秩序および安全、生命または健康、名誉および尊厳、あるいは財産といった事項に損害を与えるおそれのある、要件に該当する違反に適用されます。

したがって組織は、次のことができるインシデント対応プロセスを維持する必要があります。

1. 1違反の可能性を検知する
2. 2インシデントを評価する
3. 3法定の基準に該当するかどうかを判断する
4. 4インシデントを社内でエスカレーションする
5. 5必要な通知を準備する
6. 6対応を記録する
7. 7ならびに、是正措置を講じる

プライバシー・インシデントの管理プロセスは、組織のより広範なサイバーセキュリティのインシデント対応プログラムと連携させるべきです。

管理者と処理者

事業者は、個人データを取り扱う際の自らの役割を明確に定める必要があります。

活動の内容に応じて、組織は次のいずれかとして行動することがあります。

• 個人データの管理者。
• 個人データの処理者。
• 管理と取扱いの双方の機能を担う当事者。
• または、取扱いの連鎖に関与するその他の規制対象の参加者。

処理者やベンダーとの契約では、次の事項を明確に定めるべきです。

• 取扱いの目的。
• データのカテゴリー。
• セキュリティに関する義務。
• 秘密保持。
• 再委託。
• データの保存。
• データの削除または返還。
• インシデントの通知。
• データ主体からの請求への対応支援。
• ならびに、国境を越えた取扱いに関する責任。

データの保存と削除

ベトナムの枠組みは、他の法律に別段の定めがある場合を除き、個人データを取扱いの目的に応じた適切な期間にわたり保存することを求めています。

したがって組織は、次の対象を網羅する文書化された保存スケジュールを整備する必要があります。

• 顧客情報。
• 従業員データ。
• マーケティングのデータベース。
• アカウント情報。
• 同意の記録。
• Cookie およびトラッキングのデータ。
• サポートの記録。
• データ主体からの請求。
• セキュリティログ。
• ならびに、ベンダーが保有する個人データ。

技術的に保存コストが低いという理由だけで、保存を無期限に継続すべきではありません。

Cookie とオンライントラッキング

ベトナムでウェブサイトを運営する事業者は、個人データのコンプライアンス・プログラムの一環として、Cookie とトラッキング技術を評価する必要があります。

これには次のものが含まれます。

• 分析用の Cookie。
• 広告用の Cookie。
• リターゲティング技術。
• ソーシャルメディアのピクセル。
• コンバージョントラッキング。
• セッション関連の技術。
• デバイス識別子。
• SDK。
• ならびに、個人を識別し、または個人に関連し得る情報を収集するその他の技術。

同意の要否は、適用される法的根拠と状況によって異なります。組織は、すべての Cookie に同意が必要であると想定すべきではありませんが、適切な法的根拠と安全管理措置を確立しないまま個人データの取扱いを行うことも避けるべきです。

ConsentX は、次の方法で事業者がこのプロセスを実務に落とし込むことを支援できます。

• ウェブサイトをスキャンして Cookie とトラッカーを検出する。
• トラッキング技術を分類する。
• 該当する許可を得る前に、選択した技術をブロックする。
• 同意の選択を記録する。
• 地域ごとの同意体験を管理する。
• ならびに、監査可能な同意の証跡を維持する。

ダイレクトマーケティングと広告

マーケティング活動は個人データを伴うことが多いため、組織のプライバシー・コンプライアンス・プログラムに組み込むべきです。

事業者は、次の事項を評価する必要があります。

• マーケティングデータの取得元。
• 取扱いの法的根拠。
• 同意が必要かどうか。
• マーケティングに関する設定をどのように記録するか。
• オプトアウトおよび撤回の仕組み。
• 第三者の広告プラットフォーム。
• データの共有。
• プロファイリング。
• 保存。
• ならびに、国際移転。

同意が必要な場合、マーケティングに関する同意は、関連のない条項から明確に分離すべきです。

自動処理、プロファイリングおよび AI

AI、自動化された意思決定、プロファイリングまたは行動分析を利用する事業者は、これらの活動が個人データを伴うかどうか、また追加の要件が適用されるかどうかを評価する必要があります。

プライバシーの評価では、次の事項を考慮すべきです。

• システムにどのようなデータを提供するか。
• 取扱いの目的。
• センシティブな個人データが関わるかどうか。
• データが海外の提供者に移転されるかどうか。
• 決定が個人に重大な影響を及ぼすかどうか。
• 個人が適切な情報を受け取っているかどうか。
• セキュリティおよびアクセス制御。
• 保存。
• ベンダーによる取扱い。
• ならびに、適切な場合の人による監督。

組織は、より広範な個人データガバナンス・プログラムの一環として、AI および自動処理のユースケースを文書化すべきです。

小規模事業者とスタートアップ

ベトナムの個人データ保護法には、一定の小規模企業およびスタートアップに関する経過的なコンプライアンス規定が設けられています。

同法に基づき、対象となる小規模企業およびスタートアップは、法定の例外を条件として、同法の施行日から 5年間、一定の規定を実施するかどうかを選択できます。ただし、事業者が個人データの取扱いサービスを提供する場合、センシティブな個人データを直接取り扱う場合、または多数のデータ主体に関する個人データを取り扱う場合には、原則としてこの適用除外は認められません。

Decree 356/2025/ND-CP は、関連するしきい値と適用除外について追加の詳細を定めています。

したがって事業者は、すべてのスタートアップや小規模事業者がベトナムのプライバシー要件から自動的に除外されると想定するのではなく、自らが対象となるかどうかを判断する必要があります。

Decree 13/2023 からの移行

ベトナムのプライバシーの枠組みは、2026年1月1日に大きく変わりました。

新しい個人データ保護法は、新法の施行前に Decree 13/2023/ND-CP に基づく同意または合意のもとですでに行われていた一定の取扱い活動について、経過的な取扱いを明示的に定めています。過去に提出された一定の影響評価書類についても、経過規定に基づき引き続き有効とされる場合があります。

同時に、Decree 356/2025/ND-CP は、Decree 13/2023/ND-CP が 2026年1月1日をもって効力を失う旨を定めています。

したがって事業者は、旧 Decree 13 制度向けに作成されたガイダンスのみに依拠し続けるのではなく、自らのコンプライアンス・プログラムを更新する必要があります。

ベトナム個人データ保護法 — 主なコンプライアンス・チェックリスト

このチェックリストを使って、組織のベトナム向けプライバシー・プログラムを確認しましょう。

• 収集・取扱いを行っている個人データを特定する
• 基本的個人データとセンシティブな個人データを分類する
• 取扱いの目的を整理する
• 適用される法的根拠を特定する
• 同意が必要な場合、同意の仕組みを見直す
• 同意の証跡を維持する
• プライバシー通知を更新する
• データ主体からの請求への対応手順を整備する
• 適切な安全管理措置を実施する
• データの保存期間を見直す
• 処理者および第三者を特定する
• 国際移転および国境を越えた移転を見直す
• 影響評価の要否を評価する
• 違反対応の手順を整備する
• 該当する 72時間の通知に備える
• マーケティングおよび広告の技術を見直す
• Cookie とウェブサイトのトラッカーをスキャンする
• 該当する許可より前に、選択した必須ではない技術をブロックする
• プライバシー管理を定期的に見直し、更新する

デジタル事業にとってベトナムのプライバシー・コンプライアンスが重要な理由

ベトナムでウェブサイト、アプリおよびデジタルプラットフォームを運営する組織にとって、個人データのコンプライアンスには、プライバシー、セキュリティ、法務、マーケティング、テクノロジーの各チームの連携がますます求められています。

したがって、現代的なコンプライアンス・プログラムは次の要素を組み合わせるべきです。

法的根拠 + 透明性 + 同意管理 + データガバナンス + セキュリティ + 権利対応 + 移転の管理 + 監査証跡。

ConsentX は同意管理とウェブサイトのプライバシーの層を支援でき、組織はベトナムの枠組みが求めるより広範な法務および組織面の管理を維持します。

個人データ保護法はベトナムの法制度の枠内で適用されるとともに、対象となる個人データの取扱いに関与する一定の外国の組織および個人に影響を及ぼす規定も含んでいます。

その他のプライバシー規制

国際的に事業を行う場合、次の規制についても評価が必要となることがあります。

• GDPR — 欧州連合
• UK GDPR — イギリス
• CCPA/CPRA — カリフォルニア州
• LGPD — ブラジル
• PIPEDA — カナダ
• DPDP Act — インド
• PDPA — シンガポール
• PDPA — タイ
• POPIA — 南アフリカ
• FADP — スイス
• Law 25 — カナダ・ケベック州
• LFPDPPP — メキシコ
• PDPL — アルゼンチン
• Law 21.719 — チリ
• Law 1581 — コロンビア
• Law 29733 — ペルー
• Law 18.331 — ウルグアイ

適用される要件は、組織、取扱い活動、関係する個人および法域によって異なります。