ベトナム 個人データ保護法 への対応

ベトナムの個人データ保護の枠組み

ベトナムの現行の個人データ保護の枠組みは、個人データ保護に関する法律第91/2025/QH15号、その実施を定める政令第356/2025/ND-CP号、および該当する場合のその他の規則や業種別要件に基づいています。

• 個人データ保護に関する法律第91/2025/QH15号
• 法律の実施を詳細に定める政令第356/2025/ND-CP号
• 該当する場合のその他の規則および業種別要件

本法は同意を処理の重要な法的根拠として認めていますが、同意は個人データを処理するための唯一の根拠ではありません。組織は、データの処理前に適用される法的根拠を特定し、対応する法定要件を満たす必要があります。

同意が必要とされる場合、または同意に依拠する場合、組織は同意が適切に取得され、かつ立証できる状態にあることを確保すべきです。政令356/2025/ND-CP は、書面および電子的方法を含む再現可能な同意の形式を認めています。

ベトナム法における個人データとは

ベトナムの個人データ保護法は、個人データを、特定の個人を識別し、または識別に資するデジタルデータその他の形式の情報として広く定義しています。

枠組みは基本的個人データと機微な個人データを区別しており、それぞれの詳細な分類は政府規則で定められます。

したがって組織は、処理する個人データの種類と、それが特別に保護される区分に該当するかどうかの双方を示すデータ台帳を維持すべきです。

基本的個人データ

基本的個人データは、取引や社会的関係で用いられる一般的な個人情報および背景情報のうち、政府が定める区分に含まれるものを対象とします。

適用される分類に応じて、個人を識別するため、または個人と連絡を取るために用いられる情報などが含まれ得ます。

機微な個人データ

機微な個人データとは、個人のプライバシーに関する権利に関係する個人データであり、その侵害が関係者の正当な権利利益に直接影響を与えるおそれのあるものです。

機微な個人データの詳細な分類は政府規則で定められます。

個人データ処理の法的根拠

現行のベトナム法では、同意はすべての処理活動に一律に求められる要件ではありません。

本法は同意を、法律に別段の定めがある場合を除き、個人データ主体が自らの個人データの処理を許諾することと定義しています。

したがって組織は、次の点を確認すべきです。

• どの個人データを処理するのか
• なぜそのデータを処理するのか
• どの法的根拠が処理を許容するのか
• 同意が必要かどうか
• どのような通知を提供しなければならないか
• どのような保護措置が適用されるか
• 影響評価その他の文書が必要かどうか

これは、ベトナムの枠組みを「すべての処理に同意が必要」と説明する見方からの重要な変更です。

同意の要件

同意が適用される法的根拠である場合、企業は同意取得の仕組みを明確で立証可能、かつ適切に記録される形で設計すべきです。

現行の枠組みでは次のとおりです。

• 同意は、データ主体が処理について与える許諾である
• 同意が必要となる場面は、適用される法的要件によって決まる
• 組織は処理の根拠を立証できる状態にしておくべきである
• 同意が必要な場合は、適切かつ再現可能な仕組みで取得すべきである
• 組織は処理活動を裏づける証跡を保持すべきである

政令356/2025/ND-CP は、書面による同意、録音された通話、SMS、電子メール、ウェブサイト、プラットフォーム、アプリケーション、その他再現または検証が可能な方法を認めています。

同意はプライバシーガバナンスの代わりにはならない

同意バナーだけで完全な法令遵守が成り立つわけではありません。

企業は同意管理を次の各要素と連携させるべきです。

• プライバシー通知
• データ台帳
• 処理記録
• データ主体の権利対応フロー
• 保存方針
• セキュリティ対策
• 委託先管理
• 国境を越える移転の管理
• 該当する場合の影響評価文書

プライバシー通知と透明性

組織は、個人データの処理について本人に適切な情報を提供すべきです。

実務的なプライバシー通知では、関係する範囲で次の点を説明すべきです。

• どの個人データを収集するか
• 処理の目的
• データの利用方法
• 適用される法的根拠
• 関係する提供先または提供先の種類
• 保存期間に関する考え方
• 国際移転または国境を越える移転
• 本人の権利
• 権利を行使する方法
• プライバシーに関する請求の連絡先
• 適用される法律が求めるその他の情報

ウェブサイトやアプリケーションでは、個人データに関わる限り、クッキー、アナリティクス、広告技術、トラッキング技術、その他のオンライン識別子にも透明性を及ぼすべきです。

データ主体の権利

ベトナムの個人データ保護法は個人データ主体の権利を定め、個人データを処理する組織に対応する責任を課しています。

状況に応じて、組織は次の事項に関する請求への対応体制を整えておくべきです。

• 個人データへのアクセス
• 不正確なデータの訂正または更新
• 同意に基づく処理における同意の撤回
• 法的に該当する場合の削除
• 該当する場合の処理の制限
• 異議その他法が認める権利
• 個人データ保護法および実施規則が定めるその他の権利

組織は、データ主体からの請求を受理し、本人確認を行い、進行状況を追跡し、法定期間内に回答する内部フローを整備すべきです。

子どもの個人データ

子どもに関する個人データの処理には、ベトナムの個人データ保護の枠組みの下で追加の保護措置が求められます。

子ども向けにサービスを提供する企業、または子どもの個人データを認識しながら処理する企業は、次の点を確認すべきです。

• 年齢に関する要件
• 同意の要件
• 必要とされる場合の親または法定代理人の関与
• 適切なプライバシー通知
• データの最小化
• 安全管理措置
• 保存および削除の要件

子どもを対象とするサービスは、これらの要件を後付けではなく製品設計の段階から組み込むべきです。

機微な個人データの処理

機微な個人データは、ベトナムの枠組みの下でより厚い保護を受けます。

機微な個人データを処理する企業は、該当する区分を特定し、次の各点について追加の義務が生じるかどうかを確認すべきです。

• 法的根拠
• 透明性
• セキュリティ
• ガバナンス
• 影響評価
• アクセス制御
• 保存期間
• データの移転
• インシデント対応

プライバシー体制では、機微な個人データをどこで収集・処理・保存・移転しているかを示す明確な台帳を維持すべきです。

個人データ処理の影響評価

ベトナムの現行の枠組みは、所定の処理活動について影響評価の要件を定めています。

組織は、自らの処理に個人データ処理影響評価書類が必要かどうかを確認し、必要な文書を適用される規則に従って作成・提出できる状態にしておくべきです。

実効性のある評価では、次の点を検討すべきです。

• 個人データの区分
• 処理の目的
• 処理の方法
• データ主体へのリスク
• 安全管理措置
• 保存期間
• データ共有の取決め
• 処理者および第三者
• 国境を越える処理
• 特定されたリスクを低減するための措置

国境を越えるデータ移転

国境を越える処理は、ベトナムの現行法における重要なコンプライアンス領域です。

政令356/2025/ND-CP は国境を越える移転活動を広く定義しており、ベトナムで収集または保存された個人データを海外のインフラ、外国のクラウドサービス、海外の受領者を通じて移動または処理する場合も含みます。

次のようなものを利用する企業は、

• 国際的なクラウド事業者
• グローバルな CRM システム
• 海外のアナリティクス基盤
• 国際的な広告プラットフォーム
• 海外の SaaS アプリケーション
• グローバルな顧客サポートツール
• オフショアのデータ処理委託先

自社の活動が規制対象となる国境を越える処理に当たるかどうかを確認すべきです。

状況に応じて、組織は国境を越える個人データ移転の影響評価書類を作成・保持し、または他の適用される法定の仕組みに従う必要があります。

データセキュリティの要件

個人データを処理する組織は、適切な組織的・技術的・人的な保護措置を講じるべきです。

セキュリティ対策には次のようなものが含まれ得ます。

• アクセス制御
• 認証
• 必要に応じた暗号化
• ネットワークおよびアプリケーションのセキュリティ
• ログ記録と監視
• 脆弱性管理
• バックアップと復旧
• 従業員研修
• 委託先のセキュリティ要件
• インシデント対応手順
• データ最小化と保存期間の管理

セキュリティの水準は、処理するデータの性質とそれに伴うリスクに見合ったものであるべきです。

個人データ侵害の通知

ベトナムの現行の個人データ保護法は、対象となる個人データ違反について、組織が違反を発見した後72時間以内の通知を義務づけています。

この義務は、法定の条件の下で、国防や安全、社会秩序と安全、生命や健康、名誉と尊厳、または財産などに害を及ぼすおそれのある違反に適用されます。

したがって組織は、次のことができるインシデント対応プロセスを維持すべきです。

• 侵害の可能性を検知する
• インシデントを評価する
• 法定の基準に達しているかを判断する
• 社内で適切な階層に報告する
• 必要な通知を準備する
• 対応内容を記録する
• 是正措置を講じる

プライバシーインシデント管理のプロセスは、組織全体のサイバーセキュリティインシデント対応体制と連携させるべきです。

管理者と処理者

企業は、個人データを処理する際の自らの役割を明確に定めるべきです。

活動内容に応じて、組織は次のいずれかとして行為し得ます。

• 個人データ管理者
• 個人データ処理者
• 管理と処理の両方の機能を担う者
• 処理の連鎖におけるその他の規制対象の関与者

処理者や委託先との契約では、次の事項を明確に定めるべきです。

• 処理の目的
• データの区分
• セキュリティ上の義務
• 秘密保持
• 再委託
• データの保存期間
• データの削除または返却
• インシデントの通知
• データ主体の請求への協力
• 国境を越える処理に関する責任

データの保存と削除

ベトナムの枠組みは、他の法律に別段の定めがない限り、個人データを処理目的に応じた適切な期間保存することを求めています。

したがって組織は、次の対象について文書化された保存期間の基準を維持すべきです。

• 顧客情報
• 従業員データ
• マーケティングデータベース
• アカウント情報
• 同意の記録
• クッキーおよびトラッキングのデータ
• サポート記録
• データ主体からの請求
• セキュリティログ
• 委託先が保有する個人データ

技術的な保存コストが低いという理由だけで、保存を無期限に続けるべきではありません。

クッキーとオンライントラッキング

ベトナムでウェブサイトを運営する企業は、個人データに関するコンプライアンス体制の一部として、自社のクッキーおよびトラッキング技術を確認すべきです。

これには次のものが含まれます。

• アナリティクスクッキー
• 広告クッキー
• リターゲティング技術
• ソーシャルメディアのピクセル
• コンバージョン計測
• セッション関連技術
• デバイス識別子
• SDK
• 個人を識別し、または個人に関連づけられる情報を収集するその他の技術

同意が必要かどうかは、適用される法的根拠と状況によって決まります。組織は、すべてのクッキーに同意が必要だと決めつけるべきではありませんが、同時に、適切な法的根拠と保護措置を整えないまま個人データの処理を始めることも避けるべきです。

ConsentX は、次のような形でこのプロセスの実装を支援します。

• ウェブサイトをスキャンしてクッキーとトラッカーを検出する
• トラッキング技術を分類する
• 適用される許諾が得られるまで、選択した技術をブロックする
• 同意の選択内容を記録する
• 地域別の同意体験を管理する
• 監査可能な同意の証跡を保持する

ダイレクトマーケティングと広告

マーケティング活動は個人データを伴うことが多いため、組織のプライバシー対応体制に組み込むべきです。

企業は次の点を確認すべきです。

• マーケティングデータの取得元
• 処理の法的根拠
• 同意が必要かどうか
• マーケティングに関する選択の記録方法
• オプトアウトおよび撤回の仕組み
• 第三者の広告プラットフォーム
• データの共有
• プロファイリング
• 保存期間
• 国際移転

同意が必要な場合、マーケティングに関する同意は関連しない条項とは明確に分けるべきです。

自動処理、プロファイリングと AI

AI、自動意思決定、プロファイリング、行動分析を用いる企業は、これらの活動が個人データを伴うか、追加の要件が適用されるかを確認すべきです。

プライバシー評価では次の点を検討すべきです。

• システムにどのデータを入力するのか
• 処理の目的
• 機微な個人データが関わるかどうか
• データが海外の提供事業者に移転されるかどうか
• 判断が個人に重大な影響を与えるかどうか
• 本人が適切な情報を受けているかどうか
• セキュリティおよびアクセス制御
• 保存期間
• 委託先による処理
• 必要に応じた人による監督

組織は、AI および自動処理の利用事例を、より広い個人データガバナンスの一部として文書化すべきです。

小規模事業者とスタートアップ

ベトナムの個人データ保護法は、一定の小規模企業およびスタートアップについて経過的な遵守規定を置いています。

同法の下で、要件を満たす小規模企業およびスタートアップは、法定の例外を前提として、施行日から5年間、特定の規定を実施するかどうかを選択できます。ただし、個人データ処理サービスを提供する場合、機微な個人データを直接処理する場合、または多数のデータ主体の個人データを処理する場合には、原則としてこの免除は適用されません。

政令356/2025/ND-CP は、関連するしきい値および免除について追加の詳細を定めています。

したがって企業は、すべてのスタートアップや小規模事業者が自動的にベトナムのプライバシー要件を免除されると考えるのではなく、自社が要件を満たすかどうかを確認すべきです。

政令13/2023からの移行

ベトナムのプライバシーの枠組みは2026年1月1日に大きく変わりました。

新しい個人データ保護法は、新法の施行前に政令13/2023/ND-CP に基づく同意や合意によってすでに行われていた一定の処理活動について、経過的な取扱いを明示的に定めています。既に提出された一部の影響評価書類も、経過規定の下で引き続き有効とされる場合があります。

同時に政令356/2025/ND-CP は、政令13/2023/ND-CP が2026年1月1日をもって効力を失うと定めています。

したがって企業は、従来の政令13の体制を前提とした解説にのみ依拠し続けるのではなく、自社のコンプライアンス体制を更新すべきです。

ベトナム個人データ保護法 コンプライアンスチェックリスト

このチェックリストを使って、ベトナムにおける自社のプライバシー体制を点検してください。

• 収集・処理している個人データを特定する
• 基本的個人データと機微な個人データを分類する
• 処理目的を整理する
• 適用される法的根拠を特定する
• 同意が必要な場面で同意取得の仕組みを見直す
• 同意の証跡を保持する
• プライバシー通知を更新する
• データ主体の請求に対応する手順を整える
• 適切な安全管理措置を実装する
• データの保存期間を見直す
• 処理者および第三者を洗い出す
• 国際移転および国境を越える移転を点検する
• 影響評価の要件を評価する
• 侵害対応の手順を整える
• 適用される72時間通知に備える
• マーケティングおよび広告技術を見直す
• クッキーとサイトのトラッカーをスキャンする
• 選択した非必須技術を、適用される許諾が得られるまでブロックする
• プライバシー対策を定期的に見直し更新する

デジタルビジネスにとってベトナム対応が重要な理由

ベトナムでウェブサイト、アプリ、デジタルプラットフォームを運営する組織にとって、個人データ対応にはプライバシー、セキュリティ、法務、マーケティング、技術の各チームの連携がますます求められます。

したがって現代のコンプライアンス体制は、法的根拠、透明性、同意管理、データガバナンス、セキュリティ、権利対応、移転の管理、監査証跡を組み合わせるべきです。

ConsentX は同意管理とウェブサイトのプライバシー層を支援し、ベトナムの枠組みが求めるより広い法務・組織面の管理は組織側で維持します。

個人データ保護法はベトナムの法体系の中で適用されると同時に、対象となる個人データの処理に関与する一定の外国の組織および個人に影響を及ぼす規定も含んでいます。