ベトナムの個人データ保護法：外国企業向けコンプライアンス点検表
ベトナムは、緩やかな規制から包括的な体系へという道のりを歩き終えました。2025年に成立し2026年初から施行された個人データ保護法（PDPL）は、2023年の個人データ保護に関する政令が最初に持ち込んだルールを、完全な法律へと引き上げました。適用範囲は広がり、義務は重くなり、実効性のある制裁が伴います。御社がベトナムにいる人々のデータ、すなわち顧客、従業員、アプリ利用者、マーケティングリードのデータを取り扱っているなら、ベトナム法人の有無にかかわらずこの法律が適用されます。私たちが外国のクライアントと一緒に確認している点検表をご紹介します。
まず、適用対象かどうかを確認する
PDPLは、多くの外国人経営者が想定するより遠くまで届きます。ベトナムの組織、ベトナム国内の外資系法人、そしてベトナムにいる個人の個人データを取り扱う域外企業までを対象とします。ベトナム向けに発送するEC事業者、ベトナム人利用者のいるSaaS製品、ベトナムの給与計算を扱う地域人事シェアードサービスセンターは、いずれも対象になり得ます。小規模事業を免除する意味のある売上基準はありません。ただし初期の一定期間、小規模事業者やスタートアップには一部の義務が緩和される部分がありますので、実施ガイダンスがなお整備中である以上、現行の例外は顧問にご確認ください。
最も強く効いてくる義務
1. ベトナム流の同意
ベトナムの制度は同意を中心に据えています。同意は明示的で、十分な情報に基づき、目的ごとに具体的で、立証可能でなければなりません。沈黙や事前にチェックの入った欄は認められません。実務上は、個人データを収集するあらゆる地点、すなわちウェブフォーム、アプリ、営業電話、人事のオンボーディングを棚卸しし、その人が何にいつ同意したのかを証拠として示せるかを確認する作業になります。複数の目的を束ねた包括同意は、監査で見つかる最も多い不備です。
2. 機微データはもう一段上へ
健康、金融、生体、位置といった区分は機微な個人データとして扱われ、本人への追加の通知とより厳格な取扱いが求められます。雇用主は診断書、口座情報、組合員資格といった機微データを日常的に保有していながら、それが加重された義務を発動させることに気づいていないことが少なくありません。
3. 影響評価のドシエ
個人データを取り扱う組織は処理影響評価のドシエを作成し維持しなければならず、データをベトナム国外へ移転する組織は越境移転のドシエを備え、公安省のデータ保護当局がいつでも確認できる状態に置く必要があります。これは一度出して終わりの書類ではありません。処理の内容が変われば更新が要ります。ドシエの作成と提出には処理開始時点から起算する具体的な期限がありますので、現行の期間は弁護士にご確認ください。
4. 越境移転
ベトナムの個人データを地域統括拠点、グローバルCRM、クラウド事業者などへ出すことは、許されていますが規制されています。移転ドシエ、適切な開示、そしてデータが実際にどこへ流れているのかの明確な地図が必要です。ITスタックを集中させている多国籍企業ほど、この義務を重く感じます。
5. 権利対応と漏えい対応
個人は開示、訂正、削除、同意撤回の権利を持ち、企業は所定の期間内に応答できなければなりません。データ漏えいは当局へ速やかに通知する必要があり、法定の期限は短いため、あらかじめ合意した社内のエスカレーション経路が不可欠です。
6. 禁止される行為
この法律は個人データの売買を真正面から禁止しています。ブローカーから「リードリスト」を買ってくるマーケティング部門が、ここでの典型的な落とし穴です。その慣行はやめなければなりません。
外国企業向けの優先順位表
| 取り組み | 緊急度 | 通常の担当 | 備考 |
|---|---|---|---|
| データマッピング：何を持ち、どこへ流れているか | ただちに | 法務＋IT | 他のすべての前提 |
| 同意取得の棚卸しと是正 | ただちに | マーケティング、人事、プロダクト | 束ね同意と黙示の同意を直す |
| 影響評価と越境移転のドシエ | 高 | 法務／データ保護責任者 | 更新を維持。期限は処理開始から起算 |
| データ保護の担当者・責任者の任命 | 高 | 経営 | 規模と機微性で要件が異なる。現行ルールを確認 |
| ベンダー・委託先との契約 | 高 | 法務＋調達 | PDPLの義務を委託先へ流す |
| 漏えい対応のプレイブック | 中 | 情報セキュリティ＋法務 | 通知期限が短い。必ず予行演習を |
| 従業員向けプライバシー通知と研修 | 中 | 人事 | 人事データも完全に対象 |
GDPRとの比較と、それが効いてくる理由
成熟したGDPRプログラムを持つ企業は先行してスタートできますが、終わってはいません。重なる部分は大きい。適法な取扱い、目的の限定、本人の権利、漏えい通知がそれです。違いのあるところにリスクが隠れます。ベトナムは「正当な利益」のような根拠よりも同意に強く寄りかかります。ドシエ制度は独自の様式と独自の規制当局を持つ別個の行政の仕組みです。そして当局とやり取りする場面では、ベトナム語の文書が実際に効いてきます。GDPRの成果物をPDPLの要件へ対応づけるのは効率的ですが、EUのプログラムをそのまま貼り付ければ穴が残ります。
制裁と執行の構え
行政上の制裁金は相当な額になり得ます。一部の違反については、売上に連動した制裁と処理活動の停止を併せて想定する制裁枠組みが検討されてきました。初期の執行はおおむね悪質な事案、すなわちデータの売買、大規模な漏えい、協力拒否に集中します。とはいえ外資系企業が目立たなさに賭けるべきではありません。ECやフィンテック、小売、宿泊のように大規模な消費者データを扱う業種は、立入検査の自然な最初の対象です。二次的な要約に頼らず、現行の制裁水準は顧問にご確認ください。
現実的な90日計画
- 1〜30日：データの棚卸しと流れのマッピング、越境移転の特定、社内の責任者の指名。
- 31〜60日：同意の仕組みの是正、影響評価と移転ドシエの起草、ベトナム語と英語のプライバシー通知の更新。
- 61〜90日：委託先との契約改定、漏えい対応プレイブックと研修、経営承認とドシエ定期更新のカレンダー化。
一四半期で完璧にはなりません。ただし、文書として残る誠実な前進は、当局が御社に向き合う姿勢を実質的に変えます。
PDPL対応の準備にお手伝いが必要ですか。ベトナムにおける当社のコンプライアンスチームが、外資系企業のためにデータ保護のドシエ、同意の枠組み、継続的なコンプライアンス・カレンダーを構築します。最初の検査通知が届いた後ではなく、その前にご相談ください。
