ISO 27001 と PDPD の比較
ベトナム個人データ保護法令（PDPD）である Law 91/2025（Decree 13/2023 に代わるもの）と ISO 27001 は、ベトナム企業にとって特に重要な 2 つのコンプライアンス要件です。両者には大きな重なりがあるため、同時に導入すると工数を抑えられます。
基本的な違い
| 項目 | ISO 27001 | ベトナム個人データ保護法（Law 91/2025） |
|---|---|---|
| 性質 | 任意の国際規格（認証取得が可能） | ベトナムの強制法規 |
| 目的 | 情報の機密性・完全性・可用性の保護 | 個人のプライバシーと個人データの保護 |
| 対象範囲 | あらゆる種類の情報（個人データに限らない） | ベトナム国民の個人データのみ |
| 所管機関 | 独立した認証機関（CB） | ベトナム公安省 A05 局 |
| 同意とデータに関する権利 | 直接の要求なし（ただし Annex A にプライバシーに関する管理策あり） | 必須：同意、DSR 対応ワークフロー、DPIA |
| 機微データの登録 | 要求なし | 60 日以内に公安省へ影響評価書類を提出 |
| 成果物 | ISO 27001 認証（商業上の価値） | 法令遵守（法的リスクの回避） |
コントロールの重なり：ISO 27001 Annex A → PDPD
PDPD の義務も満たす Annex A のコントロール：
ISO 27001 でカバーされないもの（PDPD のための追加作業）：
- 同意の仕組みと同意撤回
- データ主体からの請求（DSR）対応ワークフロー
- 機微データに関する DPIA の文書化
- 公安省へ提出する影響評価書類（Decree 356）
- PDPD に基づく越境データ移転契約
進め方：ISO 27001 と PDPD を並行して
ISO 27001 の導入は、PDPD 対応を進めるのに最適なタイミングです。別々に進めるよりも追加の費用を大きく抑えられます。
ISO 27001 の適用範囲を決める際に、PDPD に沿った個人データの棚卸しも同時に行います。1 回のギャップ分析で 2 つの成果が得られます。
情報セキュリティポリシー、インシデント対応ポリシー、供給者管理ポリシーは、書き直さずに PDPD の義務をカバーするよう調整します。
同意フロー、DSR 対応ワークフロー、DPIA テンプレート、Decree 356 に基づく公安省向けの影響評価書類を追加します。
外部監査人が ISO 27001 を審査する際のエビデンス収集プロセスが、そのまま PDPD の文書化にもなります。
よくある質問
ISO 27001 で PDPD の要件を満たせますか？
満たせません。ISO 27001 は PDPD に必要な技術的基盤のおよそ 60〜70% を構築しますが、PDPD への対応を代替するものではありません。追加で必要なのは、同意の仕組み、DSR（データ主体からの請求）対応ワークフロー、DPIA の文書化、公安省へ提出する影響評価書類、越境データ移転契約です。
PDPD 対応のうち、ISO 27001 でカバーされないものは何ですか？
ISO 27001 がカバーしない領域は 5 つです。(1) 同意の仕組みと同意撤回、(2) データ主体からの請求（DSR）対応ワークフロー、(3) 機微データに関する DPIA の文書化、(4) 60 日以内に公安省へ提出する影響評価書類、(5) PDPD に基づく越境データ移転契約。ISO 27001 を取得済みでも、これらは追加で対応する必要があります。
ISO 27001 と PDPD を並行して導入すると、どのくらいの期間がかかりますか？
並行導入の場合、組織の規模に応じて通常 6〜12 か月です。別々に進めると 12〜18 か月かかります。ギャップ分析、ポリシー、エビデンス収集を共通化できることが短縮につながります。pTrackly のようなコンプライアンスプラットフォームは、統合されたコントロールマッピングで ISO 27001 側の作業を短縮できますが、ベトナムの法的義務を直接サポートするものではありません。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。