要点
- 政令 13/2023/ND-CP は 2026 年 1 月 1 日をもって効力を失いました。
- 現在の法的枠組みは、個人データ保護法（法律第 91/2025/QH15 号）と政令 356/2025/ND-CP です。
- 処理と越境移転の影響評価は、60 日以内に公安省へ提出し、6 か月ごとに更新する必要があります。
- 罰金は、越境移転の違反で前年売上高の 5%、データ売買で収入の 10 倍、その他の違反で 30 億ベトナムドンに達します。
法令のタイムライン
| 日付 | 出来事 |
|---|---|
| 2023 年 4 月 17 日 | 政令 13/2023/ND-CP 公布 |
| 2023 年 7 月 1 日 | 政令 13/2023 施行 |
| 2025 年 6 月 26 日 | 国会が法律 91/2025/QH15 を可決 |
| 2025 年 12 月 31 日 | 政府が政令 356/2025/ND-CP を公布 |
| 2026 年 1 月 1 日 | 法律 91 と政令 356 が施行、政令 13 は失効 |
遵守が必要なのは誰か
- 個人データを処理するベトナムの機関、組織および個人
- ベトナム国内の外国の機関、組織および個人
- ベトナム国民の個人データの処理に直接関与する、または関係する外国の組織および個人（ベトナムのユーザー向けの SaaS やアプリを含む）
IT アウトソーシング企業では、海外の顧客から委託されて処理するデータも棚卸しが必要です。データセットにベトナム人の従業員、パートナー、エンドユーザーが含まれる可能性があるためです。
基本的な個人データと機微な個人データ
| 種類 | 例 | 注意点 |
|---|---|---|
| 基本的な個人データ | 氏名、生年月日、電話番号、住所、メールアドレス | 適法な処理根拠、目的の通知、同意の管理が必要 |
| 機微な個人データ | 健康、生体、位置、金融、信用、子どものデータ | より厳格な保護措置が必要。政令 356 により、一部の分野ではインシデントを 72 時間以内に報告する必要あり |
基本的なデータと機微なデータの詳細な一覧は、政令 356/2025/ND-CP に定められています。データを分類する際は、公式の条文をご確認ください。
企業の主な義務
同意と通知
同意は明確かつ任意で、撤回可能であり、特定の目的に結び付いている必要があります。データの種類、目的、保持期間、提供先を開示します。
データ主体の権利
アクセス、訂正、削除、同意の撤回、異議の申し立てに対応するプロセスを運用します。
処理の影響評価
様式 02a/02b で作成し、処理の開始から 60 日以内に公安省の専門機関へ提出します（政令 356 第 19 条）。
越境移転
様式 01a/01b で移転の影響評価を作成し、最初の移転から 60 日以内に提出します（第 18 条）。国外でホストされるクラウドや SaaS の利用も対象です。
書類を最新に保つ
初回提出から 6 か月ごと、および報告対象となる変更があった場合は 10 日以内に更新します（第 20 条）。
データ保護担当者
短期大学相当以上の学歴、2 年の実務経験、研修の修了を満たす人を書面で任命するか、要件を満たすサービス提供者に委託します（第 13 条、第 15 条、第 16 条）。
インシデントの通知
検知と通知のワークフローを整備します。政令 356 は、金融、銀行、信用情報分野の機微なデータ（第 8 条）と、位置データおよび生体データ（第 29 条）について 72 時間の期限を定めています。
処理者との契約
クラウド、SaaS、処理パートナーとの契約を見直し、責任と保護措置の分担を明確にします。
法律 91/2025/QH15 の罰則
| 違反行為 | 組織に対する罰金の上限 |
|---|---|
| 個人データの売買 | 違反による収入の 10 倍。収入がない場合、または収入の 10 倍が 30 億ベトナムドンを下回る場合は 30 億ベトナムドン |
| 越境移転に関する違反 | 前年売上高の 5% |
| その他の違反 | 30 億ベトナムドン |
重大な場合は刑事責任を問われることがあります。
GDPR との簡単な比較
| 項目 | 法律 91/2025（ベトナム） | GDPR (EU) |
|---|---|---|
| 影響評価 | 作成のうえ、60 日以内に公安省へ提出する必要あり | リスクの高い処理について DPIA を社内で保管 |
| 越境移転 | 移転の影響評価書類 | 十分性認定、SCC、BCR |
| データ保護担当者 | 学歴、経験、研修について具体的な要件あり | 一定の場合に DPO の選任が必須 |
| 罰金の上限 | 前年売上高の 5%（越境移転） | 全世界売上高の 4% または 2,000 万ユーロ |
| 監督機関 | 公安省の専門機関 | EU 各加盟国のデータ保護機関（DPA） |
個人データ保護法と国際的なコンプライアンスフレームワーク
次のいずれかのフレームワークに取り組んでいる場合、技術的・組織的コントロールの多くを、法律 91/2025 の義務に対するエビデンスとして再利用できます。
アクセス、インシデント管理、暗号化、供給者管理に関する附属書 A のコントロールは、個人データの保護措置にそのまま対応します。
Privacy の Trust Service Criteria は、同意、データ主体の権利、インシデントの通知、保持をカバーします。
Technical Safeguards（アクセス制御、監査ログ、暗号化）は、機微なデータに該当する健康データの保護に役立ちます。
同意、DPIA、データ主体の権利、処理契約は再利用できますが、ベトナムの様式による書類の作成と提出は別途必要です。
カードデータに対する暗号化、アクセス、監査ログのコントロールは、機微な金融データに関する義務の履行に役立ちます。
透明性と公平性の要求事項は、AI システムで処理される個人データのガバナンスに役立ちます。
SaaS・ITO・FinTech・HealthTech 向けコンプライアンスチェックリスト
よくあるご質問
政令 13/2023 は現在も有効ですか？
いいえ。政令 13/2023/ND-CP は 2026 年 1 月 1 日に効力を失いました。これに代わるのが、個人データ保護法（法律第 91/2025/QH15 号、2025 年 6 月 26 日可決）と、同法の詳細を定める政令 356/2025/ND-CP（2025 年 12 月 31 日公布）です。いずれも 2026 年 1 月 1 日に施行されました。
ベトナムの個人データ保護法は誰に適用されますか？
ベトナムの機関、組織および個人、ベトナム国内の外国の機関、組織および個人、ならびにベトナム国民の個人データの処理に直接関与する、または関係する外国の組織および個人です。ベトナムの顧客や従業員のデータを扱う SaaS、IT アウトソーシング、FinTech、HealthTech の企業は適用対象となります。
ベトナムの個人データ保護法の罰則はどのようなものですか？
法律 91/2025/QH15 第 8 条によると、個人データの違法な売買には、違反により得た収入の最大 10 倍の罰金が科されます。越境移転の規則に違反した場合は前年売上高の最大 5%、その他の違反には組織に対して最大 30 億ベトナムドンの罰金が科されます。重大な場合は刑事責任を問われることがあります。
影響評価書類はいつまでに提出する必要がありますか？
政令 356/2025/ND-CP により、個人データ処理の影響評価（第 19 条）と越境移転の影響評価（第 18 条）は、処理または移転の開始から 60 日以内に公安省の専門機関へ提出する必要があります。書類は 6 か月ごと、および報告対象となる変更があった場合は 10 日以内に更新します（第 20 条）。
企業にはデータ保護責任者が必要ですか？
政令 356 は、指定されたデータ保護担当者について、短期大学相当以上の学歴、2 年以上の関連する実務経験、個人データ保護に関する研修の修了、および書面による任命を求めています（第 13 条）。代わりに、第 15 条および第 16 条の要件を満たすデータ保護サービス提供者に委託することもできます。
ベトナムの法律は GDPR とどう違いますか？
いずれも同意、データ主体の権利、影響評価を基礎としています。主な違いとして、ベトナムでは影響評価書類を 60 日以内に公安省の専門機関へ提出する必要があること（GDPR の DPIA は社内で保管）、独自の越境移転制度があること、罰金の上限が全世界の売上高ではなくベトナムでの売上高に基づくことが挙げられます。
