ベトナムの個人データ保護法（法律第91/2025/QH15号）は2025年6月26日に可決され、2026年1月1日に施行されました。これまで政令で運用されてきた分野に、初めて独立した法律ができたことになります。本稿では、中小企業に直接かかってくる義務と、当局に問われる前に着手すべきことを整理します。
適用範囲
範囲は想像より広く、ベトナム国内の個人のデータを取り扱う組織であれば、ベトナムに拠点を持たない外国法人にも適用されます。実務上はほぼすべての企業が対象です。電話番号付きの顧客名簿、人事記録、勤怠カメラ、ウェブサイトの申込フォーム。どれかひとつあれば該当します。
四つの主要な義務
- 同意は明確かつ目的別であること。あらかじめチェック済みの欄や「すべての目的に同意する」という一括条項は認められません。収集する目的をそのまま明示する必要があります。
- 個人データ処理影響評価（DPIA）。書類を作成・保管・提出し、規定の変更があった場合は6か月ごとに更新します。
- 越境移転影響評価（TIA）。国外へのデータ移転に適用され、サーバーが国外にあるクラウドサービスの利用も含まれます。
- 72時間以内の報告。違反を検知してから72時間以内に報告します。生体データや金融サービス事業者の事案では、影響を受けた本人への通知も必要です。
小規模企業は「猶予」であって「免除」ではない
法律は小規模企業とスタートアップに配慮しています。施行日から5年間、この区分の事業者はDPIAの作成、定期更新、データ保護部門・担当者の指定という三つの義務を先送りする選択ができます。家族経営事業者と極小企業は、機微データや大規模なデータを扱わない限り免除されます。
「猶予」という言葉を正確に読む必要があります。それ以外の義務——有効な同意、データ主体の権利、安全管理措置、72時間の報告——は2026年1月1日から適用されています。
制裁金
最も注目されている部分です。法律事務所Tilleke & Gibbinsのまとめによると、越境移転に関する違反は年間売上高の最大5%、下限30億ドン。個人データの違法な売買は当該取引から得た収益の最大10倍。その他の違反は上限30億ドンとされています。売上高に連動する制裁金は、従来の定額区分方式からの大きな転換です。
今四半期に着手すべきこと
大がかりなプロジェクトは不要です。次の四つは数週間で終わり、リスクの大部分を減らせます。
- データの棚卸し。どの個人データを、どこから集め、どこに保存し、誰がアクセスでき、どれだけ保持しているか。多くの企業が、個人PCの表計算ファイル、チャットのやり取り、開発者端末のデータベース複製など、想定外の場所にデータを見つけます。
- 収集フォームの見直し。ウェブサイト、応募フォーム、アンケート。利用目的を明記し、実質的な同意取得に直し、チェック済みの欄をなくします。
- アクセス権限の引き締め。人事記録、給与、顧客名簿は役割に応じた権限とアクセス記録が必要です。これは保護措置を講じていた証拠にもなります。
- 事故対応手順を先に書く。誰が気づき、誰に伝え、誰が当局への報告を判断するか。金曜の夜に発生したら、72時間は短い時間です。
システムの観点から
この法律の義務は大半が組織運営の問題ですが、三つはソフトウェア側にあります。役割とデータ範囲に応じた権限、機微データへのアクセス記録、そして本人の求めに応じて個人のデータを削除または抽出できること。いまの管理システムでこの三つができないなら、遵守の証明に大きな手間がかかります。今年システムを見直す十分な理由になります。
参考資料
- Tilleke & Gibbins — Vietnam's New Personal Data Protection Law: A Closer Look
- Vietnam Briefing — Personal Data Privacy Protection Law
本稿は2026年9月24日時点の公開情報をまとめたもので、法的助言ではありません。遵守方針の決定にあたっては、個別の状況について弁護士にご相談ください。
