2025年個人データ保護法は、この分野におけるベトナム初の専門法であり、データ主体の権利を強力に保護する現代的な法的枠組みを構築するとともに、非準拠企業に対しては売上高に基づく厳格な罰則を規定しています。
以下は、本法に規定された主要な条項の詳細です。
I. 適用範囲および対象
1. 本法は、個人データ、個人データの保護、および関連する機関、組織、個人の権利、義務、責任について規定しています。
2. 本法は以下に適用されます。
a) ベトナムの機関、組織、および個人。
b) ベトナム国内の外国機関、組織、および個人。
c) ベトナム国民、またはベトナムに居住し身分証明書を持つ国籍未定のベトナム系の人々の個人データ処理に直接関与または関連する外国機関、組織、および個人。
II. 法律に規定された主な条項
1. 個人データの分類（第2条に基づく）
本法は、保護レベルの異なる2つのデータグループを明確に区別しています。
- 基本的な個人データ（第2条第2項）： 社会的取引で頻繁に使用される一般的な身元および背景要因を反映したデータ（例：氏名、生年月日、電話番号、性別、住所など）。
- 機微な（センシティブ）個人データ（第2条第3項）： 侵害された場合、個人の法的権利および利益に直接影響を与えるプライバシーに関連するデータ（例：生体データ、健康情報、財務データ、位置情報、性的指向など）。
2. データ主体の権利（第4条、13条、14条、15条に基づく）
本法は、第4条第1項に規定された 6つの基本的権利 を通じて、データ主体に強力なコントロール権限を与えています。
- 知る権利（通知を受ける権利）： 処理活動、データの種類、目的、および保存期間について明確に通知される権利。
- 同意および同意撤回の権利： データ処理を許可または拒否し、いつでも同意を撤回する権利。
- アクセスおよび訂正の権利（第13条）： 自身の情報の閲覧および訂正を請求する権利。
- 削除および制限の権利（第14条、15条）： データ管理者に対し、データの提供、削除、または処理制限を請求する権利。データ処理に異議を唱える権利。
- 苦情および損害賠償請求の権利： 権利が侵害された場合に訴訟を起こし、賠償を請求する権利。
- 保護請求権： 管轄当局に対し、保護措置の実施を要請する権利。
注記： 第4条第5項に基づき、データ管理者はデータ主体からのこれらの請求を 迅速に履行する責任 を負います。
3. 7つの禁止行為（第7条に基づく）
本法において、以下の行為は厳格に禁止されています。
- ベトナム社会主義共和国に反対するため、または国防、安全保障、社会秩序、安全、および機関・組織・個人の正当な権利と利益に影響を及ぼす方法で、個人データを処理すること。
- 個人データ保護活動を妨害すること。
- 個人データ保護活動を悪用して法律に違反すること。
- 法律に違反して個人データを処理すること。
- 法律に違反するために、他人の個人データを使用すること、および／または他人に自己の個人データを使用させること。
- 法律に別段の定めがある場合を除き、個人データを売買すること。
- 個人データを不正に取得、意図的に漏洩、または紛失させること。
4. 厳格な罰則（第8条に基づく）
罰則システムはGDPR（EU一般データ保護規則）モデルと同様に設計されており、抑止力を高めるために 売上高に基づく罰金 を採用しています。
- 違法なデータ取引（第8条第3項）： 違反から生じた 売上の最大10倍 の罰金。売上が特定できない場合、または罰金額が30億VND未満の場合は、30億VND の罰金が適用されます。
- 違法な越境データ移転（第8条第4項）： 前年度 総売上の最大5% の罰金。売上がない場合、または罰金額が30億VND未満の場合は、30億VND の罰金が適用されます。
- その他の違反（第8条第5項）： 組織に対して 最大30億VND の罰金（個人は組織の1/2）。
- 賠償および刑事責任（第8条第1項）： 金銭的罰金に加え、違反当事者はすべての損害を賠償しなければならず、犯罪構成要件を満たす場合は刑事訴追に直面する可能性があります。
5. データの公開に関する規制（第16条に基づく）
データは、特定の目的、適切な範囲があり、データ主体の権利を侵害しない場合にのみ公開が許可されます（第1項）。 公開が許可されるのは 4つのケース（(1)同意がある場合、(2)法律に基づく場合、(3)緊急事態/犯罪防止、(4)契約上の義務に基づく場合）に限られます（第2項）。
6. 特定分野における特別保護
以下の分野で活動する企業は、特定の条項に留意する必要があります。
- 子供（第24条）： 7歳以上の子供について、私生活情報の開示には、子供本人および保護者の双方の同意が必要です。
- 採用・労働（第25条）：
- 採用目的に資する情報のみ要求可能です。不採用者の情報は（合意がない限り）削除/破棄しなければなりません。
- 第25条第2項bおよびc点に基づき、個人データは法律または合意で定められた期間保存しなければなりません。労働契約終了時、別段の合意または法の定めがない限り、従業員データは 削除 しなければなりません。
- 職場における技術的手段による監視は、従業員に明確に 開示 しなければなりません。
- 医療・保険（第26条）： 明示的な同意が必要です。書面による要請または法的規定がない限り、データを第三者（保険会社など）に提供してはなりません。
- 金融・銀行（第27条）： 同意なしに信用情報を信用スコアリング/格付けに使用してはなりません（第1項b点）。
- 広告・SNS（第28条、29条）： 「オプトアウト」（追跡拒否）機能を提供しなければなりません。明確な同意なしに録音・録画を行ってはなりません。
7. 越境データ移転（第20条に基づく）
データを国外へ移転する、外国組織へ移転する、またはベトナムで収集されたデータを処理するために外国のプラットフォームを使用する等の活動は、越境移転とみなされます（第1項）。
- 義務： データ保護影響評価（DPIA）書類を作成し、最初の移転から 60日以内 に管轄機関へ 原本1部を提出 しなければなりません（第2項）。
- 頻度： 事業活動の全期間を通じて 1回 実施します（第3項）。
- 免除： 従業員データをクラウド上に保存する場合、またはデータ主体が自身のデータを自ら移転する場合は、本評価は不要です（第6項）。
8. データ処理影響評価 – DPIA（第21条、22条に基づく）
- 要件： 個人データ管理者、および個人データ管理者兼処理者は、DPIA書類を作成し、データ処理開始日から 60日以内 に管轄機関へ 提出 しなければなりません。
- 更新： 書類は 6ヶ月ごと に、または組織やサービスに変更があった場合は 直ちに 更新しなければなりません（第22条）。
9. 違反通知（第23条に基づく）
損害を引き起こす可能性のある違反を検知した場合、企業は検知から 72時間以内 に管轄機関へ通知しなければなりません（第1項）。同時に、議事録を作成し、是正に向けた調整を行わなければなりません。
10. 経過措置（第38条、39条）
- 2026年1月1日（政令13号下）より前に取得された同意は 有効 です。
- ただし、2026年1月1日 より、すべての更新、修正、または新たな処理活動は、2025年法の規制に 100% 準拠しなければなりません。
III. Crowe Vietnamからの追加の推奨事項
【注意喚起】ベトナムにおけるチャットアプリを通じた顧客データ送信について
2025年12月下旬、2025年個人データ保護法の正式発効日（2026年1月1日）の直前に、ベトナムのあるメッセージングアプリが突如として利用規約の更新をユーザーに通知し、それによりユーザーデータの収集および利用に関するアプリ側の権利が拡大されました。
財務、会計、および人事データのセキュリティを確保するため、Crowe Vietnamは貴社を保護するための以下の措置を推奨いたします。
1. チャット経由で機微なデータを送信しないこと 給与明細、従業員の市民身分証明書（CCCD）/パスポート、商事契約書、または未公表の財務データを含むファイルの撮影や送信は、このメッセージングアプリを通じて行わないでください。
2. 通信チャネルの切り替え 重要書類のやり取りや送信には、企業用メール（Corporate email）を使用してください。企業用メールシステムは、より高いセキュリティと不可欠な監査証跡（audit trail）機能を提供します。
3. 送信済みデータの処理 本アプリ上の業務チャットグループを見直し、古いデータファイルを「取り消し（Recall）」し、法的保存規定に従って会社のサーバーにアーカイブ（保存）してください。
4. 社内「ソーシャルメディア利用規程」の策定 従業員が許可なく個人のチャットアプリを使用し、会社データを漏洩させるリスクを防ぐために規程を設けてください。
5. チャットアプリ上の技術的ガードレールの強化 従業員に対し、以下の実施を義務付けてください。
- 「自動ダウンロード」の無効化（個人デバイスへのファイル保存を防ぐため）。
- 重要情報に対する「自動削除メッセージ（Disappearing messages）」の使用。
- データ漏洩、侵害、または盗難のリスクを最小限に抑えるための2要素認証（2FA）の有効化。
