はじめに
外国投資企業にとって、個人データは事業開始初日から発生することが一般的です。採用書類、労働契約、給与台帳、顧客データ、代理店情報、防犯カメラ、ウェブサイト上のフォーム、CRMシステム、そしてグループ内で共有するプラットフォームなどが典型例です。したがって、個人データ処理影響評価書類は、法務部門が締切間際に用意する単なる様式として扱うべきものではありません。この書類は、企業が実際にどのように個人データを収集、利用、共有、保管、保護しているかを反映するものです。
本記事は、ベトナムで事業を行う外国投資家、FDI企業、グループの傘下企業、そしてHR、法務、コンプライアンス、IT部門を対象としています。焦点となるのは実務上の疑問です。すなわち、義務がいつ発生するのか、どのデータを影響評価書類に記載すべきか、グループ内の誰が関与すべきか、いつ更新が必要か、そしてコンプライアンス上のリスクが生じやすいポイントはどこか、といった点です。
1. 法的枠組みは変化した:政令13号をそのまま機械的に適用すべきではない
2026年1月1日より、個人データ保護法第91/2025/QH15号および政令第356/2025/ND-CP号が、個人データ処理影響評価義務に関する中心的な法的枠組みとなります。政令第356/2025/ND-CP号は、政令第13/2023/ND-CP号が2026年1月1日をもって失効することも規定しています。
既に事業を行っている企業が留意すべき点として、2026年1月1日より前に個人データ保護専門機関に受理された政令第13/2023/ND-CP号に基づく影響評価書類は、引き続き使用することができます。ただし、個人データ保護法の施行後に行う更新については、新しい法的枠組みに従って実施する必要があります。
本質的に、この書類は単に「企業がデータを収集しているか否か」に答えるものではありません。書類は、以下の事項を企業が証明できるよう作成する必要があります。
- 企業がどの種類のデータを、どのような目的のために処理しているか。
- 誰が処理の目的・方法を決定し、誰が契約に基づき処理を行い、誰がデータを受領するか。
- データがどのシステム、どの国、どのサービスプロバイダー、どのグループ会社を経由するか。
- 企業がリスクを抑制するためにどのような技術的、管理的、契約上の措置を設計したか。
- データ主体からの請求への対応、保管、削除、廃棄をどのように行っているか。
したがって、良質な書類は実際の運用と一致していなければなりません。実際には導入されていないシステムを描写した書類や、グループのグローバルポリシーをそのままコピーしてベトナムでの実際の活動を反映していない書類は、コンプライアンス上の価値が限定的です。
2. どの企業が個人データ処理影響評価書類を作成しなければならないか?
個人データ保護法によれば、個人データ管理者および個人データ管理・処理者は、書類を作成・保管し、正本1部を個人データ保護専門機関に提出する義務を負います。基本となる期限は、個人データ処理を開始した日から60日以内です。
個人データ処理者もまた、管理者または管理・処理者との合意に基づき、書類を作成・保管しなければなりません。これは、給与計算、採用、CRM、クラウド、マーケティング、コールセンター、セキュリティ、ITサービスなどのプロバイダーとの契約において、FDI企業が明確にすべき点です。
実務上、従業員、顧客、または取引先の担当者である個人を有する多くのFDI企業には、個人データ処理活動が存在します。企業が製造のみを行い、デジタルプラットフォームを運営していない、あるいは消費者に直接販売していないという理由だけで、当然に義務が免除されるわけではありません。HR業務だけでも、身分証明情報、連絡先、税務情報、社会保険、銀行口座、業績評価、健康データ、カメラデータなどが関係し得ます。
2.1. 小規模企業、スタートアップ、零細企業に対する特別な適用メカニズム
小規模企業およびスタートアップ企業は、個人データ保護法第21条および第22条に基づく義務を含む一部の義務について、法律施行日から5年間、実施するか否かを選択する権利を有します。個人事業主および零細企業には、これらの義務を実施しなくてよいとするメカニズムがあります。
ただし、上記のメカニズムは、企業が個人データ処理サービスを提供する場合、機微な個人データを直接処理する場合、または累積処理データ量に基づき10万人以上のデータ主体のデータを処理する場合には適用されません。企業規模、企業形態、機微データの判定方法は実際の状況に左右され得るため、企業は従業員数が少ない、または売上高が小さいという理由だけで自社が適用除外になると自己判断すべきではありません。
3. グループ内でのデータ処理における役割を正しく特定することが決定的なステップ
よくある誤りは、親会社が常に管理者であり、ベトナム法人は単に指示に従うだけであると仮定することです。分類は実態に基づいて行う必要があります。すなわち、どの主体が処理の目的・方法を決定するか、どの主体が直接処理を行うか、どの主体が自らの目的のためにデータを受領・利用するか、そしてどの主体が指示に従ってサービスを提供するに過ぎないか、という点です。
| 状況 | 特定すべきポイント | 分類を誤った場合のリスク |
|---|---|---|
| ベトナム法人が応募書類を受領し、採用を決定する | ベトナム法人は通常、ベトナムでの採用活動について管理者の役割を担う。 | 書類に親会社の名称のみが記載され、ベトナム法人の責任が反映されない。 |
| 地域統括拠点がグループ全体の人事管理のためHRISにアクセスする | アクセスの目的、データの種類、アクセス権限、越境データフロー。 | データ移転活動に関する評価が欠落する、または各主体間の責任分担が不明確になる。 |
| 給与計算プロバイダーが契約に基づき給与処理を行う | 処理範囲、企業からの指示、セキュリティ、データ主体の権利行使への対応、データ削除。 | サービス契約においてデータに関する義務が分配されておらず、書類に処理者が十分に記載されない。 |
| マーケティングパートナーが自社のキャンペーン最適化のため顧客データを利用する | パートナーが指示のみに従って処理するのか、独立した利用目的を有するのか。 | 処理者と第三者の混同、通知または同意の範囲を超えたデータ共有。 |
グループとしての個人データ保護をグローバルモデルで行う場合、グループ全体の内部ポリシーは依然として非常に有用です。しかし、そのポリシーがベトナム法人の法的書類を自動的に代替するわけではありません。グループ傘下の各社は、自社の役割、システム、利用者、プロバイダー、処理目的を各自で確認する必要があります。
3.1. システムを共有するグループは、1社のみが代表として書類を提出できるか?
これは、複数の傘下企業が同一のHRIS、ERP、CRM、メール、クラウド、または集中データベースを共用しているグループにおいてよく生じる疑問です。テクノロジーシステムを共用しているからといって、傘下企業が個人データ処理影響評価義務について当然に単一の主体とみなされるわけではありません。
現行の法的枠組みによれば、書類の作成・保管義務は、個人データ処理活動における各当事者の役割に応じて定まります。したがって、1社がグループ全体を代表して書類を作成できるかどうかを判断する前に、個々の処理活動について、どの法人が処理の目的・方法を決定するか、どの法人が直接処理を行うか、どの法人が指示に従って処理するに過ぎないか、そしてどの法人が自らの目的のためにデータを受領・利用するかを特定する必要があります。
例えば、ベトナムの3社が海外の親会社が管理する同一のHRISを共用していたとしても、各社が自社で採用を行い、労働契約を締結し、給与を支払い、自社の従業員の人事データの利用について決定を行っている場合があります。この場合、HRISの共用自体によって、自社が管理するデータ処理について各法人が有する固有の役割と責任が失われるわけではありません。
逆に、グループはシステムアーキテクチャ図、セキュリティ基準、グローバルポリシー、プラットフォームの説明、プロバイダーとの契約、データガバナンスの仕組みといった多くの共用要素を標準化することができます。こうした共通文書は準備作業を大幅に軽減し得ますが、企業は各主体の書類が、提出する法人、処理における役割、目的、データの種類、データ主体、データフロー、実際の責任を正しく反映しているかどうかを確認する必要があります。
したがって、単にシステムを共用しているという理由だけで「グループ1社につき書類1件」という原則を適用すべきではありません。また逆に、あらゆるグループ構造において、すべての傘下企業が常に完全に独立した、かつ同一の書類一式を用意しなければならないと推論すべきでもありません。適切な対応は、各法人の法的な役割と実際のデータ処理活動に基づいて判断する必要があります。
実務上、グループは次の2つの層で対応することが望まれます。
- グループ層:共用するシステムとデータフローのマップを作成し、親会社、プロバイダー、データセンター、アクセス権限、セキュリティポリシー、各国間のデータ移転の仕組みを特定する。
- 各法人層:自社の処理活動、データの種類、データ主体のグループ、処理目的、データ受領者を特定し、それぞれに対応する書類の作成、提出、更新義務を確認する。
このアプローチにより、グループ共通の文書体系を活用しつつ、代表的な「1件の書類」がベトナムの各企業の法的責任と実際のデータ処理活動を十分に反映していないというリスクを抑制することができます。
4. どのデータを影響評価書類に記載しなければならないか?
「どのデータを影響評価書類に記載すべきか」という問いには、網羅性とトレーサビリティの原則に基づいて答える必要があります。すなわち、企業は機微データとみなされるものや、ベトナム国内のサーバーに保管されているデータだけでなく、各業務プロセスにおいて実際に処理している個人データの種類をすべて洗い出す必要があります。
政令第356/2025/ND-CP号は、書類においてデータの種類、処理活動、データフロー図を記述することを求めています。したがって、企業は漠然としたリストを1つ作成するのではなく、データ主体のグループごと、業務プロセスごとにデータマップを作成することが望まれます。
| 業務グループ | 確認すべきデータ | 特に注意すべき点 |
|---|---|---|
| 採用・HR | 身分情報、連絡先、履歴書、学歴、税務情報、社会保険、銀行口座、業績評価。 | 健康データ、懲戒記録、生体データ、扶養家族のデータはリスクレベルを高める可能性がある。 |
| 顧客・営業 | 氏名、電話番号、メールアドレス、購買履歴、保証対応情報、配送情報、カスタマーサポートデータ。 | 顧客本人、受取人、法人顧客の担当者のデータを区別する。 |
| ウェブサイト・アプリケーション | フォーム情報、アカウント情報、IPアドレス、Cookie、端末識別子、アクセス行動。 | アナリティクスツール、ピクセル、チャットボット、埋め込みフォーム、および海外プロバイダーのアクセス権限を確認する。 |
| カメラ・入退室管理 | 画像、映像、入退室時刻、勤怠データ、該当する場合は生体認証データ。 | 通常のカメラと顔認証ソリューションを同一視せず、保管期間とアクセス権限を確認する。 |
分類は、現行規定における基本個人データと機微個人データの区分に沿って行う必要があります。特に慎重な検討が必要な分野として、健康情報、生体情報、位置情報、財務・銀行情報、サイバー空間上の行動追跡データ、その他法律上秘密保持または厳格な保護が求められるデータが挙げられます。
5. 個人データ保護書類には何を含めるべきか?
政令第356/2025/ND-CP号によれば、個人データ処理影響評価報告書には、少なくとも以下のコア項目を記載する必要があります。
- 関係当事者(管理者、管理・処理者、処理者、第三者)の情報および連絡先。
- 個人データ保護を担当する部門または担当者の情報。該当する場合は個人データ保護サービスを提供する組織または個人の情報。
- 処理目的、データの種類、処理活動、およびデータフロー図。
- 必要な場合の同意取得方法、データの保管・削除・廃棄に関するポリシー。
- データ安全対策、保護措置、システム設計図、適用基準。
- 個人データ保護法令の遵守状況に関する評価結果。
- 影響の程度、リスク、想定される結果、およびリスク軽減・除去のための措置に関する評価。
様式については、組織である企業は、政令第356/2025/ND-CP号に付随する様式第02aによる個人データ処理影響評価書類提出通知、および様式第10による個人データ処理影響評価報告書に留意する必要があります。
質の高い個人データ保護書類とは、単に法令の条文を書き写したものではありません。例えば、企業がMicrosoft 365、グローバルなHRIS、そしてベトナム国内の給与計算プロバイダーを利用している場合、データフロー図には、どのデータがどのシステムに入力されるか、誰がアクセス権限を有するか、データが転送されるか否か、保管期間、そして従業員退職時の削除プロセスが示されている必要があります。
6. 提出期限と更新:書類を運用プロセスとして管理する
書類は常に用意されていなければならず、個人データ保護専門機関による検査・評価に対応できる状態を維持する必要があります。個人データ管理者および個人データ管理・処理者は、個人データ処理を行った日から60日以内に、オンライン、直接持参、または郵便サービスのいずれかの方法により正本1部を提出しなければなりません。
書類は初回提出で終わるものではありません。現行の更新メカニズムによれば、以下のとおりです。
- 新たな処理目的が発生した場合、または処理に関与する当事者に変更・追加が生じた場合、初回提出日から6か月を周期として書類を更新する。
- 企業の組織再編、事業停止、解散または破産があった場合、個人データ保護サービスを提供する組織・個人に関する情報が変更された場合、または書類に登録された処理関連の業種・サービスに変更・追加が生じた場合は、10日以内に更新する必要がある。
これが、M&A、組織再編、ビジネスモデルの変更、直接販売チャネルの導入、新規プロバイダーの起用、または技術システムの拡張といった場面において、社内承認プロセスに個人データの確認ステップを組み込む必要がある理由です。事象が完了してから初めて確認を行うのでは、正確な評価に必要な情報が不足しがちであり、更新期限を逃しやすくなります。
7. 個人データ保護担当者:形式的な肩書きにとどまらない
法律は、機関・組織に対し、十分な能力要件を満たす個人データ保護担当部門または担当者を指定するか、あるいは個人データ保護サービスを提供する組織・個人に委託することを求めています。個人データ保護担当者または担当部門の指定は正式な文書によって行われ、役割分担、機能、任務、権限、および関連要件を明示する必要があります。
指定される担当者は、政令第356/2025/ND-CP号に定める能力要件を満たす必要があります。具体的には、短期大学卒業以上の学歴を有し、法務、情報技術、サイバーセキュリティ、データセキュリティ、リスク管理、コンプライアンス、HR、または人事組織といった関連分野で少なくとも2年の実務経験を有し、かつ個人データ保護に関する法律および専門スキルについての研修・育成を受けていることが求められます。
企業はすべてのケースで独立した部門を新設する必要は必ずしもありません。しかし、責任を委ねられた者または部門は、HR、IT、法務、情報セキュリティ、購買、営業、経営陣の間で調整を行う能力を有していなければなりません。グループ体制の下では、ベトナムにおける窓口担当者も、書類を実態に即して完成させるために、親会社やプロバイダーからの情報にアクセスする権限を有する必要があります。
8. FDI企業が早期に確認すべき状況
8.1. グローバルプラットフォームの利用およびベトナム国外でのクラウド保管
グループまたは海外プロバイダーが運営するメール、クラウド、HRIS、CRM、または分析ツールの利用は、個人データの越境移転活動に該当し得ます。個人データ処理影響評価書類は、個人データ越境移転影響評価書類と同一のものではなく、両方の義務が並行して発生する可能性があります。
法律には、越境データ移転影響評価を実施しなくてよい場合がいくつか定められており、その一つとして、機関・組織が自社の従業員の個人データをクラウドコンピューティングサービス上に保管する場合が挙げられています。ただし、企業はこの例外をグループ内でのあらゆるHRデータ共有活動に広く適用できると推論すべきではありません。目的、データ、アクセス範囲、受領者、プラットフォーム、および具体的な適用条件を確認する必要があります。
8.2. 親会社による応募者または従業員データの要求
採用承認、社内異動、経営幹部評価、従業員向け株式報酬プログラム、またはコンプライアンス調査に関する要求は、しばしばベトナム法人の外部へのデータ共有を伴います。HR部門は、グループからの要求に従ってデータを送付するだけでなく、処理の根拠、適切な通知または同意、必要最小限の範囲、グループ内部の合意、越境データ移転に関連する義務を確認する必要があります。
8.3. プロバイダーの変更またはAIの導入
勤怠管理ソフトウェアから顔認証機能を備えたプラットフォームへの切り替え、カスタマーサポートへのチャットボットの導入、履歴書のスクリーニングへのAIツールの利用、または新規マーケティングプロバイダーの起用は、いずれもデータの種類、目的、処理者、リスクに変化をもたらし得ます。これらは、契約締結前またはシステム稼働前に評価すべき事象であり、導入後に事後的に補完すべきものではありません。
9. 書類準備のための実務的なロードマップ
- 窓口担当者とプロジェクト範囲の指定。ベトナム法人、支店、駐在員事務所、部門、そして確認対象となるシステムの範囲を特定する。
- データマップの作成。HR、顧客、プロバイダー、ウェブサイト、カメラ、セキュリティ、コンプライアンス、テクノロジーの各業務プロセスに沿って確認する。
- 各当事者の役割の分類。管理者、管理・処理者、処理者、第三者を明確にし、契約内容および実際のシステムと照合する。
- 基礎資料の確認。プライバシー通知、必要に応じた同意取得フォーム、データ保管・削除ポリシー、アクセス権限の割り当て、データ主体からの請求への対応プロセス、プロバイダーとの契約条項を含む。
- リスク評価と軽減措置の検討。「暗号化している」と述べるだけでなく、どのデータが、どの時点で暗号化されているか、鍵を誰が管理するか、誰にアクセス権限が付与されているか、インシデント対応プロセスを特定する。
- 様式の完成、証拠の保管、書類の提出。併せて、6か月周期および10日以内の更新事象を追跡するための確認スケジュールを設定する。
まとめ
個人データ処理影響評価書類は、企業の実際の運用と結び付けて対応すべきコンプライアンス義務であり、特にグループシステム、クラウド、または複数国のプロバイダーを利用するFDI企業にとって重要です。企業は各当事者の役割を正確に特定し、データフロー全体をマッピングし、法定期限内に書類を準備し、そしてHR、テクノロジー、契約、組織再編に関する変更の承認プロセスに個人データの確認を組み込む必要があります。
よくある質問
1) 人事データのみを処理しているFDI企業も書類を作成する必要がありますか?
通常、義務が発生する可能性があります。人事データは、採用、労働管理、給与支払い、社会保険、社内運営といった活動の中で処理される個人データだからです。企業は、結論を出す前に、処理における自社の役割、企業形態、および個別に適用される特例の有無を確認する必要があります。
2) 親会社がすでにグローバルなプライバシーポリシーを有している場合、ベトナム法人は独自の書類が必要ですか?
グローバルポリシーは有用な文書ですが、ベトナム法人の書類を自動的に代替するものではありません。書類は、ベトナム法人が実際に扱うデータ、システム、目的、プロバイダー、アクセス権限者、データフローを反映している必要があります。
3) 書類の提出期限はどれくらいですか?
個人データ管理者および個人データ管理・処理者は、個人データ処理を行った日から60日以内に正本1部を提出しなければなりません。企業は、新たな活動ごとに処理開始時点を特定し、その証拠を保管しておくことが望まれます。
4) 書類はプロジェクトごと、または部門ごとに作り直す必要がありますか?
影響評価は事業活動期間を通じて一度実施されますが、変更があった場合には更新する必要があります。実務上、企業は業務プロセスごとの付属書類や一覧表を伴う全体的な書類を1件管理することで、情報の網羅性、確認のしやすさ、実態との整合性を確保することができます。
5) 海外グループのクラウドやHRISを利用している場合、他に留意すべき点はありますか?
あります。個人データ処理影響評価書類に加え、その活動が個人データの越境移転に該当するかどうかを評価する必要があります。一部の例外が具体的な状況において適用され得ますが、グローバルクラウドの利用が常に適用除外になると想定すべきではありません。
6) 企業は独自の個人データ保護部門を必ず設置しなければなりませんか?
法律は、十分な能力要件を満たす担当者または部門を指定すること、あるいは個人データ保護サービスを提供する組織・個人に委託することを認めています。適切な体制は、データ処理の規模、機微性の程度、システムの数、企業のガバナンス構造によって異なります。
7) 給与計算プロバイダーやCRMを変更した場合、書類の更新が必要ですか?
可能性は高いといえます。この変更により、処理者、データフロー、セキュリティ対策、リスクが変化し得るためです。企業は、システム稼働後に対応するのではなく、プロバイダーの選定・契約締結プロセスに個人データの評価を組み込むことが望まれます。
8) 同一システムを共用する複数の企業を有するグループは、1社のみが代表として書類を提出できますか?
企業がHRIS、ERP、CRM、クラウド、またはグループのシステムを共用しているという理由だけで、そのように前提とすべきではありません。義務は、個人データ処理活動における各法人の実際の役割に基づいて特定する必要があります。傘下企業が自社の業務に属するデータについて自ら処理の目的や方法を決定している場合、各社に対応する義務をそれぞれ評価する必要があります。グループは、準備作業を軽減するために多くの文書、ポリシー、システム図、セキュリティ基準を共用することができますが、それでも書類が各当事者の役割と処理活動を正しく反映していることを確保する必要があります。複雑なグループ構造の場合は、書類の作成・提出方針を決定する前に、具体的なデータ処理モデルを確認することが望まれます。
結論
FDI企業にとって、個人データに関するコンプライアンスは、部門横断的なガバナンス活動として展開されるべきものです。影響評価書類は、企業の実際の運用方法、特にHR、テクノロジー、プロバイダーとの契約、そしてグループ内でのデータ共有が交差する場面を正しく反映して初めて有用なものとなります。
TT Collabによるサポート
TT Collabは、企業のデータ処理モデルの確認、各当事者の法的な役割の特定、データマップの作成、国内および越境データフローの評価、プロバイダーとの契約の確認、個人データ処理影響評価書類の作成、そしてベトナムにおける実際の事業活動に即した書類更新プロセスの設計を支援することができます。
参考法令
- 個人データ保護法第91/2025/QH15号。
- 個人データ保護法の一部条項および施行措置を詳細に規定する政令第356/2025/ND-CP号。
- サイバーセキュリティおよび個人データ保護分野における行政処分を規定する政令第330/2026/ND-CP号。
注記:本記事の内容は一般的な情報提供のみを目的としており、個別の事案に対する法務・税務・投資に関する助言に代わるものではありません。規定およびその適用は、時期、地域、業種、企業の状況により変わり得ます。
