はじめに
ベトナムに進出する外資系企業(FDI企業)にとって、個人データ保護はもはやIT部門だけの課題ではありません。人事データがグローバルHRシステムに取り込まれ、顧客データが本社のCRMに同期され、工場には顔認識機能付きカメラが設置され、採用プラットフォーム、デジタルマーケティング、クラウドサービス、AIツールなど、いずれも法的義務を発生させる可能性があります。
ベトナムの法的枠組みは、政令13/2023/ND-CPから2025年個人データ保護法およびその施行細則へと移行しています。本稿では、FDI企業がどのような場面で義務が発生するのかを把握し、システム導入や本社へのデータ移転を行う前に確認すべき事項を整理し、実際の事業運営に適したコンプライアンス対応を構築するための視点を提供します。
1. FDI企業は適用対象となるか
結論として、多くの場合は適用対象となります。個人データ保護法は、ベトナムで活動する外国組織に適用されるとともに、ベトナム国民等の個人データの処理に直接関与または関連する外国の組織・個人にも適用されます。
したがって、サーバーやCRM、クラウドプラットフォームを海外に置いているからといって、その処理活動がベトナム法の適用範囲外になるとは限りません。海外の親会社が、ベトナムの従業員、顧客、取引先のデータを受領・アクセス・分析し、あるいは処理目的を決定している場合、親会社自身がベトナムにおける義務に関与している可能性があります。
実務上、FDI企業はまず次の問いから検討を始めるべきです。「特定の個人を識別できるデータは何か、そのデータはどのシステムを経由しているか、そしてそのデータの利用目的を決定しているのは誰か」。この3点が明確でない限り、義務の有無を評価する十分な材料がないことになります。
1.1. 「処理」の概念は保存よりも広い
個人データの処理には、収集、分析、統合、暗号化、編集、削除、破棄、非識別化、提供、公開、移転など多くの行為が含まれます。したがって、データを直接販売していない企業や、消費者向けのデジタルプラットフォームを運営していない企業であっても、義務が発生する可能性があります。
例えば、以下のような活動は見直しの対象となることが多くあります。
- 応募者のプロフィール、写真、身分証明書、家族情報、職歴の収集
- 指紋・顔認識による勤怠管理、配送スタッフの位置管理
- ベトナムの顧客リストを本社のCRMシステムに同期する処理
- 給与計算、採用、カスタマーサポート、クラウド保存、マーケティングにおける外部委託先の利用
- 通話データ、アクセス行動、購買履歴を用いたセグメント化や広告配信
- AIツール、ビッグデータ基盤、統合分析システムへのデータ投入
2. 最初のステップ:データの分類と各当事者の役割の正確な特定
すべてのデータが同じリスクレベルにあるわけではありません。同法は基本個人データと機微個人データを区別しており、その詳細な区分は政令356/2025/ND-CPで規定されています。
基本データには、氏名、生年月日、連絡先、写真、電話番号、身分証明書またはパスポート番号、デジタルアカウント情報などが含まれます。一方、機微データには、健康情報、生体データ、位置情報、金融口座・取引データ、電子的な本人確認情報、オンラインサービスの利用行動を追跡するデータなど、より高リスクの複数のカテゴリーが含まれます。
FDI企業にとっては、グループ共通の社内規程で「confidential」と分類しているだけでは不十分です。ベトナム法の分類に対応したデータマップを整備する必要があります。企業が通常の業務データと考えているデータが、ベトナムでは機微データに該当する場合があるためです。
2.1. 処理上の役割を特定し、責任を正しく配分する
同法は、個人データ管理者、個人データ処理者、個人データ管理・処理者、および第三者という主要な役割を区別しています。役割の特定は、グループ内契約上の名称のみに依拠すべきではなく、実質的に誰が目的を決定し、誰が手段を選択し、誰が実際に処理を行っているかを見極める必要があります。
| シナリオ | 確認すべき点 | 誤って判断した場合のリスク |
|---|---|---|
| ベトナム法人が外部の給与計算ソフトを利用 | データの種類、目的、保存期間を決定しているのは誰か | インシデントや従業員からの請求発生時に責任分担が契約上不明確になる |
| 親会社が運用するグローバルCRM | 親会社はインフラ提供のみか、それとも顧客データの利用目的も決定しているか | 越境データ移転義務や各拠点間の責任分担が漏れる |
| 顧客情報を収集する代理店 | 指示に従って収集しているのか、独自の目的でデータを利用しているのか | 通知または同意の範囲を超えたデータ共有が発生する |
役割を正しく整理することは、データ処理契約の作成、データ主体の権利対応プロセスの設計、および違反発生時に主たる責任を負う主体の特定の基盤となります。
3. 同意はデフォルトのチェックボックスとして扱うべきではない
原則として、個人データの収集にはデータ主体の同意が必要であり、法律が同意なしの処理を認める場合を除きます。同意が有効となるのは、データ主体が自発的に、かつ処理されるデータの種類、処理目的、管理者または管理・処理者、関連する権利・義務を明確に理解した上で行われた場合に限られます。
同意は明確かつ具体的であり、記録または検証可能でなければならず、沈黙や無回答は同意とみなされません。また、同意は目的ごとに分けて取得する必要があり、関連性のない複数の目的を一つの包括条項にまとめることは認められません。
この点は、以下のような場面で特に重要になります。
- 家族情報、健康情報、経歴を収集する採用フォーム
- マーケティング、行動分析、グループ内共有を組み合わせたロイヤルティプログラム
- 職場に設置される監視カメラ、位置追跡ツール、生体認証機器
- 位置情報、連絡先、写真、デバイス識別へのアクセス権を要求するモバイルアプリ
- AI、スコアリング、需要予測、顧客体験の個人化を目的としたデータ分析
企業は、雇用関係や顧客との契約関係が常に同意要件の代替になるとは限らないことを認識すべきです。一部の処理は契約の履行その他の法的根拠に基づくことができますが、その根拠は個々の処理目的ごとに評価される必要があり、適切な監督メカニズムを備えていることが求められます。
4. FDI企業が整備すべき主要な運用上の義務
4.1. 個人データ処理影響評価書
個人データ管理者および個人データ管理・処理者は、処理を開始した日から60日以内に、個人データ処理影響評価書を作成、保管し、個人データ保護の専門機関に提出しなければなりません。ただし、法律上免除される場合や特別な取扱いが適用される場合を除きます。
これは法務部門だけで単独に完成できるフォームではありません。評価書には、実際のデータフロー、すなわちデータの出所、種類、アクセス権者、保存システム、関与するベンダー、保存期間、想定されるリスク、実施している管理措置を反映させる必要があります。
評価書は事業活動期間中に一度作成しますが、法令で定める変更が生じた場合には更新が必要です。例えば、新たな処理目的が追加された場合や、処理に関与する当事者が追加・変更された場合には、初回提出日から6か月ごとの更新が必要となることがあります。また、法令上重要な変更として定められる一部の事象については、その事象の発生から10日以内に更新する必要があります。そのため、企業は変更管理の仕組みを設け、更新時期と対象範囲を適切に判断できるようにすべきです。
4.2. 個人データ保護担当の人員または部署の指定
機関・組織は、個人データ保護に十分な能力を有する部署または人員を指定する責任を負い、あるいは適切なサービスを提供する組織・個人を委託する責任を負います。この指定は正式な文書として行われるべきであり、IT担当者や法務担当者への非公式な業務割り当てで済ませるべきではありません。
FDI企業においては、法務・コンプライアンス、IT・情報セキュリティ、人事、マーケティングまたは営業、そしてグループのデータガバナンス担当者を含むクロスファンクショナルなチームが適したモデルとなることが多いです。ベトナムの担当者は、各部門に情報提供を求め、ベンダー評価に参加し、インシデント対応プロセスを起動できる十分な権限を持つ必要があります。
4.3. ベンダーおよびグループ内拠点との契約管理
ソフトウェアベンダー、コールセンター、人事アウトソーシング、クラウド事業者、マーケティング会社とサービス契約を締結したからといって、FDI企業が引き渡したデータに関する責任を自動的に免れるわけではありません。処理者は、管理者または管理・処理者との合意または契約に従ってのみデータを受領・処理することができます。
したがって、契約書またはデータ処理に関する付属契約においては、少なくとも、処理目的、データの種類とデータ主体、指示の範囲、保護措置、サブプロセッサー利用のメカニズム、データ主体の権利行使への協力、保存期間、削除または返還、インシデント通知、コンプライアンス確認の仕組みを明確にする必要があります。
特に、グローバル標準に基づくグループ内契約は、そのまま適用するのではなく、ベトナム固有の要件を追加する必要がある場合があります。
5. 個人データの越境移転:グループ体制の中で見落とされやすい点
同法は、単にデータファイルを海外に送付する行為だけでなく、より広い範囲を個人データの越境移転として捉えています。義務は、ベトナムに保存されているデータがベトナム領域外に置かれたシステムに移転される場合、データが外国の組織・個人に提供される場合、またはベトナム国内もしくは海外の組織が海外のプラットフォームを利用してベトナムで収集されたデータを処理する場合に発生する可能性があります。
これは、グループの集中的なガバナンスモデルにとって重大なリスクとなります。地域統括拠点の担当者が海外に置かれたCRM、人事ダッシュボード、分析プラットフォームにアクセスする行為も、評価が必要な越境データ移転活動の一部となり得ます。
原則として、越境データ移転を行う組織・個人は、最初の移転が行われた日から60日以内に、個人データ越境移転影響評価書を作成し提出しなければなりません。ただし、法律および施行政令に基づく免除の場合を除きます。この評価書も、影響評価書に適用される仕組みに従って更新する必要があります。
法律は一定の例外を設けており、組織が従業員の個人データをクラウドコンピューティングサービス上に保存する場合などが該当します。また政令356/2025/ND-CPは、労働に関する規則・規程および労働協約に基づく越境人事管理など、いくつかの追加的な状況も規定しています。しかし、企業はこの例外を、すべての人事データやグループの全クラウドプラットフォームが免除されると拡大解釈すべきではありません。サービスの具体的な構造、データの種類、利用目的、労働規程、実際のアクセスフローを個別に確認する必要があります。
新たなグローバルシステムを導入する前に、企業はプロジェクトチームに対し、以下を文書で回答させることが望まれます。
- データはベトナムで収集されているか
- サーバー、プラットフォーム、サポートチーム、サブプロセッサーはどこに置かれているか
- 親会社または関連会社にどのようなアクセス権が付与されているか
- データには機微情報、生体データ、健康情報、金融情報、オンライン行動情報が含まれているか
- その移転は影響評価書の作成が必要な場合に該当するか、または具体的な免除根拠があるか
6. インシデント対応とペナルティリスク
企業は、データインシデントを単なる技術的な問題ではなく、危機管理上の課題として捉えるべきです。違反は、サイバー攻撃、誤送信、アクセス権限の設定ミス、デバイスの紛失、従業員による個人端末へのダウンロード、委託先の侵害、目的外利用などから生じ得ます。
国防、国家安全、社会秩序・安全に損害を与える可能性がある違反、またはデータ主体の生命、健康、名誉、人格、財産を侵害する可能性がある違反を認識した場合、管理者、管理・処理者または第三者は、認識してから遅くとも72時間以内に個人データ保護の専門機関に通知しなければなりません。処理者は、管理者または管理・処理者に速やかに通知する必要があります。
この時間的制約に対応するためには、あらかじめ、誰が警告を受け付けるか、誰が影響度を評価するか、誰が通知の承認権限を持つか、誰が親会社やベンダーと連携するか、そして証拠やインシデント記録をどのように保管するかを定めた手順を整備しておく必要があります。
リスクは、復旧コストやレピュテーション上の損失にとどまりません。同法は、個人データの越境移転に関する規定に違反した組織に対する罰金の上限を、直前年度の収益の最大5%と定めています。直前年度の収益がない場合、または収益の5%を基準に算定した金額が30億ベトナムドンを下回る場合には、罰金の上限として30億ベトナムドンが適用されます。個人データ保護分野におけるその他の違反行為についても、罰金の上限は30億ベトナムドンです。政令330/2026/ND-CPは、サイバーセキュリティおよび個人データ保護分野における行政処分についてより詳細な規定を設けています。
7. FDI企業が直ちに見直すべきタイミング
| 事業上の出来事 | 実施前に確認すべき事項 | 関与すべき部門 |
|---|---|---|
| グローバルERP、HRIS、CRMの導入 | 海外へのデータフロー、グループ各拠点の役割、影響評価書、アクセス権限、社内契約 | IT、人事、法務、コンプライアンス、グループガバナンス |
| AIカメラや生体認証による勤怠管理の導入 | 機微データ、通知・処理根拠、物理的セキュリティ対策、アクセス権限管理 | 人事、総務、警備、IT、法務 |
| 給与計算、採用、コールセンター業務の委託 | 処理上の役割、データ処理付属契約、サブプロセッサー利用権限、インシデント通知手順 | 調達、人事、法務、IT |
| デジタル広告や顧客向けアプリの展開 | 目的ごとの同意、クッキーや行動データ、広告プラットフォームへのデータ共有 | マーケティング、営業、IT、法務 |
| M&Aや組織再編 | デューデリジェンスにおけるデータ共有範囲、移転根拠、データルームのアクセス管理、取引後の処理継続計画 | 経営陣、M&Aチーム、法務、IT、人事 |
8. コンプライアンスを実務に定着させるための実践的ロードマップ
有効な個人データ保護プログラムは、必ずしも大規模なITプロジェクトから始める必要はありません。企業は以下の優先順位で進めることが望まれます。
- データマップの作成: 対象システム、データの種類、データ主体、保存場所、アクセス権者、関連ベンダーを特定する。
- リスクレベルの分類: 機微データ、人事データ、大規模な顧客データ、生体・位置データ、海外へ移転されるデータを優先的に確認する。
- 法的役割の整理: データフローごとに、管理者、処理者、管理・処理者、第三者のいずれに該当するかを特定する。
- 基礎文書の整備: データ処理通知、同意取得・記録の仕組み、社内規程、データ主体の権利対応プロセス、ベンダー契約を見直す。
- 文書関連義務の整備: 個人データ処理影響評価書、越境移転影響評価書、およびこれらの更新に関する要件を評価する。
- インシデント対応体制の構築: プレイブックを作成し、担当者を割り当て、ベンダーからの通知義務を求め、定期的な訓練を実施する。
- 職務別トレーニングの実施: 人事、営業、マーケティング、IT、警備、カスタマーサービス、管理職それぞれが異なるリスクを理解できるようにする。
中小企業やスタートアップは、法律施行から5年間、影響評価書、その更新、および個人データ保護担当部署・人員の指定に関する一部の義務を実施しないことを選択できる場合があります。ただし、個人データ処理サービスを事業として提供する企業、機微データを直接処理する企業、または処理した個人データ主体数の累積が10万人に達した企業には適用されません。この取扱いは、他の個人データ保護義務を包括的に免除するものではなく、FDI企業は資本規模や従業員数だけに基づいて判断せず、実際の状況を評価する必要があります。
まとめ
ベトナムにおける個人データ保護は、企業ガバナンス、ベンダーガバナンス、そして越境リスク管理の一部として捉えるべき課題です。FDI企業にとって優先すべき事項は、データマップの整備、ベトナム法人とグループ間の役割整理、同意管理の徹底、海外のクラウドやCRMシステムの見直し、影響評価書の整備、そして短い期限内でのインシデント対応プロセスの準備です。システム稼働後に対応するよりも、導入前に見直しを行うほうが、コストと事業への影響の両面で大幅に軽減されます。
よくある質問
1) 従業員データのみを処理しているFDI企業でも遵守が必要ですか?
はい。採用記録、給与情報、身分証明書、銀行口座情報、勤怠データ、カメラ映像、生体データなどの人事データは、いずれも個人データに該当し得ます。これらのデータがグループ共通システムや海外のクラウドプラットフォームに取り込まれる場合には、個人データの越境移転に関する義務も併せて評価する必要があります。
2) 政令13/2023/ND-CPに基づき取得した同意は再取得が必要ですか?
必ずしも必要ではありません。個人データ保護法の施行前に、政令13/2023/ND-CPに基づく同意または合意を得て既に実施している処理活動については、同意や合意を再取得する必要なく継続することができます。ただし、目的、データの種類、データの受領者、または処理方法に変更がないかどうかは確認しておくべきです。
3) Microsoft 365、Google Workspace、あるいはグループのクラウドを利用することは、自動的に個人データの越境移転に該当しますか?
ベンダー名だけで判断することはできません。企業は、システムの設置場所、バックアップの保存場所、海外サポートチームのアクセス権限、プラットフォームに投入されるデータの種類、利用目的を確認する必要があります。ベトナム領域外に置かれたプラットフォームを利用して、ベトナムで収集したデータを処理する場合、個人データの越境移転に該当する可能性があります。
4) サービス提供者が企業に代わって責任を負うのですか?
いいえ。サービス提供者はその役割に応じた責任を負いますが、処理の目的および手段を決定する企業は、依然として管理者または管理・処理者としての責任を果たす必要があります。契約書で責任分担を明確にすべきですが、契約は法令遵守義務そのものに代わるものではありません。
5) 企業は専任のDPOを任命する必要がありますか?
法律は、機関・組織が個人データ保護に十分な能力を有する部署または人員を指定すること、あるいは適切なサービスを提供する組織・個人に委託することを求めています。規模やリスクレベルに応じて、専任の担当者を配置する、十分な能力を有する人員に兼務させる、または外部サービスを利用するといった対応が考えられます。指定は正式な文書として行うべきです。
6) 72時間以内の通知が必要になるのはどのような場合ですか?
国防、国家安全、社会秩序・安全に損害を与える可能性がある違反、またはデータ主体の生命、健康、名誉、人格、財産を侵害する可能性がある違反を認識した場合、責任を負う当事者は、認識してから遅くとも72時間以内に個人データ保護の専門機関に通知しなければなりません。状況の評価は、IT、法務、および権限を有する管理職の関与のもと、直ちに行われるべきです。
結論
FDI企業にとって、個人データ保護に関するコンプライアンスは、テクノロジー導入の意思決定、人事管理、ベンダー選定、そしてグループ全体のシステム運用の中に組み込まれるべき事項です。重要なのは、単にプライバシーポリシーを整備していることではなく、実際のデータフローを理解し、管理し、統制していることを示せるかどうかです。
TT Collabによるサポート
TT Collabは、コンプライアンス上のギャップの確認、データマップの作成、ベトナム法人とグループ間の処理上の役割の整理、越境データ移転活動の評価、影響評価書の作成支援、ベンダー契約の見直し、そしてデータ主体の権利対応やインシデント対応に関する社内プロセスの設計を支援することができます。
参考法令
- 個人データ保護法 第91/2025/QH15号
- 個人データ保護法の一部条項および施行措置を規定する政令第356/2025/ND-CP号
- サイバーセキュリティおよび個人データ保護分野における行政処分を規定する政令第330/2026/ND-CP号
注記:本記事は一般的な情報提供を目的としたものであり、個別の事案における法務、税務、投資に関する助言に代わるものではありません。規定およびその適用は、時期、地域、業種、および企業の状況によって変わる可能性があります。
