※本稿は2026年3月時点の法令・制度に基づく一般的な情報提供であり、個別の法的助言を構成するものではない。具体的な対応にあたっては専門家への相談を推奨する。

はじめに

「うちは製造業だから、個人情報保護は関係ない」──もしそう思っているなら、それは危険な誤解だ。

従業員を雇う。健康診断を受けさせる。給与を銀行振込にする。監視カメラを工場に設置する。入退室管理に指紋認証を導入する。日本本社に月次の人事レポートを送る。これらすべてが、ベトナムの個人データ保護規制の対象になる。

ベトナムは2023年7月に初の包括的な個人データ保護規制であるDecree No. 13/2023/ND-CPを施行し、さらに2026年1月には罰則を大幅に強化した個人データ保護法（PDP Law）が施行される。日本の個人情報保護法とは異なるルールが多く、日本の感覚のままでいると思わぬ法令違反を犯すことになる。

第1章 ベトナムの個人データ保護 ── 急速に整備された法体系

なぜ急に厳しくなったのか

ベトナムにはもともと包括的な個人データ保護の法律がなかった。サイバーセキュリティ法2018やその他の散在する規定で対応していたが、ASEAN域内での個人データ保護の国際的な要請と、デジタル経済の急成長に伴い、包括的な規制が急務となった。

その結果、わずか数年の間に三つの重要な法令が矢継ぎ早に整備された：

  1. Decree No. 13/2023/ND-CP（2023年7月施行）：初の包括的な個人データ保護規制
  2. データ法（Law No. 60/2024/QH15）（2025年7月施行）：データ全般の管理・保護の基本法
  3. 個人データ保護法（PDP Law）（2026年1月施行予定）：Decree 13を法律レベルに格上げし、罰則を大幅に強化

誰が対象か

Decree 13は域外適用を持つ。ベトナム国内で活動する企業はもちろん、ベトナム国外からベトナム国籍者の個人データを処理する企業にも適用される。

つまり、ベトナムに進出した日系企業は、例外なく適用対象となる。

第2章 「基本データ」と「機微データ」── 日本より広い「機微」の範囲

Decree 13は個人データを二つに分類している。

基本個人データ

氏名、生年月日、性別、住所、電話番号、メールアドレス、身分証明書番号、パスポート番号、婚姻状況、画像・音声データなどが該当する。

機微個人データ

ここが日本と大きく異なるポイントだ。日本の個人情報保護法における「要配慮個人情報」は、人種、信条、社会的身分、病歴、犯罪歴などに限定されている。

一方、ベトナムのDecree 13では以下のものも「機微個人データ」に含まれる：

  • 銀行口座情報、クレジットカード情報：日本では「要配慮」には含まれない
  • 生体データ（指紋、顔認証データ等）：工場の入退室管理で指紋認証を使う場合は要注意
  • 位置情報データ：社用車のGPS追跡なども対象となりうる
  • 健康状態、医療記録：定期健康診断の結果も機微データ

機微個人データを処理する場合、より厳格な保護措置が求められ、データ保護影響評価（DPIA）の実施が必須となる。

第3章 同意のルール ── 「プライバシーポリシーを掲示すれば済む」は通用しない

事前同意が原則

Decree 13の下では、個人データの処理には原則として本人の事前同意が必要だ。この同意は以下の要件を満たさなければならない：

  • 自発的であること：雇用継続の条件にするなどの強制は認められない
  • 十分な情報提供の上で取得すること：処理の目的、データの種類、データが共有される相手方、データ主体の権利について明確に説明する
  • 書面または電子的に記録すること：口頭の同意では足りない
  • 撤回可能であること：本人はいつでも同意を撤回できる

日本では利用目的を通知・公表すれば足りる場面が多いが、ベトナムでは個別の同意取得が求められる。ウェブサイトにプライバシーポリシーを掲示するだけでは不十分だ。

2026年の法改正でさらに厳格に

PDP Law（2026年1月施行）では、沈黙や無応答は同意とみなされないことが明文化される。「反対がなかったから同意したとみなす」というアプローチは完全に否定された。

第4章 越境データ移転 ── 日本本社への報告が「違法」になりうる

日系企業が最も見落としやすいリスク

ベトナムに子会社を設立した日系企業が必ず直面するのが、日本本社への各種レポーティングだ。月次の人事レポート、従業員名簿、給与台帳の共有──こうした日常的な業務が、ベトナムの法律では「越境データ移転」に該当する。

Decree 13の下では、越境データ移転を行う場合、以下の手続きが必要となる：

  1. データ主体（従業員）からの個別同意の取得：越境移転について個別に同意を得る
  2. 移転影響評価書（TIA）の作成：所定の様式で、移転するデータの種類、移転先、保護措置などを詳細に記載
  3. 公安省A05局への提出：移転開始から60日以内に提出
  4. 移転後の通知：移転が成功した後、A05局に書面で通知
  5. 定期的な更新：内容に変更がある場合は随時、PDP Lawの下では6ヶ月ごとの更新

クラウドサービスも要注意

越境データ移転の定義は広い。物理的にデータを送信する場合だけでなく、ベトナム国外のサーバーで個人データが処理される場合も越境移転に該当する。つまり、海外のクラウドサービスを利用して従業員データや顧客データを管理している場合、それだけで越境移転の規制が適用される可能性がある。

会計ソフトや人事管理システムがクラウドベースの場合、サーバーの所在地がベトナム国内かどうかの確認が不可欠だ。

PDP Lawでの緩和措置

2026年施行のPDP Lawでは、TIA（移転影響評価）に一部の免除規定が導入される。社内利用目的でのクラウド上の従業員データ保存は免除対象となる見込みだが、詳細は施行細則の公布を待つ必要がある。

第5章 DPO（データ保護責任者）の任命義務

機微個人データを処理する管理者・処理者は、以下の体制を整備しなければならない：

  • データ保護担当部署（DPD）の設置
  • データ保護責任者（DPO）の任命
  • DPD・DPOの情報を公安省A05局に届出

従業員の健康診断データや銀行口座情報を扱う以上、ほぼすべての企業がこの義務の対象となる。DPOは専任である必要はなく、他の業務と兼務することも可能だが、データ保護に関する十分な知識を持つ人物を任命することが求められる。

第6章 72時間ルール ── データ主体の権利行使への対応

Decree 13はデータ主体に幅広い権利を認めている：

  • 自分のデータにアクセスする権利
  • 不正確なデータの訂正を求める権利
  • データの削除を求める権利
  • データの処理を制限する権利
  • データポータビリティの権利

重要なのは、これらの権利行使の要求に対して72時間以内に対応・完了しなければならないことだ。日本の個人情報保護法にはこのような具体的な期限は設けられていない。従業員が退職する際に「自分の個人データをすべて削除してほしい」と要求した場合、3日以内に対応しなければならない。

第7章 想定される失敗パターン

パターン1：「日本と同じだろう」と思い込む

日本の個人情報保護法の感覚で対応し、同意書を取らずに従業員データを日本に送信。数年後の監査で越境移転の手続き不備を指摘され、罰金を科される。

パターン2：クラウドサービスの落とし穴

海外のSaaSサービスで人事管理や会計処理を行っているが、「クラウドだから問題ない」と考えている。サーバーが海外にある場合、越境移転規制に抵触する。

パターン3：指紋認証の導入で思わぬ規制

工場のセキュリティ強化のために指紋認証による入退室管理を導入。しかし指紋データは「機微個人データ」に該当し、DPIAの実施とDPOの任命・届出が必要。事前の法的整理なしに導入すると法令違反となる。

パターン4：退職者からのデータ削除要求

退職した従業員がすべての個人データの削除を要求。しかし、税務記録や社会保険記録は法定保存期間があるため削除できない。どのデータを削除すべきでどのデータを保持すべきかの整理ができていないとパニックになる。

日本との違い ── 「日本の常識が通じない」ポイント

  1. 同意要件の違い

日本では利用目的の通知・公表で足りる場面が多い。ベトナムでは原則としてすべての処理に事前の明示的同意が必要。

  1. 機微データの範囲

日本の「要配慮個人情報」は人種、信条、病歴等に限定されている。ベトナムでは銀行口座、生体データ、位置情報まで含まれ、範囲が格段に広い。

  1. 越境移転の手続き

日本では十分性認定国への移転は比較的簡易。ベトナムでは一律に同意取得と影響評価書の作成・政府機関への提出が必要。

  1. 対応期限の明確さ

ベトナムでは72時間以内の対応義務がある。日本にはこのような明確な時間制限はない。

  1. 政府への届出義務

ベトナムではDPOの任命・届出、越境移転の影響評価書の提出など、政府機関への積極的な届出が求められる。日本の個人情報保護委員会への届出義務はこれほど広範ではない。

ここが変わった（2025〜2026年）

表：ここが変わった20252026年

まとめ：やっておくべきこと

  1. 従業員向けの個人データ処理同意書を作成する。 採用時に労働契約と合わせて取得する仕組みにする。越境移転についても個別に同意を得る

  2. 社内の個人データ処理を棚卸しする。 どのデータを、どのシステムで、どう処理しているかを一覧にする（データマッピング）

  3. 日本本社への報告で送信しているデータを特定し、越境移転影響評価書（TIA）を作成する。 移転開始から60日以内にA05局に提出する義務がある

  4. DPO（データ保護責任者）を任命し、A05局に届出する。 兼務でも構わないが、データ保護に関する知識を持つ人物を選ぶ

  5. 利用しているクラウドサービスのサーバー所在地を確認する。 海外サーバーで個人データが処理されている場合は越境移転規制の対象

  6. 指紋認証・顔認証を導入する場合は、事前にDPIA（データ保護影響評価）を実施する。 生体データは機微個人データに該当する

  7. データ主体からの権利行使要求に72時間以内に対応できる体制を整える。 対応フローと責任者を事前に決めておく

  8. 2026年1月施行のPDP Lawの施行細則の公布を注視する。 罰則が大幅に強化されるため、施行前にすべての対応を完了させておくべき