ベトナムで個人情報保護部署・担当者の指定/設置義務が拡大、2026年の個人データ保護法とサイバーセキュリティ法を解説

ベトナムでは2026年、個人データ保護とサイバーセキュリティをめぐる法制度が大きく変わりました。2026年1月1日に個人データ保護法（Law No. 91/2025/QH15）と施行政令（Decree No. 356/2025/ND-CP）が施行され、従来の個人データ保護政令（Decree No. 13/2023/ND-CP）は失効しました。さらに7月1日には、新たなサイバーセキュリティ法（Law No. 116/2025/QH15）が施行されています。日系企業にとって重要なのは、個人データを扱う組織には原則として担当部署・担当者の指定または外部委託が求められる一方、すべての民間企業へ一律に専任のサイバーセキュリティ担当者を置く制度ではない点です。

• 個人データ保護法とDecree 356は2026年1月1日に施行され、Decree 13を置き換えました
• 個人データを扱う機関・組織には、適格な個人データ保護部署・担当者の指定または外部サービスの利用が原則として求められます
• ベトナム法上の担当者は便宜上DPOと呼ばれますが、GDPRと同じ独立性や経営陣への直接報告が明文化された制度ではありません
• 社内担当者には大学相当以上の学歴、関連分野で2年以上の実務経験、個人データ保護に関する研修などの要件があります
• 小規模企業・スタートアップには一部義務について5年間の選択的猶予があり、家族経営事業者・零細企業には原則免除があります
• 機微データの直接処理、個人データ処理サービス、累計10万人以上のデータ主体に関する処理では特例を利用できません
• DPIAと越境移転影響評価は、処理または移転の開始から60日以内の提出が原則です
• 重大な個人データ保護違反は、検知から72時間以内の当局通知が求められます
• 新サイバーセキュリティ法は5段階の情報システム保護制度を採用しますが、全企業への専任担当者配置を一律に義務付けるものではありません

項目	内容
個人データ保護法	Law No. 91/2025/QH15
個人データ保護法の施行日	2026年1月1日
施行政令	Decree No. 356/2025/ND-CP
Decree 356の施行日	2026年1月1日
旧制度	Decree No. 13/2023/ND-CP。2026年1月1日に失効
データ法	Law No. 60/2024/QH15。2025年7月1日施行
新サイバーセキュリティ法	Law No. 116/2025/QH15
新サイバーセキュリティ法の施行日	2026年7月1日
DPO相当の義務	適格な担当部署・担当者を正式指定するか、外部の個人データ保護サービスを利用
社内担当者の主な資格	大学相当以上、関連分野で2年以上の実務経験、専門研修
DPIAの提出期限	個人データ処理開始から60日以内
越境移転影響評価の提出期限	最初の越境移転から60日以内
重大違反の通知期限	検知から72時間以内
小規模企業・スタートアップ	一部義務について施行から5年間、実施を選択可能
特例を利用できない主な条件	処理サービス提供、機微データの直接処理、累計10万人以上のデータ主体に関する処理
違法な越境移転の罰金上限	組織の直近前年度売上高の最大5％
個人データの違法売買の罰金上限	違反による収益の最大10倍
その他の違反の罰金上限	組織は最大30億VND、個人はその半額
サイバーセキュリティ担当者	全民間企業への一律の専任配置義務ではない
主な所管機関	ベトナム公安省

2026年に個人データ保護制度が法律へ格上げ

ベトナムでは2023年7月1日、Decree 13により包括的な個人データ保護制度の運用が始まりました。この段階では政令による規制であり、担当部署・担当者の指定は主として機微な個人データを処理する場合の追加措置として位置づけられていました。

2026年1月1日には、Law No. 91/2025/QH15とDecree 356が施行され、制度の法的基盤が政令から法律へ引き上げられました。Decree 356は同日付でDecree 13を失効させ、担当者の資格、職務、影響評価の様式、越境移転手続きなどを具体化しています。

2025年7月1日に施行されたデータ法は、個人データに限らず、デジタルデータ、重要データ、コアデータなどを対象とする横断的な制度です。個人データ保護法と対象が重なる場合には、Decree 356が個人データに関する影響評価手続きを整理しています。

日系企業は、個人データ保護法、データ法、サイバーセキュリティ法を一つの制度として混同せず、それぞれの対象と手続きを分けて確認する必要があります。

個人データを扱う組織は担当部署・担当者を指定

個人データ保護法第33条は、機関・組織に対し、必要な能力を備えた個人データ保護部署または担当者を指定するか、個人データ保護サービスを提供する組織・個人を利用する責任を定めています。

Decree 356第13条では、社内担当者または担当部署の指定を、正式な社内文書で行うことが求められます。文書には、職務、権限、責任、組織内での位置づけなどを明確に記載します。

社内の担当者には、次の能力要件があります。

• 大学相当以上の学歴
• 法務、情報技術、サイバーセキュリティ、データセキュリティ、リスク管理、コンプライアンス、人事・組織管理などの分野で2年以上の実務経験
• 個人データ保護に関する法律知識と専門技能の研修

外部の個人へ委託する場合は、関連分野で3年以上の実務経験など、社内担当者よりも長い経験要件が定められています。

担当部署・担当者の役割には、社内規程や手続きの整備、データ主体の権利への対応、定期的なコンプライアンス評価、DPIAと越境移転影響評価の作成、違反発生時の報告、教育、技術的対策、インシデント対応計画などが含まれます。

ベトナム法上のDPOはGDPRと同じ制度ではない

実務上は、ベトナム法の個人データ保護担当者をDPOと表記することが一般的です。ただし、法令本文では個人データ保護の担当者、担当部署、外部サービス提供者という枠組みが採用されています。

EU一般データ保護規則では、DPOの独立性、不利益な取り扱いの禁止、最高経営レベルへの直接報告などが明示されています。ベトナムの個人データ保護法とDecree 356には、同じ内容の独立性要件や直接報告義務が明文で置かれているわけではありません。

一方、担当者の資格、正式任命、職務・権限、秘密保持、研修などは具体的に定められています。日本本社でGDPR対応のDPO体制を設けている企業であっても、その体制をそのままベトナム法人へ適用すれば足りるとは限りません。

ベトナム法人の社内決定書、職務記述書、外部委託契約、DPIA書類に、現地法で求められる情報と責任を反映させる必要があります。

中小企業向けの猶予は一部義務に限られる

個人データ保護法第38条とDecree 356第41条は、小規模企業とスタートアップに対し、施行日から5年間、一部の義務を実施するかどうか選択できる特例を設けています。

対象となるのは、個人データ処理影響評価、影響評価書類の更新、個人データ保護部署・担当者の指定に関する規定です。個人データ保護法全体の適用が5年間停止される制度ではありません。

家族経営事業者と零細企業は、原則として同じ規定の適用が免除されます。

ただし、次のいずれかに該当する場合は、企業規模にかかわらず特例を利用できません。

• 個人データ処理サービスを提供している
• 機微な個人データを直接処理している
• 処理した個人データの累計規模が10万人以上のデータ主体に達している

10万人という基準は、データベースのレコード数ではなく、個人データの対象となる人の累計規模として確認する必要があります。

自社が小規模企業、スタートアップ、零細企業に該当するかは、ベトナムの企業分類に基づいて判断します。日本側の中小企業区分や従業員数だけで特例の適用を判断することは避けるべきです。

DPIAと越境移転影響評価は60日以内

個人データ管理者と管理・処理者は、個人データの処理を開始した日から60日以内に、個人データ処理影響評価の書類を作成・保存し、主管当局へ提出する必要があります。

越境移転についても、最初に個人データを国外へ移転した日から60日以内に、越境移転影響評価書類を作成して提出することが原則です。

越境移転には、ベトナム国内で保存するデータを国外のシステムへ送る場合だけでなく、ベトナムで収集した個人データを国外のクラウド基盤で処理する場合も含まれます。

日系企業では、次のような処理が対象となる可能性があります。

• ベトナム法人の従業員情報を日本本社の人事システムへ登録
• 顧客・取引先情報を日本または第三国のCRMへ保存
• グローバルで共通利用するMicrosoft 365、Google Workspace、SaaS、クラウド基盤で処理
• 日本本社や地域統括会社がベトナム法人のデータへ遠隔アクセス
• 海外の委託先がベトナムで収集したデータを処理

法令には越境移転影響評価が不要となる例外もあります。自社の処理が例外に該当するかは、移転の目的、保存場所、アクセス権限、データ主体の行為、雇用管理上の根拠などを個別に確認する必要があります。

影響評価書類は一度作成すれば終了ではありません。変更があった場合は定期的または速やかに更新する仕組みが必要です。

重大な違反は72時間以内に通知

個人データ保護法第23条は、個人データ管理者、管理・処理者、第三者が一定の重大な違反を発見した場合、検知から72時間以内に主管当局へ通知する義務を定めています。

対象となるのは、国防、国家安全保障、社会秩序・安全へ損害を与える可能性がある事案や、データ主体の生命、健康、名誉、人格、財産を侵害する可能性がある事案です。

72時間は、調査が完了した時点ではなく、対象となる違反を検知した時点を基準とします。初動段階で全容が分からない場合でも、報告要否を短時間で判断できる体制が必要です。

ベトナム法人だけでインシデントを処理し、日本本社への報告後に法務判断を始める運用では、期限に間に合わないおそれがあります。現地の情報システム、法務、人事、DPO相当者、日本本社、外部専門家の連絡経路を事前に定めることが重要です。

違反内容により罰金上限が異なる

個人データ保護法第8条は、行政罰金の上限を違反類型ごとに分けています。

個人データの違法な売買では、違反によって得た収益の最大10倍が罰金上限です。不正収益がない場合や、算定額が他の違反に適用される上限を下回る場合は、別の上限枠が適用されます。

違法な越境移転では、組織の直近前年度売上高の最大5％が上限です。前年度売上がない場合や売上高を基にした算定額が低い場合には、30億VNDの上限枠が適用される仕組みです。

その他の個人データ保護違反については、組織に対して最大30億VNDが上限となり、個人に対する上限は組織の半額です。

DPO相当者の未指定やDPIA未提出だけで、自動的に売上高の5％が科されるわけではありません。売上高連動の上限は違法な越境移転に対するものです。

一方、30億VNDは法律上の上限であり、個別の違反行為に対する具体的な罰金額や適用条件は行政罰に関する規定と執行実務を確認する必要があります。刑事責任や損害賠償が別途問題になる場合もあります。

新サイバーセキュリティ法は旧2法を統合

Law No. 116/2025/QH15は2025年12月10日に国会で可決され、2026年7月1日に施行されました。

同法は、2015年のネットワーク情報セキュリティ法と2018年のサイバーセキュリティ法を統合する形で、8章45条から構成されています。ベトナム公安省は、サイバーセキュリティインシデント対応を調整する中心機関として位置づけられています。

新法では、情報システムを影響の程度に応じて5段階に分類し、レベルに応じた管理策、技術策、リスク評価、暗号化、インシデント対応などを求める制度が採用されています。

ただし、個人データ保護法の担当者義務と、サイバーセキュリティ法の管理体制を同一視してはいけません。

新サイバーセキュリティ法は、すべての民間企業に対して一律に専任のサイバーセキュリティ担当者や部署を置くことを求める制度ではありません。明示的な専任体制の要求は、国家安全保障上重要な情報システムや国家予算を使用する一定の情報システムなど、対象の性質と保護レベルに応じて判断されます。

一般企業であっても、情報システムの安全確保、データ保護、当局要請への対応、インシデント報告などの義務がなくなるわけではありません。自社システムの分類、提供サービス、扱うデータ、重要インフラとの関係を確認する必要があります。

コンテンツ削除命令への対応期限

通信、インターネット、サイバー空間上の付加価値サービスを提供する事業者には、公安省などから違法情報の削除要請を受けた場合の迅速な対応が求められます。

通常は要請から24時間以内、国家安全保障に関わる緊急性の高い場合には、より短い期限が適用される可能性があります。

この義務は、一般的な製造業の社内情報システムと、プラットフォーム、通信、インターネットサービスを提供する事業者では影響が異なります。ベトナムでWebサービス、SNS、クラウド、通信、デジタルプラットフォームを提供する日系企業は、当局要請を受け付ける窓口と24時間対応の判断手順を整備する必要があります。

制度再編の背景に安全保障とデジタル経済

ベトナムが制度を再編した背景には、デジタル経済の拡大、クラウドやAIの普及、データ流通の増加、越境サイバー犯罪への懸念があります。

従来は、個人データ保護、情報システムの安全、国家安全保障、データ管理が複数の法律と政令に分かれていました。2025年から2026年にかけた法整備により、個人データ保護法、データ法、新サイバーセキュリティ法を中心とする枠組みに再構成されています。

個人データ保護法では、子ども、高齢者、認知・行動上の支援が必要な人などの保護も重視されています。単なる企業の情報管理規制ではなく、社会秩序、安全保障、デジタル主権の政策と結びついている点が特徴です。

ベトナム政府は、公安省を個人データ保護とサイバーセキュリティの中心的な主管機関に位置づけています。企業側には、プライバシー部門とセキュリティ部門を別々に運用するのではなく、当局対応、影響評価、インシデント対応を横断的に管理することが求められます。

日系企業が確認すべき実務対応

ベトナムへ進出している日系企業は、DPO相当者を任命するだけで対応完了と考えないことが重要です。

最初に、ベトナム法人が扱う個人データを洗い出します。従業員、採用応募者、顧客、取引先、販売代理店、Webサイト利用者、防犯カメラ、位置情報、生体情報など、データ主体と情報項目を整理してください。

次に、各処理について、管理者、処理者、管理・処理者、第三者のどの立場に該当するかを確認します。日本本社とベトナム法人のどちらが処理目的と手段を決めているかも明確にします。

DPO相当者または担当部署については、資格要件を満たしているかを確認し、正式な社内決定書を作成します。外部サービスを使う場合も、契約内容、担当者の資格、秘密保持、当局対応、インシデント時の責任分担を確認してください。

クラウドとグローバルシステムについては、データの保存場所だけでなく、国外からのアクセス、バックアップ、ログ、サポート拠点、再委託先まで含めて越境移転を判定します。

DPIAと越境移転影響評価は、60日という提出期限だけでなく、変更時の更新管理が重要です。新しいSaaSの導入、人事システムの統合、委託先変更、データ項目追加などを、影響評価の更新が必要な変更として管理します。

海外子会社を含むデータ管理については、海外関連企業や子会社からの情報漏洩事例とセキュリティ対策も参考になります。

情報システム部門への示唆

情報システム部門は、ベトナムの法対応を法務部門だけの作業として扱わず、システム台帳、データフロー、アクセス権限、ログ、委託先管理へ落とし込む必要があります。

データフローマップでは、ベトナムで収集したデータが、どのシステムを通り、どの国で保存・閲覧・バックアップされるかを可視化してください。日本本社からの閲覧や海外SaaSの利用も対象に含めます。

72時間通知に備え、インシデントを検知した時刻、影響を受けたデータ主体、情報項目、推定原因、封じ込め状況を短時間で整理できるテンプレートを用意します。日本本社の承認を待たなければ当局報告できない運用は見直す必要があります。

DPO相当者とCISO、情報システム部門、法務、人事、内部監査の責任分担も明文化してください。個人データ保護法上の担当者とサイバーセキュリティの責任者を同じ人物が兼務することは可能ですが、役割と判断基準を混同しないことが重要です。

クラウド契約では、データ保存地域、暗号化、ログ提供、事故通知、再委託、削除、監査権、越境移転への協力を確認します。Decree 356はクラウド上の個人データについて、保存時と通信時の暗号化や厳格なアクセス制御を求めています。

担当者の資格要件を満たせない場合は、形式的に既存社員の名前だけを置くのではなく、研修計画と外部専門家の利用を組み合わせる方が現実的です。

自社が扱う情報の分類については、個人情報とは何か、企業での適切な取り扱い方もあわせて確認してください。

本記事は公開法令と公表資料を基に制度の概要を整理したものであり、個別案件に対する法的助言ではありません。特例の適用、越境移転、影響評価、当局報告の要否は、ベトナム法の専門家へ確認する必要があります。

出典

• 個人データ保護法 Law No. 91/2025/QH15 – ベトナム政府
• 個人データ保護法 Law No. 91/2025/QH15 原文PDF – ベトナム政府
• Decree No. 356/2025/ND-CP – ベトナム政府
• Decree No. 356/2025/ND-CP 原文PDF – ベトナム政府
• 個人データ保護政令 Decree No. 13/2023/ND-CP – ベトナム政府
• データ法 Law No. 60/2024/QH15 – ベトナム政府
• サイバーセキュリティ法 Law No. 116/2025/QH15 – ベトナム政府官報
• National Assembly passes Law on Cybersecurity – ベトナム公安省
• New legal framework on personal data protection in Vietnam – Vietnam Law and Legal Forum
• Decree 356/2025/ND-CP providing guidance for implementation of Personal Data Protection Law – EY Vietnam
• Vietnam’s Law on Cybersecurity 2025 – 森・濱田松本法律事務所
• Vietnam’s new Cybersecurity Law to come into effect 1 July 2026 – Allen & Gledhill
• 海外関連企業や子会社からの情報漏洩事例とセキュリティ対策 – セキュリティ対策Lab
• 個人情報とは何か、企業での適切な取り扱い方 – セキュリティ対策Lab