ベトナム個人データ保護法とは？日本企業が対応すべきポイントを解説

ベトナムでは、デジタル化の進展や個人情報保護への関心の高まりを受け、個人データの取扱いに関する法制度が大きく見直されています。2025年には「個人データ保護法」が公布され、あわせて政令356/2025/NĐ-CPなどの関連法令により、企業が個人データを取得・利用・管理する際のルールが明確化されました。

この法律はベトナム企業だけでなく、ベトナム国内で事業を行う外国企業や、ベトナム国内の個人データを取り扱う日本企業にも関係します。採用活動、従業員管理、営業活動、ホームページのお問い合わせフォーム、防犯カメラ（CCTV）の運用など、日常業務のさまざまな場面が対象となるため、「知らなかった」では済まされないケースも考えられます。

また、一定の場合にはDPIA（個人データ影響評価）やDB-DTIA（国外データ移転影響評価）の実施が求められるなど、企業には従来以上に適切な個人データ管理体制の構築が求められています。

本記事では、ベトナム個人データ保護法の概要から、日本企業が確認しておきたい実務上のポイントまで分かりやすく解説します。

この記事で分かること

ベトナム個人データ保護法の概要
適用対象となる企業・組織
個人データの種類（基本個人データ・機微個人データ）
日本企業が対応すべき実務
DPIA・DB-DTIAとは何か
今後確認したい関連法令・詳細記事

ベトナム個人データ保護法の概要

ベトナム個人データ保護法は、個人データの取得・利用・保存・提供などに関する基本的なルールを定めた法律です。デジタル化の進展に伴い、企業が取り扱う個人データの種類や量が増加していることを背景に、個人の権利を保護するとともに、企業に対して適切な管理体制の整備を求めることを目的として制定されました。

これまでベトナムでは、政令13/2023/NĐ-CPを中心に個人データ保護制度が運用されてきましたが、2025年6月26日に「ベトナム個人データ保護法（91/2025/QH15）」が可決され、2026年1月1日から施行されています。これにより、個人データ保護に関する基本ルールが法律として明文化されました。

また、法律の具体的な運用方法や企業が実務上対応すべき事項については、政令356/2025/NĐ-CPで定められています。企業は法律だけでなく、政令の内容もあわせて確認し、自社の業務に応じた対応を進めることが重要です。

本法は、ベトナム企業だけでなく、ベトナム国内で個人データを取り扱う外国企業にも適用される可能性があります。人事・採用、顧客管理、営業活動、ホームページのお問い合わせフォーム、防犯カメラ（CCTV）の運用、日本本社との情報共有など、多くの業務が対象となるため、日本企業にとっても確認しておきたい法令の一つです。

ベトナム個人データ保護法（91/2025/QH15）の基本情報

項目	内容
法律名	ベトナム個人データ保護法（91/2025/QH15）
可決日	2025年6月26日
施行日	2026年1月1日
主な目的	個人データの保護、データ主体の権利保護、個人データの適正な取扱いに関するルールの整備
関連法令	政令356/2025/NĐ-CP（施行細則）
主な対象	ベトナム国内で個人データを取り扱う企業・組織・個人など

ベトナム個人データ保護法の適用対象

ベトナム個人データ保護法は、一部の業種や企業だけを対象とした法律ではありません。

ベトナム国内で個人データを取得、利用、保存、提供、共有、分析などの処理を行う組織や個人に広く適用されます。

そのため、IT企業やEC事業者だけでなく、製造業、商社、物流業、小売業、サービス業など、業種を問わず多くの企業が対象となります。企業規模の大小にかかわらず、事業活動の中で個人データを取り扱っている場合は、本法への対応が必要です。

また、ベトナム現地法人だけでなく、日本本社がベトナム現地法人の従業員情報や顧客情報を共有・管理するケースや、海外のクラウドサービスを利用して個人データを保管・管理するケースについても、データの取扱方法によっては本法や関連法令を確認する必要があります。

主な適用対象の例

対象	具体例
ベトナム現地法人	従業員情報や顧客情報を管理している企業
駐在員事務所	採用活動や従業員情報、取引先情報を取り扱う場合
製造業	従業員情報、入退館管理、防犯カメラ、取引先担当者情報などを管理する企業
商社・サービス業	顧客情報や営業先情報、契約情報などを管理する企業
IT・EC事業者	会員情報、利用者情報、オンラインサービスを提供する企業

重要なのは、「自社が個人データを扱っている」という認識の有無ではなく、実際の業務プロセスの中に個人データの取り扱いが含まれているかどうかです。まずは、自社のどの業務で個人データを取得・利用・保存・共有しているのかを洗い出し、法令の適用を受ける範囲を確認することから始めましょう。

ベトナム個人データ保護法でいう「個人データ」とは

ベトナム個人データ保護法では、個人データを「基本個人データ」と「機微個人データ」の2つに分類しています。両者の大きな違いは、漏えい、不正利用、改ざんなどが発生した場合に、個人の権利や利益へ与える影響の大きさにあります。

基本個人データは、個人を識別するための一般的な情報であり、多くの企業が日常業務の中で取り扱っています。一方、機微個人データは、健康状態や生体情報、金融情報など、本人のプライバシーや権利に重大な影響を及ぼす可能性がある情報です。そのため、機微個人データは基本個人データよりも厳格な管理や保護が求められます。

企業は、自社が取り扱っているデータがどちらに該当するのかを正しく把握し、それぞれの性質に応じた管理体制を整備する必要があります。

基本個人データと機微個人データの比較

項目	基本個人データ	機微個人データ
概要	個人を識別できる一般的な情報	漏えいした場合に個人の権利や利益へ重大な影響を及ぼす可能性がある情報
主な例	氏名、住所、電話番号、メールアドレス、生年月日、社員番号など	健康情報、生体認証情報（指紋・顔認証など）、位置情報、金融情報、思想・信条など
企業での例	履歴書、名刺情報、顧客管理情報、従業員情報	健康診断結果、顔認証による入退室管理、指紋認証、給与口座情報など
管理レベル	法律に基づく適切な管理が必要	基本個人データよりも厳格な安全管理・運用が求められる

日本企業が対応すべき実務

ベトナム個人データ保護法では、個人データを取り扱う企業に対して、取得から利用・保管・第三者提供まで、一連のライフサイクルを適切に管理することが求められています。人事・採用、顧客管理、営業活動、ホームページの運営など、日常業務の中で個人データを取り扱う日本企業も、法令に沿った運用体制を整備する必要があります。

企業に求められる対応は一つではなく、個人データの取得方法や管理体制、国外へのデータ移転、漏えい時の対応など、さまざまな場面で適切な運用が求められます。ここでは、日本企業が特に確認しておきたい主な実務対応を紹介します。

① 個人データ取得時の同意

個人データを取得・利用する際は、利用目的や取扱方法を本人へ明確に示したうえで、適切な同意を取得することが基本となります。取得したデータを当初の目的以外で利用する場合には、改めて同意が必要となるケースもあります。

→ ベトナム個人データ保護法における同意取得とは？取得方法や注意点を解説

② DPIA（個人データ影響評価）

一定の個人データ処理を行う企業では、個人データ影響評価（DPIA）の作成が求められます。DPIAは、個人データの取扱いによるリスクを事前に把握し、適切な管理体制を整備するための重要な文書です。

→ ベトナムDPIAとは？個人データ影響評価の目的・対象・作成方法を解説

③ DB-DTIA（国外データ移転影響評価）

ベトナム国内で取得した個人データを日本本社や海外のクラウドサービスへ移転する場合には、DB-DTIA（国外データ移転影響評価）が必要となるケースがあります。海外へのデータ移転を予定している企業は、対象となるデータや運用方法を事前に確認しておくことが大切です。

→ ベトナムDB-DTIAとは？国外データ移転影響評価と企業対応を解説

④ 個人データ保護責任者（DPO）の設置

企業によっては、個人データ保護に関する管理体制を整えるため、個人データ保護責任者（DPO）を選任し、社内での管理・教育・法令対応を行うことが求められます。

→ ベトナムDPOとは？個人データ保護責任者の役割や企業の対応を解説

⑤ 国外への個人データ移転

ベトナム国内の個人データを日本本社や海外グループ会社、クラウドサービスへ提供する場合には、法令に基づく適切な管理や手続きが必要になります。特に海外とのデータ共有を行う企業は、移転先や運用方法を整理しておくことが重要です。

→ ベトナムの国外データ移転とは？日本企業が確認すべきポイントを解説

⑥ 個人データ漏えい時の対応

万が一、個人データの漏えいや不正アクセスなどのインシデントが発生した場合には、被害の拡大防止や関係機関への対応など、迅速な措置が求められます。日頃から社内ルールや対応手順を整備しておくことが重要です。

→ ベトナム個人データ漏えい時の対応とは？企業が取るべき措置を解説

⑦ 各種届出・報告書の作成

ベトナム個人データ保護法では、一定の条件に該当する場合、DPIA（個人データ影響評価）やDB-DTIA（国外データ移転影響評価）の報告書の作成・提出など、所定の手続きが求められることがあります。また、法令で定められた様式に基づく届出や報告が必要となるケースもあるため、自社が対象となるかを事前に確認しておくことが大切です。

→ ベトナム個人データ保護法の各種届出とは？必要書類や提出手続きを解説

違反した場合の主なリスク・罰則

ベトナム個人データ保護法では、個人データ保護に関する義務に違反した場合の行政処分についても規定されています。違反内容によっては、高額な行政罰の対象となる可能性があるため、日本企業も制度を十分に理解しておくことが重要です。

主な罰則の例は次のとおりです。

違反内容	主な罰則（概要）
個人データの違法な国外移転	前年度売上高の一定割合を上限とする行政罰の対象となる場合があります。
個人データの売買など重大な違反	違法に得た利益を基準とした行政罰が科される場合があります。
その他の法令違反	違反内容に応じて行政処分や罰金などの対象となる場合があります。

また、行政処分だけでなく、損害賠償責任や刑事責任が問われるケースもあります。企業は罰則だけでなく、社会的信用の低下や取引先との関係悪化といったリスクも踏まえ、適切な個人データ管理体制を整備することが求められます。

→ ベトナム個人データ保護法の罰則とは？違反した場合の行政処分やリスクを解説

日本企業がまず確認したいポイント

ベトナム個人データ保護法への対応では、まず自社がどのような場面で個人データを取り扱っているかを把握することが重要です。製造業や商社、サービス業など業種を問わず、日常業務の中で個人データを扱う場面は数多くあります。まずは次の項目を確認し、自社の運用状況を整理してみましょう。

確認項目	主な確認内容
人事・採用	履歴書、従業員情報、健康診断結果、勤怠データなどを適切に管理しているか
営業・顧客管理	名刺情報、顧客リスト、お問い合わせ情報を適切な目的で利用しているか
ホームページ	お問い合わせフォームや会員登録などで取得する個人データの取扱いを明示しているか
CCTV（防犯カメラ）	撮影目的や保存期間、閲覧権限などのルールを定めているか
日本本社とのデータ共有	従業員情報や顧客情報を海外へ提供している場合、必要な手続きを確認しているか