ベトナムDB-DTIAとは？個人データ国外移転影響評価の対象・作成方法・企業対応を解説

ベトナムでは、個人データ保護法および政令356/2025/NĐ-CPにより、個人データを取り扱う企業に対して、適切な管理体制や安全管理措置を整備することが求められています。

その中でも、日本企業が特に確認しておきたいのが、ベトナム国外へ個人データを移転する場合の「DB-DTIA（個人データ国外移転影響評価）」です。

ベトナム法人から日本本社へ従業員情報を共有する場合や、日本にあるシステム・クラウドサービスへ個人データを移転する場合など、企業活動の中では国外へのデータ移転が発生するケースがあります。

DB-DTIAでは、国外へ移転する個人データの内容や移転目的、移転先、データの処理方法、想定されるリスク、安全管理措置などを整理し、国外移転に伴う個人データ保護上の影響を評価します。

本記事では、DB-DTIAの概要や対象となるケース、作成者、記載内容、提出期限、日本企業が確認しておきたい実務ポイントについて解説します。

DB-DTIA（個人データ国外移転影響評価）とは

DB-DTIAとは、ベトナムから国外へ個人データを移転する際に、その移転によって生じる影響やリスクを評価する仕組みです。

ベトナム法人が日本本社へ従業員情報を共有する場合など、単に「日本へデータを送る」という事実だけではなく、どのようなデータを、何の目的で、どこへ移転し、移転先でどのように保管・利用するのかを整理する必要があります。

こうした情報をまとめたものが、「個人データ国外移転影響評価報告書」です。

DB-DTIAでは、国外への移転そのものだけでなく、移転後のデータ管理方法や安全管理措置、第三者への提供などについても確認し、国外移転に伴うリスクを整理します。

DB-DTIAの対象となるのはどんなとき？

DB-DTIAは、ベトナムから国外へ個人データを移転する場合に重要となる制度です。

日本企業では、次のような場面で国外への個人データ移転が発生する可能性があります。

ケース	移転する個人データの例
日本本社への情報共有	従業員情報、役員情報
日本のグループ会社との情報共有	顧客情報、取引先担当者情報
海外クラウドサービスの利用	顧客情報、従業員情報
日本の業務委託先への提供	採用情報、顧客情報
海外のシステムでのデータ管理	アカウント情報、利用者情報

例えば、ベトナム法人が従業員の給与情報を日本本社と共有している場合や、ベトナムで取得した顧客情報を日本にあるシステムへ保存している場合などは、個人データの国外移転に該当する可能性があります。

そのため、日本企業では、「ベトナム法人が取得した個人データが、国外へ移転されていないか」を確認することが重要です。

DB-DTIAは誰が作成する？

DB-DTIAは、国外へ個人データを移転する側の事業者が中心となって作成します。

政令356/2025/NĐ-CPでは、国外へ個人データを移転する当事者が、個人データ国外移転影響評価に関する書類を作成し、提出することとされています。

例えば、ベトナム法人が従業員の個人データを日本本社へ移転する場合、基本的にはベトナム側の移転主体が、自社の国外データ移転についてDB-DTIAを準備することになります。

一方で、実際のデータ移転には、日本本社やグループ会社、クラウド事業者、業務委託先など、複数の事業者が関係する場合があります。

そのため、DB-DTIAでは、移転する企業だけでなく、データを受け取る企業や処理を行う事業者など、関係する当事者についても整理する必要があります。

DB-DTIAでは何を評価する？

DB-DTIAでは、国外への個人データ移転について、主に次のような内容を整理・評価します。

評価・記載事項	内容
移転当事者	データを移転する企業、受け取る企業、処理者など
移転目的	なぜ国外へ個人データを移転するのか
データの種類	どのような個人データを移転するのか
データの流れ	取得から国外移転、保存、利用までの流れ
同意・保存・削除	本人同意の取得状況、保存期間、削除・廃棄方法
安全管理措置	移転後に講じるセキュリティ対策
システム	移転先で利用するシステムや保存環境
第三者提供	移転先から第三者へ提供する場合の手続き
リスク評価	国外移転による影響・リスクとその低減措置

政令356/2025/NĐ-CPでは、これらに加えて、移転先における個人データ保護の状況や、国外移転・処理によって発生する可能性のある影響・損害、そのリスクを軽減・排除するための措置などについても評価することとされています。

そのため、DB-DTIAでは「どこへデータを送るのか」だけでなく、移転後にどのように管理されるのかまで確認することが重要です。

DB-DTIAには決められた様式がある

DB-DTIAについても、企業が完全に自由な形式で作成するものではありません。

政令356/2025/NĐ-CPでは、国外への個人データ移転影響評価報告書について、「様式9（Mẫu số 09）」が定められています。

また、提出時には、組織の場合は様式1a（Mẫu số 01a）、個人の場合は様式1b（Mẫu số 01b）による通知も使用されます。

さらに、提出書類には様式9の報告書だけでなく、個人データの移転に関する契約書・合意書、個人データ保護に関する社内方針、手続き、規程、関連資料なども含まれます。

そのため、DB-DTIAを準備する際には、様式に必要事項を記載するだけでなく、実際のデータ移転を裏付ける関連資料もあわせて整理しておくことが重要です。

DB-DTIAはいつまでに提出する？

個人データ国外移転影響評価に関する書類は、個人データを国外へ移転した日から60日以内に提出する必要があります。

提出方法は、オンライン、直接提出、郵送による方法が定められており、個人データ保護を専門に担当する機関へ提出します。

提出された書類については、同機関による確認・評価が行われ、要件を満たしているかどうかについて15日以内に結果が示されます。

なお、書類に不足や不備がある場合、補完・修正を求められることがあります。この場合、国外移転を行う側は、求められた日から30日以内に書類を補完・修正する必要があります。

そのため、国外へのデータ移転を開始してから書類を準備するのではなく、移転を行う段階から必要な情報や関連資料を整理しておくことが重要です。

DB-DTIAは作成・提出後も更新が必要

DB-DTIAは、一度作成して提出すれば、その後は何も対応する必要がないというものではありません。

政令356/2025/NĐ-CPでは、新たな移転目的が発生した場合や、個人データの処理・移転に関係する当事者に変更があった場合などに、評価書類の更新が必要とされています。また、原則として、初回提出から6か月ごとに、移転目的や関係当事者などに変更・追加がある場合には更新が必要です。

さらに、企業の組織再編や解散、個人データ保護サービス提供者の変更、登録した個人データ処理に関連する事業内容・サービスの変更など、一定の事項については、10日以内に更新する必要があります。

そのため、DB-DTIAは提出時点の情報だけを記載するのではなく、実際のデータ移転状況と一致するよう継続的に管理することが重要です。

DB-DTIAが不要となるケース

すべての個人データの国外移転について、DB-DTIA（個人データ国外移転影響評価）が必要となるわけではありません。

個人データ保護法および政令356/2025/NĐ-CPでは、一定の条件を満たす国外移転について、DB-DTIAの実施義務を免除しています。

政令356/2025/NĐ-CP 第17条第3項では、以下のケースが対象となります。

a) 法令に基づく報道・メディア活動

b) 法令に基づいて既に公開されている個人データの国外移転

c) 個人の生命・健康・財産の安全を守るため、または法令上の任務・義務を履行するために、緊急かつ真に必要な国外移転

d) 法令に基づく労働規則・就業規則および労働協約に従った「国境を越えた人事管理」のための国外移転

đ) 国際輸送、物流、送金、決済、ホテル、ビザ、奨学金等に関する契約締結・手続きのための国外移転

※ 日本本社への従業員情報の共有などは、国外への個人データ移転に該当する可能性があります。ただし、d)「国境を越えた人事管理」に該当する場合など、法令上の免除対象となるケースもあるため、具体的なデータ移転の目的・方法を確認する必要があります。

DPIAとDB-DTIAの違い

DPIAとDB-DTIAは、どちらも個人データに関するリスクを評価する制度ですが、対象となる場面が異なります。

	DPIA	DB-DTIA
主な対象	個人データの処理	国外への個人データ移転
主な確認内容	処理目的、データの種類、処理方法、リスク、安全管理措置など	移転目的、移転先、データの流れ、国外移転のリスクなど
日本企業の例	ベトナム法人の従業員情報の管理	ベトナム法人から日本本社への情報共有
様式	様式10	様式9