ベトナム個人データ漏えい時の対応とは？個人データ保護法と政令356/2025/NĐ-CPの通知義務を解説

 ベトナムでは、個人データ保護法および政令356/2025/NĐ-CPにより、個人データを適切に管理するためのルールが定められています。

個人データの漏えいや不正アクセスなど、個人データ保護規定への違反が発生した場合には、企業にも一定の通知や対応が求められます。

本記事では、個人データ保護規定への違反が発生した場合の通知義務や、位置データ・生体データに関する特別な対応、日本企業が確認しておきたい実務上のポイントを解説します。

個人データ漏えいとは？

個人データ漏えいとは、企業が管理している個人データが、意図せず外部へ流出したり、第三者に不正に取得されたりするなど、適切に保護されていない状態を指します。

例えば、サイバー攻撃によるデータ流出、従業員によるメールの誤送信、記録媒体の紛失、不正アクセスなどが考えられます。

ベトナムでは、こうした事案を含む個人データ保護規定への違反について、一定の場合に専門機関への通知などが必要となります。

個人データ漏えいが発生した場合の通知義務

政令356/2025/NĐ-CPおよび個人データ保護法では、一定の個人データ保護規定への違反について、専門機関への通知が必要とされています。

特に、違反によって国防、国家安全保障、社会秩序・安全に影響を及ぼす可能性がある場合、またはデータ主体の生命、健康、名誉、人格、財産などを侵害する可能性がある場合には、個人データ管理者、個人データ管理・処理者および第三者は、違反を発見してから72時間以内に、専門機関へ通知する必要があります。

一方、個人データ処理者が個人データ保護規定への違反を発見した場合には、まず個人データ管理者または個人データ管理・処理者に対して、速やかに通知することが求められています。

そのため、企業では個人データの漏えいや不正アクセスなどの事案を把握した際に、単にシステムを復旧するだけでなく、発生・発見時期、場所、違反行為・状況、影響を受けた個人データの種類・範囲、データ主体に生じる可能性のある影響やリスクなどを速やかに確認する必要があります。

また、専門機関への通知が必要となるかを適切に判断し、必要な場合には72時間以内に通知できるよう、事故発生時の社内報告ルートや担当者、対応手順などをあらかじめ整備しておくことが重要です。

通知には何を記載する？

個人データ保護規定への違反を通知する場合には、違反の状況や影響などを整理して提出する必要があります。

主な内容は次のとおりです。

政令356/2025/NĐ-CPでは、個人データ保護規定への違反通知について様式8（Mẫu số 08）が定められています。

そのため、事故が発生してから必要な情報を集めるのではなく、普段から個人データの種類や管理者、担当者などを整理しておくことが重要です。

位置データ・生体データの漏えいには本人への通知も必要

政令356/2025/NĐ-CPでは、位置データ・生体データに関する違反に対して、専門機関への報告に加えて、影響を受けた本人への72時間以内の通知が必要と定めている点も注意が必要です。

これらのデータについて違反が発生した場合、個人データ管理者または個人データ管理・処理者は、影響を受ける本人に対して、違反を発見してから72時間以内に通知する必要があります。

本人への通知では、例えば次のような事項を伝える必要があります。

• 違反が発生・発見した時期や状況
• 影響を受けた個人データの種類
• 想定される影響やリスク
• 被害を防止・軽減するための対応
• 本人が取ることのできる予防・対応措置
• 個人データ保護を担当する部署・担当者の連絡先

ここで注意したいのは、「個人データの漏えいがあれば、すべてのケースで本人へ72時間以内に通知する」という意味ではないことです。

72時間以内の本人通知について、政令356/2025/NĐ-CPで特に規定されているのが、位置データ・生体データに関する違反です。

個人データ漏えいが発生した場合、企業は何をする？

実際に個人データの漏えいなどが発生した場合には、まず被害の拡大を防ぎながら、事実関係を確認する必要があります。

企業では、次のような流れで対応を整理しておくとよいでしょう。

① 発生状況を確認する

いつ、どこで、どのような原因によって違反が発生したのかを確認します。

サイバー攻撃なのか、従業員の操作ミスなのか、端末の紛失なのかなど、原因を把握することが重要です。

② 影響範囲を確認する

どの個人データが影響を受けたのか、対象となる人数やデータ件数などを確認します。

特に、位置データや生体データが含まれているかどうかについても確認する必要があります。

③ 被害の拡大を防ぐ

不正アクセスの遮断、アカウントの停止、システムの隔離など、被害をこれ以上広げないための措置を講じます。

④ 通知の必要性を判断する

個人データの種類や想定される影響を確認し、専門機関への通知が必要か、また位置データ・生体データに該当する場合には本人への通知が必要かを確認します。

⑤ 対応内容を記録する

発生状況、原因、影響範囲、講じた措置、通知内容などを記録し、今後の再発防止につなげます。

漏えい後の記録・保管も重要

個人データ保護規定への違反が発生した場合は、事故そのものだけでなく、その後の記録管理も重要です。

特に位置データ・生体データに関する違反については、違反記録の作成、保存、更新が求められています。

組織の場合、違反への対応が完了した日から、少なくとも5年間、違反記録を保存する必要があります。

そのため、企業では「漏えいを防ぐための対策」だけでなく、万が一事故が発生した場合に、その経緯や対応を適切に記録できる体制も整えておく必要があります。

日本企業が確認しておきたい実務ポイント

ベトナム法人では、従業員情報、採用情報、顧客情報など、日常的に多くの個人データを取り扱います。

万が一の漏えいに備えて、あらかじめ次の点を整理しておくことが重要です。

• 誰が個人データ保護を担当するのか
• 漏えい発生時に誰へ報告するのか
• どのように影響範囲を確認するのか
• 専門機関や本人への通知が必要かを誰が判断するのか
• 事故や対応内容をどのように記録するのか

また、日本本社や海外のグループ会社と個人データを共有している企業では、ベトナム法人だけでなく、日本本社を含めた事故発生時の連絡・対応体制をあらかじめ決めておくとよいでしょう。

関連記事

• ベトナム個人データ保護法とは？日本企業が押さえるべきポイントを解説
• ベトナム政令356/2025/NĐ-CPとは？日本企業が押さえるべきポイントを解説
• ベトナム個人データ保護法の同意取得とは？企業が説明すべき内容を解説
• ベトナムDPIAとは？個人データ処理影響評価の目的・対象・作成方法を解説
• ベトナムDB-DTIAとは？個人データ国外移転影響評価の対象・作成方法・企業対応を解説

まとめ

ベトナムでは、個人データ保護規定への違反によって、生命、健康、名誉、人格、財産などを侵害する可能性がある場合、専門機関への72時間以内の通知が必要となります。

また、位置データや生体データに関する違反では、影響を受けた本人への72時間以内の通知や、違反記録の保存など、追加の対応が求められます。

日本企業は、漏えいが発生してから対応を考えるのではなく、平常時から個人データの管理体制や事故発生時の連絡・対応手順を整えておくことが重要です。

MEIKEIでは、ベトナム個人データ保護法に関する実務対応についてサポートいたします。ベトナムでの個人データ管理や社内体制の整備について、ご質問等ございましたらお気軽にお問い合わせください。