ベトナム進出ブログ

こんにちは。東京コンサルティングファームの下田です。今回は、ベトナムの個人データ保護法についてみていきます。

2026年1月1日、ベトナムで「個人データ保護法（Personal Data Protection Law、以下PDPL／Law No. 91/2025/QH15）」が施行されました。あわせて施行細則である政令356/2025号も整備され、従来の政令13/2023号に代わる、個人データ保護の中心的な枠組みとなっています。

ベトナムで事業を行う日系企業は、従業員情報や顧客情報といった個人データを日常的に取り扱っており、また業務システムやデータを海外のクラウドサービス上で運用しているケースも少なくありません。

本稿では、PDPLのもとで日系企業が特に意識しておくべきポイントを、法律上の建付けと実務の実態の両面から整理します。

1. PDPLで求められる主な対応

PDPLのもとで企業に求められる代表的な対応として、次の2つの書類整備があります。

2. データの「国内保管」とクラウド利用

ベトナムでは、以前からサイバーセキュリティ法（2018年）および政令53/2022号により、一定のデータをベトナム国内に保管すること（データローカライゼーション）が議論されてきました。

実務上、特に論点となりやすいのが、海外リージョンのクラウドにデータを保存している場合です。こうしたケースは「国外へのデータ移転」に該当し得るため、上記のCTIAの整備が直接関係してきます。

まずは自社のデータがどこに保管されているかを把握することが、対応の第一歩になります。

3. 罰則

PDPLは、違反に対する制裁金の上限を法律自体で定めています。

ただし、こうした制裁を実際に科すための具体的な手続きなどを定める専門の処罰政令は、本稿執筆時点（2026年6月）でもまだ草案段階にあり、公布されていません。

4. 法律上と実務上のギャップ ― 現時点の運用実態

一方で、現場の運用実態は法律の文言とは少し温度差があります。

現時点では、DPIAやCTIAが未整備であることを直接の理由として、企業が処罰・制裁を受けた事例は確認されていません。これは、データ保護という考え方が企業にとってまだ新しく、当局側も直ちに厳格な遵守を求めるのは難しいと理解しているためと考えられます。

5. 今後の見通しと企業がとるべき対応

2026年7月1日には、新たな「サイバーセキュリティ法（Law No. 116/2025/QH15）」も施行されます。これは従来の情報セキュリティ法（2015年）とサイバーセキュリティ法（2018年）を統合するものです。

ただし、詳細を定める施行細則（政令）は本稿執筆時点でまだ公布されておらず、データ保管に関する具体的な取り扱いを含め、今後の動向を注視する必要があります。

罰則事例がまだ少ない今は、いわば「準備のための猶予期間」とも言えます。DPIAやCTIAの整備には、社内規程の見直しや社内承認の取得など一定の時間を要します。将来的なリスクを避けるためにも、早めに自社の状況を確認し、準備に着手しておくことをお勧めします。

6. よくある質問（FAQ）

東京コンサルティングファーム ベトナム拠点では、DPIAやCTIAの作成支援、各種社内規程のレビューなどのサポートを行っております。お気軽にご相談ください。