皆さん、こんにちは！
東京コンサルティンググループベトナム拠点の下田琴美です！

いつもブログをお読みいただきありがとうございます。

さて、今回は「ベトナム個人データ保護法（PDPL）が2026年1月に施行 ― 日
系企業が今押さえるべき実務ポイント」についてお話していこうと思います。

 

[su_box title=”ベトナムについて知りたい方は…” radius=”5″]
ベトナムに関する基礎知識が知りたい方は、こちらから▼
・ベトナムの基礎知識
ベトナムに関するセミナーに参加したい方は、こちらから▼
・ベトナム関連セミナー[/su_box]

 

【ベトナム個人データ保護法（PDPL）が2026年1月に施行 ― 日
系企業が今押さえるべき実務ポイント】

こんにちは。東京コンサルティングファームの下田です。
今回は、ベトナムの個人データ保護法についてみていきます。
2026年1月1日、ベトナムで「個人データ保護法（Personal Data Protection Law、以下
PDPL／Law No. 91/2025/QH15）」が施行されました。あわせて施行細則である政令
356/2025号も整備され、従来の政令13/2023号に代わる、個人データ保護の中心的な枠組み
となっています。
ベトナムで事業を行う日系企業は、従業員情報や顧客情報といった個人データを日常的に取
り扱っており、また業務システムやデータを海外のクラウドサービス上で運用しているケー
スも少なくありません。本稿では、PDPLのもとで日系企業が特に意識しておくべきポイン
トを、法律上の建付けと実務の実態の両面から整理します。
 1. PDPLで求められる主な対応
PDPLのもとで企業に求められる代表的な対応として、次の2つの書類整備があります。
一つは「個人データ処理影響評価書（DPIA）」です。自社がどのような個人データを、ど
の目的で、どのように処理しているかを評価・記録し、当局へ提出するものです。
もう一つが「越境データ移転影響評価書（CTIA）」です。ベトナム国内で収集した個人デ
ータを国外へ移転する場合に、その移転の適法性やリスクを評価して当局へ提出することが
求められます。
 
 2. データの「国内保管」とクラウド利用
ベトナムでは、以前からサイバーセキュリティ法（2018年）および政令53/2022号により、
一定のデータをベトナム国内に保管すること（データローカライゼーション）が議論されて
きました。
実務上、特に論点となりやすいのが、海外リージョンのクラウドにデータを保存している場
合です。こうしたケースは「国外へのデータ移転」に該当し得るため、上記のCTIAの整備
が直接関係してきます。まずは自社のデータがどこに保管されているかを把握することが、
対応の第一歩になります。
 3. 罰則
PDPLは、違反に対する制裁金の上限を法律自体で定めています。多くの違反は最大30億ベ
トナムドン（約11.5万米ドル）、越境データ移転に関する違反については前年の年間売上高
の最大5%が上限とされています。ただし、こうした制裁を実際に科すための具体的な手続
きなどを定める専門の処罰政令は、本稿執筆時点（2026年6月）でもまだ草案段階にあり、
公布されていません。
 4. 法律上と実務上のギャップ ― 現時点の運用実態
一方で、現場の運用実態は法律の文言とは少し温度差があります。
現時点では、DPIAやCTIAが未整備であることを直接の理由として、企業が処罰・制裁を受
けた事例は確認されていません。これは、データ保護という考え方が企業にとってまだ新し
く、当局側も直ちに厳格な遵守を求めるのは難しいと理解しているためと考えられます。
ただし、この流れが今後も続くとは限りません。2025年10月には、国連サイバー犯罪条約
（通称「ハノイ条約」）の署名式がハノイで開催され、ベトナムは開催国として存在感を示
しました。政府がデータ・サイバー分野への取り組みを強化していることがうかがえ、近い
将来、当局が特定の企業に調査・監査を行い、違反が見つかれば処分に踏み切る可能性は十
分にあります。
 5. 今後の見通しと企業がとるべき対応
2026年7月1日には、新たな「サイバーセキュリティ法（Law No. 116/2025/QH15）」も施
行されます。これは従来の情報セキュリティ法（2015年）とサイバーセキュリティ法
（2018年）を統合するものです。ただし、詳細を定める施行細則（政令）は本稿執筆時点
でまだ公布されておらず、データ保管に関する具体的な取り扱いを含め、今後の動向を注視
する必要があります。
罰則事例がまだ少ない今は、いわば「準備のための猶予期間」とも言えます。DPIAやCTIA
の整備には、社内規程の見直しや社内承認の取得など一定の時間を要します。将来的なリス
クを避けるためにも、早めに自社の状況を確認し、準備に着手しておくことをお勧めします。
　　　
ベトナム個人データ保護法（PDPL）に関するよくある質問（FAQ）
Q. 日本の親会社にベトナム従業員のデータを共有する場合もCTIAは必要ですか？
A. はい、必要です。ベトナム国内の個人データを国外へ移転することになるため、越境デ
ータ移転影響評価書（CTIA）の整備と当局への提出が求められます。
Q. 海外のクラウドサービスを利用しているだけで処罰されますか？
A. 海外サーバーへの保存も「データ移転」に該当するためCTIAの対象となりますが、直ち
に処罰されるわけではなく、法令に従って必要な評価書を適切に整備・提出することが求め
られます。
東京コンサルティングファーム ベトナム拠点では、DPIAやCTIAの作成支援、各種社内規程
のレビューなどのサポートを行っております。お気軽にご相談ください。

 

この記事に対するご質問・その他ベトナムに関する情報へのご質問等がございましたら

お気軽にお問い合わせください。

免責事項
本記事は、ベトナムに関する一般的な情報提供のみを目的としたものであり、法的助言・税務助言に代わるものではありません。記事中の数値・情報は執筆時点のものであり、今後変動する可能性があります。個別の事案については当社までご相談ください。