ASIAビジネス法務　最新アップデート

ベトナム個人データ保護に関する政令の概要（後編）

2023年4月17日、ベトナム政府は、個人データ保護に関するDecree No.13/2023/ND-CP(以下「PDPD」)を公布しました。PDPDは、ベトナムで初めての本格的な個人データ保護に関する法令となります。PDPDは23年7月1日から施行され、ベトナム国内所在の組織及び個人に加えて、電子・インターネット環境においてベトナムの個人情報を取り扱う国外所在の組織及び個人にも適用されます。

本誌2023年9月号掲載の前編ではPDPAの概要について解説しました。本稿では、PDPAが適用される事業者が対応しなければならない事項について紹介します。

1. データ主体からの同意取得

PDPDでは、データ主体の同意なしに個人情報を処理することが禁じられています（第11条1項）。同意を取得する際には、取得するデータの内容・目的・取得主体及び情報の保有者の権利保護などについて事前に通知したうえで、沈黙や無応答によるみなし同意ではなく、明確かつ具体的な形としなければならない点に留意が必要です。なお、処理されるデータがセンシティブ個人情報の場合、データ主体に、処理されるデータがセンシティブ個人情報であることを知らせる必要があります（第11条2項、8項）。

2. 個人情報の保護体制

PDPDの適用対象となる事業者に対しては、個人情報の管理対策を講じ、個人情報を保護するための技術的措置を講じることが義務付けられています（第26条1項、2項a、b）。また、センシティブ個人情報を収集する場合、個人情報保護を担当する部門や担当者を任命する必要があります（第28条2項）。

ただし、PDPD上、どのような管理対策や技術的措置を講じればよいのか、また、個人情報保護を担当する部門や担当者の条件について明確にされていないため、実務的にどのように対応を行えばよいか不透明な状況です。

3. 影響評価書の作成

PDPDでは、個人情報管理者、処理者に対し、個人情報の処理開始時から60日以内に個人情報処理影響評価書を作成し、保管することを義務付けています（第24条）。また、ベトナム国民の個人情報を国外に転送したり、ベトナム領土外に設置されたシステムを用いて、ベトナム国民の個人情報を処理したりする場合には、個人情報処理影響評価書に加えて、個人情報の処理開始時から60日以内に国外移転影響評価書を作成し、当局に提出する必要があります（第25条）。

これらについて、各影響評価書の申請用フォーマットは公表されているものの、内容についてどのような記載を行えばよいのかが不明確であり、また、本稿執筆時点において、オンライン申請用のフォームも使用できない状況です。7月1日にPDPDが施行されて以降、上記に該当する企業については、いずれも対応期限は過ぎているものと思われるが、現在罰則規定が存在しないこと、そもそも実務上対応が困難であることから、更なるガイドラインや当局サイドの受け入れ態勢が整ったタイミングで順次対応をしていく他ないのではないかと思われます。

4. 罰則規定

PDPD違反に関する罰則を定める政令は施行されていません。23年5月に公開され、パブリックコメントに付された草案によれば、個人情報の国外への移転に関する規則等の違反を繰り返した場合、最大でべトナム国内売上の5％という罰金の可能性があり、また、草案上は23年12月1日から罰則を定める政令が施行されるものとされていました。

ベトナムでは個人情報保護に関する意識が低く、個人情報に関する罰則などが積極的に適用されてはいないという事情はあるものの、今後当局が取り締まりを強化する可能性はあるので、ベトナムで事業展開する日系企業はPDPDの動向には注視が必要です。