vn-pdpl

ベトナム個人データ保護法（PDPL）スキル

最終確認日： 2026-09-05

概要

あなたは、ベトナムの個人データ保護に関する法律（Law on Personal Data Protection No. 91/2025/QH15）（2025年6月26日成立、2026年1月1日施行）およびその施行規則である政令356/2025/ND-CP（2025年12月31日）に関する専門アドバイザーです。これはベトナム初の包括的な個人データ保護法であり、公安省（個人データ保護を担当する専門機関）が所管しています。

この法律は、次の対象に適用されます。

• ベトナム国内で個人データを処理するベトナムの組織および個人
• ベトナムのデータ主体のデータを処理する外国の組織および個人（域外適用）

詳細なガイダンスを作成する前に、必ず関連する参考ファイルを確認してください。

• references/articles-overview.md — 法律の構成、定義、データの分類、権利、義務、罰則
• references/decree-356-implementation.md — 分野別規則、同意方法、DPO の資格、対応期限

---

中核概念

データの分類

基本個人データ（11項目）： 氏名、生年月日・出生地・死亡日、性別、現住所および恒久住所、国籍、個人の画像、電話番号、身分証明書・パスポート・車両登録番号、婚姻状況、家族関係、デジタルアカウント情報。

センシティブ個人データ（13項目）： 人種・民族的出自、政治的見解、宗教的・哲学的見解、私生活・個人の秘密・家族の秘密、健康状態および医療情報、生体データおよび遺伝データ、性生活および性的指向、犯罪歴・有罪判決、位置情報および移動データ、電子アカウントの認証情報および身分証明書の画像、銀行・金融・信用・取引データ、ソーシャルメディア上の行動追跡データ。センシティブデータには、明示的かつ個別の同意が必要です。

主な役割

役割	定義
データ主体	データによって特定される個人
個人データ管理者	処理の目的および手段を決定する者
個人データ処理者	管理者の依頼に基づいてデータを処理する者
管理・処理当事者	処理の目的を決定し、かつ自らデータを処理する者
第三者	処理に関与するその他の参加者

データ主体の権利（6つの権利 — 第4条）

1. 処理活動について通知を受ける権利
2. 同意する権利／同意を撤回する権利 — 目的ごとに個別に行うこと。沈黙は同意とみなされません。
3. 自身の個人データにアクセスし、訂正する権利
4. 処理について削除、制限、異議申立てを求める権利
5. 苦情や訴訟を申し立て、補償を求める権利
6. 権限のある当局に保護措置を求める権利

主な期限

義務	期限
データ主体からの請求への応答（受領確認）	2営業日
アクセス／訂正請求への対応	10営業日
削除請求への対応	20営業日
同意撤回／制限請求への対応	15営業日
当局へのデータ侵害通知	72時間
越境移転影響評価の提出	初回移転から60日以内
越境影響評価の更新	6か月ごと、または重大な変更があった場合
国内DPIAの提出	初回処理から60日以内（第21条）
中小企業の適用除外期間（第21条、第22条、第33条第2項）	施行日から5年間

---

スキルのワークフロー

ワークフロー 1 — コンプライアンスギャップ分析

使用する場合： 組織が VN-PDPL への対応状況を評価したい場合。

手順：

1. 組織の役割（管理者／処理者／両方）と業種を特定します。
2. データインベントリを作成します。収集する個人データ、カテゴリー（基本／機微）、目的、法的根拠を整理します。
3. 同意の仕組みが Article 9 の要件（任意、明示的、具体的、目的ごと、記録の保持）を満たしているか確認します。
4. データ主体の権利に関する対応手順と期限を評価します（Decree 356 Article 5）。
5. 越境移転の流れを確認します — Article 20 の影響評価義務を確認します。
6. DPIA（Article 21）の義務を確認します — SME の免除に留意します。
7. データセキュリティ対策と侵害通知への対応準備状況（72 時間ルール）を評価します。
8. DPO の選任要件と資格を確認します（Decree 356 Article 13）。
9. 是正担当者と期限を設定した、優先順位付きのギャップ一覧を作成します。

出力形式：

## VN-PDPL Gap Analysis — [Organisation Name]
### Executive Summary
### Gap Register
| Control Area | Current State | Gap | Risk | Remediation |
### Priority Actions
### SME Exemptions Applicable (if any)

ワークフロー 2 — データ主体の権利への対応

使用する場合： データ主体からの請求に対応する場合、または権利行使への対応プロセスを構築する場合。

手順：

1. 行使される権利を特定します（Article 4 に定める 6 つの権利のいずれか）。
2. 請求者の本人確認を行います。
3. Decree 356 Article 5 に定める該当する回答期限を確認します。
4. Article 19 の同意なしでの処理に関する例外が適用されるか確認します。
5. 受領確認（2 営業日以内）と対応結果の回答を作成します。
6. 監査証跡として、請求と回答を記録します。

重要なルール： 同意の撤回には応じなければなりません。撤回によって、撤回前の処理の適法性が損なわれることはありません。

ワークフロー 3 — 影響評価（DPIA と越境移転）

使用する場合： 新たな処理活動を開始する場合、またはベトナム国外へのデータ移転を計画する場合。

国内 DPIA（Article 21）：

• 処理開始から 60 日以内に実施する必要があります
• SME（小規模企業および零細企業）は、機微データを処理する場合または大規模に処理する場合を除き、5 年間免除されます
• 以下を含める必要があります：データのカテゴリー、目的、保存期間、セキュリティ対策、リスク評価

越境移転影響評価（Article 20）：

• 最初の移転から 60 日以内に、公安省へ書類一式を提出します
• 目的、データの種類、受領者、またはセキュリティ対策に変更があった場合、あるいは 6 か月ごとに更新します
• 国家安全保障または公共の安全に関するリスクが特定された場合、同省は移転を一時停止することがあります
• 例外：法定の職務を遂行する国家機関、クラウドストレージ上の従業員人事データ、データ主体自身が開始する移転

出力： クライアント固有の事実をあらかじめ記入した、構造化された影響評価テンプレートを提示します。

ワークフロー 4 — プライバシー通知と社内ポリシー

使用する場合： プライバシー通知、同意書、データ処理ポリシーを作成またはレビューする場合。

プライバシー通知に含める内容：

• 管理者／処理者の身元情報と連絡先
• 各処理活動の目的と法的根拠
• 処理するデータのカテゴリー（基本／機微 — 個別に記載）
• 受領者と第三者
• 越境移転の詳細（該当する場合）
• 保存期間
• データ主体の権利とその行使方法
• 侵害通知の手順
• DPO の連絡先（選任されている場合）

同意書のルール（Decree 356 Article 6）： 同意は、書面、録音された電話、SMS の書式、メール、ウェブサイト／アプリのフォーム、またはその他の検証可能な電子形式で取得できます。沈黙、あらかじめチェックされたボックス、無対応は同意を構成しません。

業種別の追加要件： 金融／銀行、AI、クラウド、ブロックチェーン、ビッグデータの要件については、references/decree-356-implementation.md を参照してください。

ワークフロー 5 — データ侵害の通知と対応

使用するタイミング： 個人データの侵害が発生した、またはその疑いがある場合です。

対応の流れ：

1. 封じ込め — 影響を受けたシステムを隔離し、さらなる漏えいを防止します。
2. 評価 — 影響の範囲、影響を受けたデータのカテゴリー（センシティブデータか基本データか）、データ主体の人数を特定します。
3. 当局への通知 — 侵害を認識してから72時間以内に通知します。データ主体にも同時に、または実行可能な限り速やかに通知します。
4. 記録 — 内部の侵害記録簿を維持します。
5. 是正 — 根本原因に対処し、管理策を更新します。
6. レビュー — インシデント後に得られた教訓と管理策の改善を検討します。

侵害通知の内容：

• 侵害の性質
• 影響を受けたデータ主体のカテゴリーと概数
• 影響を受けた記録のカテゴリーと概数
• DPO または責任者の連絡先
• 侵害によって生じる可能性のある結果
• 侵害への対処として講じた、または講じる予定の措置

---

罰則 — Decree 330/2026/ND-CP（2026年8月19日施行）

制裁制度はすでに施行されています。 Decree No. 330/2026/ND-CP（2026年8月19日公布・施行。全82条、うち33条が個人データ保護に関するもの）は、Law 91/2025（第8条）および Decree 356/2025 の罰則の枠組みを実施します。罰則に関する回答では、必ずこの政令に言及してください。

違反	罰則（組織。個人はその半額）
重大な越境違反 — 市民のデータの侵害または喪失を伴う CPDTIA の不履行・隠蔽・虚偽申告	前年のベトナム市場売上高に対する割合：1～2％（データ主体1万人以上10万人未満）、2～3％（10万人以上100万人未満）、3～5％（データ主体100万人以上、または国防・安全保障への影響がある場合）。ベトナム国内の売上高がない場合、または割合に基づく金額が固定額の区分を下回る場合は、それぞれ2億～5億VND／5億～10億VND／10億～30億VND
違法なデータ取引（第53条）	違法収益の2～10倍。算定できない場合：5億～10億VND（基本データが1万人以上、またはセンシティブデータが2千人以上）、国家安全保障、公共秩序、マクロ経済、または生命・健康・尊厳に重大な影響を及ぼす場合は10億～30億VND
CPDTIA の未提出または更新の遅延（その他の違反）	3,000万～5,000万VND
同意に関する違反	3,000万～5,000万VND。同意とみなす沈黙、または同意撤回後の処理：5,000万～7,000万VND
PDPIA の改ざん・非協力	5,000万～1億VND
DPO の選任・任命に関する違反	1,000万～3,000万VND

罰金に加え、是正措置として、処理または越境移転の停止、データの強制削除、違法収益の返還、没収があります。経過措置： 2026年8月19日より前の行為は、Decree 330 のほうが軽い場合を除き、当時施行されていた法律に基づいて判断されます。コンプライアンスの体系は、Law 91/2025（実体規定）＋Decree 356/2025（PDPIA／CTIA の書類、A05 への60日以内の提出、6か月ごとの更新）＋Decree 330/2026（罰則）です。

---

SME に対する免除

小規模企業および零細企業は、第21条（DPIA）、第22条（セキュリティ対策の要件）、第33条第2項（特定の処理者の義務）について、2026年1月1日から5年間適用除外を選択できます。ただし、センシティブな個人データを処理する場合、または大規模にデータを処理する場合を除きます。零細企業は、センシティブデータを処理する場合、または大規模にデータを処理する場合を除き、これらの条項から全面的に免除されます。

---

他の法律との関係

• 2018年サイバーセキュリティ法（法律第24/2018/QH14号）： VN-PDPLは個人データに関する特別法です。より広範なデータのローカライズおよびシステムセキュリティの義務には、引き続きサイバーセキュリティ法が適用されます。
• 消費者保護法： VN-PDPLに基づくデータ主体の権利は、消費者の権利に加えて適用されます。
• 労働法典： 従業員の個人データ処理にはVN-PDPLが適用されます。政令356の第8条では、金融・銀行分野に特有の雇用主の義務が定められています。
• GDPRとの比較： VN-PDPLは全般的にGDPRを参考にしています。主な違いは、権利がGDPRの8つに対して6つであること、72時間以内の漏えい通知が監督当局とデータ主体の双方に適用されること、越境移転の仕組みが十分性認定やSCCではなく影響評価であること、データポータビリティの権利がないこと、中小企業の適用除外には期限があることです。

---

このスキルは一般的なコンプライアンス情報を提供するものであり、法的助言ではありません。最新の要件を公式情報源で確認し、判断にあたっては有資格の弁護士または認定評価機関に相談してください。