1

適用対象が広範です

ベトナム国内の個人・組織に加え、ベトナム領域内で個人データ保護に関する違反を行う外国の個人・組織も対象となります。

2

多層的な制裁・是正措置が設けられています

警告・制裁金に加え、不法収益の返還、公開謝罪、権利行使のための技術的仕組みの整備、違法に取得・処理したデータの復元不能な削除等が命じられる場合があります。

3

行政制裁の時効は1年間です

違反終了時点は、法令上の義務を履行した日、又は権限を有する機関が違反行為の終了を確認した日とされます。

注：以下の各違反については、該当する追加的制裁及び是正措置も併せて適用される場合があります。各「実務上よくある例」は、違反内容を理解しやすくするための参考例です。

具体的かつ明確な範囲・目的に沿わずに個人データを収集し、又は収集前に個人データ主体の同意を得ていない場合

基本個人データ：30,000,000～50,000,000ドン
センシティブ個人データ：50,000,000～80,000,000ドン

技術的措置を用いて違法に収集した場合：対象データの種類及び侵害されたデータ主体数に応じて100,000,000～800,000,000ドン

採用に不要な家族情報・身分証明書情報まで取得する、又は利用目的を示さず顧客情報を収集するケースです。

第48条

特定し、同意を取得し、又は合意した個人データ処理の範囲若しくは目的に沿わない処理、又は当該目的の達成に必要な範囲を超える処理

20,000,000～40,000,000ドン

採用目的で取得した履歴書を、本人の同意なく営業・広告目的に利用するケースです。

第39条

個人データ処理の目的に照らして必要な期間を超えて個人データを保存する行為

20,000,000～40,000,000ドン

終了したキャンペーンの顧客名簿を、保存期限を定めず保管し続けるケースです。

第39条

個人データの正確性を確保せず、又は誤りを発見した場合若しくは必要な場合に、適時に訂正・更新・補充を行わない行為

20,000,000～40,000,000ドン

本人から住所・口座情報の訂正申請を受けたにもかかわらず、社内システムを更新しないケースです。

第39条

個人データ主体の権利を行使するための明確なプロセス、手続及び様式を整備していない場合

10,000,000～20,000,000ドン

開示・訂正・削除請求の受付窓口や申請様式が定められていないケースです。

第44条

個人データ主体の権利を実現するため、組織内の関係部門の責任を明確に区分していない場合

10,000,000～20,000,000ドン

人事・IT・法務のいずれが削除請求に対応するか決められていないケースです。

第44条

個人データ保護法に定める権利の行使手続について、情報を提供せず、又は個人データ主体が把握できるようにしていない場合

10,000,000～20,000,000ドン

プライバシーポリシーに権利行使の方法や連絡先を記載していないケースです。

第44条

個人データ移転に関する合意において、データ保護責任、データ主体の権利の実現及び違反発生時の連携対応を明確に定めていない場合

20,000,000～30,000,000ドン

委託先との契約に、漏えい時の連絡・対応責任や削除義務が定められていないケースです。

第52条

社内で個人データを共有する際、共有・利用を管理するプロセスを整備せず、かつ、社内担当者による第三者への不正共有を防止する措置を講じていない場合

20,000,000～30,000,000ドン

アクセス権限を設定せず、顧客名簿を全社員が閲覧・転送できる状態にしているケースです。

第52条

センシティブ個人データの移転に際し、保存・伝送機器に対する物理的セキュリティ措置、暗号化又は匿名化措置を講じていない場合

50,000,000～80,000,000ドン

給与・健康情報を、暗号化せず電子メール又はUSBで送付するケースです。

第52条

個人データ処理を開始したにもかかわらず、個人データ処理影響評価書類を作成せず、又は企業の本店で維持・保管していない場合

20,000,000～30,000,000ドン

顧客管理システムの運用を開始したものの、影響評価書類を作成・保管していないケースです。

第55条

個人データ処理を開始した日から60日以内に、個人データ処理影響評価書類の正本1部を公安省サイバーセキュリティ及びハイテク犯罪防止局へ提出しない場合

20,000,000～30,000,000ドン

処理開始日を管理しておらず、提出期限である60日を経過したケースです。

第55条

書類が不十分又は法令に適合していない場合に、主管機関の要請を受けても、故意に影響評価書類を補完しない場合

20,000,000～30,000,000ドン

当局から不足資料の追加提出を求められたにもかかわらず、対応しないケースです。

第55条

法令上変更が生じた場合に、個人データ処理影響評価書類を6か月ごとに更新しない場合

20,000,000～30,000,000ドン

処理目的や利用システムが変更された後も、定期更新を行わないケースです。

第55条

法令上更新が必要となるいずれかの場合に該当したにもかかわらず、10日以内に書類を更新しない場合

20,000,000～30,000,000ドン

新たな処理委託先を追加した後、所定期間内に書類を更新しないケースです。

第55条

個人データ処理影響評価書類のデータを故意に偽造し、虚偽情報を提供し、又は公安省サイバーセキュリティ及びハイテク犯罪防止局から書面による是正要求を受けたにもかかわらず、書類の訂正・補完を拒否する場合

50,000,000～100,000,000ドン

処理対象者数やデータフローを意図的に少なく記載し、是正要求にも応じないケースです。

第55条

データ移転前又は移転中に、個人データ越境移転影響評価書類を作成しない場合

30,000,000～50,000,000ドン

ベトナム法人の従業員データを本社システムへ送信した後も、影響評価書類を作成していないケースです。

第56条

データ移転を開始した日から60日以内に、個人データ越境移転影響評価書類の正本1部を個人データ保護主管機関へ提出しない場合

30,000,000～50,000,000ドン

海外クラウドへの移行日を基準にした60日の提出期限を徒過するケースです。

第56条

個人データ保護主管機関の要請を受けた日から30日以内に、個人データ越境移転影響評価書類を補完しない場合

30,000,000～50,000,000ドン

当局から補完要請を受けた後、30日以内に不足事項を提出しないケースです。

第56条

法令に従い変更が生じた場合、個人データ越境移転影響評価書類を定期的に更新せず、又は必要な更新を行わない場合

30,000,000～50,000,000ドン

海外の受領者・サーバー所在地・利用目的が変わった後も書類を更新しないケースです。

第56条

越境移転を行う移転元と受領者との間で、個人データ保護責任を拘束する契約又は文書を締結せず、移転後のデータ主体の権利実現に関する責任を明確にしない場合

50,000,000～100,000,000ドン

親会社又は海外ベンダーとの契約に、保護措置や権利行使への協力義務がないケースです。

第56条

越境移転の目的について個人データ主体の同意を確保せず、又はデータが国外へ移転される事実、受領組織及び処理目的を個人データ主体へ通知しない場合

50,000,000～100,000,000ドン

従業員に通知・同意取得を行わず、人事情報を海外本社へ送信するケースです。

第56条

個人データの越境移転中に適切なセキュリティ措置を講じず、又は移転後の個人データの安全を確保する方策を備えていない場合

50,000,000～100,000,000ドン

暗号化、アクセス制御、事故対応手順を整備せず海外へデータを送信するケースです。

第56条

越境移転影響評価書類を作成せずに越境移転を実施し、データフローを隠匿若しくは虚偽申告して個人データの漏えい・喪失を生じさせ、又は個人データ保護主管機関の停止決定後も移転を継続する場合

ベトナム市場における直前事業年度の総売上高の1～5％
（影響を受けたデータ主体数及び違反の重大性に応じます）

当局から越境移転の停止を命じられた後も、海外サーバーへの自動同期を停止しないケースです。

第56条

個人データ保護担当者との間で秘密保持責任に関する合意を締結していない場合

警告又は10,000,000～20,000,000ドン

担当者を指名したものの、秘密保持義務を定める書面を締結していないケースです。

第57条

個人データ保護担当者に対し、個人データ保護に関する知識・技能の研修及び能力向上を実施していない場合

警告又は10,000,000～20,000,000ドン

担当者を任命しただけで、法令・事故対応等の研修を実施していないケースです。

第57条

個人データ保護担当者の指定文書又は個人データ保護部門の設置決定書に、法令に基づく機能、任務、権限及び業務要件を明記していない場合

警告又は10,000,000～20,000,000ドン

任命書に役職名のみを記載し、具体的な責任・権限を定めていないケースです。

第57条

法令上の要件を満たさない者を個人データ保護担当者として指定した場合

20,000,000～30,000,000ドン

必要な専門性・条件を満たさない担当者を形式的に指名するケースです。

第57条

法令知識及び個人データ保護の専門技能に関する研修を受けていない者を担当者に指定し、又は個人データ保護担当者の正式な指定文書若しくは個人データ保護部門の設置決定書を発行していない場合

20,000,000～30,000,000ドン

実務担当者はいるものの、研修も正式な任命決定も行っていないケースです。

第57条

採用目的に必要でない個人データの提供を応募者に求める場合

20,000,000～50,000,000ドン

職務と無関係な家族構成、婚姻・妊娠に関する情報等を一律に求めるケースです。

第61条

応募者との合意なく、応募者の個人データを採用以外の目的に使用する場合

20,000,000～50,000,000ドン

不採用者の連絡先を、本人の合意なく営業・広告配信に利用するケースです。

第61条

応募者の同意を得ずに個人データを処理し、又は応募者が同意した範囲・目的を超えて処理する場合

20,000,000～50,000,000ドン

応募時に示した目的を超えて、履歴書をグループ各社と共有するケースです。

第61条

応募者を採用しない場合に、その応募者との別段の合意がある場合を除き、個人データを削除・廃棄しない場合

20,000,000～50,000,000ドン

不採用者の履歴書を、保存期間や別途の合意なく無期限に保管するケースです。

第61条

法令上の保存期間又は合意した期間を超えて、労働者の個人データを保存する場合

50,000,000～70,000,000ドン

保存期限を経過した勤怠・給与資料を、目的なく保管し続けるケースです。

第61条

労働契約終了時に、合意又は法令に別段の定めがある場合を除き、労働者の個人データを削除・廃棄しない場合

50,000,000～70,000,000ドン

退職者のデータを、法定保存義務の有無を区分せず全て保存し続けるケースです。

第61条

労働者が当該措置を明確に認識できるようにせず、技術的措置を用いて労働者の個人データを収集する場合。これには、労働者への通知なく、職場で端末追跡ソフト、監視カメラその他のデータ収集装置を設置する行為を含みます。

50,000,000～70,000,000ドン

従業員への事前通知なく、端末追跡ソフトや録音機能付き監視設備を導入するケースです。

第61条

法令に適合しない、又は労働者の適法な権利・利益を確保しない技術的措置により、労働者の個人データを収集する場合

50,000,000～70,000,000ドン

業務上必要な範囲を超えて、勤務時間外の位置情報を継続的に取得するケースです。

第61条

法令に違反する技術的措置により収集した労働者の個人データを処理・使用する場合

70,000,000～100,000,000ドン

違法に取得した録音・位置情報を、人事評価や懲戒判断に利用するケースです。

第61条

3.1  親会社へのデータ送信が越境移転に該当する可能性があります

FDI企業が特に留意すべき事項の一つは、ベトナム法人と親会社又はグループ内の他社との間における個人データの移転です。実務上は、ベトナム法人の顧客の個人データを共通システムへ入力し、又は国外の親会社へ送信する場合、ベトナム人従業員の個人データ（採用情報、給与情報等を含みます。）を人事システムへ統合し、又は国外の親会社へ報告する場合等が典型例として挙げられます。したがって、企業は、データ移転の法的根拠、国外の個人データ受領者との間で締結する合意・契約及び個人データ保護措置を点検し、現行の個人データ保護法令を遵守するとともに、制裁を受けるリスクを回避する必要があります。

3.2  外国の親会社の個人データ保護方針が、必ずしもベトナム法に適合するとは限りません

多くのFDI企業では、外国の親会社が策定した個人データ保護方針を適用しています。しかし、各国の個人データ保護に関する法令は異なるため、これらの社内方針を実施していることのみをもって、ベトナム法人がベトナム法上の要件を全て満たしているとは限りません。そのため、企業は、親会社が制定した方針の関連内容を主体的に確認して適合性を評価し、ベトナム法との整合性・適合性を確保するため、必要に応じて新たな方針を制定し、又は既存方針を追加・改定する必要があります。

3.3  採用・労務分野のデータはリスクの高い領域です

採用及び労務管理の過程では、企業は通常、身分証明書・パスポート、住所、銀行口座、税務、保険、画像、家族情報及び勤怠データ等、大量の個人データを処理します。政令330号は、採用及び労務管理における個人データの処理について、独自の制裁を定めています。そのため企業は、この分野における個人データの収集・処理を見直し、法令に適合する管理措置を講じる必要があります。具体的には、応募者に提出を求める情報の必要性、不採用者の応募書類の保存期間、退職後のデータ処理、国外の親会社システムへのデータ移転、当該データへアクセスできる担当者の範囲等を確認する必要があります。

3.4  外部委託は、責任の全面的な移転を意味しません

企業は、給与計算、採用、税務、マーケティング等の業務を第三者に委託することがあります。しかし、委託先に個人データの処理を任せても、企業がその管理下にあるデータについて責任を免れるわけではありません。そのため、委託先との契約には、個人データ処理の範囲・目的、秘密保持義務、保存期間、事故発生時の責任、サービス終了時のデータ返還又は削除等、個人データ保護法令の遵守を確保するための具体的かつ詳細な条項を設ける必要があります。

政令330号は、ベトナムにおける個人データ保護制度を、実際の違反行為に対する監督・制裁を強化する方向へ大きく転換させるものです。FDI企業では、従業員データの収集・管理、委託先とのデータ共有、国外の親会社とのデータ共有等、日常的な活動からリスクが生じる可能性があります。そのため、企業は、採用・労務分野及び個人データの越境移転を重点として、早期にコンプライアンス体制を点検・強化することが望まれます。