ベトナム個人データ保護に関する政令の概要（前編）

カテゴリー： ASEAN・中国・インド, 会計・法務

連載： ONE ASIA LAWYERS - ASIAビジネス法務

公開日 2023.09.09

2023年4月17日、ベトナム政府は、個人データ保護に関するDecree No.13/2023/ND-CP(以下「PDPD」)を公布しました。PDPDは、ベトナムで初めての本格的な個人データ保護に関する法令となります。

PDPDは23年7月1日から施行され、ベトナム国内所在の組織及び個人に加えて、電子・インターネット環境においてベトナムの個人情報を取り扱う国外所在の組織及び個人にも適用されます。

本稿執筆時点において、具体的にどのような対応を実施すればよいか不明確な点が多いため、PDPDに関する細則・ガイドラインや当局の指示について注視が必要となっています。

以下、PDPDの概要を紹介します。

1. 個人情報の定義の明確化

各種法令において定義されていた個人情報の定義が明確化されました。具体的には、個人データとは、電子的環境における記号、文字、数字、画像、音声又はこれらに準ずるものの形で、特定の個人に関連する又は特定の個人の識別に寄与する情報と定義されており（第2条1項）、基本データ（氏名、生年月日、性別、出生地、国籍など）とセンシティブデータ (政治的見解、医療記録に記載された健康状態、人種に関する情報、遺伝的特徴に関する情報、位置情報など)の2グループに分類されています（第2条3項、4項）。

個人に関連する又は特定の個人の識別に寄与するという抽象的で広い範囲の情報が個人情報に含まれる点が特徴的です。なお、個人の識別に寄与するとは、個人の活動に起因する情報であって、蓄積された他の情報やデータと容易に照合することが可能であり、かつ、それによって特定の個人を識別することができるものをいうとされています（第2条2項）。

2. PDPDの適用対象

PDPDの適用対象は、ベトナムに所在する団体・組織・個人の他、ベトナム国外で活動するベトナムの団体・組織・個人及びベトナムにおける個人情報処理に直接関与し又は関連する外国の団体・組織・個人とされています。

したがって、外国に所在する日系企業であってもベトナムの個人情報処理に直接関与し又は関連する場合にはPDPDの適用対象となりますが、現状、どのような場合が適用対象となるのか不明確であるため、細則等において明確化されることが期待されます。

3. PDPDにおける個人情報処理に関する対象者の分類

PDPD上、個人上処理に関する対象者は以下のとおり分類されます。

①個人情報管理者：個人情報を処理する目的と手段を決定する組織・個人（第2条9項）

②個人情報処理者：契約を通じてデータ管理者に代わってデータを処理する組織・個人（第2条10項） ③個人情報管理および処理者：目的、手段を決定し、同時に個人情報を直接処理する組織・個人（第2条11項）

分類に応じて対応が必要な事項が異なるため、PDPDの適用対象となる場合には、自社がどの分類に該当するか、まず確認が必要です。

4. データ主体の権利

PDPDにおいて、データ主体に認められる権利が明確にされています。具体的には、自己の個人情報の取り扱いに関して知る権利、同意する権利、アクセスする権利、同意を撤回する権利、及びデータを削除する権利等を認め、それらの権利を保護するための規定を設けています（第9条）。

上記のうち、同意に関して、PDPD上データ主体の同意なしに個人情報を処理することを禁じられているため（第11条1項）、事業者として必要な同意を取得できているか確認を行うことが推奨されます。

なお、同意は主に以下のような条件が満たされている必要があります。

①同意前に次の事項を明確に知っていること 処理されるデータの種類、処理の目的、処理する組織または個人情報主体の権利と義務（処理されるデータがセンシティブ個人情報の場合、データ主体に、処理されるデータがセンシティブ個人情報であることを知らせていること）（第11条2項、8項）

②同意が明確かつ具体的に表現されていること（データ主体の沈黙や無応答は、同意とはみなされません）（第11条6項）

③同意が、電子形式または検証可能な形式を含め、書面で印刷、複製できる形式で示されていること（第11条4項、5項）

次号ではPDPD上、各事業者が対応しなければならない事項について解説します。