2024.12.05

ベトナム【ベトナム】森・濱田松本法律事務所 アジアニュース／第109回「個人情報保護法案の公表」

【ベトナム】森・濱田松本法律事務所 アジアニュース／第109回「個人情報保護法案の公表」

◇ベトナム

MHM Asian Legal Insights第151号（2023年5月号）※1でご紹介したとおり、ベトナムでは、2023年7月1日から個人情報保護に関する包括的な規制を定めた個人情報保護に関する政令（Decree No.13／2023／ND-CP：「PDPD」）が施行されており、個人情報保護に対する関心が高まっています。そのような状況の中、ベトナム政府はより上位である法律レベルで新たに個人情報保護に関する規制の制定を進めており、2024年9月24日、個人情報保護法の草案（「PDPL案」）が公表されました。PDPL案は現在パブリックコメントの手続に付されており、今後、2025年中の成立及び2026年1月1日付けの施行が予定されています。

PDPL案では、現行のPDPD上の規制の多くが踏襲されていますが、一部ではPDPD上の規制内容が変更されたり、また新たな規制が加えられたりしています。本レターでは、PDPL案におけるPDPDとの主要な相違点についてご説明します。なお、PDPL案はあくまで草案段階のものであり、最終的に成立する法律の内容が以下とは異なる可能性がある点、念のためご留意ください。
 
(1) 適用範囲の拡大
 
PDPL案では、規制が適用される範囲がPDPDよりも拡大されており、「ベトナム国内で外国人の個人情報を収集・処理する団体・組織・個人」にも適用されることとされています。そのため、PDPL案ではベトナム人のみならず外国人の個人情報の処理等についても規制の適用対象となる点に留意が必要です。
 
(2) センシティブ個人情報の追加
 
PDPL案では、PDPDと同様に、個人情報が「基礎個人情報」と「センシティブ個人情報」に分類されているところ、「土地使用者情報、土地使用者情報を含む土地情報」が新たにセンシティブ情報として加えられています。
不動産事業を営む企業は事業活動の中で土地使用者情報や土地使用者情報を含む土地情報を取得するケースが少なくないと思われ、その場合には、センシティブ個人情報の処理を行うものとしてセンシティブ個人情報の処理に関する規制（個人情報保護を担当する部署・責任者の設置や当局への通知等）を遵守する必要がある点に留意が必要です。
 
(3) 域外移転に該当する場合の明確化
 
PDPD上、ベトナム人の個人情報の域外移転を行うためには、移転者が個人情報移転評価を実施することが求められているところ、PDPL案においても、この域外移転に関する規制が維持されています。この点、PDPL案では、当該「域外移転」に該当する場合の具体的場面として、以下(a)~(f)が明記されています。
 
(a) ベトナム国外の受領者と個人情報を共有すること
(b) 海外で開催される会議・セミナー・会合・協議等の国際的なイベント中に個人情報を共有すること
(c) ベトナム国外の受領者に対して、文書又は電子メールで個人情報を送信すること
(d) ベトナム国外の個人又は組織がアクセスできる形で、インターネット上で個人情報を利用できるようにすること
(e) 事業活動を行うために、個人情報を他の団体・組織・個人に提供すること
(f)  海外における法的義務を履行するため、又は受入国の法律に従って個人情報を提供すること
 
上記を見る限り、域外移転に該当するケースが相当広範なものとなり得る一方、依然として不明確な事項も含まれており（例えば、(e)についてはそれ自体で域外移転の要旨が含まれていないように読めるなど）、引き続き立法過程の議論や今後の草案動向を注視する必要があると考えられます。
 
(4) 特定の事業分野における規制
 
PDPL案では、特定の事業分野において特別な個人情報の保護義務が課されており、主に以下の事業分野が対象とされています。例えば、人工知能に関する事業分野においては、人口知能を使用する組織・個人に対して、自動化されたシステムにより個人情報を処理することについて個人情報の主体に通知し、アルゴリズム及び人工知能技術が当該主体の権利・利益に与え得る影響について明確な説明を行う義務が課されています。

●ビッグデータの処理
●人工知能（AI）
●クラウド・コンピューティング
●従業員の採用・管理
●金融機関
●医療・保険
●ソーシャルメディア
 
(5) 個人情報保護組織及び個人情報保護専門家
 
PDPDでは、個人情報を専門とする部署及び個人情報保護の責任者について、特段の資格要件や技術的要件は定められていません。
他方、PDPL案では、個人情報を専門とする部署としての活動を担う「個人情報保護組織（Personal Data Protection Organizations）」及び個人情報保護の責任者としての活動を担う「個人情報保護専門家（Personal Data Protection Experts）」という部署及び責任者の概念が新たに導入されており、それぞれについて一定の要件を満たす必要があるとされています。PDPL案では、PDPDとは異なりセンシティブ個人情報を取り扱う場合のみならず、基礎個人情報を取り扱う場合にもこれらの部署・責任者の設置が必要となるため、その体制整備に時間を要する可能性があるため、留意が必要です。
 
なお、PDPL案では、他の法律との適用関係について、①個人情報保護に関する規定を含むその他の法律はPDPL案の規定に反してはならないこと、及び②他の法律が個人情報の保護を規定していない場合又はPDPL案の規定と異なる規定を設けている場合にはPDPL案の規定が優先される旨が定められています。一般的には、同一の事項に関して異なる規定が存在する場合には、より上位の法規範が優先して適用されること、PDPL案がPDPDの規定の多くを踏襲していることに鑑みると、PDPL案の施行によりPDPDが失効する可能性がありますが、上記法文上は明らかではなく、その適用関係について立法過程での議論を注視する必要があります。
 
PDPL案はいまだ草案段階であり、今後内容が修正される可能性が高いものの、個人情報保護に対するベトナム政府の積極的な態度を伺わせるものと考えられ、ベトナムで事業を行う企業においては、今後の議論を注視しつつ対応を進めていくことが肝要といえます。
 
（ご参考）
※1　MHM Asian Legal Insights第151号（2023年5月号）
　　 1. ベトナム： 個人情報保護に関する政令の公布
https://www.mhmjapan.com/content/files/00067554/20230522-013702.pdf
 
本記事掲載URL
20241120-014900.pdf (mhmjapan.com)

（直近記事）
○第106回【タイ】「タイにおけるAI規制の動向」
○第107回【タイ】「個人情報保護法（PDPA）施行以来、初の行政罰が適用された注目事例」
○第108回【インドネシア】「フランチャイズに関する新政令の施行」

前のページへ戻る