政令第356/2025/NĐ-CP号:個人情報保護法の新規定

2026年1月1日付で、個人情報保護法の詳細規定および施行指針を定める政令第356/2025/NĐ-CP号(以下「政令356」という。)が正式に施行され、個人情報保護に関する政令第13/2023/NĐ-CP号(以下「政令13」という。)に代わるものとなった。これにより、個人情報保護法の実効的な施行が確保される。

本ニュースレターでは、政令13との比較・対照および個人情報保護法の施行規定の分析を基に、政令356の主要なコンプライアンス要件についてご紹介する。

1. 基本的個人情報及び機微な個人情報の分類

政令356は、基本的な個人情報の範囲を縮小し(サイバー空間上の活動データ、納税者番号、社会保険および医療保険に関する情報を除外する)、同時に、機微な個人情報の範囲を拡大し、その保護レベルを強化する。

• ネットワークサービス、電気通信およびメディア上におけるオンラインでの行動および活動の追跡データを追加
• 健康データの範囲について、政令13のように診療記録に限定するのではなく、「健康状態」として一般的に規定することにより、その範囲を拡大
• 個人の金融行動および活動に関する詳細データ(アカウント、個人識別番号/身分証番号、銀行口座およびカード、取引履歴等)を追加。

2. 特殊技術システムにおける個人情報保護の規定

政令356は、政令13において具体的に規定されていなかった新技術システムおよび高度で複雑なデータ処理環境における個人情報の保護について、個別の規定を新たに追加する。これにより、以下のようなプラットフォーム又は技術モデルでデータ処理活動を行う組織・企業は、対応する個人情報保護措置を講じる必要がある。

• ビッグデータシステム(Big Data):行動の特定、トレンドの予測又はユーザープロファイルの構築を目的として、大規模データの収集および分析を行う能力を有するシステムを含む
• 人工知能(AI)システム及び仮想現実環境(メタバース、VR/AR):機械学習、意思決定の自動化、又はデジタル相互作用を目的としたデータ処理活動を含む
• ブロックチェーン技術:分散型プラットフォーム上でのデータの保存、認証、又は共有を含む
• クラウドコンピューティング:リモートコンピューティングインフラを通じたデータの保存、処理、伝送を含む。

これらの規定の追加により、政令356の適用範囲が大幅に拡大され、現代的な技術モデルを網羅するとともに、システムの設計及び運用の各段階から個人情報の保護を組み込むことが要求されるようになったことが示されている。

3. データ主体の同意

政令13におけるデータ主体の同意取得方法に加え、政令356では、実務に即した形態として、録音された通話、電子メール、ウェブサイト、ならびに同意取得のための技術的仕組みを備えたプラットフォーム又はアプリケーションを通じた同意の方法を新たに追加している。

データ主体の同意は明確で、保存され、検証可能性を確保しなければならず、デフォルトでの同意の設定や、データ主体に対し同意と非同意を誤認させる指示の作成を厳禁としている。

4. データ主体の権利行使

政令356では、データ主体からの要求の種類ごとに、データ管理者およびデータ処理・管理者の対応の仕組みおよび履行期限について、政令13と比較してより具体的に規定している。

5. 個人データの移転

政令13においては、データ移転が個別の条項において概括的に規定されていたのに対し、政令356は、その目的ごとに実施条件を、以下のとおり具体的に規定している。

• 同意に基づくデータの移転、又は組織・事業再編の場合、もしくはデータ管理者からデータ処理者・第三者への移転:受領側との間で、移転の目的、データ主体、データの種類、処理期間、データ削除、法的根拠および各当事者の責任を明確に定めた合意書を締結する
• 機微な個人データの移転:物理的なセキュリティ対策、暗号化、匿名化、又はその他のセキュリティ措置を講じる
• 有償での個人データの移転:データ移転前に、移転ごとの明確かつ明示的な同意を得る
• 組織内部データの移転:共有・利用に関する管理を徹底し、不正な共有の防止措置を講じる
• データ取引所上での取引:個人データは匿名化されなければならない。

6. データ保護部門(Data Protection Department - DPD)及びデータ保護責任者(Data Protection Officer - DPO)

政令356では、政令13から要件が拡張され、企業がDPOの任命/DPD部門の設置と、個人情報保護サービスを提供する組織又は個人への委託の双方を併用することを認めている。また、その能力基準および責任についても明確に規定している。

• 能力条件について:DPO・DPDおよびサービス提供を行う個人については、(i) 短期大学卒業以上の学歴を有すること、(ii) 法務、個人情報処理、サイバー/データセキュリティ、リスク管理又はコンプライアンス管理のいずれかの分野において2〜3年以上の実務経験を有すること、(iii) 個人情報保護に関する研修を受講していることが求められる。サービス提供を行う組織については、上記3点の要件を満たす人員を少なくとも3名有することに加え、(i) 情報セキュリティ、サイバーセキュリティ、情報技術、基準評価又は個人情報保護コンサルティングに関する製品又はサービスの提供実績を有すること、(ii) 個人情報保護能力を証明するための実績資料(能力証明資料)を整備することが求められる。
• 責任について:DPOおよびDPDは、社内法務部門と同様に、定期的なコンプライアンス評価の実施、データ保護に関する方針・手続きおよび個人情報保護措置の策定・実施、違反への対応、影響評価報告書の作成ならびに研修への参加について責任を負う。また、サービス提供を行う個人および組織は、契約上のコミットメントを遵守し、不当な利益を得てはならず、業務完了後には個人情報を削除する義務を負う。

7. 個人情報処理サービスの事業は条件付き事業分野である

政令356は、「個人情報処理サービスの提供」をベトナムにおける条件付き事業として初めて規定した。これにより、個人情報処理サービスを提供する組織(データ分析、データ保存、アウトソーシングによるデータ処理、その他関連サービスを含むがこれらに限定されない)は、所定の条件を満たし、公安省が発行する個人情報処理サービス事業の適格性証明書の取得が必要となる。

政令356では、以下の事項について詳細に規定している:

• 許可取得条件:人員体制、専門的能力、技術システムおよび個人情報保護措置に関する要件を含む。
• 申請書類や登録・更新・取消の手続き
• サービス提供過程におけるコンプライアンス責任:許可された範囲内でのデータの管理および処理、ならびに守秘義務の遵守を含む。

本規定は、管理手法における転換を示すものであり、市場における個人情報処理サービスの提供活動について、従来の法令遵守での管理の枠組みから、許認可制度へと移行したことを意味する。

8. 個人情報処理の影響評価(Data Protection Impact Assessment - DPIA)及びクロスボーダー情報移転の影響評価(Cross-border Data Transfer Impact Assessment - CTIA)

政令356は、CTIAの実施が免除される事例を新たに追加しており、特に、労働法に基づく人事管理を目的とした個人情報の越境移転は免除対象となった。これにより、企業、特に多国籍企業にとって、コンプライアンス負担および行政手続の軽減となる。

政令356は、CTIA及びDPIA書類に対する厳格な遵守を要求する。具体的には:

• 書類の処理期間:政令356は、サイバーセキュリティ・ハイテク犯罪防止局(A05)がCTIAに関する申請書類を審査する期間を15日とし、データ移転主体には当該書類の補足・修正のために30日間の猶予期間がある旨を規定している
• 個人データ影響評価報告書の更新義務:新たなデータ移転・処理目的が発生した場合、又はデータ管理者、データ管理・処理者、データ処理者もしくは第三者に変更が生じた場合には、6ヶ月ごとに定期的に報告書を更新するものとする。また、組織の構造変更、事業の終了、個人情報保護サービス提供者の変更、又はDPIAもしくはCTIAの報告書に記録された個人情報関連の業種・サービスに関して新規登録や変更があった場合には、10日以内に更新を行うものとする。

政令356は、2025年データ法の施行を指針する2025年6月30日付政令第165/2025/NĐ-CP号(以下「政令165」という。)における影響評価実施義務に関する規定を改正している。これにより、コアデータ又は重要データに該当する個人情報を越境移転又は処理する、データ管理・処理主体は、従前の2025年データ法および政令165に代わり、個人情報保護法および政令356に基づく、DPIAおよびCTIAの報告書を作成しなければならない。

9. 個人情報保護規定違反の通知

政令356は、政令13と比較して、位置情報および生体認証データについての違反に関する通知義務を新たに追加している。これにより、データ管理者は、A05に対して違反を通知するとともに、(i) 違反を発見してから72時間以内にデータ主体へ通知するか、又は(ii) 可能な限り速やかに公表するとともにデータ主体へ通知しなければならない。また、是正後少なくとも5年間、当該違反に関する記録を保存する義務を負う。

10. 個人情報保護活動に関する検査

政令356は、関係当事者における個人情報保護活動の監査(検査)について規定しており、検査は、法令違反の疑いがある場合又は所轄官庁の指示に基づき、定期的又は臨時に実施される。検査内容には、(i) 個人情報保護に関するコンプライアンス状況、(ii) DPIAおよびCTIAの実施状況、(iii) 個人情報処理サービスの提供活動が含まれる。A05は関係当事者に対して検査を実施する権限を有し、原則として検査の時期および内容について15日前までに通知するものとするが、必要な場合には、事前通知なく臨時検査を実施することができる。

さらに、政令356では、データ取引プラットフォームに提供される前に個人情報を匿名化しなければならず、匿名化後のデータは個人情報には該当しない(個人情報保護法第2条第1項)旨が規定されている。これにより、A05は、法令遵守を確保するため、匿名化の実施過程およびプラットフォーム上に提供される情報について、関係当事者に対して検査を行う権限を有する。

11. DPIA及びCTIA実施免除の事由

政令356は、適用除外の範囲・対象および期間を拡大しているが、機微な個人情報を処理しないこと、又は処理対象が10万件未満のデータ主体に限られることを条件としているため、実務上は適用除外の対象となる範囲が限定される可能性がある。

政令356では、適用除外の対象に個人事業者を新たに追加し、零細企業、中小企業およびスタートアップ企業を含むものとしている。これにより、(i) 個人事業者および零細企業は全面的に適用除外とされ、(ii) 中小企業およびスタートアップ企業については、2026年1月1日より適用除外期間が従来の2年から5年へ延長され、その後は法令に基づく義務を履行しなければならない。

個人事業者および零細企業であっても、(i) 個人情報処理サービスを営む場合、(ii) 機微な個人情報を直接処理する場合、又は(iii) 累積10万件以上のデータ主体に係る個人情報を処理する場合には、適用除外の対象とはならない。

本記事は概要をまとめたものであり、実際の適用にあたっては必ず原文の法令をご確認ください。