ベトナム、同意違反に最大7,000万ドンの罰金　データ違反にはさらに高額の制裁も

沈黙を個人データ利用への同意とみなすことはできない

ベトナムの政令第330/2026/ND-CP号は2026年8月19日に施行され、個人の沈黙を個人データの収集または処理への同意とみなした場合、5,000万～7,000万ドンの罰金を定めている。同じ罰金区分は、本人が停止または制限を求めた後、あるいは権限を持つ当局が書面で命じた後も、意図的に処理を続けた場合にも適用される。

同意に関する規定は、より広範な制裁制度の一部だ。個人データの国外移転に関する一部の違反には、前年度売上高の最大5％の罰金が科される可能性がある。その他の個人データ違反では最大30億ドンの罰金が科される場合があり、違法なデータ取引には取引額の倍数に基づく制裁が適用される可能性がある。

政府が8月26日付で公表した政令の詳細によると、この制度は4章82条で構成される。サイバーセキュリティ、ソーシャルメディア、情報システム、個人データ保護を対象とし、警告と罰金を主な制裁としている。

アプリの利用者やオンラインショッピングをする人、広告メッセージを受け取る人にとって、実務上の焦点はデータを管理できるかどうかだ。企業は情報を利用する法的根拠を持ち、関連する目的を説明し、処理停止の要請を尊重しなければならない。企業にとっては、罰金に加えて、業務停止、違法に処理したデータの削除、不法な利益の返還を命じられる可能性もある。

有効な同意とは

第43条第1項は、さまざまな同意手続き上の違反に対し、3,000万～5,000万ドンの罰金を定めている。対象には、法律上同意が必要な場合に同意なしで個人データを処理すること、同意を初期設定にすること、同意するか拒否するかの選択を分かりにくくする不明瞭な案内を示すことが含まれる。

企業は明確かつ具体的で、検証可能な方法で同意を得なければならない。誰がいつ、何に同意したかを証明できる必要がある。また、利用者は処理目的ごとに個別に選択できなければならない。

例えば、ショッピングサービスは注文を履行するために情報を必要とする場合がある。政令は、無関係な個人データの利用にも同意しなければサービスにアクセスできないようにすることを問題としている。利用者は、合意したサービスを受けるために追加の目的まで受け入れるのではなく、それらについて別途選択できるべきだ。

第43条は、処理するデータの種類、目的、本人の権利と義務、処理を管理する組織について説明が不十分な場合も対象としている。同意記録の欠如も制裁の対象になり得る。したがって企業には、有効な同意取得手続きと、その手続きが適切に機能したことを示す証拠の両方が必要だ。

センシティブな個人データには追加の保護が適用される。センシティブデータを処理していることを本人に通知しなかった場合、3,000万～5,000万ドンの罰金区分に該当する。企業は保有情報を特定し、該当する保護措置を講じる必要がある。

7,000万ドンは制裁の全体像の一部にすぎない

同意違反に対する最高額の罰金は、下位区分の上限を2,000万ドン上回り、5,000万ドンから7,000万ドンに引き上げられる。この上位区分は、沈黙を同意とみなすことと、処理停止または制限の要請を意図的に無視することの2つを対象とする。

より広範な制度では、サイバーセキュリティ違反の罰金上限は組織が2億ドン、個人が1億ドンだ。個人データ保護には別の構造があり、定額の罰金区分のほか、違法取引や売上高に連動する制裁が含まれる。

EYの10月の法務アラートは、個人データの違法取引に対し、取引額の2～10倍の罰金が科されると説明している。取引額は契約書、請求書、支払い記録、メッセージ、銀行取引明細などの証拠に基づいて算定され、費用は差し引かれないという。

国外移転に関する一部の重大な違反には、売上高の1～5％の罰金が科される。EYは、ベトナム国民1万人以上のデータの喪失または漏えいを引き起こす移転をこの区分に挙げ、100万人以上に影響する事案には最高の5％が適用されるとしている。同社の一覧表によると、上限額は前年度にベトナム国内で得た売上高の一定割合で、前年度に売上高がなかった場合は30億ドンが上限となる。

外国企業も規制の対象に

政令第330号は、ベトナム人と外国人の個人および組織に適用される。対象には、電気通信、インターネット、オンラインコンテンツ、情報技術、サイバーセキュリティ、越境サービスを提供する要件該当の外国企業のほか、対象となるベトナム人の個人データ処理に関わる外国組織が含まれる。

保護対象には、ベトナム国民と、本人確認書類を持つものの国籍がまだ確定していない、ベトナム在住のベトナム系の人々が含まれる。したがって企業は、提供するサービスや取り扱う情報の対象者に加え、国外に所在することが適用範囲に影響するかも評価する必要がある。

ティリーク＆ギビンズは制裁政令の分析で、公安省が個人データ保護とサイバーセキュリティを所管する当局だと指摘している。同事務所によれば、この政令は個人データ保護法とサイバーセキュリティ法の義務を、詳細な行政制裁制度によって裏付けている。

ベトナム国外で事業を行う企業にとっては、自社のサービスや処理活動が適用範囲に入るかを確認することが実務上の課題となる。広告システム、顧客データベース、海外のサービス提供者へのデータ移転はいずれも、関連規定に照らした検討が必要となる可能性がある。

広告リストには適法な根拠が必要

第37条は、迷惑な広告メールやメッセージ、その他のオンライン広告規則違反を扱う。広告に使った情報が違法に収集された場合には、第48条も関係する可能性がある。つまり、広告活動と、その基となるデータの収集はそれぞれ別個のコンプライアンス上の問題となる。

電話番号リストを購入する企業は、データの入手元、利用の法的根拠、収集目的を確認する必要がある。また、本人が広告や情報の共有を拒否できる手段も設けなければならない。

第43条の同意規則も、このプロセスに関わる。許可を求める連絡に受信者が回答しなかった場合、同意したことにはならない。停止または制限の要請を受けた後に意図的に処理を続けた企業には、5,000万～7,000万ドンの上位区分が適用される。

EYは、個人データを関連会社の広告ネットワークに開示することについて、同意を初期設定とする行為に対する具体的な制裁も挙げている。こうしたネットワークは、商品を宣伝したり見込み顧客を誘導したりする事業者と企業を結びつける。そうした仕組みを通じて情報を共有する際には、あらかじめ選択された同意ではなく、本人の選択を尊重する必要がある。

消費者にとって、これらの規定は電話番号が最初に収集される段階と、その後の利用を結びつける。企業にとって、マーケティングメッセージの確認は作業の一部にすぎない。連絡先リストの入手元、付随する許可、拒否への対応も重要だ。

子どもと監視データにはより慎重な確認が必要

子どもの情報を扱うプラットフォーム、教育サービス、エンターテインメントアプリ、オンライン小売業者には、処理目的、有効な同意、収集するデータ量、保護措置に関する要件が課される。EYは、個人データを処理する前に子どもの年齢を確認しなかった場合の制裁を挙げている。

EYは、個人データ保護法と政令の文言に違いがある点も指摘している。同法は、子どもの私生活または個人的な秘密を開示する目的で処理する場合、7歳以上の子どもとその法定代理人の双方から同意を得るよう求めている。EYの分析によれば、双方の同意に関する政令の制裁規定は、より広い範囲を示す文言となっている。

したがって、子どもを対象とする事業者は、実際の活動に照らして年齢確認と同意手続きが適切かを検討する必要がある。EYは、目的を超えて処理した子どものデータを削除または破棄しなかった一部の違反について、組織に最大2億ドンの罰金が科されると説明している。

公共の監視カメラの録画にも、固有のリスクがある。EYは、有効な同意なしに、公共監視カメラから得た個人データ、画像、音声録音を商業目的、行動分析、またはプロファイル作成のための自動顔認識に利用した場合の制裁を挙げている。

防犯目的で設置したカメラから得た情報を、企業が後に別の目的で使おうとする場合がある。EYが説明する規定では、後の商業利用や分析利用には独自の法的評価が必要であり、定められた場合には有効な同意も求められる。保管期間も重要だ。データ移転に関する一定の契約では、移転目的に適した保管期間を明記しなければならない。

AIとソーシャルメディアでは利用者と運営者に責任

人工知能を使って他人の容姿、声、身元を偽装した場合、詐欺、虚偽情報、正当な権利の侵害、個人データの違法な収集・利用を伴えば制裁を受ける可能性がある。適用される罰則は行為の内容と重大性によって異なる。

企業は、情報を収集し、AIシステムに投入し、出力を利用する判断について責任を負う。自動処理にも、他の処理活動と同様、法的根拠、目的、同意、保護に関する確認を適用する必要がある。

ソーシャルメディア上の義務は、プロバイダー、管理者、運営者、利用者に及ぶ。投稿や共有をする人は、その内容に責任を負う。なりすまし、詐欺、他者の正当な権利や利益の侵害に関わる内容も対象だ。

サイバーセキュリティ関連規定は、攻撃、不正アクセス、有害なコード、専門のサイバーセキュリティ部隊への協力義務違反も扱う。刑事犯罪の疑いがある事案では、政府の公表した説明によると、行政違反処理法の関連規定に基づき記録を移送する。

罰金に加え、データ削除や業務停止も

違反の内容に応じて、補足的な制裁には、指定された免許や証明書を1～24カ月間使用する権利の剥奪、同期間の業務停止、違反に使われた機器その他の物品の没収、外国人の国外退去が含まれる。

第43条は、特定の同意違反について、違法に収集または処理したデータの復元不能な削除を定めている。また、指定された事案では没収、上位の罰金区分に該当する違反では不法な利益の返還も規定する。企業は金銭的な罰則を受けるだけでなく、データを利用できなくなる可能性もある。

不法な利益の返還は、独自の算定方法を伴う是正措置だ。EYによると、違法なデータ取引以外の該当事案では、違法に収集、処理、利用、移転されたデータを用いた事業活動で得た売上高が対象となり、費用は差し引かれない。

ティリーク＆ギビンズは、日常的なコンプライアンスに関わるその他の制裁として、違反通知義務違反に最大8,000万ドン、データ処理影響評価に関する違反に1億ドン、データ保護責任者または部門の設置義務違反に3,000万ドンの罰金を挙げている。

影響評価とは、処理が人々のデータに及ぼす影響と、リスクの管理方法を文書化して検討するものだ。是正措置には、評価書の提出命令や、提出要件が満たされるまでの処理停止が含まれる場合がある。国外移転に必要な評価にも同様の措置が適用されることがある。EYは、本人のデータ権利に関する請求への対応で法定期限を過ぎた場合、組織に最大4,000万ドンの罰金が科されることも挙げている。

施行時期と手続きの流れ

政令第330号は公布日に移行期間なく施行された。施行に先立ち、ベトナムの個人データ保護制度は数年をかけて整備されてきた。

• 2023年7月1日：個人データ保護に関する政令第13/2023/ND-CP号が施行。
• 2026年1月1日：個人データ保護法が施行され、政令第356/2025/ND-CP号に基づく実施要件が適用。
• 2026年8月19日：政令第330/2026/ND-CP号が公布され、施行。
• 2026年8月26日：政府が政令と同意違反への罰則について説明を公表。

行政制裁の時効は1年だ。違反が完了した場合、起算点は義務の履行時、または権限を持つ当局が違反の終了を確認した時点に関連づけられる。当局は行為が終了したのか、継続中なのかも判断しなければならない。

ティリーク＆ギビンズは、8月19日より前に行われた違反が、それ以降に発見された場合、または審査中の場合の経過措置を説明している。原則として、違反が行われた時点で有効だった制裁制度が適用される。責任を免除する、またはより軽い罰則を定める政令第330号の規定は、より有利な場合に適用されることがある。

この制度は電子証拠を認め、電子形式の違反記録や制裁決定を可能にしている。電子署名を利用できない場合には生体認証も認められる。こうした仕組みにより、同意記録、要請履歴、取引記録など、コンプライアンスの裏付けとなる記録が、事案の審査で特に重要となる。

個別の検査や執行事案の予定は示されていない。直ちに変わるのは、文書化、人員配置、セキュリティ、同意、個人情報の実際の利用を含む既存の義務に、専用の制裁制度が設けられたことだ。

要点

• 政令第330号は2026年8月19日に施行され、サイバーセキュリティと個人データ保護を対象とする。
• 特定の同意違反には3,000万～5,000万ドンの罰金が科される。
• 沈黙を同意とみなすことや、停止要請を意図的に無視することには、5,000万～7,000万ドンの罰金が科される可能性がある。
• 一部の重大な国外移転違反には、売上高に基づく最大5％の罰金が科される可能性がある。
• 要件に該当する外国組織も、ベトナム企業や個人とともに規制対象となる。
• 追加措置には、業務停止、データの復元不能な削除、不法な利益の返還が含まれる場合がある。