ベトナム、データリスクを5段階に分類　国外移転を厳格化しAIにも安全対策

ベトナム、データ保護の基準を5段階のリスクで設定へ

ベトナム政府は2026年10月26日、データ安全保障法案を国会に提出した。リスクを5段階に分類し、国外に送られる機微データの審査を厳格化するとともに、人工知能（AI）に使われる情報を保護する措置を盛り込んだ。法案は6章29条で構成され、行政上の承認手続きは2つに限られ、いずれも最高リスク段階のデータを対象とする。

ルオン・タム・クアン公安相は首相の委任を受け、第16期国会第2会期で法案を提示した。企業などのデータ管理者は、まず自らデータを評価し、そのリスクに応じた保護策を講じ、評価結果に責任を負う。当局は主に事後的に法令順守を確認する。

政府は2027年7月1日の施行を提案している。議員らは10月26日午後、グループに分かれて法案を審議する予定だった。法案はなお提案段階にあり、国会の審査担当者は、最も機微な情報への管理強化、評価手続きの明確化、生体データや遺伝データの保護強化を求めている。

法案の適用対象はベトナム国内の組織にとどまらない。ベトナムの機関、組織、個人のほか、ベトナム国内の外国組織・個人、さらにベトナムの管轄下でデータを処理する、またはベトナムのデータ安全保障に反する行為をする国外の組織・個人も対象となる。

企業にとっての中心的な変更は、リスクに応じた段階的な制度だ。通常のデータ処理には基本的な保護策と簡素な書類手続きが適用される一方、深刻な被害を招く恐れのある活動には、開始前の評価、監査、承認が求められる。個人にとっては、情報がシステムや委託先、国境を越えて移動する際の安全対策義務が新たに加わる。

政府が独立した法律を求める理由

ルオン・タム・クアン公安相は国会議員に対し、ベトナムの情報システムでは2025年に約55万2,000件のサイバー攻撃が記録され、5,230の機関・企業が被害を受けたと説明した。また、データが販売目的で公開された事例を約300件確認し、170万件を超える記録が関係していたほか、信用機関で顧客記録1億6,000万件超が盗まれた事案もあったと述べた。

同相によると、データ漏えいの60～70％は組織内部の人員に起因する。外部からの攻撃への対策と並び、従業員や請負業者によるアクセス管理が重要な課題となる。誰が情報を閲覧できるかを制限し、アクセスを監視し、必要に応じて権限を取り消すことが、提案されている枠組みの実務面を担う。

政府は、既存の規則が問題の異なる側面を扱っていると説明する。データ法はデータの作成、管理、共有、分類などを定める。個人データ保護法制は処理の条件や個人の権利を規定する。サイバーセキュリティ法制は情報システムを脅威から保護する。

提案されているデータ安全保障法は、収集、保管、処理、送信から破棄まで、情報そのものを一貫して対象とする。政策の基盤には、科学技術、イノベーション、国家のデジタル変革に関する2024年12月22日付の政治局決議第57-NQ/TW号が含まれる。

5段階の意味

第8条は、事故が発生する可能性と、国防、国家安全保障、公共の安全、組織・個人の適法な権利に及ぼし得る被害に基づいてデータを分類する。レベル1が最低、レベル5が最高となる。

提案されている区分は、企業が自らの義務を把握する出発点となる。

• レベル1は、事故の発生可能性も影響も低い公開データ、オープンデータを含む。
• レベル2は、内部情報、事業データ、上位区分に該当しない個人データを含み、リスクは中程度となる。
• レベル3は、重要データと、大規模に処理される機微な個人データを含む。基準値は政府が定める。
• レベル4は一般に、リスクが非常に高く、深刻な被害を招く恐れのある中核データを対象とする。
• レベル5は、中核的な国防・安全保障データと、国家安全保障に関係する特に重要な施設の運用・制御に使われる情報を含む。

リスク評価は、データ法に基づく分類と並行して適用される。組織や個人は、情報に対する適法な所有権、管理権、利用権を引き続き保持する。必要となる保護水準は、セキュリティレベルによって決まる。

書類手続きと事前審査が必要になる範囲

政府の説明によると、行政手続きは2つ設けられる。第11条に基づくレベル4・5のシステムの設計文書の審査と、第19条に基づく同レベルのデータの国外移転に関する審査・承認だ。

レベル1には行政手続きはない。レベル2の管理者は、ひな型を使って簡略版の保護計画を作成し、自ら保管する。レベル3の管理者は、審査や届出を行わずに自らの活動を評価する。レベル3以上では、影響評価と定期的なセキュリティ監査が必要となる。

レベル4または5のデータを処理するシステムは、正式運用を始める前にデータ安全保障評価を受ける必要があり、サイバーセキュリティ審査と連携して実施される。影響評価では何が問題となり、誰が被害を受ける可能性があるかを調べる。監査では、約束された保護策が実際に機能しているかを確認する。

一般に、日常的なデータを扱う家族経営の事業者、小規模・零細企業、イノベーション型スタートアップには、基本的な保護指針が適用される。ただし、義務は処理のリスクに応じて決まるため、扱う情報の種類と規模が実務上の順守課題となる。

法案は手続きの重複削減も目指す。複数の法律が同じ対象とリスクについて審査を求める場合、組織は一組の書類を使い、窓口を一本化する。他法令に基づいて得た有効な審査結果も認められる。AIのデータ安全保障評価は、AI法制に基づくリスク評価に組み込まれる。

国外移転には3つの異なる手続き

国外に送られるデータは、レベルに応じて異なる扱いを受ける。レベル1・2は、この法律に基づく移転手続きが不要となる。レベル3の管理者は自ら移転を評価し、記録を保管する。レベル4・5では、移転前に管轄当局の審査と承認が必要となる。

そのため、クラウドサービス、国際プラットフォーム、複数の国で事業を展開する企業は、どの情報が国外に移転するか、またそのリスク評価がどう割り当てられているかを把握する必要がある。関連する他法令に基づく既存の義務も引き続き適用される。

国会の国防・安全保障・対外委員会は、すべてのデータをベトナム国内に保管する一律の義務は設けず、リスクに応じた管理を行う方針をおおむね支持した。一方、レベル5にはより厳しい規則を設け、首相が別途決定しない限り国外移転を禁止するよう提案した。

同委員会は、レベル4・5のシステムに関する復号鍵や暗号パラメーターの国外移転を制限する案も示した。復号鍵は暗号化された情報を解読するために使われるため、鍵の管理はデータの保管場所とは別のセキュリティ上の課題となる。

ほかにも、国境を越えてサービスを提供する事業者のサービスを誰が制限・一時停止できるのかを明確にし、レベル4以上のデータを管理する企業で支配権が変更された場合に届出を義務付ける案がある。法案は、司法共助の枠組みを含む適法な手続きの利用を求める仕組みを通じて、外国からの情報の直接請求にも対応する。

AIの保護策は学習データから

高リスクのデータを処理するAIの研究、開発、導入を行う組織は、設計段階から安全対策を組み込まなければならない。学習データと、そこから派生した情報の適法な出所および完全性を確認する必要がある。

提案は、データポイズニング、無許可の情報抽出、自動化された意思決定に対する人間の統制を対象とする。データポイズニングとは、AIシステムの学習や運用に使われる情報を意図的に改ざんし、信頼性のない結果や操作された結果を引き起こす可能性のある行為だ。無許可の情報抽出は、許可なく保護対象の情報を取得することを指す。

適用法令に基づき、自動化された意思決定に人が介入し、監督できる状態を維持しなければならない。この要件は、基礎となる情報の保護と、その情報を使ってシステムが下す判断を結び付ける。

刑事捜査を除き、当局はAIのソースコードやモデルの重みの提出を求めることができない。ソースコードはプログラムの命令を記述したもので、モデルの重みはAIシステムが学習を通じて得る数値設定を指す。どちらも価値のある商業上の知識を含み得る。

AI事業者は、別個のデータ安全保障関連書類を作成したり、独立した審査を受けたりする代わりに、AI法制に基づく評価手続きを利用する。これにより、データそのものに関する個別の義務を維持しながら、提案されている安全審査を既存の規制手続きに組み込む。

委託先も安全対策の対象に

データ管理者の責任は、情報処理に関わる委託先、中間業者、その他の関係者にも及ぶ。製品やサービスを接続する前に、提供事業者のリスクを評価し、必要な範囲にアクセスを制限しなければならない。

契約には守秘義務とデータ漏えい時の責任を明記する必要がある。管理者は契約関係の継続中もアクセスを監視し、リスクや事故が判明した場合は権限を取り消す。また、高リスクのデータを扱うシステムへの委託先の遠隔アクセスには、より厳しい管理が適用される。

対象範囲は、重要デジタルインフラ、国家データインフラ、大規模なデータ処理、デジタル制御と物理的な設備を接続するシステムにも及ぶ。こうした環境では、データの損傷や改ざんが情報の漏えいだけでなく、機械や施設の運用にも影響を及ぼし得る。

委員会は、各当事者の実際の意思決定権とデータ管理権限に応じて責任を定めるよう求めた。これにより、情報の利用方法を決定する管理者と、限定的なサービスを提供する事業者の義務を区別しやすくなる。

緊急権限には法的な歯止め

法案は、監視、早期警戒、事故報告、連携した対応の仕組みを整備する。政府の説明で示された修正案には、事故発生時に影響を受ける人々へ通知することや、データ移転の一時停止措置の範囲を限定することも含まれる。

緊急時の技術的措置には、法的根拠、権限を持つ決定者、明確な適用範囲、期間の定めが必要となる。当局には、権利を最も制限しない措置を優先し、その根拠がなくなった時点で措置を終了するよう求める。

影響を受ける組織や個人は、法に基づき苦情を申し立て、訴訟を起こし、賠償を求める権利を引き続き持つ。国会の審査担当者は、当局が民間の人員、設備その他の資源を動員する場合の条件と補償の仕組みを、より明確にするよう求めた。

法案は、データ安全保障の担当者や独立した専門家が、善意に基づいて脆弱性を発見、検証、報告することを奨励する。身元や適法な利益を保護し、対応する責任免除を設ける。委員会はさらに、レベル4・5のシステムを対象とする事故対応訓練を提案した。

審査担当者、最高リスクへの規制強化を要請

国会の国防・安全保障・対外委員会の委員長であるレ・タン・トイ上級中将が審査報告書を提出した。同委員会は法案の必要性を支持し、国会で審議する準備が整っていると判断した。

ただし審査担当者は、各リスク段階の基準を明確にするよう求めた。分類の定期的な見直しと更新を専門当局に担わせ、レベル5については管理者自身の判断に委ねず、より厳格な手続きを設けるべきだとの提案も出ている。

委員会は、データのリスクに応じて処理システムに求める保護水準が決まることを、より明確に規定するよう求めた。また、身体的特徴や遺伝的形質に関する情報など、生体データや遺伝データへの保護強化も要請した。

レベル4・5のシステムがサイバーセキュリティ審査の対象外となる場合の審査期限など、手続き上の課題は引き続き協議されている。委員会は、安全保障暗号、政府の暗号システム、民間暗号の境界を明確にすることに加え、軍用および政府用暗号システムの事故対応に関する連携ルールの整備も求めた。

公安省がデータ安全保障に関する国家管理を主導し、国防省が軍事データと情報システムを監督する。政府暗号委員会は暗号情報システムを管理する。新たな機関は設立しない。

変更点と今後の手続き

国会に提出された法案は、条文数が25条から29条に増え、設置予定だった国家データ安全保障ガバナンスセンターが削除され、売上高に応じた罰金も撤回された。9月7日付の以前の説明では、データを4段階に分類し、前会計年度の売上高の最大5％に当たる罰金や、重要データ・中核データの国内保管要件を設ける案が示されていた。今回の国会提出案では、リスクを5段階に分類し、移転管理を段階別に定めている。

政府は、量子コンピューターによる攻撃に耐える暗号への切り替え期限を固定する案も削除し、時期は後続の政府規則に委ねた。安全保障研究、主権型クラウドサービス、安全なデータセンター、暗号技術への投資や税制上の優遇措置を提案し、小規模事業者やスタートアップも支援する。特定の製品や供給事業者に独占的な地位を与える政策は避けるとしている。

耐量子暗号は、将来の量子コンピューターを使った攻撃に耐えるよう設計されている。政府が懸念するのは、暗号化した情報を現在収集し、計算能力の向上後に解読する攻撃も含まれる。

法案の策定過程では、立法日程が変更されてきた。

• 2026年8月：以前の策定日程によると、パブリックコメントの募集が終了。
• 2026年9月7日：以前の説明では、法案は司法省の審査中とされた。
• 2026年10月26日：政府が法案を提出し、同日午後にグループ審議を予定。
• 2027年7月1日：国会提出案が想定する施行日。以前に示された2027年12月1日から前倒しされた。

法案はサイバーセキュリティ法とデータ法を改正し、経過措置を通じて既存の有効な記録や評価結果を維持する。既存システムが新要件に適合するための移行手段も設ける。最終的な義務は、国会で承認される条文と施行規則によって決まる。

要点

• ベトナムはデータ安全保障のリスクを5段階に分類し、潜在的な被害が大きいほど保護を強化する案を示した。
• 行政上の承認手続きは、レベル4・5のシステム設計と国外移転の2つを対象とする。
• AIの保護策は、学習データ、無許可の情報抽出、人間による監督を対象とし、評価はAI関連の手続きに統合する。
• 国会の審査担当者は、レベル5の管理強化と生体データ・遺伝データの保護強化を求めている。
• 修正案では、売上高に応じた罰金と、設置予定だった国家センターが削除された。
• 政府は2027年7月1日の施行を提案しているが、国会の承認が必要となる。