個人データ保護の参考書式は、必要な情報や担当部門を洗い出すために役立ちます。一方、会社名だけを入れ替えて公開・提出できる完成済みの文書ではありません。小売業者、ソフトウェア事業者、分析プラットフォームでは処理目的、管理者・処理者の役割、委託先、保存場所が異なります。

法定様式と一般的なひな形

政令356/2025/NĐ-CPに付属する影響評価や越境移転の法定様式は、対応する手続に従って使用します。社内方針、同意記録、データ台帳などの参考書式は、それらの法定提出書類を当然に代替しません。利用前にデータの出所、目的、取扱主体、委託先、保存期間、権限、本人の請求への対応と事故報告を現場で確認し、実行可能な内容に修正してください。

KM Unionが提供するのは一般的な参考資料であり、個々の企業への適合性の確認、記入済み書類の審査、行政機関への提出を当然に含みません。個別業務は別途合意が必要です。この説明は、法律上免除できない責任や本人の権利を排除するものではありません。ご希望の企業はウェブサイトの連絡窓口から必要な資料の種類をお知らせください。最初の問い合わせに実際の顧客名簿や従業員記録を送る必要はありません。

同じ「影響評価」「72時間通知」「高リスクAI」という言葉でも、ベトナムとEUで主体、発生要件、提出先、期限は一致しません。まずベトナム個人データ保護法の適用範囲と、GDPR第3条の域外適用を別に判断します。EUから単にアクセスがあったというだけで全ウェブサイトにGDPRが適用されると断定できません。

同じ資料を使える部分と異なる手続

ベトナム法第9条・第19条の同意と同意不要の処理、GDPR第6条の法的根拠はそれぞれの法に従って判断します。ベトナムの影響評価書の提出制度と、GDPR第35条のDPIAおよび第36条の事前協議は同じ仕組みではありません。ベトナム法第23条とGDPR第33条はともに「72時間」に言及しますが、起算点や通知の閾値が異なります。データ台帳、システム図、技術対策は共用し、提出先と判断記録は別に整備します。

AIについても、ベトナム法の高・中・低リスク分類とEU AI Actの分類・段階的適用を個別に確認します。2026年9月23日時点で公表されているEU側の最新の適用日を再確認してから、古い解説記事の期限を引用してください。ベトナムの「匿名化」に相当する実務用語とGDPRのpseudonymisationを混同すると、個人データ性を誤るおそれがあります。

クラウド事業者は、サーバーの所在地だけでなく、提供主体、サービスの種類、顧客データへのアクセスを確認します。電気通信法第29条と政令163/2024/NĐ-CP第45条の通知制度について、国内事業者は政令133/2025/NĐ-CPに基づき本店所在地の省級人民委員会への通知を検討します。付属書Iの様式05と変更・終了時の対応も確認してください。書類不備に関する2営業日の応答期限は、事業許可全体の処理期間ではありません。

国外事業者と個人データ

越境サービス事業者の一部では従来の行政上の通知手続が省略されても、サービス開始前に科学技術省の電気通信局を通じて名称、所在地、連絡先、サービスの種類、品質の約束などを知らせる義務が残ります。政令356/2025/NĐ-CP第12条は、クラウド上の個人データに関して、契約上の役割、保存時・通信時の暗号化、厳格なアクセス管理、再委託先の管理、年1回の遵守評価などを定めます。国外処理には越境移転の検討も必要です。

契約には保管地域、遠隔支援、暗号鍵、バックアップ、事故報告、監査、返却・削除を明記します。稼働率のSLAだけではプライバシー義務は確認できません。クラウドがベトナム国内にあっても、国外のサポートやバックアップを含むデータの流れを調査します。

データセンターの建設投資と、顧客向けにデータセンターサービスを提供するための登録は別です。電気通信法24/2023/QH15第29条と政令163/2024/NĐ-CP第44条に、サービス登録の仕組みがあります。自社内のサーバールームと、顧客にコロケーション等を提供する事業を同一に扱わず、他の電気通信サービスの許可が別に必要かも検討します。

申請先と所要期間

政令133/2025/NĐ-CP第20条により、該当する登録証明書の交付権限は企業の本店所在地の省級人民委員会に移管されています。施設の建設場所だけで申請先を決めないでください。付属書Iの様式03を用いる登録について、決議20/2026/NQ-CPは書類の有効性確認が終了した後の審査・交付段階を3営業日としています。最初の提出から全体が必ず3営業日で終わるという意味ではありません。

サービス登録とは別に、投資、土地、建設、環境、消防、設備品質の義務は施設ごとに検討します。顧客データを処理する場合は個人データ保護、サイバーセキュリティのレベル、契約上の分担を確認します。法律20/2026/QH16の施行日は2027年3月1日で、原稿基準日には適用前です。

有料版や企業向けAIを契約しただけでは、顧客・従業員の個人データを自由に入力できません。個人データ保護法91/2025/QH15第30条、政令356/2025/NĐ-CP第10条のAI関連規定に加え、元の収集目的、本人への通知、同意または他の処理根拠を検討します。苦情処理のために集めたデータを、別顧客向けモデルの学習に転用する場合は特に注意が必要です。氏名を消しても、他の情報から再識別できる可能性があれば評価が続きます。

契約と設定を一緒に確認

入力・出力・フィードバックを学習に使うか、保存期間、サポート担当者のアクセス、再委託、処理地域、削除・エクスポートの方法を確認します。「履歴をオフ」にする設定だけで全ての処理が停止するとは限りません。国外のプラットフォームでベトナムで収集した個人データを処理する場合は、同法第20条と国外移転評価の適用を検討します。人事データの例外は全ての用途に一律には及びません。

採用候補者の選別に影響するAIは、単なる求人文の作成ツールとはリスク分類が異なり得ます。人が結果を検証し、修正・不採用にできる体制を設けます。削除請求に備え、会話履歴、検索用の文書庫、ログ、学習データのどこに情報が残るかを確認してください。病歴、取引先の秘密資料、著作物には個別の守秘義務や利用権限も関係します。

AI法134/2025/QH15は2026年3月1日、政令142/2026/NĐ-CPは5月1日に施行されました。首相決定33/2026/QĐ-TTgの高リスクAIシステム一覧は8月15日から適用されています。法律第9条は高・中・低の三段階に分類し、第7条の禁止行為は「第四のリスク段階」ではありません。モデル名だけでなく、利用目的、機能、人への影響に基づきシステムを評価します。

届出、評価、透明性

中・高リスクのシステムでは、提供者による分類、記録、利用開始前の通知などを検討します。高リスクについては法律第13条の適合性評価を確認しますが、全案件に同一の第三者認証が必要という意味ではありません。科学技術省のAI窓口制度と、専用ポータル未稼働時の代替受付方式も政令第46条で確認してください。利用者へのAIとの対話の告知やAI生成・編集コンテンツの表示は、提供者、導入者、公開者それぞれの役割で異なります。人が最終判断を監督する体制も必要です。

既存システムの期限

8月15日より前から稼働する対象システムの移行期限は、医療・教育・金融では2027年9月1日、その他の分野では2027年3月1日という区分があります。決定施行後6か月以内に稼働を始めたシステムには別の経過規定もあります。導入日と分野を記録して期限を判断してください。AIの分類とは別に、入力データの個人情報、秘密情報、知的財産の権利を点検します。

政令341/2026/NĐ-CP第9条は、民生用暗号製品の輸出入許可を判断する際、付属書IIのHSコード、商品説明、暗号特性の三つを同時に照合することを求めています。同じHSコードでも、製品のバージョンや暗号機能が異なれば結論は変わり得ます。メーカーの一般的なカタログだけでなく、輸入する型番・構成の技術資料、契約書、インボイスを突き合わせます。

輸入許可と事業許可を区別

事業許可は事業者の活動範囲、輸入許可は対象製品を国境を越えて取引する行為に関わります。一方が他方に自動的に代わることはありません。第10条の付属書III様式05などを用いる輸入許可の申請先は政府暗号委員会です。完全かつ適法な書類受領後の処理期間は6営業日、輸出入許可の有効期間は3年とされます。通関、品質、適合性の手続は別途確認します。

サイバーセキュリティ機能も備える製品には公安省と政府暗号委員会の調整に関する特則があるため、政令332/2026/NĐ-CPも確認してください。輸入後の遠隔サポート、診断ログ、国外への情報送信については、個人データの国外移転とシステム保護の義務が生じ得ます。

暗号機能がある製品が全て同じ許可の対象になるわけではありません。2026年9月1日施行の政令341/2026/NĐ-CP第3条・第4条および付属書Iを使い、暗号機能、用途、提供形態を分類します。国家機密の保護に関わる暗号制度と、民生用暗号の制度は区別してください。

条件と申請

同政令第5条には、該当分野の大学卒業資格を持つ技術者最低2名、管理者1名に関する要件、設備と技術方案が定められています。申請先は政府暗号委員会で、付属書IIIの様式01の申請書、様式03の技術方案などを準備します。書類確認1営業日、補充3営業日、適法な完全書類の受領から交付まで12日という規定の単位を取り違えないでください。許可期間は10年です。

民生用暗号とサイバーセキュリティの両機能を持つ製品については、公安省が政府暗号委員会の意見を取得して許可する特則があります。全ての製品に二つの独立した許可を求めると断定しないことが重要です。事業許可、輸入許可、適合認証は目的が異なり、いずれか一つで残りが自動的に不要になるわけではありません。自社データの暗号化は、それだけで暗号製品の「事業」を意味しません。

セキュリティソフトを購入して自社で使うことと、規制対象の製品・サービスを販売することは異なります。政令332/2026/NĐ-CP第3条から第5条に照らし、実際の機能、顧客への成果物、監視・診断の範囲を特定してください。ベトナム法で設立された企業、技術人員、設備などの共通条件に加え、外国投資やサービスの種類ごとの条件を確認します。

人員と書類

検査・コンサルティングサービスには最低5名、監視サービスには最低12名の技術人員に関する要件があり、専門資格など他の条件も併せて満たす必要があります。申請は様式03、技術方案の様式07、事業方案の様式08などを用い、公安省にベトナム語の書類を提出します。書類確認3営業日、補充期間10営業日、完全かつ適法な書類受領後の審査・決定28営業日という段階を区別します。許可の有効期間は10年で、更新は期限前の提出時期も確認します。

2026年7月1日より前に交付された旧許可には、新法第45条等の経過措置があります。ログやアカウントを扱うセキュリティ事業者は、個人データの処理根拠、海外分析基盤への移転も別に点検します。民生用暗号と両方の機能を持つ製品では、政令341/2026/NĐ-CPの特別な手続にも注意してください。

レベル提案書は単なる申請状ではなく、システムの範囲、設計、分類根拠、管理・技術面の保護策を説明する資料です。政令331/2026/NĐ-CP第21条・第22条の書類構成を確認し、図面と実際の接続・遠隔管理を一致させます。外部のクラウド事業者や運営会社は資料作成・対策実施を支援できますが、当然に承認機関になるわけではありません。

レベル別の権限

同政令第18条では、レベル1・2について主管者の専門部署が審査・承認し、レベル3については同部署が審査し主管者が承認します。レベル4・5の審査には公安省が関与し、国防省または政府暗号委員会の管轄に例外があります。レベル4は主管者の承認を確認します。レベル5では、首相による国家安全保障上重要なシステムの一覧承認と、主管者による保護方案の承認を混同しないでください。

新設、投資中、稼働中のシステムで手順や経過措置が異なります。審査部署と運営部署が同一の場合の独立性にも注意が必要です。個人データの影響評価書と構成図を共有することは可能ですが、二つの承認・提出手続が一つになるわけではありません。