更新日：2026年9月23日
同じ「影響評価」「72時間通知」「高リスクAI」という言葉でも、ベトナムとEUで主体、発生要件、提出先、期限は一致しません。まずベトナム個人データ保護法の適用範囲と、GDPR第3条の域外適用を別に判断します。EUから単にアクセスがあったというだけで全ウェブサイトにGDPRが適用されると断定できません。
同じ資料を使える部分と異なる手続
ベトナム法第9条・第19条の同意と同意不要の処理、GDPR第6条の法的根拠はそれぞれの法に従って判断します。ベトナムの影響評価書の提出制度と、GDPR第35条のDPIAおよび第36条の事前協議は同じ仕組みではありません。ベトナム法第23条とGDPR第33条はともに「72時間」に言及しますが、起算点や通知の閾値が異なります。データ台帳、システム図、技術対策は共用し、提出先と判断記録は別に整備します。
AIについても、ベトナム法の高・中・低リスク分類とEU AI Actの分類・段階的適用を個別に確認します。2026年9月23日時点で公表されているEU側の最新の適用日を再確認してから、古い解説記事の期限を引用してください。ベトナムの「匿名化」に相当する実務用語とGDPRのpseudonymisationを混同すると、個人データ性を誤るおそれがあります。
