速報

2026年8月19日、ベトナムでサイバーセキュリティ及び個人データ保護分野の行政違反処罰に関する政府令330/2026/NĐ-CP（2026年8月19日施行）が公布・即日施行されました。これまで上限額しか定められていなかった個人データ保護法の罰則について、違反行為の類型ごとの具体的な罰金額がついに明示されています。本稿では、ベトナム現地の日系法律事務所の観点から、日系企業が押さえるべき罰金額の読み方と特に注意すべき違反類型を整理します。

1. ついに違反類型ごとの罰金額が明確化された

2026年1月1日、ベトナムでは個人データ保護法（法律91/2025/QH15）と、その施行政府令（政府令356/2025/NĐ-CP）が施行されました。もっとも、これらの法令では罰則の上限が規定されていたにとどまり、「実際に違反した場合にいくら課されるのか」が不明確な状態が続いていました。詳細は当事務所の過去の寄稿記事「ベトナム個人データ保護法 日系企業が押さえるべきポイント」もあわせてご参照ください。

この空白を埋めたのが、サイバーセキュリティ及び個人データ保護の分野における行政違反処罰に関する政府令（政府令330/2026/NĐ-CP、2026年8月19日施行。以下「政府令330」）です。同令は公布日である2026年8月19日から即日施行されています。個人データ保護に関する罰則は第2章第6節（第39条〜第71条）に集中しており、行為類型ごとに罰金額が明記されました。

2. 罰金額の読み方と上限

金額の基準は「組織」——企業にはそのままの額が適用される

政府令330第7条1項は、金額を読み解くうえで極めて重要なルールを置いています。

• 第2章第1節〜第5節（サイバーセキュリティ分野）の金額は個人が基準。組織はその2倍。
• 第2章第6節（個人データ保護分野）の金額は「組織」が基準。個人が同じ行為をした場合は2分の1。

つまり、以下で紹介する個人データ保護に関する罰金額は、そのまま企業に適用される金額ということになります。

罰金の上限

罰金の上限は政府令330第7条4項が定めています（個人データ保護法第8条と同内容）。

※収益・売上高を基準として算出した額が30億VNDを下回る場合や、そもそも収益・売上高がない場合には、30億VNDが適用されます（第7条4項a号・b号但書）。なお、処罰の時効は1年と短く設定されています（第3条1項）。

3. 特に重要な4つの違反類型

政府令330のうち、日系企業にとって特に重要と考えられるのは以下の4類型です。

(1) 個人データの売買（第53条）

個人データ保護分野における最も重い類型です。原則として、違反により得た収益の2倍から10倍の罰金が課されます（第53条1項）。収益がない場合には、対象となったデータ主体の人数に応じた定額が適用されます（同条3項）。

(2) 処理影響評価（第55条）

• 2,000万〜3,000万VND（第55条1項）：影響評価書を作成・保管しない、処理開始日から60日以内に専門責任機関へ提出しない、定期更新をしない等。
• 5,000万〜1億VND（同条2項）：処理影響評価報告書において故意にデータを偽造する、虚偽情報を提供する、報告書の訂正・補完の要請を拒否する等。

(3) 越境移転（第56条）

日系企業が最も高い頻度で抵触しうる領域です。日本本社へのデータ共有、クラウドサービスの利用、グループ共通の人事システムの利用などは、いずれも越境移転に該当し得ます。

• 3,000万〜5,000万VND（第56条1項）：越境移転影響評価書を作成しない、移転開始日から60日以内に専門責任機関へ提出しない、要求から30日以内に補正しない、定期更新をしない等。
• 5,000万〜1億VND（同条2項）：受領者との責任分担契約がない、データ主体への通知・同意がない、移転後の安全確保策がない、停止決定後も移転を継続した等。
• 売上高比例罰（同条3項）：影響評価書を作成せずに移転しデータ漏洩を招いた場合等は、ベトナム市場における前年度売上高の1〜2％（被害者1万〜10万人）、2〜3％（10万〜100万人）、3〜5％（100万人以上、または停止決定後の継続移転により国防・国家安全に損害を与えた場合）。
• 付加的処罰として6〜12か月の越境移転停止（同条5項b号）。

(4) 技術的手段による無断収集（第48条3項）

技術的・工学的手段を用いて違法に個人データを収集した場合、対象者数に応じて1億〜8億VNDの罰金が課されます。基本データ5,000名以上またはセンシティブデータ1,000名以上の場合は5億〜8億VNDとなります。ウェブサイトのトラッキングツールやアプリの権限設定なども、同意取得の設計次第ではこの類型に触れうる点に留意が必要です。

4. その他の主な違反類型

※上記は主要な類型の抜粋です。原文には他の類型についても規定が置かれています。

5. まとめ

個人データ保護法においては、罰金額の上限は定められていたものの、違反行為ごとの個別具体的な罰金額は定められていませんでした。政府令330の施行により、今後は取締りが強化される可能性があります。特に越境移転については、日系企業の通常の業務フローに組み込まれていることが多く、意図せず違反状態となっているケースが少なくありません。

当事務所では、個人データ保護法対応に関するアドバイス、影響評価書をはじめとする各種書類の作成、当局への提出代行等を行っております。お気軽にお問い合わせください。