個人情報保護の政令草案に意見を募集、越境移転などを厳しく規制

ベトナム公安省が個人情報の保護に関する政令草案について4月9日まで意見を募集している。草案は、国内外の企業を対象に、個人情報の越境移転に当局の同意を求めるなど厳格な規定を置くほか、最大で売り上げの5％の罰金など厳しい罰則を設けている。草案上の施行日は2021年12月1日とされるが、このまま成立すれば、ベトナムでビジネスを行う幅広い企業への影響が懸念される。草案の閲覧、意見の提出は政府ウェブサイトで行うことができる。主なポイントは以下のとおり。

1.個人情報の範囲

「基本個人情報」として、個人情報が表す本人の氏名、生年月日、性別、出生地、住所、メール、学歴、国籍、電話番号、身分証番号、婚姻状況などを定義。さらに、より厳格な管理が求められる「機微な個人情報」として、本人の健康状態、遺伝情報、生体情報、金融情報（信用履歴、収入など）などを定義。

2.機微な個人情報の処理

機微な個人情報は、一部の例外を除いて、処理前に個人情報保護委員会（注1）に登録が必要。委員会は書類の受領後20日以内に処理するが、情報の内容を検査する権限を有する。

3.個人情報処理のための本人同意

個人情報の処理には、（1）個人情報の種類、処理の目的、（2）処理、共有の対象、（3）第三者への引き渡し、共有の条件、（4）本人の権利について明示したうえで、本人の自発的な同意が必要。本人の沈黙または無回答を持って同意とはみなされない。また、全ての処理には原則として本人への通知が必要。

4.個人情報の越境移転

ベトナム公民の個人情報の越境移転は、（1）本人の同意があること、（2）原データがベトナムに保管されること、（3）移転先の国・領域などが本政令の規定と同等かより厳しい規定を有する証明文書があること、（4）委員会の同意文書があること、の4つの条件を満たせば可能。

他方、上段の条件を満たさない場合、（1）本人の同意がある場合、（2）委員会の同意文書がある場合、（3）処理者が個人情報の保護を約束している場合、（4）処理者が個人情報の保護措置の適用を約束している場合には、越境移転ができる（注2）。

委員会は書類の受領後20日以内に処理するが、情報の内容を検査する権限を有する。

5.規定に違反した場合の処分

規定に違反した場合、違反の軽重に応じて、行政処分または刑事処分、付加刑を受ける（注3）。処分は、ベトナムで経営活動を行う国内外の全ての組織、企業、個人に対して適用される。違反が複数回に及び被害が大きい場合には、処理者のベトナムでの売り上げの最大5％の罰金が科される。

（注1）個人情報保護委員会は、政府に直属する組織として、公安省内に設置される。法律や個人情報などに関する専門性、経験を有する最大6人の委員から構成される。

（注2）4．前段の個人情報越境移転を可能とする4条件の規定と、後段のそれらが満たされない場合に越境許可を認める条件の規定との間には、不明瞭な点がみられる。例えば、前段の規定は4つの条件を満たすことを明記しているが、後段にはその明記がない。また、前段には「ベトナム公民」の個人情報と明記されているが、後段の規定はその明記がない。

（注3）行政処分として5,000万ドン～1億ドン（約24万～48万円、1ドン＝約0.0048）の罰金が規定されている。また、行政処分における付加的な処罰として、1カ月～3カ月の個人情報処理業務の停止、機微な個人情報の処理および個人情報の越境移転に関する委員会の同意文書の剥奪が規定されている。

（北嶋誠士）