ベトナム個人情報保護に関する政令 公安省による説明会における質疑応答について
ベトナム個人情報保護に関する政令 公安省による説明会における質疑応答についてニュースレターを発行いたしました。 PDF版は以下からご確認ください。
→ベトナム個人情報保護に関する政令 公安省による説明会における質疑応答
＜ベトナム個人情報保護に関する政令 公安省による説明会における質疑応答＞
2023年6月12日
概要
2023年6月7日、ベトナム公安省サイバーセキュリティおよびハイテク犯罪予防管理局[1]は、7月1日に施行される個人情報保護に関するDecree No.13/2023/ND-CP(以下「PDPD」)に関して、PDPDの意義や内容を概説する会議を開きました。各国大使館、国家機関、内外企業関係者などから多数の参加者が会議へ参加し、PDPDに対する関心の高さがうかがえました。
本ニュースレターでは、本会議の配布資料中に掲載された、企業の質問と当局の回答から、特に施行前後のタイミングでの企業の共通の懸念事項と考えられる問題を抜粋してご紹介します[2]。
1．施行前に収集した個人情報の施行後の同意「再取得」
Q：PDPD施行前に収集した個人情報について、施行後、PDPDに従って改めて同意を取得する必要はあるか。
A：同意の再取得は不要である。PDPD施行前に収集された個人情報は、施行後にはPDPDに従って管理されることとなる。しかしながら、施行前に収集された個人情報について、データ主体の同意を再取得する必要はない。ただし、その他の義務についてはPDPDに従わなければならない。
2.影響評価報告書類、対外移転報告書類などの提出方法
Q： 個人情報処理影響評価報告書類と対外移転報告書類は、1つにまとめて提出できるのか等、手続について教えて欲しい。
A：両書類は別々の手続において要求される別々の書類であるため、1つにまとめて提出できない。公安省は、PDPDに関するガイドラインを準備しており、2023年7月1日までに、PDPD違反の届出、影響評価報告書類の作成・提出及び内容変更の届出、並びに対外移転報告書類の作成・提出及び内容変更の届出に関して案内をする。
3．影響評価報告書類の作成、公安省への送付期限
Q： PDPDには、次のような規定が存在する。
第24条 個人情報処理影響評価
1．個人情報管理者、個人情報管理者・処理者は、個人情報の処理を開始した時点から、個人データ処理影響評価報告書類を作成し、保管する。
4．個人情報処理影響評価報告書類は、公安省の検査および評価に利用できるよう常に用意し、個人情報の処理を開始した日から60日以内に、本政令の附録書式04に従って、原本1通を公安省 (サイバーセキュリティおよびハイテク犯罪予防管理局)に送付しなければならない。
第25条 個人情報の国外移転
3．個人情報の国外移転影響評価報告書類は、公安省の検査および評価に利用できるよう常に用意しておかなければならない。
データを国外に移転する当事者は、本政令の附録書式06に従って、原本 1通を公安省 (サイバーセキュリティおよびハイテク犯罪予防管理局) に、個人情報の処理を開始した日から 60 日以内に送付しなければならない。
PDPD施行前に処理した、あるいは国外に移転したデータについては、施行後、いつまでに公安省に提出しなければならないのか？
A： 影響評価報告書類の作成はPDPD施行後に実施でき、施行日から60日以内に提出しなければならない。
4．影響評価報告書類の言語、提出方法
Q： PDPD第24条の個人情報処理影響評価に関して、附属書式04「個人情報処理活動影響評価書送付通知」、同05「書類内容変更通知」にはベトナム語しかない。外国企業は、英語で通知を提出できるか？ ベトナム語への翻訳が必要か？ ベトナム語へ翻訳する場合、公証が必要か？
また、個人情報処理影響評価書はオンライン提出が想定されているが、まだ提出用サイトは開設されていないが、いつ開設されるのか。
A： 行政手続きの規定上、提出書類は全てベトナム語となる。英語版の提出、ベトナム語翻訳版の提出はできず、「個人情報保護に関する国家情報ポータル」[3]上の書式から直接記載するか、書式をダウンロードして、直接サイバーセキュリティおよびハイテク犯罪予防管理局に提出する必要がある。
「個人情報保護に関する国家情報ポータル」は、施行までに準備できるよう制作中である。
終わりに
PDPDの罰則を定める規定の草案がパブリックコメントに付されており、罰則規定の施行予定が本年12月1日とされています。罰則規定の施行直後から違反が続々と摘発される状況になることは一般には考えにくいです。
本PDPDは、ベトナム初の包括的な個人情報保護に関する法令であり、4月17日の公布以来、施行まで間がないこともあって、どのような対応をすればよいのか懸念する企業も多かったところですが、罰則の適用時期や、公安省からガイドラインが出されることが明言されていることなどから、政令の施行後、その時点で出ている情報をベースにあらためて何をどこまで対応するべきか、という点についてご検討いただければよいかと思います。
なお、7月1日施行に間に合うよう制作中とあるオンライン提出用の「個人情報保護に関する国家情報ポータル」も、本ニュースレター執筆日現在では、運用開始に関する情報には接していません。
[1] Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an
[2] 原文には質問を行った企業名が記載されていますが、本ニュースレターでは質問を実施した企業名は省略しています。また、質問と回答は、それぞれの主旨を踏まえて、わかりやすいように省略、補足しております。
[3] Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân
