日系企業が直面するベトナム個人情報保護政令の主要な違反と罰金のリスクを解説【2024年から罰金が発生？】

第2部 個人データ保護規定違反

第13条 個人データ保護の原則違反

1. 以下のいずれかの行為に対して、50M VNDから70M VNDの罰金が科される： a) 法律に違反して個人データを処理すること。 b) データ主体に対して、その個人データ処理に関する活動について通知しないこと。 c) 登録または申告された目的に沿って個人データを処理しないこと。 d) 収集された個人データが不適切であり、処理の範囲および目的に合致しないこと。 e) 個人データを処理中に、技術的な手段を用いて個人データ保護規定に違反し、またはインシデントによる損失、破壊、損害を防ぐための保護対策を行わないこと。 f) データ処理目的や関連法規で定められた期間を超えて個人データを保存すること。

2. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

3. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) データ主体に対して公に謝罪する。

第14条 データ主体の権利に関する違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) データ主体が自身の個人データの処理について知らされないこと。 b) データ主体が自身の個人データにアクセス、閲覧、編集、または修正を要求できないこと。 c) データ主体が同意を撤回したにもかかわらず、個人データを収集および処理し続けること。 d) データ主体の要求に応じて個人データを削除しないこと。 e) データ主体の要求を受けてから48時間以内にデータを削除しないこと（休日、テト休日を除く）。 f) データ主体の要求に応じて個人データの処理を制限しないこと。 g) データ主体の要求に応じて個人データを提供しないこと。

2. 50M VNDから70M VNDの罰金が科される： a) データ主体の異議を受けた後に、個人データの開示を防止または制限しないこと。

3. 70M VNDから100M VNDの罰金が科される： a) データ主体が法令に基づいて苦情、告発、訴訟を行うことを妨害すること。

4. 追加の罰則： a) 1か月から3か月間、営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

5. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。

第15条 データ主体の同意に関する規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) データ主体の同意なしに個人データを処理すること。 b) データ主体に収集目的以外のサービスを行うために同意を求めること。 c) データ主体が同意した種類とは異なる個人データを収集すること。 d) データ主体の同意を明確かつ具体的に書面、音声、チェックボックス、テキストメッセージ、技術的設定などで表明しないこと。

2. 25M VNDから50M VNDの罰金が科される： a) データ主体が同意を撤回した後に個人データを処理し続けること。

3. 追加の罰則： a) 1か月から3か月間、営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) データ主体に対して公に謝罪する。

第16条 同意撤回に関する規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) データ主体が同意を撤回することを妨げること。 b) 同意撤回の可能性についてデータ主体に通知しないこと。

2. 25M VNDから50M VNDの罰金が科される： a) データ主体が同意を撤回した後に個人データを処理し続けること。

3. 追加の罰則： a) 1か月から3か月間、営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) データ主体に対して公に謝罪する。

第17条 個人データ処理に関する通知の規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) 個人データを編集、公開、削除、破棄する前にデータ主体に通知しないこと。 b) データ主体に処理目的、使用される個人データの種類、処理方法、関連する組織や個人について完全に通知しないこと。

2. 追加の罰則： a) 1か月から3か月間、個人データの処理を一時停止または停止する。

3. 修正措置： a) 個人データ処理に関する通知措置を強制的に実施する。

第18条 個人データ提供に関する規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) データ主体の要求に応じて個人データを提供しないこと。 b) データ主体の同意なしに個人データを他の組織や個人に提供すること。

2. 追加の罰則： a) 1か月から3か月間、個人データの処理を一時停止または停止する。

3. 修正措置： a) 個人データを提供することを強制する。 b) データ主体に対して公に謝罪する。

第19条 個人データの編集に関する規定違反（続き）

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) データ主体が自身の個人データにアクセス、閲覧、編集できないこと。 b) 技術的またはその他の理由で直接修正ができない場合に、個人データの修正要求を受け入れないこと。 c) データ主体の要求に応じた修正を故意に遅らせる、または行わないこと。 d) データ主体から修正要求を受け取ってから72時間以内に、修正が不可能であることをデータ主体に通知しないこと（休日、テト休日を除く）。 e) 個人データ処理者または第三者が、個人データ管理者の書面による同意なしにデータ主体の個人データを修正すること。

2. 修正措置： a) 法的要求に基づくデータ主体の個人データの修正を強制的に実施する。

第20条 個人データの保存、削除および破棄に関する規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) 収集目的に関係なくなった個人データを引き続き保存すること。 b) データ主体の同意が撤回された後や削除または破棄が要求された後にも個人データを保存し続けること。 c) 正当な理由がないのにデータ主体の反対がある場合に個人データを処理し続けること。 d) データ主体の要求を受けてから72時間以内にデータを削除しないこと（休日、テト休日を除く）。 e) データを削除したが、回復可能な形で残っていること。

2. 25M VNDから50M VNDの罰金が科される： a) 個人データが同意された目的に一致しない方法で処理されていること。 b) 法律に基づいて個人データを削除する必要があること。

3. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) メディアで公に謝罪する。

第21条 公共の場での録音・録画活動から収集された個人データの処理に関する規定違反

1. 公共の場での録音・録画活動から収集された個人データを、録音・録画されていることを対象者に通知せずに処理する行為に対して、10M VNDから20M VNDの罰金が科される。

2. 追加の罰則： a) 再度の違反があった場合、1か月から3か月間、個人データの処理を一時停止または停止する。

3. 修正措置： a) 録音・録画されていることを対象者に理解させるための通知措置を適用することを強制する。

第22条 マーケティングサービスおよび広告製品紹介における個人データ保護に関する規定違反

1. 以下のいずれかの行為に対して、70M VNDから100M VNDの罰金が科される： a) 事業活動を通じて収集されたものでない顧客の個人データを使用してマーケティングサービスおよび広告製品を紹介すること。 b) 個人データ処理の原則に反して顧客情報を提供すること。 c) 顧客が製品紹介の内容、方法、形式、頻度を明確に理解していないこと。 d) 政令13/2023/ND-CPの第21条第1項および第2項の規定に従って、マーケティングサービスおよび広告製品紹介のために顧客の個人データを使用することを証明しないこと。

2. 再度の違反については、前会計年度の総収益の最大5%の罰金が科される。

3. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) メディアで公に謝罪する。

第23条 個人データの違法な収集、移転、売買に関する規定違反

1. 以下のいずれかの行為に対して、70M VNDから100M VNDの罰金が科される： a) 法律で許可されていない、または個人データ保護の原則に反する個人データの移転。 b) 個人データの違法な売買（刑事訴追に至らない範囲）。 c) 個人データを違法に収集および処理するためのソフトウェアシステムおよび技術的手段の設置。

2. 再度の違反については、前会計年度の総収益の最大5%の罰金が科される。

3. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データが回復不能な形での削除または破棄を強制する。 b) 違法に得た利益を返還または放棄することを強制する。 c) メディアで公に謝罪する。

第24条 個人データ保護規定違反の通知に関する規定違反

1. 以下のいずれかの行為に対して、10M VNDから20M VNDの罰金が科される： a) 個人データ管理者、個人データ管理者および処理者が、個人データ保護規定違反を発見した際に規定された期間内に通知しないこと。 b) 個人データ処理者が、個人データ保護規定違反を発見してから72時間以内に個人データ管理者に通知しないこと（休日、テト休日を除く）。 c) 個人データ保護規定違反に関連する内容を完全に通知しないこと。 d) 個人データ保護規定違反の記録を作成しないこと。 e) 適切な協力をしないこと。

2. 追加の罰則： a) 再度の違反があった場合、1か月から3か月間、個人データの処理を一時停止または停止する。

3. 修正措置： a) 個人データ保護規定違反に関する完全な通知を強制する。

第25条 個人データ処理の影響評価に関する規定違反（続き）

1. 以下の行為に対して、70M VNDから100M VNDの罰金が科される： a) 個人データ管理者、個人データ管理者および処理者が、個人データ処理の開始時点からその影響評価記録を作成または保持しないこと。 b) 個人データ処理者が、個人データ管理者との契約遂行時に個人データ処理の影響評価記録を作成または保持しないこと。 c) 処理開始から60日以内に公安省（サイバーセキュリティ・ハイテク犯罪防止部門）に対し、政令13/2023/ND-CPの付録に記載されているフォームNo.04に基づく影響評価記録の原本1部を送付しないこと。 d) 公安省（サイバーセキュリティ・ハイテク犯罪防止部門）の要求に従い、個人データ処理の影響評価ファイルを修正または完了させないこと。

2. 100,000から1,000,000人未満のベトナム市民の個人データを開示または紛失した場合、上記の罰金額の2倍の罰金が科される。

3. 1,000,000人以上から5,000,000人未満のベトナム市民の個人データを開示または紛失した場合、上記の罰金額の5倍の罰金が科される。

4. 5,000,000人以上のベトナム市民の個人データを開示または紛失した場合、前会計年度の総収益の5%の罰金が科される。

5. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

6. 修正措置： a) 個人データ処理の影響評価記録を強制的に作成または保持すること。 b) 個人データが回復不能な形での削除または破棄を強制する。 c) 違法に得た利益を返還または放棄することを強制する。 d) メディアで公に謝罪する。

第26条 個人データの海外移転に関する規定違反

1. 以下の行為に対して、70M VNDから100M VNDの罰金が科される： a) データを海外に移転する際に影響評価プロファイルを作成せず、政令13/2023/ND-CPの第25条第3項、第4項、第5項に基づく手続きを行わないこと。 b) 個人データの処理開始時から個人データ移転の影響評価記録を作成または保持しないこと。 c) 処理開始から60日以内に公安省（サイバーセキュリティ・ハイテク犯罪防止部門）に影響評価記録の原本1部を送付しないこと。 d) データ移転が成功した後、公安省（サイバーセキュリティ・ハイテク犯罪防止部門）にデータ移転に関する情報および責任者の連絡先を文書で通知しないこと。 e) 公安省（サイバーセキュリティ・ハイテク犯罪防止部門）の要求に従って、海外移転の影響評価プロファイルを修正または完了させないこと。 f) 公安省（サイバーセキュリティ・ハイテク犯罪防止部門）の要求に従って、個人データの海外移転を検査しないこと。

2. 100,000人から1,000,000人未満のベトナム市民の個人データを開示または紛失した場合、上記の罰金額の2倍の罰金が科される。

3. 1,000,000人以上から5,000,000人未満のベトナム市民の個人データを開示または紛失した場合、上記の罰金額の5倍の罰金が科される。

4. 5,000,000人以上のベトナム市民の個人データを開示または紛失した場合、前会計年度の総収益の3%から5%の罰金が科される。

5. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) ベトナム社会主義共和国からの外国人の追放。 d) 1か月から3か月間、個人データの処理を一時停止または停止する。

6. 修正措置： a) 個人データの海外移転の影響評価記録を強制的に作成および保持すること。 b) 個人データが回復不能な形での削除または破棄を強制する。 c) 違法に得た利益を返還または放棄することを強制する。 d) メディアで公に謝罪する。

第27条 個人データ保護措置に関する規定違反

1. 以下の行為に対して、10M VNDから20M VNDの罰金が科される： a) 法令で定められた個人データ保護措置を適用しないこと。 b) 基本的な個人データ保護規定を策定および公布せず、政令13/2023/ND-CPで定められた事項を明確に述べないこと、または処理の前にシステムおよび手段、機器のネットワークセキュリティを確認せず、基本的な個人データを含むデバイスを回復不能な形で削除または破棄しないこと。

2. 25M VNDから50M VNDの罰金が科される： a) 敏感な個人データを保護する部門を指定せず、敏感な個人データ保護の担当者を指定せず、個人データ保護当局と情報を交換しないこと。 b) データ主体に対して、敏感な個人データが処理されていることを通知しないこと。

3. 追加の罰則： a) 1か月から3か月間、個人データ収集を必要とする業種の営業許可を取り消す。 b) 行政違反に使用された物品および手段を没収する。 c) 1か月から3か月間、個人データの処理を一時停止または停止する。

4. 修正措置： a) 個人データ保護措置の強制的な適用。 b) 個人データが回復不能な形での削除または破棄の強制。 c) メディアでの公的な謝罪。