サイバー セキュリティ 法：ベトナムにおける法的枠組みと企業のリスク管理実務

デジタル経済の急速な進展に伴い、ベトナムは東南アジアにおけるテクノロジーハブとしての地位を確立しています。しかし、サイバー空間における脅威も同時に増大しており、ベトナム政府は国家安全保障と社会秩序を守るため、厳格な法的規制を導入しています。特に二〇一八年に制定されたサイバー セキュリティ 法（法律番号：二四／二〇一八／第十四期国会）は、ベトナムで活動するすべての企業、とりわけ外資系企業にとって避けては通れない最重要法規の一つです。本稿では、専門の国際 弁護士の視点から、現行のサイバーセキュリティ規制、データの国内保存義務、そして不遵守に伴う海外 投資 リスクを、最新の二〇二四年データ法（法律番号：六〇／二〇二四／第十五期国会）や司法判断の傾向を含めて詳細に分析します。

一、 ベトナムサイバーセキュリティ法の構成と基本原則

ベトナムにおけるサイバー空間の法的管理は、複数の法律と政令によって重層的に構成されています。中心となるのは二〇一九年一月一日より施行されたサイバー セキュリティ 法です [五三〇, 五五二]。

• 二〇一八年サイバー セキュリティ 法（法律番号：二四／二〇一八／第十四期国会）： サイバー空間における国家安全保障の保護、社会秩序と安全の確保、および関連する組織・個人の責任を規定しています [五三〇]。
• 二〇二四年データ法（法律番号：六〇／二〇二四／第十五期国会）： 二〇二五年七月一日より施行予定の最新法案であり、デジタルデータ、国家データセンター、およびデータの処理・保護に関する包括的な枠組みを定めています [五九二, 六〇八]。
• 政令第五三号（二〇二二／エヌディー・シーピー）： サイバー セキュリティ 法のいくつかの条項を詳細に規定し、特にデータの保存とベトナム国内への支店・代表事務所の設置義務を明確化しました [五〇六]。
• 二〇一五年ネットワーク情報安全法： 主に技術的な安全基準や情報の安全性を規定しており、サイバー セキュリティ 法と相互に補完し合っています。

これらの法律の基本原則は、サイバー空間を利用した国家、組織、個人の適法な権利の侵害を許さないことにあります [五三二]。企業は、事業活動を展開する上で、これらの法規が求めるリーガル サービスに基づいたコンプライアンス体制を構築しなければなりません。

二、 国家安全保障上重要な情報システムと企業の義務

サイバー セキュリティ 法第十条では、「国家安全保障にとって重要な情報システム」を定義しています [五三五]。これには、軍事、公安、外交、暗号、国家機密を扱うシステムだけでなく、エネルギー、金融、銀行、電気通信、交通、医療などの国家インフラを支える情報システムも含まれます [五三五, 五〇八]。

これらのシステムの所有者（主管者）には、以下の厳格な義務が課されます：

1. セキュリティ審査と評価： システムの運用開始前に、公安省のサイバーセキュリティ専従部隊による審査を受け、条件を満たしていることの証明を受けなければなりません [五三三, 五三六]。
2. 定期的な検査： 少なくとも年一回、サイバーセキュリティの現状を検査し、その結果を当局に通知する義務があります [五三七]。
3. 緊急事態への対応： サイバー攻撃や事故が発生した際、直ちに当局に報告し、被害の拡大を抑えるための緊急措置を講じなければなりません [五一四, 五三九]。

外資企業がこれらの重要セクターへ出資または参画する場合、法務 デュー デリ ジェンスの段階で、当該プロジェクトが重要情報システムに該当するか否かを確認することが不可欠です。

三、 データのローカライゼーション（国内保存）と拠点設置義務

投資家にとって最も関心の高い条項の一つが、サイバー セキュリティ 法第二十六条および政令第五三号第二十六条に規定される「データのローカライゼーション」義務です [五四八, 五二一]。

１． 保存義務の対象となるデータ

以下の三種類のデータがベトナム国内での保存対象となります [五二一, 一一八]：

• サービス利用者の個人情報に関するデータ（氏名、生年月日、住所、電話番号、メールアドレス等）。
• 利用者が生成したデータ（アカウント名、利用時間、クレジットカード情報、アイピーアドレス等）。
• 利用者の人間関係に関するデータ（友人リスト、所属グループ等）。

２． 保存・設置義務を負う企業

ベトナム国内の企業は、上記データを常に国内で保存しなければなりません [五二一]。一方、海外企業（電気通信、データ共有、電子商取引、ソーシャルメディア、オンラインゲーム、メール、チャット等のサービスを提供する企業）については、以下の条件を満たす場合にのみ、ベトナム国内でのデータ保存および支店・代表事務所の設置が義務付けられます [五二一, 五二二]：

• 提供するサービスがサイバーセキュリティを侵害する行為に使用された場合。
• 公安省から書面による警告や協力要請を受けたにもかかわらず、従わない、または十分に対応しない場合。

政令第五三号によれば、データ保存期間は公安省の要請から最低二十四ヶ月間、支店等の設置期間はベトナムでの事業活動が終了するまでとされています [五二三]。これは海外 投資 リスクを評価する上で、運営コストや組織構造に直接影響を与える重大な論点です。

四、 二〇二四年データ法による最新の規制緩和と強化

二〇二五年七月から施行される「データ法」は、既存の枠組みを整理し、より効率的なデータ管理を目指しています [六〇八]。この法律により、国家データセンターが設立され、政府機関のデータが一元管理されるようになります [五八三, 六〇三]。

企業実務において注目すべき点は、第十二条の「データの越境移転」に関する規定です [五七四]。重要データや中核データを海外へ移転する場合、事前の影響評価報告が必要となります [五七四, 五七五]。一方で、緊急の救命措置や国際運送、送金、観光予約などの特定の契約履行に必要な場合は、例外措置も認められています [五七七]。これは、企業 法務 弁護士が契約書を作成する際の重要な参照ポイントとなります。

五、 刑事罰と行政処分：不法行為に対する法的責任

サイバーセキュリティ規制の不遵守は、高額な罰金だけでなく、刑事罰の対象にもなり得ます。ベトナム刑法（法律番号：一〇〇／二〇一五／第十三期国会、二〇一七年改正）の第二編・第十六節（コンピュータネットワーク等における罪）には、以下の主要な罪状が規定されています [四〇八]。

• 第二百八十五条（不法目的でのソフトウェア提供等）： サイバー攻撃機能を持つツールやソフトウェアの製造・販売に対し、最高七年の禁錮刑が科されます [四〇八]。
• 第二百八十六条（有害プログラムの拡散）： コンピュータネットワークを麻痺させるなどの損害を与えた場合、最高十二年の禁錮刑に処されます [四〇八, 四〇九]。
• 第二百八十九条（情報システムへの不法侵入）： パスワードや防壁を突破して他人のデータにアクセスする行為です [四一〇]。二〇二一年十一月二十六日の議決（第〇八／二〇二一／エヌキュー・ユービーティーブイキューエイチ十五号）により、営業秘密を含むデータの窃取もこの罪に含まれることが明確化されました [四一八, 四二八, 四五七]。
• 第二百九十条（ネットワークを利用した資産の横領）： 電子商取引、電子決済、オンライン詐欺などを通じた資産奪取に対し、最高二十年の禁錮刑または終身刑が科される可能性があります [四一一, 四一二]。

また、民事訴訟法およびサイバー セキュリティ 法第九条に基づき、他者に損害を与えた場合は賠償責任も生じます [五三五]。

六、 関連判例：個人データ管理と国家安全保障の衝突

サイバーセキュリティの重要性を浮き彫りにした実例として、ベトナムの大手タクシー会社であるビナサン社（原告）とライドシェア大手のグラブ社（被告）の紛争（案件番号：二二／二〇二二／ケーディーティーエム等）が挙げられます [一〇, 一三六, 二九六]。

１． 係争の内容とデータの論点

この裁判において、原告側は、被告が「テクノロジー企業」を自称しながら実質的な輸送サービスを提供し、不公正な競争を行っていると主張しました。その過程で、被告がベトナム人利用者の個人データを収集し、それを海外の第三者に提供していることが指摘されました [一三六, 二九六]。

２． 法的解釈と影響

裁判所は、個人データの海外への無許可移転が「国家安全保障に対する現実的な脅威」となり得るとの懸念を示しました [一三六, 二九七]。被告のようなデジタルプラットフォーム企業が大量のデータを収集し、それを適切に国内で保護（国内保存義務の遵守）しないことは、非伝統的な安全保障上の脅威として複雑化していると認定されました [一三六]。

この事例は、単なるビジネス上の競合だけでなく、データの管理状況がいかに司法判断において重く扱われるかを示しており、外資系テック企業にとっての海外 投資 リスクを如実に物語っています。

七、 企業に求められる実務的対策チェックリスト

ベトナムで事業を継続し、サイバー セキュリティ 法を遵守するためには、以下の対策を講じることを推奨します。

1. データの棚卸しと分類： 自社が収集・処理しているデータが「個人情報」「機密情報」「重要データ」のどれに該当するかを特定し、国内保存義務の有無を確認すること [五九七, 五九八]。
2. 情報セキュリティ規程の策定： 社内の情報システム管理規程、個人情報保護方針、インシデント対応計画を策定し、定期的に従業員教育を行うこと [五一九, 五二〇]。
3. 委託先管理の徹底： データ処理を第三者に委託する場合、委託先のセキュリティ体制を法務 デュー デリ ジェンスで精査し、漏洩時の責任分担を明確にした契約を締結すること [五八一, 七三九]。
4. 当局への報告体制： サイバー攻撃を受けた際の二十四時間以内の報告義務など、法定の報告ラインを確立しておくこと [三六四, 五一三]。
5. 知 的 財産 権の保護： ソフトウェアや営業秘密が不法侵入（刑法二百八十九条）によって侵害された場合、刑事告訴や差し止め請求を行うための証拠保全プロセスを準備すること [四一八, 四八二]。

八、 結論

ベトナムのサイバー セキュリティ 法および関連法規は、単なる技術的なガイドラインではなく、法人の存続に関わる強力なコンプライアンス要件です。特に二〇二四年のデータ法の制定により、データの重要度に応じた厳格な管理が求められる一方で、透明性の高いデジタル環境の構築が進んでいます。

複雑な法制度を理解し、突発的なサイバーインシデントや当局の立ち入り検査に対応するためには、現地の司法実務に精通した専門家のサポートが不可欠です。当事務所は、リーガル サービスを通じて、情報システムの安全審査、データ越境移転の影響評価、サイバー犯罪の被害対応など、企業のデジタル資産を守るための包括的な法的支援を提供します。ベトナムでの持続可能な投資と成長を実現するために、最新の法規制に基づいた盤石な防衛戦略を共に構築してまいりましょう。

サイバーセキュリティ対策や個人情報保護に関する具体的なご相談、あるいは合弁 会社設立に伴う情報インフラのリーガルチェックが必要な際は、お気軽に当事務所の国際 弁護士までお問い合わせください。皆様のビジネスを法務の力で強力にバックアップいたします。