意見提出日：2021 年 4 月 5 日（月）■タイトル
ベトナム「個人情報保護に関する政令案」に対する意見■提出者
一般社団法人 電子情報技術産業協会
法務・知的財産部会
個人データ保護専門委員会
■意見
＜意見１＞
該当箇所：
全体
意見：
複数の条文間での規定の重複等あり、構成としても理解がし難いものであるため、規定間の整理等を望みたい。その他、用語として説明が不足している等の理由により、理解が難しい箇所があり、その点について、補足での説明、詳細化等を求めたい。当協会会員企業はグローバルでビジネスを展開しており、国をまたがるビジネスの円滑化の観点からもアジア各国の個人データ保護法や EU の GDPR などとハーモナイズされたものを求めたい。
理由：
広く国民に、また、ベトナムで事業を営む国内外の企業に対し、よりわかりやすく、体系だった政令とすることが、政令の実効性を高め、個人情報保護に資するものと認識している。
＜意見２＞
該当箇所：
全体
意見：
本政令案の地理的適用範囲について明確に規定すべきである。
理由：（１）データ収集時にベトナム国内に居住している者、及び（２）個人データの処理をする個人または組織がベトナムにおいて存在又は設立されていること、を要件として適用され1ることを明確にすべきと考える。
＜意見３＞
該当箇所：
第2条
意見：
定義規定について、それぞれの項目が具体的にどのような情報を意味するのか、具体例と共にガイドライン等で明確にされたい。
例：
2.基本的な個人データ-dd)教育レベル-l)サイバースペースでの活動又は活動の履歴を反映するデータ
3.機密性の高い個人データ-k)社会的関係に関する個人データ
理由：法の対象となり得る個人データの定義があいまいな箇所があり、実務上、保護の対象とすべき情報が何かが分かりづらい。
＜意見４＞
該当箇所：
第 2 条第 3 項
意見：
第 3 項の機密性の高い個人データに h)「個人の財務データ」や、i)「個人の位置データ」が含まれているが、これらは EU の GDPR よりも厳しい規定であり、見直すべきである。
理由：
GDPR 等の他国の法令と保護レベルを合わせるべきである。
＜意見５＞
該当箇所：
第 2 条第 9 項
意見：2

第 9 項の「第三者」の定義を見ると第三者も第 8 項の「個人データ処理者」に該当しうるように読めるが、「第三者」と「個人データ処理者」の違いを明確にしていただきたい。
理由：「第三者」にも個人データ処理者と同じ義務が発生するのか否かが明確でない。
＜意見６＞
該当箇所：
第 10 条
意見：
個人データの処理には原則としてデータ主体の同意等が必要とされるが、ビジネス上でのデータ処理に関連する例外規定が明示されておらず、実務上の判断に支障をきたすことが予想される。
諸外国の法令にあるような、・契約の履行のため・処理者の正当な利益に基づく場合・みなし同意などの例外規定を導入していただきたい。
理由：
個人データの処理にはデータ主体の同意等が必要とされるにもかかわらず、例外規定が明示されていないため、同意を撤回された場合の対応などに支障を来してしまう。
例）企業等の顧客・従業員、学校の生徒、病院の患者などが、それぞれの個人データ処理者との関係性が継続しているにもかかわらず同意を撤回してしまう場合に実務上の支障が大きい。
＜意見７＞
該当箇所：
第 10 条
意見：
個人データの二次的な処理について、それが当初の処理目的と合理的に関連するものである限り、許容されることを条文で明示すべきである。
理由：3

GDPR など他国の法令にも類似の規定が存在する。
＜意見８＞
該当箇所：
第 17 条意見：第 2 項の g）「個人データを処理するための機器およびソフトウェアに関する統計を保持します」など些末な項目も含まれているため、項目を見直し、条文上は必要不可欠な措置に絞っていただきたい。
理由：
リスクベースのアプローチを維持するため、企業その他の組織体は、データのセキュリティについて柔軟な対応ができるようにすべきである。柔軟性を与えることは、各組織が実情に応じてそのコントロール下にあるデータの保護措置を講じることを可能にする。
＜意見９＞
該当箇所：
第 20 条第 1 項
意見：
機密性の高い個人データの処理には個人データ保護委員会への登録を要するとなっているが、質的・量的な基準を設定していただきたい。
理由：
すべての機密性の高い個人データを 1 件でも処理する場合には個人データ保護委員会への登録が必要であるとも解釈できるが、とても現実的ではなく、個人データ保護委員会としても処理が追いつかないと思われる。
＜意見１０＞
該当箇所：
第 20 条第 3 項
意見：「個人データ保護委員会は、機密性の高い個人データを処理するために、登 録ファイルに記載されている情報の内容を物理的に検査する権利を有します。
」との記載があるが、これ4

は政府による無差別なガバメントアクセスを許容するおそれがあり、削除するべきである。
理由：「個人データ保護に関する」本政令案の趣旨から見て不適切である。また、ベトナムの事業者が EU 等の外国から個人データ移転を受けられなくなる可能性が高くなる。
＜意見１１＞
該当箇所：
第 21 条第 1 項
意見：
越境移転に当たって a)~d)の全ての条件を満たさねばならないとされているが、a)~d)のいずれかの条件を満たせばよい等、要件を緩和するべきである。特に、個人データ保護委員会からの書面の承認を要する制度は、事業者等に対する負担が大きく、当局の承認を要さない移転をより広範に認める方向での検討を求めたい。
理由：
個人情報の重要性は認識しているが、越境移転に関する個人データ保護委員会の承認等の厳格な要件は、GDPR 等の諸外国の法令レベルと著しく不均衡であり、実ビジネスへの影響が大きく、個人データ保護委員会への負担も過大なものとなるため、運用上の障壁になるものと認識している。
＜意見１２＞
該当箇所：
第 21 条第 3 項
意見：
第 3 項に示されている越境移転が可能となる a)~d)の 4 条件についても、a)~d)のいずれかの条件を満たせばよい等、要件を緩和するべきである。
理由：
個人情報の重要性は認識しているが、越境移転に関する個人データ保護委員会の承認等の厳格な要件は、GDPR 等の諸外国の法令レベルと著しく不均衡であり、実ビジネスへの影響が大きく、個人データ保護委員会への負担も過大なものとなるため、運用上の障壁になるものと認識している。

5

＜意見１３＞
該当箇所：
第 21 条
意見：
個人データ保護委員会への承認等を要する手続きにおいて、個人データ保護委員会の不承認等の決定に対する不服申立、救済の手段があるかを明確にされたい。
理由：
個人データ保護委員会の承認を要する手続きが複数見受けられるが、当局の決定に対する異議等をどのように行いうるかの規定が見受けられず、この点の明確化を求めたい。
＜意見１４＞
該当箇所：
第 28 条第 3 項
意見：
個人データ保護活動に関連する違反について、どのような違反の場合に個人データ保護委員会への通知義務が発生するのか、ガイドライン等で明確にしていただきたい。軽微な違反や情報漏洩等の場合でも、通知の対象であるならば、実務上負担が大きいため、これらについては通知義務がないことを、明確にしていただきたい。
理由：
事業者がどのような場合に通知義務を負うかが分かりづらく、また、現在の規定では軽微な違反を含めてすべて通知を要するように見えるため、事業者への負担が大きい。
以上

6※ベトナム語■ Tiêu đềMột số ý kiến liên quan đến “Dự thảo Nghị định bảo vệ dữ liệu cá nhân” của Việt Nam■ Nơi đề xuấtHiệp hội Công nghiệp điện tử và công nghệ thông tin Nhật Bản (JEITA)
Ban Pháp chế và Sở hữu trí tuệỦy ban chuyên trách về bảo vệ dữ liệu cá nhân
■ Ý kiến＜Ý kiến số 1＞
Nội dung trong bản Dự thảo:Toàn bộ Dự thảoÝ kiến cụ thể:Quy định tại nhiều điều khoản bị chồng chéo, cấu trúc khó hiểu; do đó chúng tôi cho rằng cần sắp xếplại giữa các quy định. Ngoài ra, phần giải thích từ ngữ chưa đầy đủ nên có phần còn khó hiểu, về điểmnày cần giải thích bổ sung và quy định chi tiết hơn. Các doanh nghiệp là thành viên của Hiệp hộiJEITA đang triển khai hoạt động kinh doanh trên toàn cầu, hơn nữa nếu xét từ góc độ tạo điều kiệnthuận lợi cho hoạt động kinh doanh xuyên biên giới, chúng tôi kính đề nghị (các quy định này) nênhài hòa cùng với Luật bảo vệ dữ liệu cá nhân của các quốc gia Châu Á hay Quy định chung về bảo vệdữ liệu của EU (Quy định GDPR), v.v…
Lý do:Chúng tôi nhận thấy rằng, việc xây dựng Nghị định một cách hệ thống, dễ hiểu cho người dân và cácdoanh nghiệp trong và ngoài nước có hoạt động kinh doanh tại Việt Nam sẽ nâng cao hiệu quả thựcsự của Nghị định và góp phần bảo vệ thông tin cá nhân.

＜Ý kiến số 2＞
Nội dung trong bản Dự thảo:Toàn bộ Dự thảoÝ kiến cụ thể:Phạm vi áp dụng về mặt địa lý của bản Dự thảo Nghị định này cần được quy định rõ.
7Lý do:Cần làm rõ Nghị định được áp dụng với điều kiện sau đây: (1) Người cư trú trong nội địa Việt Nam
tại thời điểm thu thập dữ liệu và (2) Cá nhân hoặc tổ chức xử lý dữ liệu cá nhân tồn tại hoặc đượcthành lập ở Việt Nam.

＜Ý kiến số 3＞
Nội dung trong bản Dự thảo:Điều 2Ý kiến cụ thể:Về quy tắc định nghĩa, chúng tôi đề nghị làm rõ xem từng hạng mục cụ thể là có ý nghĩa gì về mặtthông tin bằng những hướng dẫn cùng với ví dụ cụ thể, v.v…
Ví dụ:“2. Dữ liệu cá nhân cơ bản, gồm:đ) Trình độ học vấn;l) Dữ liệu phản ánh hoạt động hoặc lịch sử hoạt động trên không gian mạng.”“3. Dữ liệu cá nhân nhạy cảm, gồm:k) Dữ liệu các nhân về các mối quan hệ xã hội;”Lý do:
Trong định nghĩa về dữ liệu cá nhân có thể trở thành đối tượng của Luật có những phần còn mơ hồ,rất khó để hiểu được thông tin nào thuộc vào đối tượng cần được bảo vệ trong công việc thực tế.

＜Ý kiến số 4＞
Nội dung trong bản Dự thảo:Khoản 3 Điều 2Ý kiến cụ thể:“Dữ liệu cá nhân nhạy cảm” nêu tại Khoản 3 bao gồm “h) Dữ liệu cá nhân về tài chính” hay “i) Dữliệu cá nhân về vị trí”. Đây là quy định nghiêm ngặt hơn cả Quy định GDPR của EU, do đó chúng tôicho rằng cần xem xét lại quy định này.
Lý do:
8Cần điều chỉnh cho phù hợp với mức độ bảo vệ và quy định pháp luật của các quốc gia khác, ví dụnhư Quy định GDPR, v.v…

＜Ý kiến số 5＞
Nội dung trong bản Dự thảo:Khoản 9 Điều 2Ý kiến cụ thể:Nhìn vào phần định nghĩa về “Bên thứ ba” nêu tại Khoản 9, có thể thấy “Bên thứ ba” này tương ứng
với “Bên xử lý dữ liệu cá nhân” nêu tại Khoản 8. Kính đề nghị phía Việt Nam vui lòng làm rõ sự khácbiệt giữa khái niệm “Bên thứ ba” và “Bên xử lý dữ liệu cá nhân”.
Lý do:
Không rõ liệu có phát sinh nghĩa vụ đối với “Bên thứ ba” giống như với Bên xử lý dữ liệu cá nhân
hay không.

＜Ý kiến số 6＞
Nội dung trong bản Dự thảo:Điều 10Ý kiến cụ thể:Dự thảo có đề cập đến việc về nguyên tắc, việc xử lý dữ liệu cá nhân cần được sự đồng ý của chủ thểdữ liệu nhưng không thể hiện rõ quy định ngoại lệ về xử lý dữ liệu trong kinh doanh và điều này đượcdự báo là sẽ gây ra trở ngại tới việc đánh giá khi thực hiện công việc.
Kính đề nghị đưa vào các quy định ngoại lệ giống như trong quy định của các nước như:- Để thực hiện hợp đồng;- Trong trường hợp căn cứ theo lợi ích chính đáng của bên xử lý;- Được coi là đồng ý, v.v…
Lý do:Cho dù cần được sự đồng ý của chủ thể thông tin khi xử lý dữ liệu cá nhân nhưng do không nêu rõquy định ngoại lệ nên gây khó khăn khi xử lý trong trường hợp rút lại sự đồng ý.
Ví dụ: Mặc dù khách hàng/ nhân viên của doanh nghiệp, học sinh trong trường hay người bệnh trongbệnh viện v.v. vẫn duy trì mối liên quan với các bên xử lý dữ liệu cá nhân nhưng gây ra cản trở lớn
9trong công việc trong trường hợp (chủ thể dữ liệu) rút lại sự đồng ý.

＜Ý kiến số 7＞
Nội dung trong bản Dự thảo:Điều 10Ý kiến cụ thể:Cần nêu rõ trong văn bản về việc chỉ cho phép xử lý thứ cấp dữ liệu cá nhân khi việc xử lý thứ cấp đócó mối liên quan hợp lý với mục đích xử lý ban đầu.
Lý do:
Có quy định tương tự trong các quy định pháp luật của nước khác như Quy định GDPR, v.v...

＜Ý kiến số 8＞
Nội dung trong bản Dự thảo:Điều 17Ý kiến cụ thể:Điều này có những khoản mục không quan trọng, ví dụ như Điểm g) Khoản 2 “g) Có thống kê về thiết
bị và sản phảm phần mềm xử lý dữ liệu cá nhân”. Do đó chúng tôi mong rằng phía Việt Nam sẽ xemxét lại các khoản mục và tập trung vào các biện pháp cần thiết bắt buộc phải có trong các điều khoản.
Lý do:
Để duy trì cách thức tiếp cận dựa trên rủi ro, các doanh nghiệp và tổ chức cần phải ứng phó một cáchlinh hoạt trong việc bảo mật dữ liệu. Việc mang lại sự linh hoạt giúp cho các tổ chức có thể đưa rađược những biện pháp bảo vệ dữ liệu dưới sự kiểm soát dựa trên tình hình thực tế của mỗi tổ chức.

＜Ý kiến số 9＞
Nội dung trong bản Dự thảo:Khoản 1 Điều 20Ý kiến cụ thể:Việc xử lý dữ liệu cá nhân nhạy cảm cần phải được đăng ký với Ủy ban bảo vệ dữ liệu cá nhân. Chúng
10tôi mong rằng phía Việt Nam sẽ thiết lập tiêu chuẩn về chất và về lượng cho việc này.
Lý do:
Điều này có thể hiểu là phải đăng ký với Ủy ban bảo vệ dữ liệu cá nhân ngay cả trong trường hợp xử
lý 1 trong toàn bộ dữ liệu cá nhân nhạy cảm. Đây là việc làm không thực tế và về phía Ủy ban bảo vệdữ liệu cũng sẽ không theo kịp việc xử lý.

＜Ý kiến số 10＞
Nội dung trong bản Dự thảo:Khoản 3 Điều 20Ý kiến cụ thể:Khoản này có ghi “Ủy ban bảo vệ dữ liệu cá nhân có quyền kiểm tra thực tế các nội dung thông tinđược nêu trong hồ sơ đăng ký xử lý dữ liệu cá nhân nhạy cảm.”. Điều này có thể cho phép Chính phủtruy cập hàng loạt, do đó cần xóa bỏ nội dung này.
Lý do:Không phù hợp nếu nhìn dưới góc độ từ mục đích chính của Dự thảo Nghị định “Bảo vệ dữ liệu cánhân”. Ngoài ra, khả năng cao là các chủ thể kinh doanh của Việt Nam sẽ không nhận được dữ liệu cánhân chuyển từ nước ngoài như từ EU, v.v...

＜Ý kiến số 11＞
Nội dung trong bản Dự thảo:Khoản 1 Điều 21Ý kiến cụ thể:Khoản này có đưa ra việc phải đáp ứng đầy đủ 04 điều kiện a)~d) khi chuyển dữ liệu cá nhân ra khỏibiên giới lãnh thổ Việt Nam. Tuy nhiên, yêu cầu này cần được nới lỏng, ví dụ như chỉ cần đáp ứngđược một trong những điều kiện a)~d). Đặc biệt, quy chế về việc cần có văn bản đồng ý của Ủy banbảo vệ dữ liệu cá nhân sẽ tạo ra gánh nặng đối với chủ thể kinh doanh. Do đó, chúng tôi kính đề nghịphía Việt Nam cân nhắc theo hướng cho phép chuyển dữ liệu rộng rãi hơn mà không cần phải có sựchấp thuận của cơ quan này.
Lý do:11

Chúng tôi nhận thức được tầm quan trọng của thông tin cá nhân. Tuy nhiên, yêu cầu nghiêm ngặt nhưphải được sự chấp thuận của Ủy ban bảo vệ dữ liệu cá nhân khi chuyển ra khỏi biên giới lãnh thổ ViệtNam thực sự không tương đương với mức độ quy định pháp luật của các nước khác, ví dụ như Quyđịnh GDPR, v.v...; đồng thời sẽ tác động lớn đến hoạt động kinh doanh thực tế và trở thành gánh nặngquá lớn đối với Ủy ban bảo vệ thông tin cá nhân, nên sẽ trở thành rào cản khi đưa vào áp dụng.

＜Ý kiến số 12＞
Nội dung trong bản Dự thảo:Khoản 3 Điều 21Ý kiến:Đối với 4 điều kiện a)~d) để dữ liệu cá nhân có thể được chuyển ra khỏi biên giới lãnh thổ Việt Nam
nêu tại Khoản 3 cũng cần được nới lỏng, chẳng hạn như chỉ cần đáp ứng một trong các điều kiện a)~d)v.v...
Lý do:Chúng tôi nhận thức được tầm quan trọng của thông tin cá nhân. Tuy nhiên, yêu cầu nghiêm ngặt nhưphải được sự chấp thuận của Ủy ban bảo vệ dữ liệu cá nhân khi chuyển ra khỏi biên giới lãnh thổ ViệtNam thực sự không tương đương với mức độ quy định pháp luật của các nước khác, ví dụ như Quyđịnh GDPR, v.v...; đồng thời tác động lớn đến hoạt động kinh doanh thực tế và trở thành gánh nặngquá lớn đối với Ủy ban bảo vệ thông tin cá nhân nên sẽ trở thành rào cản khi đưa vào áp dụng.

＜Ý kiến số 13＞
Nội dung trong bản Dự thảo:Điều 21Ý kiến:Kính đề nghị phía Việt Nam làm rõ xem có cách thức kháng nghị hoặc trợ giúp đối với quyết địnhkhông chấp thuận của Ủy ban bảo vệ dữ liệu trong những thủ tục cần đến sự chấp thuận của Ủy banbảo vệ dữ liệu cá nhân hay không.
Lý do:
Chúng tôi thấy có một số thủ tục cần đến sự chấp thuận của Ủy ban bảo vệ dữ liệu cá nhân nhưngkhông thấy có quy định liên quan đến việc làm thế nào có thể phản đối quyết định của cơ quan này.
12Kính đề nghị phía Việt Nam làm rõ điểm này.

＜Ý kiến số 14＞
Nội dung trong bản Dự thảo:Khoản 3 Điều 28Ý kiến:Đối với những vi phạm liên quan tới hoạt động bảo vệ dữ liệu cá nhân, chúng tôi mong được làm rõbằng hướng dẫn cụ thể trong trường hợp vi phạm như thế nào thì phát sinh nghĩa vụ thông báo cho Ủyban bảo vệ dữ liệu cá nhân. Nếu phải thông báo ngay cả trong trường hợp là vi phạm nhỏ hay rò rỉthông tin, v.v... thì sẽ dẫn đến gánh nặng lớn (cho chủ thể kinh doanh) trong công việc. Vì vậy, kínhđề nghị phía Việt Nam quy định rõ về những trường hợp không có nghĩa vụ phải thông báo.
Lý do:Rất khó để hiểu được trong trường hợp nào chủ thể kinh doanh phải có nghĩa vụ thông báo. Ngoài ra,quy định hiện tại cho thấy cần phải thông báo đối với tất cả các vi phạm, bao gồm cả vi phạm nhỏ nênsẽ tạo ra gánh nặng lớn cho chủ thể kinh doanh.

Hết.

13