7月1日、ベトナムが「デジタル主権」を法制化する——条文が突きつける3つの義務
ベトナムは2026年7月1日、通信・インターネットサービスに関わるすべての企業に対して3つの法的義務を課す新サイバーセキュリティ法（第116/2025/QH15号）を施行する。第一に、個人データとユーザー生成データのベトナム国内サーバーへの保管。第二に、外国企業によるベトナム国内への支店または代理店の設立。第三に、違法コンテンツを当局要請から24時間以内（緊急時は6時間以内）に削除する対応体制の整備だ。これはEUの一般データ保護規則が定めた「域外適用」とは異なる方向性の規制——「データを国内に置かなければ、そもそもサービスを提供するな」というデータ主権宣言である。ベトナムに進出する約2,000社の日系企業にとっても、この法律は避けて通れない選択を迫る。
元記事・原文引用
元ネタ：Vietnam – Law on Cybersecurity 2026: What You Must Know（Duane Morris Vietnam Blog / 2026年1月8日）
“Local and foreign enterprises providing services relating to telecommunications networks, the Internet, and value-added services that collect, analyse, or process personal data must store such data in Vietnam, and foreign enterprises are required to establish a branch or representative office in Vietnam.”
2018年法を一新した背景——65万9千件の攻撃と「二頭立て管理」の混乱
今回の新法は、2018年のサイバーセキュリティ法と2015年のサイバー情報セキュリティ法という2つの法律を統合・一本化したものだ。なぜ統合が必要だったのか。従来の枠組みでは、公安省と情報通信省が役割を分担する「二頭立て管理」体制が続き、サイバーインシデントへの対応で指揮系統の混乱が繰り返されていた。特に2024年、ベトナム国内で発生したサイバー攻撃件数は65万9千件を超え、国家信用情報センター（以下、信用情報センター）からの1億6千万件超の個人情報漏洩事件（ShinyHuntersグループによる攻撃）が社会に衝撃を与えた。新法は公安省に統一的な指揮権を集約し、軍の情報システムは国防省、暗号管理は政府暗号委員会が担う役割分担を明文化した。一元化によって「誰が責任を持つか」の曖昧さを排除し、増大するサイバー脅威に即応できる体制を構築しようとしている。加えて、人工知能を使った他人の映像・音声・画像の偽造（ディープフェイク）の明示的な禁止、未成年のオンライン保護、ソーシャルメディアアカウントの実名登録義務化など、デジタル社会の変化に対応した条項が盛り込まれた。
進出日系企業が直面するコンプライアンスの壁——「データ主権」の具体的コスト
ジェトロの調査によれば、ベトナムに進出する日系企業の56.1%が今後1〜2年以内の事業拡大を計画しており、2024年の業績改善率も48.8%と東南アジア全体で上位に位置する。「コスト効率の良い生産・IT拠点」としてのベトナムの魅力は依然として高い。しかし新サイバーセキュリティ法は、デジタルビジネスを展開する企業に対して見えないコストを積み上げる。データをベトナム国内のサーバーに保管するには、現地データセンターの契約またはクラウドサービス（ベトナム国内拠点）への移行が必要になる。さらに、支店または代理店の「設立義務」は、これまで越境形式でサービス提供してきた企業にとって実質的な市場参入障壁となり得る。コンテンツ削除の24時間ルールは、24時間対応できる現地オペレーション体制の整備を意味する。日本企業で特に影響が大きいのは、ベトナム市場向けにアプリやデジタルサービスを提供するIT企業、電子商取引プラットフォームを運営する企業、金融テクノロジー分野の企業だ。ベトナムにローカルの法人・事務所を置いている企業は比較的適応しやすいが、日本本社から直接サービスを提供している企業は、拠点設立を含む対応が求められる。
「生産拠点」から「デジタル統治コスト」を問われる拠点へ
ベトナムの新サイバーセキュリティ法が示す方向性は、単なる規制強化ではない。自国のデジタル空間に流通するデータと情報を国家がコントロールする「デジタル主権」の確立であり、その代償を外資企業に求める構造だ。この動きはベトナム特有ではなく、インドネシア、タイ、インドも同様のデータ保管義務要件を強化しつつある。日本企業がベトナムを選ぶ理由は「コスト競争力」と「政治的安定性」だったが、デジタルビジネスにおいては「コンプライアンスコスト」という第三の変数が加わった。2026年7月1日まで残り3カ月を切った今、ベトナムへの進出企業に問われているのは「規制に対応するか」ではなく、「いつまでに、いくらかけて対応するか」だ。そして、そのコストを折り込んでもなお、ベトナムのデジタル市場に賭ける価値があるか——その判断を、法律は静かに迫っている。
