アジアビジネス法務 Q&A
シンガポール編・第 3 回
2013 年 10 月

シンガポール個人情報保護法の制定

シンガポール個人情報保護法の制定
Q1

シンガポールで個人情報保護法が制定されたそうですが、これまで法律により個人情報は保護されていなかったのでしょうか。また個人情報保護法の施行時期についても教えてください。
シンガポールでは従来、銀行法、通信法、コンピューター濫用防止法などの個別の法律において、その分野での個人情報の保護が定められていましたが、個人情報保護に関する一般的な法律は存在していませんでした。
この間、東南アジア各国でも個人情報保護法の制定が続いており、シンガポールでも個人情報保護に関する関心の高まりを受けて、個人情報保護法(Personal Data Protection Act、”PDPA”)が制定・施行されることとなりました。2012 年 10 月に国会にて可決され、監督官庁(Personal Data Protection Commission、”PDPC”)の設置などに関する一部の規定は既に 2013 年 1 月 2 日から施行されています。そして、Q2 でご説明する
Do-Not-Call Registry 規定に関しては、1 年の準備期間をおいて 2014 年 1 月 2 日から、個人情報の取り扱いに関する規定については、1 年半の期間をおいて 2014 年 7 月 2 日からそれぞれ施行されることとなります。
Q2

Do-Not-Call Registry とはどのような制度なのですか。

Do-Not-Call Registry 規制とは、登録機関 (Do-Not-Call Register) に登録されたシンガポールの電話番号に対して マーケティング目的での電話、SMS (ショートメール) やファックスを送ってはならないという規制です。マーケティング目的には、商品、サービス、ビジネスや投資の勧誘や宣伝などの目的も含まれます。日本では耳慣れない規制ですが、イギリス、アメリカ、カナダなどでも同様の規制が行われています。この規制については、例えば、シンガポール所在の企業が、海外の業者に業務委託を行って、海外の業者を通じてシンガポールの電話番号に SMS などを送る場合にも適用があるものとされています。
Q3

どのような範囲の組織、企業などが PDPA により個人情報の取り扱いに関する規制の適用を受けることになるのでしょうか。
PDPA による個人情報取り扱いに関する規制を受ける対象は、広くなっており、シンガポールにおいて個人情報を取得、利用又は開示するのであれば、その規模などを問わずあらゆる団体に適用があることとされています。すなわち、個人、企業、団体などの区別を問わず、またシンガポールで設立されたかどうか、シンガポールに事務所を有しているかなどを問わずに適用を受ける1こととされており、日本所在の日本企業や個人にも適用が及ぶこととなります。なお、日本を含めた海外にも適用があるとの点については、PDPA 違反があったとして実際に罰則が適用され執行されるかといえば、現実的な可能性は低いと思われますので、日本企業にとっての現実的な問題としては Q9 で取り上げる第三国移転の問題の方が実務上の問題は大きいと思われます。

1

個人の資格で活動する個人や、企業のために活動する従業員など規制の適用を除外される者も存在します。

本書は法的助言を目的とするものではなく、法律意見を構成するものではありません。
©2013 Atsumi & Sakai. All Rights Reserved.

アジアビジネス法務 Q&A
シンガポール編・第 3 回
2013 年 10 月

Q4

シンガポール個人情報保護法の制定

PDPA の対象となる情報はどのような情報になるのでしょうか。

PDPA の対象となる個人情報は、真実か否かを問わず、当該情報それ自体から、または当該情報および企業等がアクセス可能か可能であると考えられるその他の情報との組み合わせから、個人が特定できる情報と定義されており、電子的なデータか否か、機微 (センシティブ) 情報か否かなどを問わずに該当するものとされており、広範な情報が対象となることとなります。なお、機微(センシティブ)情報の取り扱いについては Q6 もご参照ください。
Q5

個人情報の取得に際しては個人の同意が必要となるようですが、同意の取得についての規制内容はどのようなものになるのでしょうか。
PDPA においては、個人情報の取得、利用、開示に際しては、事前に当該個人から同意を得ることが必要とされています。この同意は有効に取得されなければなりませんが、明示の同意のほかに黙示の同意(みなし同意)でも足りることとされている点が特徴的です。みなし同意があるとされるための要件は、個人が自分の個人情報を特定の目的のために企業等に自発的に提供し、かかる自発的な提供がなされることが合理的であること、とされています。
同意の取得にあたっては、企業等は、当該個人に個人情報の取得、利用、開示の目的を事前に伝えなければならないものとされています。また、個人情報を、当初取得した同意と異なる目的のために利用する場合には、改めて同意を取得することが必要となります。
なお、他の法律により許容されている場合や個人利用目的の場合などについては、例外的に、個人の同意なく個人情報を取得、利用、開示できることとされています。
Q6

個人情報の取得、管理などに際して、思想・信条や健康状態などに関するいわゆる機微 (センシティブ)情報について特別の扱いなどをする必要はあるのでしょうか。
PDPA において、特に機微 (センシティブ) 情報について他の情報と区別した取り扱いが必要となる旨は明示されていません。もっとも、PDPA は、個人情報の管理に際して合理的なセキュリティーの確保をすることを企業等に対して求めていますが、監督官庁である PDPC では、適切なセキュリティーの水準を決定する上で、対象となる個人情報の性質を考慮に入れる必要があるとしており、機微(センシティブ)情報に該当するか否かも考慮要素になるものと考えているようです。そのため、機微(センシティブ)情報に該当する個人情報に関しては、情報の管理に際して、一般の情報よりも厳格なセキュリティー手段を講じるなどの対応が必要になるものと思われます。
Q7

個人情報を管理する際、その正確性についても担保する必要があるのでしょうか。

PDPA では、個人情報を当該個人に影響を与える決定を行うために利用されうる場合や、他の企業等への開示が行われうる場合、取得する個人情報については正確かつ完全であることを担保するために合理的な努力をし本書は法的助言を目的とするものではなく、法律意見を構成するものではありません。
©2013 Atsumi & Sakai. All Rights Reserved.

アジアビジネス法務 Q&A
シンガポール編・第 3 回
2013 年 10 月

シンガポール個人情報保護法の制定なければならないものとされています。さらに、PDPC が 2013 年 9 月に公表したガイドラインでは、取得した個人情報を正確に記録すること、取得した個人情報が関連する部分をすべて含むこと(完全であること)、個人情報の正確性を担保するために適切かつ合理的な対策を講じること、個人情報を最新のものに更新するかを考慮することについても企業等は合理的な努力を行わなければならないものとされています。
Q8

個人情報の管理に関して、他に PDPA が要求する事項はありますか。

各企業等は、個人情報保護責任者(data protection officer)を選任しなければなりません。この個人情報保護責任者は、最低 1 名選任する必要があり、他の業務との兼任でもよいものとされています。個人情報保護責任者は当該企業等が PDPA を遵守するようにする義務があります。
また、Q6 で触れたように、各企業等は、取得した個人情報の管理に関して合理的なセキュリティーの手段を確保する必要があります。さらに、管理している個人情報の継続的な保持がその情報を取得した目的のためにもはや役に立たないか、法令順守やビジネスのためにもはや必要でないと判断することが合理的となった場合には、当該個人情報を含む書類などを破棄する必要があります。
Q9

第三国移転の規制とはどのような規制ですか。日本企業として何か対応が必要となるのでしょうか。

PDPA では、企業等が個人情報をシンガポール国外に移転させることを原則として禁止しており、例外的に、PDPA と同程度の個人情報の保護を企業等が与えることを確保するための PDPA の要件を満たす場合にのみ、国外への移転ができるものとされています。具体的に日本企業が問題となる場面としては、例えばシンガポール子会社の従業員の人事情報について日本本社で一元的に管理を行う場合が考えられます。現時点では、例外に該当する具体的な要件は明確にされていませんが、EU などでの実例を踏まえて、EU データ保護指令(EU DataProtection Directive)において採用されているモデル契約(Model Contract Terms)方式 2 や BCR(BindingCorporate Rules for international transfers)方式 3を例外要件とすることが議論されています。今後の議論の進展次第ですが、日本とシンガポールとの間で個人情報の移転を行う企業は、EU 域内の企業との関係で蓄積されてきた実務を参考として例外要件を満たすように対応する必要があります。
Q10

PDPA では、個人に情報コントロールに関する権利などを認めているのでしょうか。

個人の情報コントロール権については明確な定めはありませんが、PDPA は一定の権利を個人に認めています。
まず、個人情報の取得、利用、開示に関して、何らかの目的で同意(みなし同意を含みます)を与えた個人には、

2

EU が承認した、EU 域外の国への個人情報の移転に関するモデル契約を、個人情報を管理する EU 域内の企業と個人情報の移転を受ける EU 域外の企業との間で個別的に締結する方法。
3

同一の企業グループ内で EU 域外のグループ企業に個人情報を移転させることについて、企業グループ内でルールを定め、これを拘束力のある企業ルールとして EU のデータ保護機関の承認を得る方法。

本書は法的助言を目的とするものではなく、法律意見を構成するものではありません。
©2013 Atsumi & Sakai. All Rights Reserved.

アジアビジネス法務 Q&Aシンガポール編・第 3 回
2013 年 10 月シンガポール個人情報保護法の制定かかる同意を取り消す権利が認められています。また、企業等が保持する個人情報について誤りや脱落がある場合には、かかる誤りや脱落を訂正するように企業等に請求することができることとされています。さらに、自らの個人情報を保有する団体が PDPA の個人情報取り扱いルールに違反したことによって直接的な損害を被った個人は、PDPC に不服申立てを行うことにより救済を求めることができるほか、PDPC の決定では救済を受けられないことが確定した場合には、当該企業等を被告として民事裁判上の請求を行うことができるものとされています。
Q11

PDPA 施行前の現時点でも既にシンガポール現地法人において個人情報を取得の上管理していますが、PDPA 施行前に取得している個人情報については、施行後に何か特別な手続が必要となるのでしょうか。
PDPA の個人情報取り扱いルールの施行前にシンガポールにて取得された個人情報については、特に当該個人に通知するなどの義務は課されていません。もっとも、当該個人情報を取得した当初の目的と異なる目的で利用、開示する場合には、改めて該当する個人から同意を取得する必要が生じるものと考えられます。
Q12

企業等が PDPA の規制に違反した場合には罰則などがあるのでしょうか。

PDPA に違反した企業等に対しては、違反内容に応じた罰金が課されるほか、PDPA 違反の態様での個人情報の取得、利用、開示の禁止などの行政処分が下されることになります。

＜連絡先＞
渥美坂井法律事務所・外国法共同事業
東京都千代田区内幸町2-2-2
富国生命ビル（総合受付12階）
Tel: 03-5501-2111 Fax: 03-5501-2211
E-Mail: info@aplaw.jp
http://www.aplaw.jp

本書は法的助言を目的とするものではなく、法律意見を構成するものではありません。
©2013 Atsumi & Sakai. All Rights Reserved.