インド愛知デスク／松田綜合法律事務所：インド法務ニュース

インド法務ニュース～インドの2022年デジタル個人情報保護法案～
2023 年 5 月
第１． はじめに本ニュースレターでは、2022 年 11 月 18 日に法案として提出されて国会にて審議中の 2022 年デジタル個人情報保護法案についてご紹介します。まだ法案の段階であり、このまま法律として成立するかどうかは未だ不透明な状態ですが、今日、個人情報の取り扱いはあらゆるビジネスに関連する内容ですので、この段階で概要をご案内差し上げます。
第２． 従来の法制度
IT 産業の発展で注目されて久しいインドですが、実は、これまで、個人情報保護について包括的に定めた法律はなく、IT 産業に関して定めた法律の中の一部として定められていた程度でした。
まず、2000 年に制定され 2008 年に改訂された 2000 年 IT 法（Information Technology Act, 2000）は IT 分
野全体に対する規制について定めた法律です。その中の 43A 条において、センシティブ個人情報に関するセキュリティが不十分で他社に不正な損害や利益を与えた場合の損害賠償責任が定められ、72A 条において、契約に反して故意に情報を開示した場合に 3 年以内の懲役若しくは 50 万ルピーの罰金又はそれらの併科が定められています。
センシティブ個人情報に限っては、同法に基づく規則である 2011 年 IT（合理的な安全慣行及び手続並びにセンシティブ個人データ又は情報）規則（ Information Technology (Reasonable Security Practices andProcedures and Sensitive Personal Data and Information) Rules, 2011）において、センシティブ個人情報の定義（パスワード、口座情報、診察履歴、生体情報など）、取得時の同意取得義務、第三者開示における事前同意取得の原則、公開の禁止などが定められています。
この他、銀行や保険など個別の業法・業規制によって追加の規制が定められるケースもありますが、いずれにせよ、包括的な法律は存在していません。

第３． 従来の判例
一方で、インドでも個人情報やプライバシー権に関する権利意識は高まっており、近年、裁判上でこれらの権利が争われた裁判において最高裁判決が出ています。
まず、2017 年 8 月 24 日の最高裁判決は、プライバシー権を憲法上の基本的人権として正面から捉えた1

インド愛知デスク／松田綜合法律事務所：インド法務ニュース
ものとして重要です。同判決では、プライバシー権の制限は、①合法的な目的によるもので、②目的と手段との理論的因果関係があり、③他のより制限的な手段がなく、④達成目的との関係で権利制限が相当な範囲に留まること、という基準を満たさなければならないとされています。
もう１つ重要なのは、インドの全国民に対して本人確認・生体認証情報（指紋・虹彩・顔写真）の登録を義務付け、12 桁の固有識別番号を付与する制度である Aadhaar 制度に関する最高裁判決です。同制度に対して、2012 年に元最高裁裁判官が制度の合憲性を問う裁判を提起していましたが、2018 年 9 月 26 日の最高裁判決において、制度そのものは合憲としながらも、政府が国民に Aadhaar の利用を義務化できる範囲は、行政サービスや社会福祉・補助金支給等の財政目的に限定すべきであると判断しました。
（なお、義務ではないとはいえ、Aadhaar システムは API を公開するなど使い勝手がよいことから、本人確認の方法として広く活用されており、これがインドにおける FinTech 等の苗床として機能しています。
）
第４． 法制に向けた動き
以上の判例に代表されるような社会的意識の高まりを受けて、インド政府は、2017 年頃から、個人情報の保護に関する包括法の制定に向けた取り組みを始めました。
まず、2017 年 7 月に、法整備検討のための専門家委員会が組成され、同委員会は、2018 年 7 月に報告書と共に個人情報保護法の草案（Personal Data Protection Bill, 2018）を発表しました。
これを受けて、インド政府は 2019 年 12 月 11 日に 2019 年個人情報保護法案（Personal Data Protection Bill,2019）（以下「2019 年法案」）を正式に下院（Lok Sabha）に提出しました。ところが、この法案は、その後、多くの批判にさらされることとなりました。
こうした批判を受けて、議会の両院からなる委員会（Joint Parliamentary Committee）が発足され、同委員会は 2019 年法案を詳細に検討の上で、2021 年 12 月 16 日に 2019 年法案に対する審議結果の報告（以下「委員会レポート」）を行いました。そこでは、12 の提言と 81 もの修正が提案されました。
2019 年法案がこのままでは成立し得ないと判断したインド政府は、2022 年 8 月 3 日に同法案を白紙撤回し、3 ヶ月後の 2022 年 11 月 18 日、新たな法案として 2022 年デジタル個人情報保護法案（Digital Personal Data
Protection Bill, 2022）（以下「2022 年法案」）を発表しました。同法案はパブリックコメントに付され、現在に至っています。
第５． 2019 年法案の特徴と問題点
2022 年法案の中身をご紹介するに先立ち、比較のために、2019 年法案の特徴と課題について簡単に振り返ります。
2019 年法案は、他の国々の近年の傾向と同様、欧州の GDPR を参考に作られたといわれており、細かい規定が定められていました。条文数も 98 条と長いものでした。
2019 年法案は、個人情報を大きく 3 種類に分類し、通常の個人情報の他に、センシティブ個人情報と、クリティカル個人情報（具体的な定義は政府が通知）という分類を設け、情報の性質に応じて強い規制を2

インド愛知デスク／松田綜合法律事務所：インド法務ニュース
課すことを予定していました。後で述べるように、2022 年法案では、少なくとも法律レベルではこうした分類は設けられていません。
次に、情報のローカライゼーションに関して、通常の個人情報には規制を設けない一方で、センシティ
ブ個人情報については、本人の同意に加えて、当局の承認が得られた場合や当局による十分性認定が認められた国・企業等への移転であることなどが要件として定められ、また、国外移転した場合でもインド国内での情報保管が必要とされていました。クリティカル個人情報についてはインド国内でのみ処理することが求められ、国外移転は禁止されていました。これに対して、2022 年法案はローカライゼーションに関する厳しい要請は定めていません。
また、政府が、匿名化された個人情報や非個人情報の提供を指示できるという規定が定められていましたが、2022 年法案ではこのような規定はありません。
なお、インド国内の情報主体に対して商品・サービスを提供する場合や、インド国内の情報主体のプロファイリングに関わる場合には、情報受託者がインド国外に居ても適用されるとされ、一定の域外適用も予定されていました。こうした域外適用については、2022 年法案でもカバーされています。
2019 年法案の内容に対しては、産業促進を重視する立場からは、ローカライゼーションの義務や政府の権限などについて懸念が出される一方で、個人の人権を尊重する立場からは、むしろ保護が不十分であるとされるなど、両方の立場からの批判を受けていました。そして、こうした批判を踏まえて設置された委員会による委員会レポートでも、多くの提言や修正提案がなされたため、インド政府は、2019 年法案をそのまま維持するのは困難と判断したようです。
第６． 2022 年法案の特徴
１． 条文数
撤回から約 3 ヶ月後に改めて提出された 2022 年法案の最大の特徴は、条文数が 30 条のみと、2019年法案に比べて非常に少なくなった点です。この点をどう見るかについては、本ニュースレターの末尾で検討します。
２． 保護対象（4 条）
保護対象は、インド国内の「デジタル」な個人情報（つまり、オンラインで収集された個人情報と、オフラインで収集された後にデジタル化された個人情報）に限定し、非個人情報は対象外としています。この他、デジタル自動化されていない処理、オフラインの個人情報、個人による私的目的のための処理、100 年以上存在する記録に含まれる個人情報、などは保護の対象外とされています。
なお、インド国外で情報処理する場合でも、インド国内の情報主体（data principal）のプロファイリングやこれに対する商品・サービスの提供に関する場合は適用ありとしており、一定の域外適用が定められています。
他方、インド国内の者が契約に基づいて処理するインド国内の情報主体の個人情報も適用が除外されています（18 条）。
３． 処理の範囲（5 条）
3インド愛知デスク／松田綜合法律事務所：インド法務ニュース
情報主体が同意し又は同意したとみなされる適法な目的の範囲でのみ情報の処理が認められます。
４． 同意前の通知（6 条）
情報受託者（data fiduciary）は、同意取得の前に、取得する個人情報と取得目的に関する事項を通知する義務があります。なお、法施行前に同意を得ていた場合には、施行後速やかに通知が必要となります。
さらに、この通知については、英語又は憲法規定の 22 言語を選択可能にすべきとされています。
具体的にどこまでの言語に対応する必要があるかは、事業者の負担に影響しますので、今後の議論が注目されます。
なお、具体的な通知方法は細則で定められるとされています。おそらく、個別通知に加えてプライバシーポリシーの形も許容されることになるのではないかと予想されます。
５． みなし同意（8 条）
自発的に個人情報を提供した場合でかつ提供が合理的に予測される場合、一定の正当目的（行政サービスの提供、判決や法に基づく命令に従う場合の他、緊急医療行為、伝染病発生時の医療提供、災害時の安全確保、雇用関係）、公共の利益（不正の防止、組織再編、情報セキュリティ、クレジットスコアリング、公開情報のサーチエンジン・処理、債権回収）の場合には、同意ありとみなされます。
なお、雇用関係の具体的な内容として、企業スパイの防止、営業秘密、知的財産、機密情報、採用、雇用終了、従業員へのサービス・利益の提供、出席確認、パフォーマンス評価等の目的の場合などが挙げられています。BtoB のみを行っている事業者であっても、労働者の個人情報は必ず扱うことになるでしょうから、そうした事業者にとって、この「みなし同意」の規定は重要な意味を持ちそうです。
さらに、中央政府は、この他にもみなし同意の場面を追加することができるとされています。
６． 情報受託者（data fiduciary）の義務（9 条）
情報受託者の義務内容として、法令遵守の他に、以下の義務が定められています。
⚫

情報の正確性・完全性を担保するための合理的努力⚫

適切な技術的・組織的措置の実施⚫

合理的な安全措置による個人情報の保護⚫

漏洩等の違反時の当局・情報主体への通知⚫

個人情報が不要になった時の利用停止・削除⚫

情報管理担当者の設置・周知⚫

苦情処理手続の構築⚫

他の情報受託者への提供や情報処理業者の起用の際の合意取得

７． 未成年の保護（10 条）
未成年については、保護者の同意が必要とされています。また、未成年に危害を及ぼす処理、トラッキング・行動モニタリング・ターゲティング広告は禁止され、これらの例外は別途定めることとされています。
８． 大量情報受託者（significant data fiduciary）に対する追加の義務（11 条）
大量情報受託者は、さらに以下の義務が追加されます。
4

インド愛知デスク／松田綜合法律事務所：インド法務ニュース⚫

インド国内に情報保護責任者（Data Protection Officer）の設置⚫

独立情報監査人の選任⚫

情報保護影響評価等の措置

ただし、大量情報受託者の定義や具体的な措置については、処理情報の規模や安全保障などの観点を踏まえて別途定めることとされています。
９． 情報主体の権利（12 条～15 条）
情報主体の権利として、以下が定められています。
⚫

個人情報処理の有無・処理の概要・共有先の情報開示を求める権利⚫

訂正・削除を求める権利⚫

苦情を申し立てる権利⚫

死亡・不能の場合の権利行使者を指定する権利

１０． 情報主体の義務（16 条）
情報主体の義務として、虚偽や些末な苦情や不服の申し立て、虚偽情報の提供・重要情報の隠匿・成りすまし、などを禁止する規定が設けられています。
１１． 国外移転とローカライゼーション（17 条）
ローカライゼーションの義務を 2019 年法案よりも緩和し、友好国への移転や同国での処理を許容するという規定となっています。
ただし、細則で国外移転の手続を定める、あるいは、改めて細則レベルで個人情報の分類毎に異なる規制をかける可能性もありますので、今後の動向を注視する必要があります。
１２． 適用除外（18 条）
安全保障等の観点に基づく政府機関の適用除外が定められています。また、通達を通じて、個人情報の処理量や性質に基づいて一定の情報受託者に対する義務を免除することが予定されています。
１３． その他
以上の他に、以下のような特徴が見られます。
⚫

情報保護委員会（Data Protection Board）の設置（19 条）が予定されています。

⚫

重大な法律違反の場合、行為の性質によって 1 万ルピーから 25 億ルピーまでの間で罰金が定められており、一件あたりの最高額は 50 億ルピーまでとされています。この金額は、従来に比べて非常に高額となっています。

⚫

2019 年法案で定められていた政府機関による一定の情報の検査権限は定められませんでした。

⚫

2019 年法案のような個人情報の分類（センシティブ・クリティカル等）は法律のレベルでは定められていません。但し、細則のレベルで改めて分類がなされる可能性はあります。

第７． 今後の動向について
2022 年法案の最大の特徴は条文数の少なさですが、現地では、この点に対する評価はわかれているようです。まず、条文数が少なくなった背景としては、この種の法律には産業促進と個人の人権保護のバランスが重要であるところ、細かく詰めようとすればするほど利害調整に時間がかかるという問題点に対応し5インド愛知デスク／松田綜合法律事務所：インド法務ニュースたものと考えられます。
その上で、１つの見方は、法律レベルの内容を合意形成が可能な内容に絞り、残りを細則レベルに落とすことによって、立法プロセスを促進するという意図があるというものです。この見方が正しく、早期成立が実現できたとしても、より具体的な内容は細則に委ねられているため、細則が定まらないために法律の施行が遅れる、という事態も懸念されます。
もう１つの見方は、総選挙が 2024 年に予定され、かつ、それに先立つ複数の重要な州議会選挙が予定されている点に注目します。このように選挙が近づくと、複雑な利害調整は通常よりも困難さが増します。
そこで、既に政府は個人情報保護に関する法案を通すのは難しいと判断しているものの、少しでも進展しているように外部に見せるために短い法案を提出し直しただけで、必ずしも早期成立は目指していないと見る見方です。
どちらの見方が正しいかは今後はっきりしますが、いずれにせよ、全ての産業に影響する重要な法案であり、まだ詳細が定まっていない部分も多いため、今後も引き続き動向を注視する必要があります。
最後に、最新情報として、WhatsApp が Facebook に買収された際のプライバシーポリシーの変更（個人情報を親会社 Facebook と共有できるという内容に変更）の有効性が争われている訴訟に関して、4 月 11
日に、インド政府関係者が最高裁に対して、2023 年 7 月から始まるモンスーン国会でも 2022 年デジタル個人情報保護法案が審議されると伝えたと報じられました。なお、この裁判の中では忘れられる権利についても議論されているところ、法案はこの点の取扱いが不十分であると指摘されています。7 月以降の動向が注目されます。

◆◇ 発行情報◇◆■発行元
松田綜合法律事務所（2023 年度インド愛知デスク運営業務受託者）
担当：弁護士 久保達弘
〒100-0004 東京都千代田区大手町二丁目1番1 号 大手町野村ビル10階
TEL: 03-3272-0101（代表） FAX: 03-3272-0102
事務所HP：www.jmatsuda-law.com
過去のニュース記事はこちら：https://jmatsuda-law.com/india-aichi-desk/6