インド愛知デスク／松田綜合法律事務所：インド法務ニュース

インド法務ニュース～インド 2023 年デジタル個人データ保護法の成立～
2023 年 11 月
第１． はじめに本ニュースでは、2023 年 8 月 11 日にインドの大統領承認を得て成立した 2023 年デジタル個人データ保護法（Digital Personal Data Protection Act, 2023、以下「DPDPA2023」）についてご紹介します。
成立した DPDPA2023 は 2022 年 11 月に法案（以下「2022 年法案」）として国会に提出されていましたが、同法案とそれまでの経緯については、2023 年 5 月に発表した「インドの 2022 年デジタル個人情報保護法案」と題するニュースをご参照ください。
（なお、原文により近づけるために、法律のタイトルを「個人情報」から「個人データ」に変更しました。）
第２． DPDPA2023 の特徴・留意点
まず、DPDPA2023 の特徴及び留意点を 2 点ご紹介します。
１． これから定められる規則が重要であること
DPDPA2023 は、条文数が 44 条と比較的短く、詳細は規則で定めることになっています。インドの IT産業の発展のためには個人データの効果的な活用という観点も重要である一方で、個人の権利保護も同時に重要であるため、複雑な利害調整が必要となります。法律は成立したものの、より詳細な内容は規則のレベルで定められるため、規則の制定に時間がかかる可能性もあります。そうした影響もあり、現時点では DPDPA2023 の具体的な施行日は未定となっています。なお、規則が制定された段階で、追加のレポートを作成する予定です。
２． 個人データの細かい分類が法律レベルでは定められていないこと
DPDPA2023 では個人データの性質による分類が特に定められていません。これは、「センシティブデータ」という分類を設けている欧州の GDPR（General Data Protection Regulation：一般データ保護規則）や、「要配慮個人情報」という分類を設けている日本の個人情報保護法とも異なる特徴といえます。
なお、2022 年の法案よりも以前の 2019 年の法案の段階では、通常の個人データの他に、センシティ
ブ個人データと、クリティカル個人データという分類が設けられていました。また、2000 年に制定されてその後 2008 年に改訂された 2000 年 IT 法（Information Technology Act, 2000）でもセンシティブ個人データという分類が定められていましたが、この規則そのものが DPDPA2023 の施行によって廃止されます（44 条 2 項）。
このように少なくとも法律のレベルでは個人データの分類がなされていませんが、細則のレベルで分類されて異なる取り扱いが定められる可能性があるため、今後の動向が注目されます。
1

インド愛知デスク／松田綜合法律事務所：インド法務ニュース

第３． DPDPA2023 の内容
以下では、DPDPA2023 の条文を引用しながら、具体的な内容をご紹介します。
１． 保護対象（3 条）
まず、保護対象は、インド国内における、以下①～③のデータを処理する場合に適用されます。
① 個人データがデジタル形式で取得された場合② 個人データが非デジタル形式で取得され、その後デジタル化された場合③ インド国外のデジタル個人データの処理が、インド国内のデータ主体（Data Principal）に対する商品・サービスの提供活動に関連して行われる場合
他方で、個人的な目的で取得されたデータや、既に公開されている個人データ（本人が SNS 上で自発的に個人データを公開している場合や各種法令に基づいて公開されている場合など）は、適用範囲外となります。
２． 許容される処理の範囲（4 条）
個人データの処理は、合法的な目的（lawful purpose）の下、かつ、①データ主体である本人の同意の下、又は、②正当な使用方法（legitimate use）による場合、にのみ認められます。なお、ここでいう「合法的な目的」とは、法律によって明示的に禁止されていない目的のことを意味します。
また、ここでいう処理（processing）は、収集・記録・利用・保管・共有・開示などを含む、広い意味で定義されています。
３． 同意取得（5 条・6 条）
6 条 1 項で、「データ主体から取得する同意は、自由で、特定的で、十分な情報を与えられ、無条件で、明確な能動的な行為による曖昧性のないものでなければならず、特定の目的のための個人データの処理についての合意で、かつ、かかる特定の目的のために必要な個人データに関するものに限られる」と定められています。つまり、個人データ毎に目的を特定して同意を得る必要があります。
また、6 条 3 項で、データ主体に同意を求める際には、明確で分かりやすい言葉で、英語又は憲法の指定言語（22 言語）のオプションを示して行わなければならないとされています。
さらに、5 条 1 項で、同意を求める際には、別途定められる方法で、個人データと目的、その他の事項を通知しなければならないとされており、2 項では、DPDPA2023 の施行前に同意取得した場合も、合理的に実現可能な限り早期に、改めて同じ方法で同意取得しなければならないとされています。
このため、法の施行に合わせて、取得している個人データを把握し、利用目的を特定した上で同意を取得し直すという対応が必要になります。
４． 正当な使用方法に該当する場合（7 条）
上で述べた「正当な使用方法」の内容は、7 条に具体的に定められています。なお、2022 年法案の段
階では、類似の状況について「みなし同意」（deemed consent）という用語が用いられていましたが、用語が変更になり、併せて内容も若干変更されました。民間のデータ受託者が通常依拠するのは、以下の2

インド愛知デスク／松田綜合法律事務所：インド法務ニュース
2 点になると考えられます。
① データ主体が自発的に個人データをデータ受託者に提供した特定の目的のために使用する場合で、かつ、データ受託者によるかかる使用に対してデータ主体が不同意の意向を示していない場合（なお、8 条 8 項で、別途定める一定期間データ主体が目的の履行を求めず権利行使もしなかった場合には、有効な目的ではなくなると定められています。）② 雇用のため、企業スパイの防止や、営業秘密・知的財産・機密情報の保持など雇用主を損失や責任から守るため、又は、従業員であるデータ主体から求められたサービスや手当を提供するために使用する場合
５． データ受託者（Data Fiduciary）の義務（8 条）
データ受託者は、自らが行う、あるいはデータ処理者（Data Processor）に委託して行う個人データの処理において、法令を遵守すべき一般的な義務の他に、以下の具体的な義務が定められています。なお、データ処理者を起用する場合は、データ処理者に義務を履行させることもデータ受託者の義務に含まれています。
⚫

データ主体に影響する決定を行う場合や、他のデータ受託者に開示される場合に、データの完全性・正確性・一貫性を確保すること⚫

データ処理者を起用する場合には、有効な契約に基づいて行うこと⚫

法令順守のための適切な技術的・組織的措置を実施すること⚫

合理的な安全措置を行って個人データを保護すること⚫

漏洩等の違反時に、当局及びデータ主体に通知すること⚫

法律上継続保持が義務付けられている場合を除いて、データ主体が同意を撤回した場合又は個人データの利用目的が終了した場合に利用を停止して個人データを削除すること⚫

データ主体からの問合せに対応する担当者（データ管理担当者を設置する場合はその者）の情報を開示すること⚫

苦情処理手続を構築すること

６． 大量データ受託者（Significant Data Fiduciary）に対する追加の義務（10 条）
大量データ受託者は、上記に加えて、インド国内にデータ保護責任者（Data Protection Officer）を設置し、独立データ監査人を選任し、データ保護影響評価等の措置を講ずるなど、義務が追加されています。
ただし、大量データ受託者の定義や具体的な措置については、処理データの規模や安全保障などの観点を踏まえて別途定めることとされています。
７． 未成年の保護（9 条）
未成年や後見人を持つ障害者については、保護者や後見人の同意が必要とされています。また、未成
年に危害を及ぼす処理、トラッキング・行動モニタリング・ターゲティング広告は禁止され、これらの例外は別途定めることとされています。
８． データ主体の権利（11 条～14 条）
データ主体の権利として、以下が定められています。
⚫

個人データ処理の有無・処理の概要・共有先の情報開示を求める権利3

インド愛知デスク／松田綜合法律事務所：インド法務ニュース⚫

訂正・削除を求める権利⚫

苦情を申し立てる権利⚫

死亡・不能の場合の権利行使者を指定する権利

９． データ主体の義務（15 条）
他方、データ主体の義務として、虚偽や些末な苦情や不服の申し立て、虚偽情報の提供・重要情報の隠匿・なりすましなどを禁止する規定が設けられています。
１０． 国外移転（16 条）
インド政府は、データ受託者による処理のための個人データのインド国外の国又は地域への移転を、通達によって制限することができると定められています。
このため、今後出される通達によっては、個人データの国外移転に制限が課される可能性があるため、今後の動向に注意が必要です。
１１． 適用除外（17 条）
今後の通達を通じて、安全保障等の観点から、一定の政府機関に対する法の適用を除外することができること、及び、個人データの処理量や性質に基づいて、一定のデータ受託者に対する義務を免除することができることが定められています。後者については「スタートアップを含む」とされているため、スタートアップや小規模事業者について一定の免除を行うことが予定されているのかも知れません。
１２． その他
以上の他、5 章で個人データ保護委員会（Data Protection Board）の設置が予定されています。
また、重大な法律違反の場合の罰金が別表で定められています。違反の内容によって異なる上限が定められており、一番高額なものは上限 25 億ルピーと、従来に比べて非常に高額な罰金が設定されています。
第４． 今後の動向と今できる対応について
上記のとおり、まだ詳細は規則の制定を待つ必要があります。インドは 2024 年に総選挙を控えていることも踏まえると、規則制定がどの程度の優先度をもって進められるかは不明で、施行のタイミングを占うことは困難ですが、影響の大きい法律ですので、引き続き、各方面からの情報提供にアンテナを張ることが重要です。私どもも、規則が制定され次第、なるべく早くに情報提供を行う予定です。
一方で、今からでもできる準備作業として、インドに関する個人データについて、どのような種類のものが、どのような方法で取得され、グループ内でどのように共有されているか、といった観点からデータマッピングを行い、取得時の同意取得のフローについて現状確認を今のうちから行っておくことは、大変有益であると考えられます。

4インド愛知デスク／松田綜合法律事務所：インド法務ニュース◆◇ 発行情報◇◆■発行元
松田綜合法律事務所（2023 年度インド愛知デスク運営業務受託者）
担当：弁護士 久保達弘
〒100-0004 東京都千代田区大手町二丁目1番1 号 大手町野村ビル10階
TEL: 03-3272-0101（代表） FAX: 03-3272-0102
事務所HP：www.jmatsuda-law.com
過去のニュース記事はこちら：https://jmatsuda-law.com/india-aichi-desk/5