外国における個人情報の保護に関する制度等の調査結果報告書

2021 年 11 月
西村あさひ法律事務所

目

次

第1章

総論 ······································································································1

I.

調査体制 ································································································1

Ⅱ. 調査期間 ································································································1
Ⅲ. 基準日 ··································································································· 1
Ⅳ. 調査対象国・地域一覧 ··············································································1
Ⅴ. 主要な調査方針 ·······················································································2
1.

個人情報の保護に関する法制度の有無 ·················································2

2.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ··················································································2

3.

我が国の個人情報保護制度との「本質的な差異」 ··································2

4.

その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ·······35.

データ保護機関の有無及び連絡先 ·······················································3

第2章

アラブ首長国連邦（連邦）········································································4

I.

個人情報の保護に関する法制度の有無·························································4II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ································································································4III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無···········································································4
IV. 域内での保有・保管等の義務及びガバメントアクセス ··································· 4
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ·············42.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ························································································53.

ガバメントアクセス ·········································································5

V.

データ保護機関の有無及び連絡先·······························································8

第3章

アラブ首長国連邦（Abu Dhabi Global Market） ··············································9

I.

個人情報の保護に関する法制度··································································9
1.

個人情報の保護に関する法制度の有無 ·················································92.

DPR2021 に関する基本的事項 ·····························································9II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 10-i-III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 10
1.

収集制限の原則（Collection Limitation Principle） ·································· 10

2.

データ内容の原則（Data Quality Principle） ········································· 11

3.

目的明確化の原則（Purpose Specification Principle） ······························ 124.

利用制限の原則（Use Limitation Principle）·········································· 13

5.

安全保護の原則（Security Safeguards Principle） ··································· 13

6.

公開の原則（Openness Principle） ······················································ 14

7.

個人参加の原則（Individual Participation Principle） ······························· 15

8.

責任の原則（Accountability Principle） ················································ 16

IV. 域内での保有・保管等の義務及びガバメントアクセス ································· 16
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 16

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 16

3.

ガバメントアクセス ······································································· 17

V.

データ保護機関の有無及び連絡先····························································· 17

第4章

アラブ首長国連邦（ドバイヘルスケアシティ：Dubai Healthcare City） ············ 18

I.

個人情報の保護に関する法制度································································ 18
1.

個人情報の保護に関する法制度の有無 ··············································· 18

2.

HDPR に関する基本的事項······························································· 18

3.

留意点 ························································································· 19

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 19
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 19
1.

収集制限の原則（Collection Limitation Principle） ·································· 19

2.

データ内容の原則（Data Quality Principle） ········································· 20

3.

目的明確化の原則（Purpose Specification Principle） ······························ 20

4.

利用制限の原則（Use Limitation Principle）·········································· 21

5.

安全保護の原則（Security Safeguards Principle） ··································· 22

6.

公開の原則（Openness Principle） ······················································ 22

7.

個人参加の原則（Individual Participation Principle） ······························· 23

8.

責任の原則（Accountability Principle） ················································ 24- ii -

IV. 域内での保有・保管等の義務及びガバメントアクセス ································· 25
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 25

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 25

3.

ガバメントアクセス ······································································· 25

V.

データ保護機関の有無及び連絡先····························································· 25

第5章

アラブ首長国連邦（Dubai International Financial Centre; “DIFC”） ···················· 27

I.

個人情報の保護に関する法制度································································ 27
1.

個人情報の保護に関する法制度の有無 ··············································· 27

2.

DIFC データ保護法に関する基本的事項·············································· 27

3.

留意点 ························································································· 28

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 28
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 28
1.

収集制限の原則（Collection Limitation Principle） ·································· 28

2.

データ内容の原則（Data Quality Principle） ········································· 30

3.

目的明確化の原則（Purpose Specification Principle） ······························ 30

4.

利用制限の原則（Use Limitation Principle）·········································· 31

5.

安全保護の原則（Security Safeguards Principle） ··································· 32

6.

公開の原則（Openness Principle） ······················································ 32

7.

個人参加の原則（Individual Participation Principle） ······························· 33

8.

責任の原則（Accountability Principle） ················································ 34

IV. 域内での保有・保管等の義務及びガバメントアクセス ································· 36
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 36

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 36

3.

ガバメントアクセス ······································································· 36

V.

データ保護機関の有無及び連絡先····························································· 36

第6章

インド ································································································· 38

I.

個人情報の保護に関する法制度································································ 38
1.

個人情報の保護に関する法制度の有無 ··············································· 38- iii -

2.

1.記載の法令に関する基本的事項 ······················································ 38

3.

留意点 ························································································· 39

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 40
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 40
1.

収集制限の原則(Collection Limitation Principle) ······································ 40

2.

データ内容の原則(Data Quality Principle) ············································· 41

3.

目的明確化の原則(Purpose Specification Principle) ·································· 41

4.

利用制限の原則(Use Limitation Principle)·············································· 42

5.

安全保護の原則(Security Safeguards Principle)········································ 43

6.

公開の原則(Openness Principle) ·························································· 44

7.

個人参加の原則(Individual Participation Principle) ··································· 45

8.

責任の原則(Accountability Principle) ···················································· 45

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ············ 46
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 46

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 47

3.

ガバメントアクセス ······································································· 47

V.

データ保護機関の有無及び連絡先····························································· 51

第7章

インドネシア（インドネシア共和国）······················································· 52

I.

個人情報の保護に関する法制度································································ 52
1.

個人情報の保護に関する法制度の有無 ··············································· 52

2.

1.記載の法令に関する基本的事項 ······················································ 52

3.

留意点 ························································································· 54

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 54
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 54
1.

収集制限の原則（Collection Limitation Principle） ·································· 54

2.

データ内容の原則（Data Quality Principle） ········································· 55

3.

目的明確化の原則（Purpose Specification Principle） ······························ 56

4.

利用制限の原則（Use Limitation Principle）·········································· 56- iv -

5.

安全保護の原則（Security Safeguards Principle） ··································· 56

6.

公開の原則（Openness Principle） ······················································ 57

7.

個人参加の原則（Individual Participation Principle） ······························· 58

8.

責任の原則（Accountability Principle） ················································ 59

IV. 域内での保有・保管義務及びガバメントアクセス ······································· 59
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 59

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 59

3.

ガバメントアクセス ······································································· 59

V.

データ保護機関の有無及び連絡先····························································· 63

第8章

ウクライナ ··························································································· 64

I.

個人情報の保護に関する法制度································································ 64
1.

個人情報の保護に関する法制度の有無 ··············································· 64

2.

1.記載の法令に関する基本的事項 ······················································ 64

3.

留意点 ························································································· 64

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 65
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 65
1.

収集制限の原則（Collection Limitation Principle） ·································· 65

2.

データ内容の原則（Data Quality Principle） ········································· 66

3.

目的明確化の原則（Purpose Specification Principle） ······························ 66

4.

利用制限の原則（Use Limitation Principle）·········································· 67

5.

安全保護の原則（Security Safeguards Principle） ··································· 68

6.

公開の原則（Openness Principle） ······················································ 68

7.

個人参加の原則（Individual Participation Principle） ······························· 69

8.

責任の原則（Accountability Principle） ················································ 69

IV. 域内での保有・保管等の義務及びガバメントアクセス ································· 70
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 70

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 70

3.
V.

ガバメントアクセス ······································································· 71

データ保護機関の有無及び連絡先····························································· 74

-v-

第9章

オーストラリア（オーストラリア連邦） ··················································· 76

I.

個人情報の保護に関する法制度································································ 76
1.

個人情報の保護に関する法制度の有無 ··············································· 76

2.

1.記載の法令に関する基本的事項 ······················································ 76

3.

留意点 ························································································· 77

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 77
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 77
1.

収集制限の原則（Collection Limitation Principle） ·································· 77

2.

データ内容の原則（Data Quality Principle） ········································· 78

3.

目的明確化の原則（Purpose Specification Principle） ······························ 79

4.

利用制限の原則（Use Limitation Principle）·········································· 80

5.

安全保護の原則（Security Safeguards Principle） ··································· 80

6.

公開の原則（Openness Principle） ······················································ 81

7.

個人参加の原則（Individual Participation Principle） ······························· 81

8.

責任の原則（Accountability Principle） ················································ 83

IV. 域内での保有・保管等の義務及びガバメントアクセス ································· 83
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 83

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 83

3.
V.

ガバメントアクセス ······································································· 84

データ保護機関の有無及び連絡先····························································· 85

第 10 章 カナダ ································································································· 86
I.

個人情報の保護に関する法制度································································ 86
1.

個人情報の保護に関する法制度の有無 ··············································· 86

2.

1.記載の法令に関する基本的事項 ······················································ 86

3.

留意点 ························································································· 87

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ······························································································ 87
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································· 87- vi -

1.

収集制限の原則（Collection Limitation Principle） ·································· 87

2.

データ内容の原則（Data Quality Principle） ········································· 89

3.

目的明確化の原則（Purpose Specification Principle） ······························ 89

4.

利用制限の原則（Use Limitation Principle）·········································· 90

5.

安全保護の原則（Security Safeguards Principle） ··································· 90

6.

公開の原則（Openness Principle） ······················································ 91

7.

個人参加の原則（Individual Participation Principle） ······························· 92

8.

責任の原則（Accountability Principle） ················································ 92

IV. 域内での保有・保管義務及びガバメントアクセス ······································· 93
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········· 93

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ······················································································ 93

3.
V.

ガバメントアクセス ······································································· 94

データ保護機関の有無及び連絡先····························································· 98

第 11 章 韓国（大韓民国） ·················································································· 99
I.

個人情報の保護に関する法制度································································ 99
1.

個人情報の保護に関する法制度の有無 ··············································· 99

2.

個人情報保護法に関する基本的事項 ·················································· 99

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································100
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································100
1.

収集制限の原則（Collection Limitation Principle） ·································100

2.

データ内容の原則（Data Quality Principle） ········································101

3.

目的明確化の原則（Purpose Specification Principle） ·····························102

4.

利用制限の原則（Use Limitation Principle）·········································103

5.

安全保護の原則（Security Safeguards Principle） ··································104

6.

公開の原則（Openness Principle） ·····················································104

7.

個人参加の原則（Individual Participation Principle） ······························105

8.

責任の原則（Accountability Principle） ···············································107

IV. 域内での保有・保管等の義務及びガバメントアクセス ································107
1.

データ・ローカライゼーション規制 ①個人情報の保護に関する法令又はサイバーセキュリティに関する法令における域内での保有・保管義務 ·······107- vii -

2.

データ・ローカライゼーション規制 ②個人情報の保護に関する法令又はサイバーセキュリティに関する法令における域外移転の制約による実質的な域内保持義務 ·················································································· 111

3.
V.

ガバメントアクセス ······································································ 112

データ保護機関の有無及び連絡先···························································· 112

第 12 章 カンボジア（カンボジア王国）······························································· 113
I.

個人情報の保護に関する法制度······························································· 1131.

個人情報の保護に関する法制度の有無 ·············································· 113

2.

1.記載の法令に関する基本的事項 ····················································· 113

3.

留意点 ························································································ 113

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ····························································································· 114
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································ 1141.

収集制限の原則(Collection Limitation Principle) ····································· 1142.

データ内容の原則(Data Quality Principle) ············································ 115

3.

目的明確化の原則(Purpose Specification Principle) ································· 1154.

利用制限の原則(Use Limitation Principle)············································· 115

5.

安全保護の原則(Security Safeguards Principle)······································· 1156.

公開の原則(Openness Principle) ························································· 116

7.

個人参加の原則(Individual Participation Principle) ·································· 116

8.

責任の原則(Accountability Principle) ··················································· 116

IV. 域内での保有・保管義務及びガバメントアクセス ······································ 116
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ·········· 116

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ····················································································· 116

3.
V.

ガバメントアクセス ······································································ 117

データ保護機関の有無及び連絡先····························································120

第 13 章 シンガポール（シンガポール共和国）······················································121
I.

個人情報の保護に関する法制度·······························································121
1.

個人情報の保護に関する法制度の有無 ··············································1212.

1.記載の法令に関する基本的事項 ·····················································121- viii -II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································122
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································123
1.

収集制限の原則（Collection Limitation Principle） ·································1232.

データ内容の原則（Data Quality Principle） ········································124

3.

目的明確化の原則（Purpose Specification Principle） ·····························124

4.

利用制限の原則（Use Limitation Principle）·········································125

5.

安全保護の原則（Security Safeguards Principle） ·································· 1266.

公開の原則（Openness Principle） ·····················································126

7.

個人参加の原則（Individual Participation Principle） ······························127

8.

責任の原則（Accountability Principle） ···············································128

IV. 域内での保有・保管義務及びガバメントアクセス ······································128
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········1282.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································128

3.
V.

ガバメントアクセス ······································································128

データ保護機関の有無及び連絡先····························································132

第 14 章 スイス（スイス連邦） ···········································································133
I.

個人情報の保護に関する法制度·······························································133
1.

個人情報の保護に関する法制度の有無 ··············································133

2.

1.記載の法令に関する基本的事項 ·····················································133

3.

留意点 ························································································134

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································134
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································134
IV. 域内での保有・保管等の義務及びガバメントアクセス ································134
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········1342.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································1343.

ガバメントアクセス ······································································135- ix -

V.

データ保護機関の有無及び連絡先····························································139

第 15 章 タイ（タイ王国） ·················································································140
I.

個人情報の保護に関する法制度·······························································140
1.

個人情報の保護に関する法制度の有無 ··············································140

2.

1.記載の法令に関する基本的事項 ·····················································140

3.

留意点 ························································································141

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································141
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································142
1.

収集制限の原則（Collection Limitation Principle） ·································1422.

データ内容の原則（Data Quality Principle） ········································1433.

目的明確化の原則（Purpose Specification Principle） ·····························143

4.

利用制限の原則（Use Limitation Principle）·········································144

5.

安全保護の原則（Security Safeguards Principle） ·································· 1456.

公開の原則（Openness Principle） ·····················································145

7.

個人参加の原則（Individual Participation Principle） ······························146

8.

責任の原則（Accountability Principle） ···············································147

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ···········147
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········147

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································147

3.
V.

ガバメントアクセス ······································································148

データ保護機関の有無及び連絡先····························································151

第 16 章 台湾 ···································································································152
I.

個人情報の保護に関する法制度·······························································152
1.

個人情報の保護に関する法制度の有無 ··············································152

2.

個人資料保護法に関する基本的事項 ·················································152

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································153
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································153

-x-

1.

収集制限の原則（Collection Limitation Principle） ·································153

2.

データ内容の原則（Data Quality Principle） ········································1553.

目的明確化の原則（Purpose Specification Principle） ·····························157

4.

利用制限の原則（Use Limitation Principle）·········································158

5.

安全保護の原則（Security Safeguards Principle） ··································159

6.

公開の原則（Openness Principle） ·····················································159

7.

個人参加の原則（Individual Participation Principle） ······························160

8.

責任の原則（Accountability Principle） ···············································161

IV. 域内での保有・保管等の義務及びガバメントアクセス ································161
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········161

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································161

3.
V.

ガバメントアクセス ······································································161

データ保護機関の有無及び連絡先····························································161

第 17 章 中国（中華人民共和国）········································································162
I.

個人情報の保護に関する法制度·······························································162
1.

個人情報の保護に関する法制度の有無 ··············································162

21.記載の法令に関する基本的事項 ·····················································162

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································163
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································163
1.

収集制限の原則（Collection Limitation Principle） ·································1632.

データ内容の原則（Data Quality Principle） ········································1643.

目的明確化の原則（Purpose Specification Principle） ·····························165

4.

利用制限の原則（Use Limitation Principle）·········································166

5.

安全保護の原則（Security Safeguards Principle） ··································166

6.

公開の原則（Openness Principle） ·····················································167

7.

個人参加の原則（Individual Participation Principle） ······························168

8.

責任の原則（Accountability Principle） ···············································169

IV. 域内での保有・保管等の義務及びガバメントアクセス ································170
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········170- xi -

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································172

3.
V.

ガバメントアクセス ······································································175

データ保護機関の有無及び連絡先····························································183

第 18 章 トルコ（トルコ共和国）········································································185
I.

個人情報の保護に関する法制度·······························································185
1.

個人情報の保護に関する法制度の有無 ··············································1852.

1.記載の法令に関する基本的事項 ·····················································185

3.

留意点 ························································································185

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································186
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································186
1.

収集制限の原則（Collection Limitation Principle） ·································1862.

データ内容の原則（Data Quality Principle） ········································187

3.

目的明確化の原則（Purpose Specification Principle） ·····························188

4.

利用制限の原則（Use Limitation Principle）·········································189

5.

安全保護の原則（Security Safeguards Principle） ··································189

6.

公開の原則（Openness Principle） ·····················································190

7.

個人参加の原則（Individual Participation Principle） ······························191

8.

責任の原則（Accountability Principle） ···············································192

IV. 域内での保有・保管等の義務及びガバメントアクセス ································192
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········192

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································193

3.
V.

ガバメントアクセス ······································································193

データ保護機関の有無及び連絡先····························································193

第 19 章 ニュージーランド ·················································································194
I.

個人情報の保護に関する法制度·······························································194
1.

個人情報の保護に関する法制度の有無 ··············································1942.

1.記載の法令に関する基本的事項 ·····················································194- xii -

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································195
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································195
IV. 域内での保有・保管等の義務及びガバメントアクセス ································195
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········1952.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································196

3.
V.

ガバメントアクセス ······································································196

データ保護機関の有無及び連絡先····························································200

第 20 章 フィリピン（フィリピン共和国）····························································201
I.

個人情報の保護に関する法制度·······························································201

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································204
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································204
1.

収集制限の原則（Collection Limitation Principle） ································· 205

2.

データ内容の原則（Data Quality Principle） ········································205

3.

目的明確化の原則（Purpose Specification Principle） ·····························206

4.

利用制限の原則（Use Limitation Principle）·········································207

5.

安全保護の原則（Security Safeguards Principle） ··································2086.

公開の原則（Openness Principle） ·····················································208

7.

個人参加の原則（Individual Participation Principle） ······························209

8.

責任の原則（Accountability Principle） ···············································210

IV. 域内での保有・保管義務及びガバメントアクセス ······································210
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········210

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································210

3.
V.

ガバメントアクセス ······································································ 211

データ保護機関の有無及び連絡先····························································213

第 21 章 ブラジル（ブラジル連邦共和国）····························································214
I.

個人情報の保護に関する法制度·······························································214- xiii -1.

個人情報の保護に関する法制度の有無 ··············································2142.

1.記載の法令に関する基本的事項 ·····················································214

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································215
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································215
1.

収集制限の原則（Collection Limitation Principle） ································· 215

2.

データ内容の原則（Data Quality Principle） ········································216

3.

目的明確化の原則（Purpose Specification Principle） ·····························217

4.

利用制限の原則（Use Limitation Principle）·········································218

5.

安全保護の原則（Security Safeguards Principle） ··································218

6.

公開の原則（Openness Principle） ·····················································219

7.

個人参加の原則（Individual Participation Principle） ······························220

8.

責任の原則（Accountability Principle） ···············································220

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ···········221
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········2212.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································222

3.
V.

ガバメントアクセス ······································································223

データ保護機関の有無及び連絡先····························································227

第 22 章 米国（アメリカ合衆国）（連邦）····························································228
I.

個人情報の保護に関する法制度·······························································2281.

個人情報の保護に関する法制度の有無 ··············································228

2

1 記載の法令に関する基本的事項 ·····················································228

3

留意点 ························································································229

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································230
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································231
1.

収集制限の原則（Collection Limitation Principle） ·································2312.

データ内容の原則（Data Quality Principle） ········································231

3.

目的明確化の原則（Purpose Specification Principle） ·····························231

4.

利用制限の原則（Use Limitation Principle）·········································232- xiv -

5.

安全保護の原則（Security Safeguards Principle） ·································· 2326.

公開の原則（Openness Principle） ·····················································233

7.

個人参加の原則（Individual Participation Principle） ······························233

8.

責任の原則（Accountability Principle） ···············································234

IV. 域内での保有・保管義務及びガバメントアクセス ······································234
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········2342.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································234

3.
V.

ガバメントアクセス ······································································234

データ保護機関の有無及び連絡先····························································241

第 23 章 米国（アメリカ合衆国）（イリノイ州） ··················································242
I.

個人情報の保護に関する法制度·······························································242
1.

個人情報の保護に関する法制度の有無 ··············································242

2.

1.記載の法令に関する基本的事項 ·····················································242

3.

留意点 ························································································244

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································244
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································245
1.

収集制限の原則（Collection Limitation Principle） ································· 2452.

データ内容の原則（Data Quality Principle） ········································245

3.

目的明確化の原則（Purpose Specification Principle） ·····························245

4.

利用制限の原則（Use Limitation Principle）·········································246

5.

安全保護の原則（Security Safeguards Principle） ··································247

6.

公開の原則（Openness Principle） ·····················································248

7.

個人参加の原則（Individual Participation Principle） ······························248

8.

責任の原則（Accountability Principle） ···············································249

IV. 域内での保有・保管義務及びガバメントアクセス ······································249
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········249

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································249

3.
V.

ガバメントアクセス ······································································249

データ保護機関の有無及び連絡先····························································249- xv -

第 24 章 米国（アメリカ合衆国）（カリフォルニア州） ·········································251
I.

個人情報の保護に関する法制度·······························································251
1.

個人情報の保護に関する法制度の有無 ··············································251

2.

CCPA に関する基本的事項 ······························································251

3.

留意点 ························································································252

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································252
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································252
1.

収集制限の原則（Collection Limitation Principle） ································· 2522.

データ内容の原則（Data Quality Principle） ········································2533.

目的明確化の原則（Purpose Specification Principle） ·····························254

4.

利用制限の原則（Use Limitation Principle）·········································254

5.

安全保護の原則（Security Safeguards Principle） ··································255

6.

公開の原則（Openness Principle） ·····················································256

7.

個人参加の原則（Individual Participation Principle） ······························256

8.

責任の原則（Accountability Principle） ···············································257

IV. 域内での保有・保管義務及びガバメントアクセス ······································257
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········257

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································257

3.
V.

ガバメントアクセス ······································································257

データ保護機関の有無及び連絡先····························································258

第 25 章 米国（アメリカ合衆国）（ニューヨーク州） ············································259
I.

個人情報の保護に関する法制度·······························································259
1.

個人情報の保護に関する法制度の有無 ··············································259

2.

1.記載の法令に関する基本的事項 ·····················································259

3.

留意点 ························································································261

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································261
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································262- xvi -

1.

収集制限の原則（Collection Limitation Principle） ·································262

2.

データ内容の原則（Data Quality Principle） ········································262

3.

目的明確化の原則（Purpose Specification Principle） ·····························262

4.

利用制限の原則（Use Limitation Principle）·········································262

5.

安全保護の原則（Security Safeguards Principle） ··································262

6.

公開の原則（Openness Principle） ·····················································263

7.

個人参加の原則（Individual Participation Principle） ······························263

8.

責任の原則（Accountability Principle） ···············································264

IV. 域内での保有・保管等の義務及びガバメントアクセス ································264
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········264

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································264

3.
V.

ガバメントアクセス ······································································264

データ保護機関の有無及び連絡先····························································264

第 26 章 ベトナム（ベトナム社会主義共和国）······················································265
I.

個人情報の保護に関する法制度·······························································265
1.

個人情報の保護に関する法制度の有無 ··············································265

2.

1.記載の法令に関する基本的事項 ·····················································265

3.

留意点 ························································································267

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································267
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及びデータ主体の権利に関する法令規定の有無·······························································268
1.

収集制限の原則(Collection Limitation Principle) ·····································2682.

データ内容の原則(Data Quality Principle) ············································268

3.

目的明確化の原則(Purpose Specification Principle) ·································269

4.

利用制限の原則(Use Limitation Principle)·············································270

5.

安全保護の原則(Security Safeguards Principle)·······································270

6.

公開の原則(Openness Principle) ·························································271

7.

個人参加の原則(Individual Participation Principle) ·································· 272

8.

責任の原則(Accountability Principle) ···················································272

IV. 域内での保有・保管義務及びガバメントアクセス ······································273
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········273- xvii -2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································274

3.
V.

ガバメントアクセス ······································································275

データ保護機関の有無及び連絡先····························································280

第 27 章 香港 ··································································································· 281
I.

個人情報の保護に関する法制度·······························································281
1.

個人情報の保護に関する法制度の有無 ··············································281

2.

PDPO に関する基本的事項 ······························································281

3.

留意点 ························································································282

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································282
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································282
1.

収集制限の原則（Collection Limitation Principle） ·································2822.

データ内容の原則(Data Quality Principle) ············································284

3.

目的明確化の原則（Purpose Specification Principle） ·····························285

4.

利用制限の原則（Use Limitation Principle）·········································286

5.

安全保護の原則（Security Safeguards Principle） ··································286

6.

公開の原則（Openness Principle） ·····················································288

7.

個人参加の原則（Individual Participation Principle） ······························289

8.

責任の原則（Accountability Principle） ···············································291

IV. 域内での保有・保管等の義務及びガバメントアクセス ································291
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········291

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································291

3.
V.

ガバメントアクセス ······································································291

データ保護機関の有無及び連絡先····························································296

第 28 章 マレーシア ··························································································297
I.

個人情報の保護に関する法制度·······························································297
1.

個人情報の保護に関する法制度の有無 ··············································297

2.

記載の法令に関する基本的事項 ·······················································297

3.

留意点 ························································································298- xviii -II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································298
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································299
1.

収集制限の原則（Collection Limitation Principle） ································· 2992.

データ内容の原則（Data Quality Principle） ········································300

3.

目的明確化の原則（Purpose Specification Principle） ·····························300

4.

利用制限の原則（Use Limitation Principle）·········································301

5.

安全保護の原則（Security Safeguards Principle） ··································302

6.

公開の原則（Openness Principle） ·····················································303

7.

個人参加の原則（Individual Participation Principle） ······························303

8.

責任の原則（Accountability Principle） ···············································304

IV. 域内での保有・保管義務及びガバメントアクセス ······································304
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········304

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································305

3.
V.

ガバメントアクセス ······································································305

データ保護機関の有無及び連絡先····························································308

第 29 章 ミャンマー（ミャンマー連邦共和国）······················································309
I.

個人情報の保護に関する法制度·······························································309
1.

個人情報の保護に関する法制度の有無 ··············································309

2.

1.記載の法令に関する基本的事項 ·····················································309

3.

留意点 ························································································310

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ····························································································· 311
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································ 311
1.

収集制限の原則（Collection Limitation Principle） ································· 311

2.

データ内容の原則（Data Quality Principle） ········································ 311

3.

目的明確化の原則（Purpose Specification Principle） ·····························312

4.

利用制限の原則（Use Limitation Principle）·········································312

5.

安全保護の原則（Security Safeguards Principle） ·································· 3126.

公開の原則（Openness Principle） ·····················································313- xix -

7.

個人参加の原則（Individual Participation Principle） ······························313

8.

責任の原則（Accountability Principle） ···············································313

IV. 域内での保有・保管義務及びガバメントアクセス ······································313
1.

データ・ローカライゼーション規制 ①個人情報の保護に関する法令又はサイバー・セキュリティに関する法令における域内での保有・保管義務 ····313

2.

データ・ローカライゼーション規制 ②個人情報の保護に関する法令又はサイバー・セキュリティに関する法令における域外移転の制約による実質的な域内保持義務 ···············································································313

3.
V.

ガバメントアクセス ······································································314

データ保護機関の有無及び連絡先····························································316

第 30 章 メキシコ（メキシコ合衆国）··································································317
I.

個人情報の保護に関する法制度·······························································317
1.

個人情報の保護に関する法制度の有無 ··············································317

2.

1.記載の法令に関する基本的事項 ·····················································317

3.

留意点 ························································································318

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となりうる情報の有無 ·····························································································318
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································318
1.

収集制限の原則（Collection Limitation Principle） ································· 3182.

データ内容の原則（Data Quality Principle） ········································3203.

目的明確化の原則（Purpose Specification Principle） ·····························320

4.

利用制限の原則（Use Limitation Principle）·········································322

5.

安全保護の原則（Security Safeguards Principle） ··································322

6.

公開の原則（Openness Principle） ·····················································323

7.

個人参加の原則（Individual Participation Principle） ······························323

8.

責任の原則（Accountability Principle） ···············································324

IV. 域内での保有・保管等の義務及びガバメントアクセス ································325
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········325

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································325

3.
V.

ガバメントアクセス ······································································325

データ保護機関の有無及び連絡先····························································329- xx -

第 31 章 ラオス（ラオス人民民主共和国）····························································330
I.

個人情報の保護に関する法制度·······························································330
1.

個人情報の保護に関する法制度の有無 ··············································330

2.

1.記載の法令に関する基本的事項 ·····················································330

3.

留意点 ························································································331

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································331
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································331
1.

収集制限の原則(Collection Limitation Principle) ····································· 3312.

データ内容の原則(Data Quality Principle) ············································332

3.

目的明確化の原則(Purpose Specification Principle) ································· 332

4.

利用制限の原則(Use Limitation Principle)·············································333

5.

安全保護の原則(Security Safeguards Principle)·······································334

6.

公開の原則（Openness Principle） ·····················································336

7.

個人参加の原則（Individual Participation Principle） ······························336

8.

責任の原則（Accountability Principle） ···············································337

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ···········337
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········337

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································337

3.
V.

ガバメントアクセス ······································································338

データ保護機関の有無及び連絡先····························································341

第 31 章 ロシア（ロシア連邦） ···········································································342
I.

個人情報の保護に関する法制度·······························································342
1.

個人情報の保護に関する法制度の有無 ··············································342

2.

1.記載の法令に関する基本的事項 ·····················································342

3.

留意点 ························································································342

II. 当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無 ·····························································································343
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無········································································343- xxi -

1.

収集制限の原則(Collection Limitation Principle) ·····································343

2.

データ内容の原則(Data Quality Principle) ············································345

3.

目的明確化の原則(Purpose Specification Principle) ································· 346

4.

利用制限の原則(Use Limitation Principle)·············································346

5.

安全保護の原則(Security Safeguards Principle)·······································347

6.

公開の原則(Openness Principle) ·························································348

7.

個人参加の原則(Individual Participation Principle) ··································349

8.

責任の原則(Accountability Principle) ···················································349

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無 ···········350
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務 ··········350

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務 ·····················································································351

3.
V.

ガバメントアクセス ······································································352

データ保護機関の有無及び連絡先····························································356- xxii -

第1章
I.

総論

調査体制
本調査を実施するに当たっては、西村あさひ法律事務所（各国拠点を含む）及び同事務所からの再委託先となる各国・地域の法律事務所とが連携して、個人情報保護委員会の作成した所定の質問票に現地から回答を得る形で各国・地域における制度調査を行い、各国からの回答を基に本報告書を作成したものである。
Ⅱ.

調査期間

2021 年 8 月より同年 11 月 24 日までの期間、本調査を実施した。
Ⅲ. 基準日
本調査の内容は、各国に質問票を配布した 2021 年 10 月時点でのものであり、それ以降のアップデートについて網羅しているものではない。ただし、調査対象とする法令は、2022 年 4 月 1 日時点で有効である法令、及び 2021 年 11 月 24 日までに制定された法令であって 2022 年 4 月 1 日より後に施行される予定のものとなっている。
Ⅳ. 調査対象国・地域一覧
本調査の対象となる国・地域は以下のとおりである。

1. アラブ首長国連邦（連邦）

2. アラブ首長国連邦（Abu Dhabi Global
Market (ADGM)）

3. アラブ首長国連邦（Dubai Healthcare City
(DHC)）

4. アラブ首長国連邦（Dubai International
Financial Centre(DIFC)）

5. インド6. インドネシア（インドネシア共和国）

7. ウクライナ

8. オーストラリア（オーストラリア連邦）

9. カナダ10. 韓国（大韓民国）

11. カンボジア（カンボジア王国）

12. シンガポール（シンガポール共和国）

13. スイス（スイス連邦）

14. タイ（タイ王国）

15. 台湾-1-

16. 中国（中華人民共和国）

17. トルコ（トルコ共和国）

18. ニュージーランド

19. フィリピン（フィリピン共和国）20. ブラジル（ブラジル連邦共和国）21. 米国（アメリカ合衆国）（連邦）

22. 米国（アメリカ合衆国）（イリノイ州）

23. 米国（アメリカ合衆国）（カリフォルニア州）

24. 米国（アメリカ合衆国）（ニューヨーク州）

25. ベトナム（ベトナム社会主義共和国）

26. 香港27. マレーシア

28. ミャンマー（ミャンマー連邦共和国）

29. メキシコ（メキシコ合衆国）

30. ラオス（ラオス人民民主共和国）

31. ロシア（ロシア連邦）

Ⅴ.

主要な調査方針1.

個人情報の保護に関する法制度の有無
包括的な個人情報保護法令がある国・地域の場合には当該法令、そうではない国・地域の場合には個人情報の保護に関する個別的な法令のうち、現地専門家の見解を踏まえて、
本報告書においては代表的な法令について基本的事項を記載している。
2.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無
本報告書においては、EU の十分性認定の取得国又は APEC CBPR 加盟国であるか否かを端的に記載している。
3.

我が国の個人情報保護制度との「本質的な差異」
上記 1.の項目にて紹介した法令につき、民間部門及び公的部門の双方を対象とする規律について、OECD プライバシーガイドライン 8 原則に該当する条文の有無を整理している。
本報告書においては、EU の十分性認定の取得国については本項目の記載を行っていな
い。
また、APEC CBPR 加盟国については、米国の州法を除き、本項目において公的部門を対象とする規律についてのみ整理を行っている。

-2-

4.

その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
我が国の制度と比較して、調査対象国・地域への個人データの越境移転に伴い、個人

データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度について紹介している。
具体的には、①域内で収集した個人情報（域外から移転を受ける形で収集されるものを含む）を当該域内で保持することの直接的な義務付け、又は当該個人情報の当該域外への持ち出しについて制約を課すことによる実質的な域内保持を義務付ける規定（いわゆる「データ・ローカライゼーション」に係る制度）の有無、及び②刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものに関する規定（いわゆる「ガバメントアクセス」に係る制度）の有無を調査している。このうち、②の「ガバメントアクセス」に係る制度については、我が国の制度と比較して、当該外国への個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度と考えられるもののみを紹介しており、例えば刑事手続において司法審査を経た令状を得て政府が情報を入手するような手続については、我が国の制度と類するものとして、本報告書の対象とはしていない。
なお、①の調査対象としては、個人情報の保護に関する法令及びサイバーセキュリティに関する法令等、個別の分野のみに適用される法令ではなく分野横断的に適用される法令に基づく規制を優先的に調査している。本報告書においては、個人情報の保護に関する法
令及びサイバーセキュリティに関する法令以外の法令については、現地専門家の見解も踏
まえて、代表的な法令について調査している。
5.

データ保護機関の有無及び連絡先
本報告書においては、各国・地域におけるデータ保護機関の名称及び連絡先等について、事業者の便宜となる情報を紹介している。

-3-

第2章
I.

アラブ首長国連邦（連邦）

個人情報の保護に関する法制度の有無
個人情報の保護に関する法令は、包括的な法令としても、個別法としても存在しない。
なお、2021 年 10 月 31 日時点において、その内容はまだ公表されておらず、施行年月日も不明であるが、アラブ首長国連邦（以下「UAE」という）では、連邦レベルで包括的な個人情報保護に関する法令が近いうちに制定される予定である旨が 2021 年 9 月 5 日に政府より公表された。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

UAE は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
UAE の連邦レベルにおいて、個人情報一般に関し、OECD プライバシーガイドライン 8
原則に対応する事業者の義務及び本人の権利に関する法令規定は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、医療分野について、医療分野における情報通信技術の使用に関する法律（Federal Law No.2/2019 on the
Use of Information Communication Technology in Health Fields）（以下「医療分野 ICT 使用法」という）に存在する。それ以外の代表的な法令には、現地法律事務所が把握している限りは、存在しない。医療分野 ICT 使用法の概要は以下のとおりである。
UAE 国内において提供される医療サービスに関する健康データ及び情報（health data andinformation）は、UAE の健康予防省（Ministry of Health and Prevention）が決定によって定めた場合を除き、UAE 国外において、保管、処理、作出されてはならず、又は国外に移転されてはならない（13 条）。

-4-当該規定は、国内で収集した個人データのみに適用され、外国からの移転（例：日本にある事業者からの移転）により取得した個人データには適用されない。
本人が外国に所在する場合、当該本人に係る個人データの開示については、開示主体が本人又はその法的代理人からの正式な開示要求を受領する必要があるが、対当局の手続は不要である。
当該規定の目的は、医療サービスを受ける UAE 住民の健康データ及び情報（health dataand information）の保護にあると思われる。健康データ及び情報の安全の確保は、同法の目的の 1 つとされている（3 条 4 号）。
当該条項の対象事業者・機関は、医療分野の事業者、連邦及び首長国の医療当局であり、対象データは、情報通信技術を通じて処理等される UAE 国内において提供される医療サービスに関する健康データ及び情報（health data and information）である。
当該条項は、UAE 国内において提供される医療サービスに関する健康情報及びデータについて、UAE の健康予防省（Ministry of Health and Prevention）が決定によって定めた場合 1を除き、UAE 国外における保管、処理、作出又は国外移転を禁じる。
当該制限は、本人からの開示請求に制限を加えるものではないため、当該規定の存在により、事業者・機関が本人からの開示又は消去等の請求に対応できない場合はない。
当該制限を所管する機関は健康予防省（Ministry of Health and Prevention）である。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、UAE の連邦レベルの個人情報の保護に関する法令、サイバーセ
キュリティに関する法令、及びそれ以外の代表的な法令 2においては、現地法律事務所が把握している限り、存在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として、マネーロンダリング、テロリズムへの資金供与及び違法組織への資金供与対策に関する連邦法（Federal Decree-Law No. 20/2018 on
Combating Money Laundering Crimes, the Financing of Terrorism and the Financing of Unlawful
Organisations）（以下「AML 法」という）がある。それ以外の代表的な法令には、現地法
1

当該健康予防省の決定（Ministerial Decision No. 51/2021）2 条によれば、健康情報及びデータを域外に保管又は移転できる場合として、(1)必要な治療手順の範囲内で、UAE 国外で治療を受けている患者に関する健康データ及び情報（1 号）、(2)UAE 国外の研究所に送られるサンプルに関連する健康データ及び情報（2 号）、(3)UAE の法律を遵守し、当該科学研究が関係保健当局によって別途承認されている場合における、当該科学研究の範囲で使用される健康データ及び情報（3 号）等が規定さ
れている。

2

代表的か否かに関する判断は現地法律事務所が行っている。

-5-

律事務所が把握している限り、存在しない。AML 法の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的

AML 法 7 条 2 項及び 4 項は、以下のとおり、目的を規定している。
①

法執行機関（法執行機関:マネーロンダリング、テロリズムへの資金供与、違法組織への資金供与を含む犯罪に対処し、捜査し、調査し、証拠を収集するために、適用法の下で、権限を与えられた連邦及び地方の当局。以下同じ）は、UAE で適用される法律に反しない範囲で、犯罪やその証拠を発見したり、機密データや収益、手段にアクセスして資金の出所や提供先を特定したり、犯人を逮捕したりすることを目的として、
覆面調査やその他の調査方法を採用し、コントロールド・デリバリーを行うことができる。

②

UAE の関係当局は、民間企業からのデータや機密情報へのアクセスを通じて、疑わしい取引の報告、捜査や犯罪関連の判決、押収・凍結・没収された資金、国際協力要請、犯罪対策手続の効率性・充足性に関連するあらゆる統計を包括的に把握するもの
とする。

イ

実施主体
ガバメントアクセスを行う権限を持つ者は、(i)検察官又は検察官が委任する者又は(ii)法執行機関である。
ウ

取得される個人データの種類に関する限定の有無・概要
AML 法上、定めはない。

エ

制限及びその例外に係る規定の有無・概要

AML 法 7 条では、関係当局による民間企業の機密データへの直接アクセスは、犯罪発生の十分な証拠が提供された場合、又は正当な利益が存在する場合にのみ、検察官の命令又は法執行機関の要請により認められると規定されている。
オ

手続規定の有無・概要
AML 法上、定めはない。

(2) 正当な目的の追求
AML 法では、疑惑に基づいて十分な調査を行うために、政府が、可能な限り広範囲の情-6-

報を利用し、アクセスすることを目的としているため、アクセス範囲を限定する規定はない。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

AML 法上、承認の要求はなく、保護措置は規定されていない。
イ

暗号復号強制、保護措置
AML 法上、認められていない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
AML 法上、保管期間の定めはない。

イ

データの取扱者に関する制限
AML 法上、データの取扱者に関する制限はない。

ウ

安全管理措置に関する定めの有無・概要

AML 法上、安全管理措置に関する定めはない。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
AML 法上、ガバメントアクセスの事実の通知義務はない。

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

AML 法上、定めはない。
ウ

監督機関による監督状況の公表
AML 法上、定めはない。

-7-

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称カバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令はない。

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A
ウ

調査形態
N/A

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A(7) 救済救済制度は AML 法に定められていない。
V.

データ保護機関の有無及び連絡先存在しない。
以上

-8-

第3章

アラブ首長国連邦（Abu Dhabi Global Market）

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個 人 情 報 の 保 護 に 関 す る 包 括 的 な 法 令 と し て 、 2021 年 デ ー タ 保 護 規 則 （ DATAPROTECTION REGULATIONS 2021）（以下「DPR2021」という）が存在する。The Boardof Directors of the Abu Dhabi Global Market により制定された Regulations である。当該法令は2021 年 2 月 11 日に施行されている。
2.

DPR2021 に関する基本的事項(1) 適用対象者
DPR2021 は、管理者又は取扱者による個人データの取扱いを規律しており、それぞれ以下のように定義されている（62 条 1 項参照）。
管理者:「自然人若しくは法人、公的機関、部局又はその他の組織であって、単独で又は他の者と共同で、個人データの取扱いの目的及び方法を決定する者」
取扱者:「管理者の代わりに個人データを取り扱う自然人若しくは法人、公的機関、部局又はそのほかの組織」
よって、管理者及び取扱者には公的機関も含まれ、公的部門と民間部門双方を対象とする。なお、特定の公的機関を除外する規定はない。
(2) 保護対象の範囲
DPR2021 の保護の対象となる「個人データ」については、「データ主体に関連するあらゆる情報」を意味すると定義付けられている（62 条 1 項）。また、データ主体の国籍や居住地は、保護の対象に影響しない（3 条 3 項）。
(3) 地理的適用範囲
地理的適用範囲については、「本規則は、その取扱いが Abu Dhabi Global Market（以下「ADGM」という）内で行われるものであるか否かを問わず、ADGM 内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される」（3 条 1 項）と規定されており、それ以上の域外適用の規定はない。

-9-

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

UAE（Abu Dhabi Global Market）は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
DPR2021 には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定「個人データは、そのデータ主体との関係において、適法、公正な･･･(略)･･･態様で取り扱われなければならない」（4 条 1 項(a)）と規定されている。
なお、「取扱い」とは、「自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布、又は、それら以外に利用可能なものとすること、整列若しくは結合、制限、消去若しくは破壊のよ
うな、個人データ若しくは一群の個人データに実施される業務遂行又は一群の業務遂行を意味する」と定義されており（62 条 1 項）、取得や収集を含む。
また、上述のとおり個人データは「適法に」取り扱わなければならないところ（4条）、適法性の根拠として、DPR2021 においては、5 条 1 項(a)～(f)に定めるいずれかの根拠に該当する必要があると規定している。具体的には、①データ主体から同意を得た場合（5 条 1 項(a)）、②データ主体が契約当事者となっている契約の履行のために取扱いが必要となる場合又は当該契約締結の前にデータ主体の要求に際して手段を講ずるために取扱いが必要となる場合（5 条 1 項(b)）、③管理者が服する法的義務を遵守するために取扱いが必要な場合（5 条 1 項(c)）、④データ主体又は他の自然人の生命に関する利益を保護するために必要な場合（5 条 1 項(d)）、⑤適用法令に基づき、ADGM 当局が ADGM の利益のために行う事務の遂行のために又は ADGM 関連当局において若しくは管理者に与えられた公的な権限の行使において行われる職務の遂行のために取扱いが必要な場合（5 条 1 項- 10 -

(e)）、あるいは⑥管理者によって、又は、第三者によって求められる「正当な利益（legitimate interests）」のために必要な場合（5 条 1 項(f)）が挙げられている。個人データの取得・収集も個人データの取扱いの一形態であるから、個人データの取得・収集に際しては、データ主体からの同意を含む適法性の根拠のうちいずれかに該当する必要がある（5 条 1 項）。
なお、適法性の根拠のうち、「正当な利益」（legitimate interests）（5 条 1 項(f)）に関しては、上記 5 条 1 項(e)の定める目的のために取扱いが必要な場合には適用されないことが規定されている（5 条 2 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定「個人データは、そのデータ主体との関係において、･･･(略)･･･透明性のある態様で取り扱われなければならない」（4 条 1 項(a)）と規定されており、「個人データは、特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしてはならない」（4 条 1 項(b)）と規定されている。
なお、4 条 1 項(b)との関係では、個人データがアーカイブ及び研究目的で取り扱われる
場合、当該取扱いは、4 条 1 項(b)により要求されている個人データが収集された当初の目的に適合しているとみなされる（4 条 3 項(a)）。
これらの規定を踏まえ、データ主体から個人データを取得する場合（11 条）及びデータ
主体以外から個人データを取得する場合（12 条）双方について、管理者は、データ主体に、管理者の身元及び連絡先、予定されている個人データの取扱いの目的（11 条 1 項(a)及び(c)、12 条 1 項(a)及び(c)）等の情報を提供しなければならない旨規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
DPR2021 には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定「個人データは、特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしてはならない」（4 条 1 項(b)）と規定されている。

- 11 -

また、「個人データは、その個人データが取り扱われる目的のために必要な期間だけ、
データ主体の識別を許容する方式が維持されるべきである」（4 条 1 項(e)）と規定されている。
なお、4 条 1 項(b)及び(e)との関係では、個人データがアーカイブ及び研究目的で取り扱われる場合、①当該取扱いは、4 条 1 項(b)により要求されている個人データが収集された
当初の目的に適合しているとみなされ、②データ主体の権利を保護するために適切な技術
的及び組織的措置が講じられる場合には、4 条 1 項(e)に記載された期間を超えて保存することができる（4 条 3 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定「個人データは、正確であり、かつ、それが必要な場合、最新の状態に維持されなければならない。その個人データが取り扱われる目的を考慮した上で、遅滞なく、不正確な個
人データが消去又は訂正されることを確保するための全ての手立てが講じられなければならない」（4 条 1 項(d)）と規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
DPR2021 には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、「取得時又はそれより前の個人データの利用目的の特定を定めた規定」、「特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定」及び「利用目的の変更時における利用目的の特定を定めた規定」として、「個人
データは、特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしてはならない」（4 条 1 項(b)）と規定されている。
なお、4 条 1 項(b)との関係では、個人データがアーカイブ及び研究目的で取り扱われる
場合、当該取扱いは、4 条 1 項(b)により要求されている個人データが収集された当初の目的に適合しているとみなされる（4 条 3 項(a)）。
また、利用目的の変更時における利用目的の特定については、データ主体から個人デー
タを取得する場合（11 条）及びデータ主体以外から個人データを取得する場合（12 条）双方について、当該個人データが収集された際の目的とは別の目的による個人データの追加- 12 -

的取扱いを管理者が予定している場合、その管理者はデータ主体に対し、当該追加的取扱
いの開始前に、当該別の目的に関する情報及び 2 項に定める関連する付加的情報（データ
保存期間、アクセス権等のデータ主体の権利、同意の撤回権等）を提供する旨も規定されている（11 条 3 項及び 12 条 4 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
DPR2021 には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「あらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定」及び「あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定」として、「個人データは、特定され、明確であり、かつ、正当な目的のために収集されるものとし、かつ、その目的に適合しない態様で追加的取扱いをしてはならない」（4 条 1 項(b)）と規定されている。「取扱い」には個人デー
タを開示することや利用可能な状態に置くこと等幅広い利用態様を含む（62 条 1 項参照）。
なお、4 条 1 項(b)との関係では、個人データがアーカイブ及び研究目的で取り扱われる
場合、当該取扱いは、4 条 1 項(b)により要求されている個人データが収集された当初の目的に適合しているとみなされる（4 条 3 項(a)）。
また、上記 1.に記載のとおり個人データは「適法に」取り扱わなければならず（4条）、DPR2021 においては、5 条 1 項(a)ないし(f)に定めるいずれかの根拠に該当する必要があると規定している。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
DPR2021 には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏え- 13 -

い、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義
務付ける規定）が存在する。
具体的には、「個人データは、無権限による取扱い若しくは違法な取扱いに対して、並びに、偶発的な喪失、破壊又は損壊に対して、適切な技術上又は組織上の措置を用いて行われる保護を含め、個人データの適切な安全性を確保する態様により、取り扱われる」（4 条 1 項(f)参照）と規定されている。さらに詳細化した規定として、管理者及び取扱者に対して、諸事情を考慮した上、特に、①個人データの仮名化及び暗号化、②取扱システ
ム及び取扱サービスの現在の機密性、完全性、可用性及び回復性を確保する能力、③物的又は技術的なインシデントが発生した際、適時な態様で、個人データの可用性及びそれに対するアクセスを復旧する能力、④取扱いの安全性を確保するための技術上及び組織上の措置の有効性の定期的なテスト、評価及び評定のための手順、を含めた適切な技術上及び組織上の措置を実装するよう求められている（30 条 1 項参照）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
DPR2021 には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「個人データの取扱いに関する方針の策定に関する規定」及び「個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定」として、「個人データは、そのデータ主体との関係において、･･･(略)･･･透明性のある態様で取り扱われなければならない」（4 条 1 項(a)）と規定されている。その他、それぞれ以下のように規定されている。
ア

個人データの取扱いに関する方針の策定に関する規定「管理者は、データ主体に対し、取扱いに関する 11 条及び 12 条に定める情報 3並びに 13条から 20 条及び 32 条に定める連絡 4を提供するために適切な措置を講じなければならな

3

個人データ収集時にデータ主体に提供しなければならない情報（具体的には、管理者の身元及び連絡先、予定されている個人データの取扱いの目的及びその取扱いの法的根拠、データの記録保存期
間、アクセス権及び訂正・削除権等のデータ主体の権利の存在等）を意味する。

4

アクセス権及び訂正・削除権等のデータ主体の権利（13 条ないし 20 条）及びデータ保護機関の長である Commissioner of Data Protection に対する個人データ侵害の通知（32 条）に関する連絡を意味する。

- 14 -

い」（10 条 1 項）とも規定されている。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
管理者は、データ主体に、管理者の身元及び連絡先、予定されている個人データの取扱

いの目的（11 条 1 項(a)及び(c)、12 条 1 項(a)及び(c)）並びに当該個人データの種類（12 条
1 項(d)）等の情報を提供しなければならない旨も規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
DPR2021 には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「自己に関する個人データの開示を求める権利を定める規定」、「自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定」及
び「権利行使ができない場合の理由の通知や異議申立てを定める規定」として、「個人
データは、そのデータ主体との関係において、･･･(略)･･･透明性のある態様で取り扱われなければならない」（4 条 1 項(a)）と規定されている。その他、それぞれ以下のように規定されている。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、管理者から、自己に関係する個人データが取り扱われているか否かの確認を得る権利、並びに、それが取り扱われているときは、その個人データ及び一定の情報にアクセスする権利を有する（13 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、管理者から、不当に遅滞することなく、自己と関係する不正確な個人

データの訂正を要求する権利を有する。取扱いの目的を考慮に入れた上で、データ主体は不完全な個人データを完全なものとさせる権利を有する（16 条）。
また、データ主体は、管理者に、不当に遅滞することなく、自己に関する個人データを消去させる権利を有する（17 条）。

- 15 -

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
管理者がデータ主体からの要求に関して何らの行為もしないときは、その管理者は、

データ主体に対し、遅滞なく、かつ、その要求を受けてから遅くとも 2 ヶ月以内に、①何も行わない理由、並びに、②Commissioner of Data Protection に異議を申し立てる権利を有すること及び司法上の救済を求めることができることを通知しなければならない（10 条 5
項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
DPR2021 には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記
7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、管理者は、4条 1 項について責任を負い、かつ、同項遵守を証明できるようにしなければならない旨規定されており（4 条 2 項）、管理者に上記 7 原則の遵守が義務付けられている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 5においては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管する

5

代表的か否かに関する判断は現地法律事務所が行っている。

- 16 -

ことを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 6においては、現地法律事務所が把握している限り、存在しない。なお、DPR2021 において、GDPR に類似した個人データの域外移転規制の定めはあるものの（Part V 「ADGM 域外又は国際機関への個人データの移転」）、域外移転を行うにあたって当局の承認は必須ではなく、実質的な域内保持を義務づけるものではない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として、マネーロンダリング、テロリズムへの資金供与及び違法組織への資金供与対策に関する連邦法 20/2018（AML 法）があるが、AML法については、「アラブ首長国連邦（連邦）」のパートを参照されたい。
V.

データ保護機関の有無及び連絡先

名称：
Office of Data Protection（Commissioner of Data Protection 及び職員の総称。48 条 4 項）
連絡先：
data.protection@adgm.com（https://www.adgm.com/contact-us において公表）
以上

6

代表的か否かに関する判断は現地法律事務所が行っている。

- 17 -

第4章

アラブ首長国連邦（ドバイヘルスケアシティ：Dubai Healthcare City）

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、代表的な個別法として 7、健康デー

タ保護規則（Health Data Protection Regulation）（以下「HDPR」という）が存在する。
Dubai Healthcare City Authority により制定された Regulation である 8。当該法令は 2013 年 10月 21 日に施行されている。
2.

HDPR に関する基本的事項(1) 適用対象者
HDPR は、ライセンシーに適用される。ライセンシーとは、ライセンスを受けた医療専
門家、ライセンスを受けた補完代替医療専門家（Complementary and Alternative Medicine
Professional）、ライセンスを受けた医療従事者、認可教育従事者、認可研究従事者、ライセンスを受けた営利会社、又は非臨床営業許可証保有者をいう（14 条）。
なお、ドバイヘルスケアシティ（Dubai Healthcare City、以下「DHC」という）における医療分野の事業者にも、アラブ首長国連邦（以下「UAE」という）の連邦法に関する報告書に記載した医療分野における情報通信技術の使用に関する法律（Federal Law on the Use ofInformation Communication Technology in Health Fields）は適用されるが、その内容について
は「アラブ首長国連邦（連邦）」のパートを参照されたい。
(2) 保護対象の範囲
HDPR の保護の対象となる「患者健康情報（Patient Health Information）」については、「口語、書面又は電子記録の形態を問わず、ライセンシーが作成又は受領した、患者の身体的又は精神的な健康又は状態に関連する患者に関する情報をいい、診断手続における報告及びサービスの支払いに関連する情報を含む」と定義されている（14 条）。保護の対象となる「患者」について、居住地又は国籍による区別はない。

7

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

8

Dubai Healthcare City Authority は、DHC 内にて行われる活動について規制をする権限と責任を有する（Law No. (9) of 2011 Concerning Dubai Healthcare City 6 条 6 項）。

- 18 -

(3) 地理的適用範囲
HDPR は、情報の保管の場所を問わず、患者健康情報を管理する全てのライセンシーに適用される（8 条 1 項）。域外適用の定めはない。
3.

留意点
医療サービスを提供する企業のためのフリーゾーンであるドバイヘルスケアシティにとって、患者の健康情報の取扱いを規律する HDPR は代表的な法令であると考えられる。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

UAE（DHC を含む）は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
DHC において、個人情報一般に関し、OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定は存在しない。
以下では、患者健康情報を保護の対象とする HDPR について、OECD プライバシーガイ
ドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定を説明する。
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
HDPR には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
患者健康情報は、ライセンシーによって、以下の方法で収集されてはならないと規定されている（30 条 1 項）。
①

不法な手段、又は、- 19 -

②

個別の状況において、(i)不公正である、又は、(ii)患者の私的な事柄に不合理な範囲で立ち入る手段イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
ライセンシーが患者健康情報を収集する場合、ライセンシーは、患者が患者健康情報が収集されているという事実を確実に認識するよう、状況に応じて合理的な手段を講じなければならない（29 条 1 項(a)参照）。
(2) 当該原則が実質的に及ばない分野等について
N/A
データ内容の原則（Data Quality Principle）

2.

(1) 規定の存否と概要
HDPR には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「利用目的に関連する限度での取扱いを定めた規定」及び「利用目的の達成に必要な範囲内における正確性の確保を定めた規定」として、患者健康情報を保有するライセンシーは、患者健康情報の使用を予定していた目的を考慮し、その情報が正確であり、最新であり、完全であり、関連性があり、誤解を招かないことを保証するた
めに、状況に応じて合理的な措置（もしあれば）を講じることなく、患者健康情報を使用してはならない旨規定されている（34 条）。
(2) 当該原則が実質的に及ばない分野等について
N/A
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
HDPR には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
ライセンシーが患者健康情報を収集する場合、ライセンシーは、患者が患者健康情報が- 20 -

収集されている目的を確実に認識するよう、状況に応じて合理的な手段を講じなければならない旨規定されている（29 条 1 項(b)参照）。その上で、1 項で言及されている手段は、
患者健康情報が収集される前に、又は、それが不可能な場合には収集されてからできるだ
け早く行わなければならない旨規定されている（29 条 2 項）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
ある目的に関連して得られた患者健康情報を保有するライセンシーは、原則として、他の目的のために患者健康情報を利用してはならない旨規定されている（36 条 1 項参照）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
利用目的の変更時における利用目的の特定を直接定めた規定は存在しない。しかし、ライセンシーは、合理的な根拠に基づいて、収集時とは異なる目的のための患者健康情報の利用が、患者又は患者の代理人により承認されたと思慮する場合、当該目的による患者健康情報の利用が認められている（36 条 1 項(a)参照）。この承認により、利用目的の変更時において、変更後の利用目的を患者に知らせる規定が実質的に用意されている。
(2) 当該原則が実質的に及ばない分野等について
N/A
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
HDPR には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
患者健康情報を保有するライセンシーは、開示が、患者又は患者の代理人により承認されたものであること（37 条 1 項(b)参照）、犯罪の予防、発見、捜査、起訴及び処罰を含む法秩序の維持に対する不利益を回避するためであること（同項(p)参照）、法律及び／又はDubai Healthcare City Authority に要求された場合（同項(r)参照）等に該当すると合理的な理由で信じる場合を除き、患者健康情報を開示してはならないと規定されており（37 条 1 項参照）、その開示は、特定の目的のために、必要な範囲でのみ認められる旨規定されている（37 条 2 項）。

- 21 -

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
ある目的に関連して得られた患者健康情報を保有するライセンシーは、他の目的の使用が、①患者又は患者の代理人により承認されたものであること（36 条 1 項(a)参照）、②犯
罪の予防、発見、捜査、起訴及び処罰を含む法秩序の維持に対する不利益を回避するためであること（36 条 1 項(f)参照）等に該当すると合理的な理由で信じる場合を除き、患者健康情報を他の目的に使用してはならない旨規定されている（36 条 1 項参照）。
(2) 当該原則が実質的に及ばない分野等について
N/A
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
HDPR には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、患者健康情報を保有するライセンシーは、①損失、破壊、起こり得る火災及び水害、②改ざん、盗難、不正なアクセス、使用、変更又は開示、③その他の不正利用に対して、その状況において取ることが合理的であるような安全保護措置によって保護されること等を確保しなければならないと規定されている（31 条 3項(c)）。
(2) 当該原則が実質的に及ばない分野等について
N/A
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
HDPR には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「個人データの取扱いに関する方針の策定に関する規定」及び「個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定」として、ライセンシーが患者健康情報を収集する場合、ライセン
シーは、患者が以下の事項について、確実に認識するよう、状況に応じて合理的な手段を- 22 -

講じなければならない旨規定されている（29 条 1 項）。
①

患者健康情報を入手している事実②

患者健康情報が収集されている目的③

患者健康情報の予定されている受領者④

患者健康情報を(i)収集している、及び、(ii)保有することとなるライセンシーの名前及び住所⑤

患者健康情報の提供が強制的なものか任意的なものか⑥（もしあれば、）患者健康情報の全て又は一部が提供されなかった場合に、患者に生ずる結果⑦

患者健康情報へのアクセス権及び訂正権(2) 当該原則が実質的に及ばない分野等について
N/A
個人参加の原則（Individual Participation Principle）

7.

(1) 規定の存否と概要
HDPR には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
ライセンシーが患者健康情報を容易に検索できるような方法で保持している場合、患者及び／又は患者の代理人は以下の権利を有する旨規定されている（32 条 1 項）。
①

ライセンシーが当該患者健康情報を保有しているか否かの確認をライセンシーから得ること（32 条(1)(a)）②

合理的な通知の上、当該患者健康情報にアクセスできること（32 条(1)(b)）

イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
ライセンシーが患者健康情報を保有している場合、患者及び／又は当該患者の代理人は以下を要求する権利を有する旨規定されている（33 条 1 項）。
①

患者健康情報の訂正②

患者健康情報に、訂正を求めたが行われなかった旨の記述を添付すること
なお、訂正とは、患者健康情報に関して、訂正、削除又は追加により情報を変更することをいう（14 条）。

- 23 -

ウ

権利行使ができない場合の理由の通知や異議申立てを定める規定
患者及び／又は患者の代理人が行った患者データ要求が拒否された場合、ライセンシーは当該患者に以下を伝えなければならない旨規定されている（57 条）。
①

当該方法で情報を提供しない理由及び当該理由を裏付ける根拠②

Customer Protection Unit（CPU） 9に苦情を申し立てる患者の権利に関する情報
なお、患者データ要求とは、(i)ライセンシーが患者の健康情報を保有しているかどうかの確認を得るための 32 条(1)(a)に基づく要求、(ii)32 条(1)(b)に基づく患者健康情報へのアクセス権の付与を求める要求、(iii)33 条(1)に基づく患者健康情報の訂正のための要求をいう（45 条参照）。
(2) 当該原則が実質的に及ばない分野等について
N/A
責任の原則（Accountability Principle）

8.

(1) 規定の存否と概要
HDPR には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7
原則の遵守を確保するための措置に関する規定）が存在する。具体的には、各ライセン
シーは、ライセンシー内に以下の責任を負う 1 人以上の個人を有することを保証する責任がある旨規定されている（40 条）。
①

ライセンシーによる HDPR の遵守を促進させること②

HDPR に基づいてライセンシーに出された要求に対応すること③

その他、ライセンシーが HDPR の規定を遵守することを保証すること
本条項によって、いわゆるデータ保護オフィサーの設置がライセンシーに義務付けられることにより、HDPR に定められた諸原則の遵守の確保が図られている。
(2) 当該原則が実質的に及ばない分野等について
N/A

9

CPU は、HDPR の遵守と執行に責任を有する Center for Healthcare Planning and Quality の一部門であり、ライセンシーに対する苦情の管理及び調査を担当している（14 条及び 42 条 1 項参照）。

- 24 -

IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 10においては、現地法律事務所が把握している限り、存在しない。
ただし、上記のとおり、DHC における医療分野の事業者にも、「アラブ首長国連邦（連邦）」のパート記載の医療分野における情報通信技術の使用に関する法律（Federal Law on
the Use of Information Communication Technology in Health Fields）が適用されるところ、当該法律には、データ・ローカライゼーション規制がある。内容については、「アラブ首長国
連邦（連邦）」のパートを参照されたい。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、DHC 固有の個人情報の保護に関する法令、サイバーセキュリ
ティに関する法令、及びそれ以外の代表的な法令 11においては、現地法律事務所が把握している限り、存在しない。なお、HDPR において、患者健康情報の域外移転規制の定めはあるものの（67 条）、域外移転を行うにあたって当局の承認は必須ではなく、実質的な域内保持を義務づけるものではない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として、マネーロンダリング、テロリズムへの資金供与及び違法組織への資金供与対策に関する連邦法 20/2018（AML 法）があるが、AML法については、「アラブ首長国連邦（連邦）」のパートを参照されたい。
V.

データ保護機関の有無及び連絡先

名称：
・Dubai Healthcare City Authority（HDPR の適切な運用に責任を負う。12 条）・Centre for Healthcare Planning and Quality（HDPR の遵守と執行に責任を負う。42 条）

10

代表的か否かに関する判断は現地法律事務所が行っている。

11

代表的か否かに関する判断は現地法律事務所が行っている。

- 25 -

連絡先：
info@dhcr.gov.ae（https://www.dhcc.ae/contactus において公表）
以上- 26 -

第5章

アラブ首長国連邦（Dubai International Financial Centre; “DIFC”）

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、DIFC におけるデータ保護に関する法律（DIFC Law No. 5/2020 on the Data Protection）（以下「DIFC データ保護法」という）が存在する。当該法令は 2020 年 7 月 1 日に施行されている（ただし、DIFC データ保護法への違反に関しては、3 か月の猶予期間を経て 2020 年 10 月 1 日より執行可能）。
2.

DIFC データ保護法に関する基本的事項(1) 適用対象者
DIFC データ保護法は、管理者又は取扱者による個人データの取扱いを規律しており、それぞれ以下のように定義されている（DIFC データ保護法の別紙 1.の 3 条）。
管理者:「単独で又は他の者と共同で、個人データの取扱いの目的及び方法を決定する者」
取扱者:「管理者のために個人データを取り扱う者」
管理者及び取扱者の定義上、その主体を民間部門に限定する規定はなく、また、公的機関（public authority）にも DIFC データ保護法が適用されることを前提とした規定があることから（13 条 1 項、27 条 6 項等）、管理者及び取扱者には公的機関も含まれ、公的部門と民間部門双方を対象とするものと解される。なお、特定の公的機関を除外する規定はない。
(2) 保護対象の範囲
DIFC データ保護法による保護の対象となる「個人データ（personal data）」とは、「特定の自然人又は特定可能な自然人に関する情報」（DIFC データ保護法の別紙 1.の 3 条）と定義付けられている。保護の対象となる「自然人」について、居住地又は国籍による区別はない。
(3) 地理的適用範囲
地理的適用範囲については、DIFC データ保護法は、①DIFC で設立された管理者又は取扱者による個人データの取扱いについて（当該取扱いが行われる場所が DIFC 域内か域外- 27 -

かを問わずに）適用され（6 条 3 項(a)）、また、②DIFC 域内において「恒久的なアレンジ（stable arrangement）」として個人データを取り扱う管理者又は取扱者に対し（当該管理者又は取扱者の設立地を問わずに）適用される（6 条 3 項(b)）。
なお、DIFC データ保護法 6 条 3 項において「DIFC 域内」とは、個人データの取扱活動のために用いられる手段や人員が物理的に DIFC 域内にあることをいう（6 条 3 項(a)）。
上記を超えた域外適用（例えば、GDPR に見られるような、域外で設立された事業体による域内に向けた物品・サービスの提供又は域内の個人の行動監視を行う場合における域外適用）の定めはない。
3.

留意点
2021 年 2 月、DIFC データ保護法の改正案に関するコンサルテーション・ペーパーがパ

ブリックコメントに付された。
例えば、データ主体の権利侵害に関する救済方法に関する改正案（欧州での近時の司法判断も踏まえ国際的な水準に合わせる改正案）や、データ主体の権利行使が過大等の理由により制限される場合における管理者及び取扱者の責任（accountability）を強化する改正案等が検討されているが、具体的な改正の方向や今後の予定は、基準日時点において、まだ明らかではない。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

UAE（DIFC）は、EU の十分性認定を取得しておらず、具体的な取得等に係る手続もな
されていない。
また、APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続もなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
DIFC データ保護法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 28 -

ア

適法かつ公正な手段による取得その他収集の制限を定めた規定「個人データは、そのデータ主体との関係において、適法かつ公正に、また透明性のある態様で取り扱われなければならない」（9 条 1 項(b)）と規定されている。そして、上記の「取扱い」とは、「自動的な手段によるか否かを問わず、収集、記録、編集、構成、記録保存、修正若しくは変更、検索、参照、使用、送信による開示、配布、又は、それら以外に利用可能なものとすること、整列若しくは結合、制限、消去若しくは破壊のような、個人データ若しくは一群の個人データに実施される業務遂行又は一群の業務遂行を意味する」と定義されており（DIFC データ保護法の別紙 1.の 3 条）、取得や収集を含む。
上記のとおり、個人データは「適法に」取り扱わなければならないところ（9 条）、適法性の根拠として、DIFC データ保護法 10 条は、同条 1 項(a)ないし(f)に定めるいずれかの根拠に該当する必要があると規定している。具体的には、(a)データ主体から同意を得た場合（DIFC データ保護法 12 条の定めに従ってデータ主体から特定の目的のために個人デー
タを取り扱うことについて同意を得た場合）、(b)データ主体が締結した契約の履行のために必要な場合又は当該契約の締結に先立ちデータ主体からの要請に基づいて個人データの取扱いが必要な場合、(c)管理者に適用される法令を遵守するために必要な場合、(d)データ
主体又は他の自然人の重大な利益を守るために必要な場合、(e)DIFC 当局が DIFC の利益のために行う事務の遂行のために必要な場合等、あるいは(f)管理者又は個人データへのアク
セスを許された第三者における「正当な利益（legitimate interests）」のために必要な場合が挙げられている。個人データの取得・収集も個人データの取扱いの一形態であるから、個人データの取得・収集に際しては、データ主体からの同意を含む適法性の根拠のうちいずれかに該当する必要がある（10 条 1 項）。
なお、適法性の根拠のうち、「正当な利益」（legitimate interests）（10 条 1 項(f)）に関しては、①DIFC データ保護法が適用される公的機関（public authority）は、「正当な利益」に依拠して個人データを取り扱うことが許されないこと、②グループ内における個人
データの移転に関しては、グループに属する管理者は、グループ内における管理目的のため「正当な利益」を有し得ること、③詐欺の防止やネットワーク及び情報の安全性保持のために必要かつ相当な場合、個人データの取扱いは、「正当な利益」を有すると考えられることが規定されている（13 条 1 項ないし 3 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定「個人データは、そのデータ主体との関係において、･･･（略）･･･透明性のある態様で取り扱われなければならない」（9 条 1 項(b)）と規定されているところ、管理者は、デー
タ主体から個人データを取得する場合（29 条）及びデータ主体以外から個人データを取得する場合（30 条）の双方について、「データ主体に対し、管理者の名称及び連絡先、管理者が指定したデータ保護オフィサー（DPO）がいるときは DPO の連絡先、予定されている個人データの取扱いの目的等の情報（29 条 1 項(a)及び(c)、30 条 1 項(a)及び(c)）等を提供しなければならない」（29 条 1 項、30 条 1 項）と規定されている。

- 29 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
DIFC データ保護法には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定「個人データは、その収集時に決められた、特定され、明確で正当な目的のために取り扱われなければならない」（9 条 1 項(c)）、「上記の目的に適合しない態様で取り扱われてはならない」（9 条 1 項(d)）、「個人データは、その個人データが取り扱われる目的に関連し、かつ当該目的に関して必要な範囲に限定されるべきである」（9 条 1 項(e)）と規定されている。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定「個人データは、正確であり、かつ、それが必要な場合、最新の状態に維持されなければならない（遅滞なく個人データの消去又は訂正を行うことを含む）」（9 条 1 項(g)）と規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
DIFC データ保護法には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、「個人データは、その収集時に決められた、特定され、明確で正当な目的のために取り扱われなければならない」（9 条 1 項(c)）、及び、「上記（9 条 1 項(c)に定める）目的に適合しない態様で取り扱われてはならない」（9 条 1 項(d)）と規定されてい- 30 -

る。
なお、利用目的の変更時について直接定めた規定ではないが、「確定した終期のある単発個別事象」（Single Discrete Incident）に関する個人データの取扱いである場合を除き、「データ主体は、定期的に、同意を再確認し又は同意を撤回する機会を付与されなければならない」（12 条 10 項）と規定されている。そして、「管理者が、データ主体の同意を
適法性の根拠として個人データの取扱いを行う場合には、管理者は、データ主体の同意が引き続き有効か否かについて、適切かつ比例的な方法で検証しなければならない。例えば、同意が与えられた状況や条件等も考慮の上、データ主体が自らの付与した同意に基づ
く個人データの取扱いが継続することを予期することが合理的かどうか検討する方法等を含む」（12 条 6 項ないし 8 項）と規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
DIFC データ保護法には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
まず、「個人データは、そのデータ主体との関係において、適法かつ公正に、また透明性のある態様で取り扱われなければならない」（9 条 1 項(b)）と規定されている。そして、個人データの「取扱い」には、開示又は利用可能な状態に置くこと等幅広い利用態様を含む（DIFC データ保護法の別紙 1.の 3 条）。
その上で、上記 1.のとおり、適法性の根拠として、DIFC データ保護法 10 条は同条 1 項(a)ないし(f)に定めるいずれかの項目に該当する必要があると規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 31 -

5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
DIFC データ保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。
具体的には、「個人データは、無権限又は違法な取扱い（移転を含む）に対して、並びに、偶発的な損失、破損又は損害に対して、適切な技術上又は組織上の措置を用いて行われる保護を含め、個人データの適切な安全性を確保する態様により、取り扱われなければならない」（9 条 1 項(i)）、「管理者又は取扱者は、個人データの取扱いが DIFC データ保護法に沿って行われるよう適切な技術的及び組織的な措置を講ずる必要がある」（14 条 2項）と規定されている。
上記の後者（14 条 2 項）に関しては、さらに、「情報セキュリティに関して業界に浸透している優れた取組み（prevailing information security good industry practice）」等にも配慮の上、(i)意図的、偶発的又は過失によるものかを問わず、無権限又は違法な個人データの破損、損失、変造、損壊及び不正なアクセスの可能性も考慮し、個人データの取扱いに伴って生じるリスクに相応したレベルで安全保護を確保しなければならず、又、(ii)その他いかなる形式による違法な取扱いをも防止するよう安全保護を確保しなければならない」（14条 2 項(a)(iii)、同条同項(b)(i)及び(ii)）と規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
DIFC データ保護法には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
個人データの取扱いに関する方針の策定に関しては、「個人データを収集し、又は取り扱う管理者又は取扱者は、取り扱う個人データの範囲や種類に応じ、DIFC データ保護法に沿って、「データ保護方針」（data protection policy）を書面にて作成しなければならない」（14 条 5 項）と規定されている。そして、データ保護方針を公開する場合には、下記- 32 -

ウの末尾記載のような効果がある。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定

データ主体から個人データを取得する場合（29 条）及びデータ主体以外から個人データを取得する場合（30 条）の双方について、「管理者は、データ主体に対し、管理者の名称
及び連絡先、管理者が指定したデータ保護オフィサー（DPO）がいるときは DPO の連絡
先、予定されている個人データの取扱いの目的等の情報（29 条 1 項(a)及び(c)、30 条 1 項(a)及び(c)）等を提供しなければならない」（29 条 1 項、30 条 1 項）と規定されている。
データ主体に対する通知は、原則として、「書面（適切である場合には電子媒体による方法を含む）でなされなければならない」（31 条 1 項）と規定されている。ただし、「データ主体から要請があり、データ主体本人からの要請であることが確認できた場合には口頭での提供も可能」（31 条 2 項）と規定されている。
また、「管理者が、公衆において閲覧可能な『データ保護方針』において通知の対象事項を掲載し、かつ、データ主体に対して明確に当該『データ保護方針』を参照するよう示した場合には、これをもってデータ主体に対する情報提供（29 条及び 30 条）を遵守したものとすることができる」（31 条 3 項）と規定されている。さらに、データ主体に対する情報提供の方法として用いられる「データ保護方針」は、「書面において作成され、簡潔で透明性のある、明確で平易な文言を用いた理解可能な内容で、かつ、容易にアクセス可能な形態のものでなければならない」（31 条 3 項）と規定されており、また、「管理者は、『データ保護方針』において、データ主体に対し、個人データの取扱いに関する追加情報の参照を促すリンクを含めることができる」（同条同項）と規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
DIFC データ保護法には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定

データ主体は、原則として、管理者に対して要請後 1 か月以内に、無償で、①自己に関係する個人データが取り扱われているか否かの確認を得る権利、②個人データの類型、個- 33 -

人データ取扱いの目的、個人データの提供先に関する情報にアクセスする権利、及び、③
取り扱われている個人データ、個人データの取得元、DIFC データ保護法 29 条及び 30 条に定める情報に対応する情報の写しを電子媒体にて取得する権利を有する（33 条 1 項(a)(b)）。
なお、④管理者から、データ主体が提供した個人データを機械判読可能なフォーマット
で受領する権利（データ・ポータビリティ権）も有する（37 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、以下のいずれかに該当する場合、管理者に対し、個人デ―タの消去を求める権利を有する（33 条 2 項(a)ないし(d)）。
(a)個人データの収集時に決められた目的との関係において個人データの取扱いが必要でなくなったとき、(b)同意を撤回したとき、(c)個人データの取扱いが不適法であるか、又は、管理者に適用される法令に遵守するために個人データの消去が求められるとき、あるいは、(d)データ主体が個人データの取扱いに異議を唱え、かつ、管理者が個人データの取扱いを続けることについて優越する正当な利益がないとき。
また、データ主体は、原則として、管理者に対して要請後 1 か月以内に、無償で、個人データの訂正を求める権利を有する（33 条 1 項(c)）。
ウ

権利行使ができない場合の理由の通知や異議申立てを定める規定

管理者が、データ主体から要請された情報提供（33 条 1 項）に関し、公的手続の阻害回避、刑事捜査や訴追等の阻害回避、公共の安全の保護、国家安全保障又は他者の権利の保護を理由として制限する場合（33 条 13 項(a)ないし(e)）、管理者は、遅滞なく、データ主体に対し、書面で、情報提供が制限される理由、データ主体はデータ保護機関であるコ
ミッショナーに対する不服申立て（60 条）ができること、及び、コミッショナーの判断に不服がある場合には裁判所に対して抗告（63 条）ができることを通知しなければならない（33 条 14 項(a)ないし(d)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
管理者又は取扱者は、DIFC データ保護法 9 条 1 項に基づく規律の遵守について責任があり、また、コミッショナーに対して遵守状況を示すことができなければならない（9 条 2- 34 -項）。DIFC 公式ウェブサイトによれば、責任の原則（Accountability）に関する規定は、
DIFC データ保護法 14 条から 22 条に定められているとの整理がなされているところ 12、代表的な規定は以下のとおりである。
ア

責任及び通知（Accountability and notification）に関する規定（14 条）
まず、責任に関しては、「管理者又は取扱者は、その規模、取り扱う個人データの類

型、又は、データ主体におけるリスク等に応じて、DIFC データ保護法を遵守するためのプ
ログラムを構築する必要がある」（14 条 1 項）、「管理者又は取扱者は、個人データの取扱いが DIFC データ保護法に沿って行われるよう適切な技術的及び組織的な措置を講ずる必要がある」（14 条 2 項）等と規定されている。
イ

データ保護オフィサー（Data Protection Officer）に関する規定（16 条）

DIFC データ保護法では、「管理者又は取扱者における DIFC データ保護法の遵守状況について独立性をもって監視する DPO（data protection officer）」（DIFC データ保護法の別紙
1.の 3 条）の制度を通じて、責任の原則が確保されている。
また、「DPO の選任が求められていない場合には、管理者又は取扱者は、DIFC データ
保護法に基づく各種義務の遵守状況を監視する職責を担う担当者を明確に定め、コミッ
ショナーの要請があれば、当該担当者に関する詳細な情報を提供できるようにしておかな
ければならない」（16 条 4 項）と規定されている。
ウ

データ保護影響評価
管理者は、「高リスク取扱行為」（※注）を行う場合、それに先立ち、当該行為が個人

デ ー タ の 保 護 に 与 え る 影 響 度 合 い を 評 価 し な け れ ば な ら ず （ Data Protection Impact
Assessment、以下「データ保護影響評価」という）（20 条 1 項）、DPO が選任されている
場合、DPO がデータ保護影響評価について監督する（20 条 3 項）。
（※注）「高リスク取扱行為」とは、①新規又は異なる技術や方法の採用により、データ主体の権利の保護にとってのリスクが実質的に増加し、又は、データ主体の権利行使がより困難となるような取扱いである場合、②相当量の個人データを取り扱い、かつ、個人データの機微性や個人データの保護に関するリスク等に基づきデータ主体にとって高度のリスクを

12

DIFC 公式ウェブサイト、FAQ19 番。https://www.difc.ae/business/operating/data-protection/faqs-glossary/
Q19. What is Accountability? A. Accountability is captured in Articles 14 to 22 of the DP Law 2020. It is, in anutshell, a means of showing transparency and proper management and handling of a very important asset: your
Personal Data. It includes taking such measure as appointing a Data Protection Officer or “DPO”, who is someonethat independently manages accountability and DP compliance within a company. It also includes carrying out
impact assessments to understand the risks （security, sharing, access, etc） to your Personal Data.

- 35 -

来たすような場合等、DIFC データ保護法の別紙 1.の 3 条の「高リスク取扱行為」の類型として掲げられた類型の一つ又は複数に該当する場合をいう。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 13においては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令 14、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 15 においては、現地法律事務所が把握している限り、存在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として、マネー・ローンダリング、テロリズムへの資金供与及び違法組織への資金供与対策に関する連邦法 20/2018（AML 法）があるが、AML 法については、アラブ首長国連邦（連邦）パートを参照されたい。
V.

データ保護機関の有無及び連絡先

名称：

The Commissioner of Data Protection（43 条 1 項に基づき DIFC の長官に任命され、DIFC データ保護法の遵守につい13

代表的か否かに関する判断は現地法律事務所が行っている。

14

GDPR に類似した個人データの域外移転規制の定めはあるものの、域外移転を行うにあたって当局の承認は必須ではなく、実質的な域内保持を義務づけるものではない。

15

代表的か否かに関する判断は現地法律事務所が行っている。

- 36 -

て監督及び執行等を行う者。DIFC データ保護法の別紙 1.の 3 条）
連絡先： Dubai International Financial Centre Authority
Level 14, The Gate Building+971 4 362 2222
commissioner@dp.difc.ae（DIFC の公式ウェブサイト内、データ保護のセクションの Online Data Protection
Policy の末尾に、コンタクト先として公表されている。https://www.difc.ae/onlinedata-protection-policy/）
以上- 37 -

第6章

インド

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、代表的な個別法として 162000 年情報技術法（Information Technology Act, 2000）（以下「情報技術法」という）が、同法の下で定められた規則として、情報技術（合理的なセキュリティプラクティス、手続及びセンシ
ティブ個人データ又は情報）規則（Information Technology (Reasonable security practices andprocedures and sensitive personal data or information) Rules, 2011）（以下「セキュリティ規則」といい、情報技術法と併せて「データ保護法令」という）が、それぞれ存在する。情報技
術法は 2000 年 6 月 9 日に施行されており、セキュリティ規則は 2011 年 4 月 11 日に施行さ
れている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
データ保護法令は、適用対象をインド国内 17に所在する事業者（body corporate）に限定している。事業者とは、あらゆる企業を意味し、会社、個人事業主、又は商業的若しくは専門的な活動に従事するその他の団体を含む（セキュリティ規則 2 条(c)が参照する情報技
術法 43 条 A）。したがって、基本的には民間の事業者のみが適用対象となる。ただし、公的機関が所有、管理する事業体は、上記の事業者の定義に該当し、データ保護法令の適用を受ける場合があるため、注意が必要となる。
(2) 保護対象となる個人情報の定義
個人情報とは、自然人に関する情報であって、事業者が保有し、又は保有可能性のある
他の情報と合わせて、直接的又は間接的に、当該自然人を識別することができる情報をいう（セキュリティ規則 2 条(1)(i)）。
また、以下に関する情報からなる個人情報については、特にセンシティブ個人情報と定16

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

172011 年 8 月 24 日付電子情報技術省通知（Clarification on Information Technology (Reasonable Security
Practices and Procedures and Sensitive Personal Data or Information) Rules, 2011 Under Section 43A of theInformation Technology ACT, 2000）参照- 38 -

義されている（セキュリティ規則 3 条）。
①

パスワード

②

金融情報（銀行口座、クレジットカード情報、デビットカード情報その他の支払手段の詳細）③

身体的、生理的特徴又は精神衛生状況

④

性的指向

⑤

医療記録及び履歴⑥

生体認証情報⑦

事業者のサービス提供のために提供された、上記各号に関連する情報⑧

適法な契約その他の方法に基づき事業者が取り扱い、又は保管するため上記各号に従って受領した情報
このうち、公表されている情報又は法令に基づいて提供される情報は、センシティブ個

人情報の定義から除かれる。
データ保護法令は、電子形式の個人情報にのみ適用され、紙等のその他の形式で保存されている個人情報には適用されない。さらに、セキュリティ規則に基づく規律はセンシ
ティブ個人情報にのみ適用される。他方、（センシティブ個人情報に該当しない）単なる
個人情報の処理に関する具体的な遵守事項は、情報技術法及びセキュリティ規則にて定められていないが、個人情報の不正な開示が行われた場合には一定の罰則が適用される可能性がある。
なお、インド国外に所在する外国人の個人情報が、データ保護法令の保護対象になるか、法令上明確ではないが、上記アのとおり、インド国内に所在する事業者が外国人の個
人情報を処理する場合には、データ保護法令の適用があると規定されている。
(3) 地理的範囲
上記脚注 16 のとおり、セキュリティ規則はインド国内に所在する事業者によるセンシ
ティブ個人情報の処理にのみ適用される（2011 年 8 月 24 日電子情報技術省通知）。ただし、情報技術法は域外適用の規定を有しており（情報技術法 1 条 2 項）、一定の場合には同法上の罰則規定（情報技術法 72 条 A）が外国法人にも適用され得ることに注意する必要
がある。
3.

留意点
現在法の改正作業が進められており、GDPR に近い内容を有する、2021 年個人情報保護法案（Personal Data Protection Bill, 2021）が国会に提出されている。

- 39 -

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

インドは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続きはなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則(Collection Limitation Principle)(1) 規定の存否と概要
データ保護法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が、センシティブ個人情報に関する限り、存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
事業者は、事業者の機能又は活動に関連する適法な目的のために、かつ、当該目的のために必要と考えられる場合でない限り、センシティブ個人情報を収集してはならず、また収集する前に情報提供者の書面又は電子メールで利用目的に関する同意を取得する必要がある（セキュリティ規則 5 条 1 項及び 2 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
事業者及び当該事業者に代わり行動する者（以下「事業者等」という）は、個人情報を収集する場合、情報提供者が以下の事項を認識できるように合理的な措置を実施する必要がある（セキュリティ規則 5 条 3 項）。
①

収集の事実

②

収集の目的

③

受領予定者

④

情報収集者及び情報保有者の名前及び住所- 40 -

(2) 当該原則が実質的に及ばない分野等について
N/A
データ内容の原則(Data Quality Principle)

2.

(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定
が、センシティブ個人情報に関する限り、存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
収集されたセンシティブ個人情報は、収集された目的のために使用されるものとされている（セキュリティ規則 5 条 5 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
事業者等は、情報提供者（個人）の要請に応じて、提供した個人情報を確認する機会を与える必要があり、不正確又は不十分であることが判明した個人情報又はセンシティブ個
人情報については、実行可能な限り修正又は訂正しなければならない。ただし、事業者
は、情報提供者（個人）が当該事業者等に提供した個人情報又はセンシティブ個人情報の真正性について責任を負うものではない（セキュリティ規則 5 条 6 項）。
(2) 当該原則が実質的に及ばない分野等について
N/A
3.

目的明確化の原則(Purpose Specification Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定
が、センシティブ個人情報に関する限り存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
事業者は、事業者の機能又は活動に関連する適法な目的のために、かつ、当該目的のために必要と考えられる場合でない限りセンシティブ個人情報を収集してはならず、また、収集する前に情報提供者の書面又は電子メールで利用目的に関する同意を取得する必要が- 41 -

ある（セキュリティ規則 5 条 1 項及び 2 項）。また、事業者等は、個人情報を収集する場
合、情報提供者が以下の事項を認識できるように合理的な措置を実施する必要がある（セキュリティ規則 5 条 3 項）。
①

収集の事実

②

収集の目的

③

受領予定者

④

情報収集者及び情報保有者の名前及び住所
上記合理的措置は同意取得の前提として行われるため、取得時又はそれより前の時点でセンシティブ個人情報の利用目的は特定されている必要があるといえる。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
収集されたセンシティブ個人情報は、収集された目的のために使用されるものとされている（セキュリティ規則 5 条 5 項）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
N/A(2) 当該原則が実質的に及ばない分野等について
N/A
4.

利用制限の原則(Use Limitation Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定
が、センシティブ個人情報に関する限り、存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定収集されたセンシティブ個人情報は、収集された目的のために使用されるものとされている（セキュリティ規則 5 条 5 項）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
センシティブ個人情報を第三者に開示するためには、事業者と情報提供者が当該開示についてあらかじめ合意している場合を除き、情報提供者から事前に同意を得る必要があ- 42 -

る。ただし、以下の場合は同意を得る必要がない（セキュリティ規則 6 条 1 項、2 項）。
①

事業者と情報提供者との間の適法な契約の履行に必要な場合②

法律上の義務を遵守するために開示が必要である場合③

捜査等の目的で法令に基づき当局により開示が求められた場合（この場合は開示しなければならない）(2) 当該原則が実質的に及ばない分野等について
N/A
5.

安全保護の原則(Security Safeguards Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が、センシティブ個人情報に関する限り、存在する。具体的には、以下のとおりである。
情報技術法及びセキュリティ規則は、事業者に対して、センシティブ個人情報保護のため、合理的なセキュリティ実務及び措置を実施することを義務付けている。
情報技術法では「合理的なセキュリティ実務及び措置」を両当事者間の契約に明記され又は有効な法律に明記された実務及び措置をいうとしており、当事者間の契約、有効な法律がいずれも存在しない場合には、中央政府が適当と考える専門機関と協議して定める実務及び措置をいうとしている。
また、セキュリティ規則上、ISO/IEC27001 を採用した事業者等は、合理的安全措置及び手続を講じているとみなされるが、定期的な認証・監査を受ける必要がある。IS/ISO/IEC
コード以外の情報管理に関する自己規制に従っている団体又はそれにより組成された組織
は、中央政府による承認を受ける必要がある（セキュリティ規則 8 条）。
(2) 当該原則が実質的に及ばない分野等について
N/A- 43 -

6.

公開の原則(Openness Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が基本的にセンシティブ個人情報に関する限り、存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
事業者等は、情報提供者の情報を収集、受領、所有、保存、取引又は利用する事業者

は、センシティブ個人情報を含む個人情報の取扱いに関するプライバシーポリシーを作成し、情報提供者がこれを認識できる状態に置く必要がある（セキュリティ規則 4 条）。このプライバシーポリシーには以下の事項を定める必要があり、また、当該事業者のウェブ
サイトに当該プライバシーポリシーを掲載する必要がある。
①

個人情報取扱いの実務及び方針についての明快かつアクセスしやすい説明②

収集される個人情報又はセンシティブ個人情報の種類③

収集及び使用の目的④

センシティブ個人情報を含む情報の開示⑤

合理的な安全措置及び手続イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
事業者等は、個人情報を収集する場合、情報提供者が以下の事項に関する知識を得られるように合理的な措置を実施する必要がある（セキュリティ規則 5 条 3 項）
①

収集の事実

②

収集の目的

③

受領予定者

④

情報収集者及び情報保有者の名前及び住所(2) 当該原則が実質的に及ばない分野等について
N/A- 44 -

7.

個人参加の原則(Individual Participation Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定
が、存在する。具体的には、以下のとおりである。
ア

自己に関する個人情報の開示を求める権利を定める規定
事業者等は、情報提供者の要請に応じて、提供した個人情報を確認する機会を与える必要があり、不正確又は不十分であることが判明した個人情報又はセンシティブ個人情報については、実行可能な限り修正又は訂正しなければならない（セキュリティ規則 5 条 6項）。すなわち、本人は、個人情報の開示、訂正、完全化、変更を求める権利を有する。
イ

自己に関する個人情報の消去、訂正、完全化又は変更を求める権利を定める規定

上記アを参照。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

N/A(2) 当該原則が実質的に及ばない分野等について
N/A
8.

責任の原則(Accountability Principle)(1) 規定の存否と概要
データ保護法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
(2) 当該原則が実質的に及ばない分野等について
N/A- 45 -

IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護

法令又はサイバーセキュリティ関連法においては、現地法律事務所が把握している限り、存在しない。ただし、それ以外の代表的な法令 18として、Reserve Bank of India（以下「インド中央銀行」という）発行の支払システム情報の保存に関する政令（以下「DL 政令」という）及び DL 政令に関する FAQ（以下「DL FAQ」といい、DL 政令と併せて「DL 規則」という）や電気通信分野における統一ライセンス法にデータローカライゼーションの規定が存在する。
それぞれの概要は以下のとおりである。
(1) DL 規則
DL 規則はデジタル決済の健全な発展とデータブリーチによるリスクを低減するために、
決済データの監視、監督を行うことを目的としている。当該目的のため、DL 規則はインド中央銀行による認可の対象となる支払システムの提供者（仲介者、ペイメントゲートウェ
イ提供者、第三者ベンダー等を含む）に対して、支払システムに関連する全ての情報がインドにおいてのみ保存されることを義務付けている。規制の対象となる支払システム情報とは、メッセージ、支払指示の一部として収集、伝達又は処理されたエンドツーエンドの取引詳細及び情報と定義されており（DL 政令 2 条(i)）、氏名、携帯電話番号、電子メー
ル、Aadhaar 番号（国民マイナンバー情報）、PAN（納税者番号）を含む顧客情報、顧客及び受益者の口座情報を含む支払センシティブ情報、ワンタイムパスワード、PIN、パスワード等の支払クレデンシャル、システムへの入退出情報、取引参照情報、タイムスタン
プ、取引金額を含む取引情報が包含されると規定されている（DL FAQ 3 条）。
DL 政令はエンドツーエンド情報をインド国内にて保存することを義務付ける一方、その例外も定めており、一定の外国の要素を持つ取引が例外に該当する。DL FAQ はこの点の詳細を規定しており、インド国内と国外双方の側の情報を取り扱うこととなる越境取引の情報につき、必要に応じてインド国内側の情報についても、インド国外にてコピーを保存してよいと規定している。また、DL 政令は、越境取引の情報の処理につき、以下のとおり
詳細を規定する。
①

インド国外にて支払システム情報を処理することは許容される。インド国外で情報を処理する場合、支払のための情報処理が行われてから 1 営業日以内又は 24 時間以内のいずれか短い期限までに、当該情報はインド国外のシステム上から削除され、インド

18

代表的か否かに関する判断は現地法律事務所が行っている。

- 46 -

国内に戻される必要がある。
②

決済処理等、支払処理後になされる処理をインド国外で行う場合、支払処理とほぼ同時に行われる必要がある。また、情報はインドでのみ保存されている必要がある。

③

払い戻し等、支払処理に関連する処理の場合、情報が保存されているインドから、いつでもアクセスすることができる。

(2) 統一ライセンス
統 一 ラ イ セ ン ス （Unified Licence ） で は 、 同 法 に 基 づ き 電 気 通 信 省（ Department of
Telecommunications）からライセンスを受けた電気通信サービス事業者に対して、サービス利用者の財務情報（国際ローミング及び料金情報を除く）及び利用者情報（ローミングでインドの事業者のネットワークを利用している海外の契約者及び IPLC の契約者に係るものを除く）をインド国外に移転することを禁じている（統一ライセンス 39.23 条(viii)）。なお、統一ライセンス法はインドのサービス利用者の情報を保存する、インド国内のサービス事業者にのみ適用されるものであり、外国からの移転により取得した個人情報には、同法のデータ・ローカライゼーション規制は適用されない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 19において、現地法律事務所が把握している限り、存
在しない。
3.

ガバメントアクセス 20
ガバメントアクセスを根拠付ける法令として、①情報技術法、②セキュリティ規則、③2021 年 情 報 技 術 規 則 （ 媒 介 者 ガ イ ド ラ イ ン 及 び デ ジ タ ル メ デ ィ ア の 倫 理 規 範 ）（Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021）
及び④電信法（Indian Telegraph Act of 1885）及び⑤刑事訴訟法（Criminal Procedure Code）がある。また、統一ライセンス法等、一定の分野にのみ適用される法令にもガバメントア
クセスを根拠付けるものがあるが、ここでは分野横断的に適用される法令のみを紹介する
ものとする。
19

代表的か否かに関する判断は現地法律事務所が行っている。

20

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 47 -

(1) 法的根拠
ア

目的①

情報技術法：インドの主権及び一体性、国防、州の安全保障、諸外国との友好関係、
公序良俗、並びにこれらに関係する認識可能な犯罪の実行の防止又は捜査のため（同法 69 条）。当該目的のため、中央政府又は中央政府より授権された行政官は、適切な政府機関を通じて、情報の提供を要請することができ、要請を受けた者は、情報へのアクセスの提供、情報の傍受、監視又は復号の補助、及び保管している情報の提供を行う必要がある。

②

セキュリティ規則：当局による本人の確認、サイバー事件を含む事件の予防、検知、調査、訴追、及び犯罪の処罰のため（同規則 6 条 1 項）。当該目的のため、法令で定められた政府機関は、個人のセンシティブ個人情報を、本人の同意を得ることなく共有され得る。
2021 年情報技術規則（媒介者ガイドライン及びデジタルメディアの倫理規範）：当局③

による本人の確認、サイバーセキュリティ事故を含む事件の予防、検知、調査、訴追、及び犯罪の処罰のため。当該目的のため、同規則に基づき「仲介者」に該当する組織は、適切な政府機関からの要請に基づき、自己が管理又は保有する情報を、一定期限内に提供することが要請され得る（同規則 3 条(j)）。
④

電信法：国民の緊急事態への対応又は国民の安全のため（同法 5 条）。当該目的のために、中央政府又は州政府によりメッセージの傍受が認められている。

⑤

刑事訴訟法：捜査、裁判その他の刑事手続のため。当該目的のため、警察又は裁判所は、必要又は望ましい、書類その他の物を要請することができるとしており、その中には電子記録も含まれると解されている。

イ

実施主体

①

情報技術法：中央政府又は州政府②

セキュリティ規則：電子情報技術省、警察を含む行政組織③

2021 年情報技術規則（媒介者ガイドライン及びデジタルメディアの倫理規範）：電子情報技術省、警察を含む政府組織④

電信法：中央政府又は州政府⑤

刑事訴訟法：裁判所及び警察

ウ取得される個人データの種類に関する限定の有無・概要
N/A- 48 -

エ

制限及びその例外に係る規定の有無・概要

N/A
オ

手続規定の有無・概要①

情報技術法：開示請求を行う政府機関側の手続は特段法定されていない。

②

セキュリティ規則：対象となる情報を処理している事業者に対して、事前に当該情報を要請する目的を明示した書面を送付することとされている。

③

2021 年情報技術規則（媒介者ガイドライン及びデジタルメディアの倫理規範）：開示請求を行う政府機関側の手続は特段法定されていない。

④

電信法：傍受を行っている際には、政府高官 3 名により構成される委員会にて、傍受を行う合理的な理由の有無等が定期的に審査される（情報技術（情報の傍受、監視および復号化のための手続及びセーフガード）規則（Information Technology (Procedureand Safeguards for Interception, Monitoring and Decryption of Information) Rules, 2009）及びインド電信規則（Indian Telegraph Rules, 1951）419 条 A）。当該委員会にて、傍受に合理的な理由がないと判断された場合には、傍受の留保及び傍受を行う政府機関に対して、傍受により取得、復号した情報を破棄するように命令される。また、傍受を行う機関は、傍受行う前に監督官庁（これ以上の明確化はされていない）又は内務省（Ministry of Home Affairs）長官より、事前承認を得る必要があるとされている（同規則）。

⑤

刑事訴訟法：警察又は裁判所は、書類その他の物を要求する命令書を発行し、当該命令書に記載された場所・時間にて、当該命令書を対象物の所有者又は処分権限者に対して示すことで、当該物の提出、作成等を要請することができる（刑事訴訟法 91条）。

(2) 正当な目的の追求
上記(1)ア記載の目的の制限に加えて、特段の制限は存在しない。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

電信法について、上記(1)オのとおり、傍受に当たっては監督官庁又は内務省長官より事前承認を得る必要がある。
イ

暗号復号強制、保護措置
上記ア同様。

- 49 -

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
N/A

イ

データの取扱者に関する制限
N/A

ウ

安全管理措置に関する定めの有無・概要

N/A(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
N/A

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

N/A
ウ

監督機関による監督状況の公表
N/A(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称電信法については、上記(1)オ記載のとおり、政府高官にて構成され、少なくとも 2 か月

1 回に開催される委員会にて、傍受を行う合理的な理由の有無等が定期的に確認される。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

上記委員会の長は、中央政府にて委員会が構成される場合には、Cabinet Secretary が、地方政府にて構成される場合には Chief Secretary が担当することとされている。権限については(1)オ参照。その他名称、独立性、身分保障については、具体的に法定されていない。
ウ

調査形態
上記(1)オ参照。

- 50 -

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
N/A

イ

救済を提供する行政機関・裁判所に関する情報
N/A

ウ

外国人の救済の可否
N/Aエ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

N/A
V.

データ保護機関の有無及び連絡先
包括的なデータ保護機関は存在しないが、電気通信技術省（Ministry of Electronics andInformation Technology）が対応を行っている。連絡先は下記のとおりである。
住所：Electronics Niketan, 6, CGO Complex, Lodhi Road, New Delhi - 110003
ウェブサイト：Ministry of Electronics and Information Technology, Government of India | Home
Page (meity.gov.in)
コ ン タ ク ト フ ォ ー ム ： Contact Us | Ministry of Electronics and Information Technology,
Government of India (meity.gov.in)
以上- 51 -

第7章

インドネシア（インドネシア共和国）

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、代表的な個別法として以下の法令が存在する 21。
電子情報及び電子取引に関する 2008 年法律第 11 号（Law No. 11 of 2008 on Electronic
Information and Transaction（2008 年法律第 11 号の変更に関する 2016 年法律第 19 号（Law
No. 19 of 2016 on the amendment of Law No. 11 of 2008）により改正）（以下「電子情報法」という）電子システム及び電子取引の実施に関する 2019 年政令第 71 号（Government Regulation No.
71 of 2019 on the Administration of Electronic Systems and Transactions）（以下「2019 年政令」という）電子システムにおける個人情報に関する 2016 年通信情報省規則第 20 号（Minister ofCommunications and Informatics Regulation No. 20 of 2016 on the Protection of Personal Data in an
Electronic System）（以下「2016 年規則」という）民間電子システム運営者に関する 2020 年通信情報省規則第 5 号（Minister of Communications
and Informatics Regulation No. 5 of 2020 on Private Electronic System Operators）（以下「2020年規則」という）
2020 年規則を改正する 2021 年通信情報省規則第 10 号（Minister of Communications andInformatics Regulation No. 10 of 2021）（以下「2021 年規則」という）（以下総称して「電子情報法令」という）
電子情報法（2016 年 11 月 25 日改正）は 2018 年 4 月 21 日、2019 年政令は 2019 年 10 月 10日、2016 年規則は 2016 年 12 月 1 日、2020 年規則は 2020 年 11 月 24 日、2021 年規則は2021 年 5 月 21 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象
電子情報法令は、電子システム運営者（electronic system operator）に適用される。電子システム運営者（electronic system operator）は、自己又は第三者のために、単独又は共同で、

21

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

- 52 -

電子システム（electronic system）を利用者のために提供、管理及び運営する個人、当局関係者、企業又は社団と定義されている（2019 年政令 1 条）。電子システム（electronicsystem）は、電子情報を作成、収集、処理、分析、表示、公表、送信及び拡散するための一連の電子手続及びデバイスをいう（2020 年規則 1 条）。
電子システム運営者は、公共電子システム運営者（public electronic system operator）と民間電子システム運営者（private electronic system operator）の 2 つに分類される（2019 年政
令 2 条）。公共電子システム運営者は、税務当局（directorate general of tax）、年金機構（Badan Penyelenggara Jaminan Sosial Kesehatan; BPJS）、地方政府など、政府機関又は政府に任命された組織をいう。民間電子システム運営者は、物品若しくはサービスに係る取引、金融取引の提供、管理及び運営、有料デジタルコンテンツ、デジタルコミュニケー
ション（チャット、ビデオ、電話など）の運営、サーチエンジン及び個人情報の処理を目的としたウェブサイト、又はポータル若しくはインターネットベースのアプリを運営又は保有する者をいう。
電子情報法令は、公共電子システム運営者及び民間電子システム運営者に適用されるが、金融部門における公共電子システム運営者については適用が除外されている。具体的には、インドネシア金融庁（Otoritas Jasa Keuangan; OJK）には、電子情報法令の適用がない。ただし、インドネシア金融庁は、別途、Law No. 21 of 2011 on OJK により個人情報の守秘義務を負う。
(2) 個人情報の定義
電子情報法令において、個人情報は、電子システムを通じたものか否かにかかわらず、
単独又は他の情報と共同して、直接又は間接的に個人を識別できる情報と定義されている（2019 年政令 1 条）。なお、いわゆるセンシティブ個人情報については定義されていな
い。また、対象となる個人情報の主体は、インドネシアにいる者に限定されない。
(3) 登録義務
民間電子システム運営者は、利用者への提供に先立ち、Minister of Communications andInformatics (Kementerian Komunikasi dan Informatika) （以下「通信情報省」という）への登録が必要となっている（2020 年規則）。当該登録は法人単位で必要であり、登録内容に変更がある場合には通信情報省への通知が必要である。
当該登録義務は、国内の法人だけではなく、駐在員事務所や支店を含む国外の法人についても適用があり得る（2020 年規則 4 条）。国外の法人の場合、インドネシアで業務を行っている場合又は電子システムがインドネシアの顧客により利用されている場合に登録が必要となる。

- 53 -

(4) 地理的適用範囲
電子情報法令は、インドネシアにおいて個人情報の処理（Processing）を行う国外の電子システム運営者にも適用されることを示唆している（電子情報法 2 条）。なお、処理（Processing）は、取得、収集、処理、分析、保管、補修、配布、表示、公表、開示、更新、移転、削除及び消去を含む概念である。
電子情報法令は、インドネシアの利益を損なう行為を行う国外の電子システム運営者に適用されると明示的に規定している（電子情報法 2 条）。具体的には、インドネシアの経済的利益、戦略的データ保護、国家及び国民の尊厳及び品格、国家の防衛及び安全、国家の統治権、国内法人及び国民の利益を損なう場合などには、インドネシアの利益を損なうものとみなされる。
3.

留意点
個 人 情 報 の 保 護 に 関 す る 包 括 的 な 法 令 と し て 、 個 人 情 報 保 護 法 （ the personal dataprotection law）の草案が国民議会（the House of Representatives）において審議されているが、制定及び施行時期は未定である。
なお、電子情報法令は、個人情報の保護に関する包括的な法令ではないものの、前記のとおり、金融部門における公共電子システム運営者を除き、公共及び民間電子システム運営者に広く適用されるため、代表的な個別法として掲げている。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

インドネシアは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関す- 54 -

る規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人情報の取得は、処理の一類型として、限定かつ特定された方法により、合法、有効かつ公正に実施される必要がある（2019 年政令 14 条(1)a）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
個人情報の取得は、処理の一類型として、前記アに加えて、データ主体（Personal Data

Owner）の事前の同意が必要である（2019 年政令 14 条(1)a）。当該同意取得に際しては、
データ主体に目的を通知する必要があり（2019 年政令 14 条(1)及び(3)）、また、インドネ
シア語の同意フォームを提供しなければならない（2016 年規則 6 条）。
(2) 当該原則が実質的に及ばない分野等について
N/A
データ内容の原則（Data Quality Principle）

2.

(1) 規定の存否と概要
I.に記載した法令には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人情報の処理は、正確かつ完全、誤解を生じさせない方法で、最新の状態を維持し、責任をもって行う必要がある。また、利用目的を考慮しなければならない（2019 年政令 14 条(1)d）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
前記アに加えて、電子システム運営者は、データ主体から個人情報を直接取得する場合

又は第三者の情報源から間接的に取得する場合のいずれの場合であっても、当該個人情報の正確性を確認する必要がある（2016 年規則 10 条(1)及び(2)）。
(2) 当該原則が実質的に及ばない分野等について
N/A- 55 -

3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
電子システム運営者は、データ主体から個人情報を取得するに当たっては、限定かつ特定された目的を説明した上でデータ主体の同意を取得しなければならない（2016 年規則 12条、2019 年政令 14 条(1)及び(3)）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人情報は、電子システム運営者が取得時に明示した目的に従って処理されなければならない（2019 年政令 14 条(1)）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
利用目的変更時の取扱いについては規定はないが、当該変更についてデータ主体から同意を取り直す必要があると考えられる。
(2) 当該原則が実質的に及ばない分野等について
N/A
4.

利用制限の原則（Use Limitation Principle）
I.に記載した法令には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
I.に記載した法令には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。

- 56 -

電子システム運営者は、個人情報の処理に際しては、滅失、不正利用、無断開示及びア
クセス、変更並びに消去から個人情報を守るための措置を講じる必要がある（2019 年政令14 条(1)e）。
また、電子システム運営者は、データ主体からの同意取得と共に、その他法令に従って個人情報を処理する必要がある（2019 年政令 14 条(4)）。
(2) 当該原則が実質的に及ばない分野等について
N/A
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
電子システム運営者は、利用者に対して少なくとも以下の情報を提供しなければならな

い（2019 年政令 29 条）。これは、電子システム運営者の本人特定事項、取引の目的、セキュリティ、問い合わせの方法等が規定されている点で、個人データの取扱いが公開された一般的な方針に基づくものであると評価できる。
①

電子システム運営者の本人特定事項

②

取引の目的

③

電子システムの実行可能性及びセキュリティ④

デバイス利用手続

⑤

契約条項

⑥

合意手続

⑦

プライバシー又は個人情報保護の保証⑧

コールセンターの電話番号
そのほか、電子システム運営者は、個人情報保護に関して内部ポリシーを策定する義務を負う（2016 年規則 28 条）が、これは公開を前提としたものではない。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
電子システム運営者は、データ主体から個人情報を取得するに当たって利用目的を通知する必要がある（2019 年政令 14 条(1)f）ほか、個人情報の管理に関してデータ主体が容易- 57 -

にコンタクトできる者を指定しなければならない（2016 年規則 28 条 i）。
また、前記アのとおり、電子システム運営者は、利用者に対して、利用目的、管理者のidentity や所在地を容易に認識できる方法を含む一定の事項を認識できる方法によって示すことが求められている。
(2) 当該原則が実質的に及ばない分野等について
N/A
個人参加の原則（Individual Participation Principle）

7.

(1) 規定の存否と概要
I.に記載した法令には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、法令の規定に従い、電子システム運営者に提供された自己の個人情報についてアクセスを求め、個人情報取得の履歴を確認する権利を有する（2016 年規則 26 条d）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、法令の規定に従い、電子システム運営者が管理する電子システム上の自己の個人情報を消去することを求める権利を有する（2016 年規則 26 条 e）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
電子システム運営者が個人情報の違法アクセスなど法令に違反している場合、通信情報省を通じて電子システム運営者によるアクセスを停止させるための申立が可能である（2019 年政令 97 条）。
また、データ主体は、通信情報省内で友好的に解決できなかった紛争について、個人情報の安全保護措置の違反により被った損害について損害賠償請求を求める訴訟を提起することも可能である（2016 年規則 32 条）。なお、データ主体は、通信情報省に異議の申立をせずに、直接、裁判所に訴訟を提起することも可能である。
(2) 当該原則が実質的に及ばない分野等について
N/A- 58 -

責任の原則（Accountability Principle）

8.

I.に記載した法令には、これまで述べてきたとおり上記 7 原則に関する規定はあるものの、上記 7 原則の遵守を確保するための措置に関する規定は存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
電子情報法令には個人情報・個人データを域内で保有・保管することを義務付ける規定が存在するが、かかる義務は公共電子システム運営者のみに適用され、民間電子システム
運営者に対しては適用されない（2019 年政令 20 条(2)及び 21 条(1)）。ただし、当該デー
タ・ローカライゼーションに係る規定の例外として、保管技術がインドネシア国内で利用できない場合には、公共電子システム運営者は、国外でデータの保存を行うことができる（2019 年政令 20 条(3)）。「利用できない」場合に該当するか否かの基準は、通信情報省
等の関連省庁により構成される委員会によって決定されるが、当該基準は公表されていな
い。
電子情報法令以外には、当事務所所属の現地弁護士が把握している限り、分野横断的に適用されるデータ・ローカライゼーションの規定は存在しない。
なお、金融分野に関しては、インドネシア金融庁が制定する規則（OJK Regulation No.
4/POJK.05/2021 on Application of Risk Management During the Use of Information Technology by
Non-bank Financial Service Institutions、OJK Regulation No. 38/POJK.03/2016 on the Applicationof Risk Management in the Use of Information Technology by Commercial Banks（OJK Regulation
No. 13/POJK.03/2020 により改正）等）により、インドネシアのノンバンク金融機関、商業
銀行等はデータ・ローカライゼーションの義務を負う。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、存在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として 2016 年規則、2019 年政令及び 2020 年規則がある。

- 59 -

(1) 法的根拠
ア目的
電子システム運営者は、行政監督又は法執行の目的でガバメントアクセスの対象となる（2016 年規則 23 条(1)、2019 年政令 21 条(3)、2020 年規則 21 条、32 条、33 条、36 条(1)及び(3)並びに 39 条）。なお、法執行の目的については必ずしも刑事法に限定されていない規定も存在するが、以下では法の執行は、主として刑事法の執行を前提とする。
イ

実施主体
行政監督目的でのガバメントアクセスは、監督及び法令を所管する省庁及び機関が実施主体となる（2020 年規則 21 条）。通信情報省も所管官庁として実施主体となる。
刑事法執行目的でのガバメントアクセスは、刑事事件に関して捜査、訴追及び裁判を実施する権限を有する省庁及び機関が実施主体となる（2020 年規則 32 条、33 条、36 条(1)及び(3)並びに 39 条）。
ウ

取得される個人データの種類に関する限定の有無・概要
行政監督目的でのガバメントアクセスは、ガバメントアクセスの目的及び趣旨（後記のとおり、要請書に記載される）に従って実施される必要がある。
刑事法執行目的でのガバメントアクセスも、捜査、訴追及び裁判の目的に従って実施される必要がある。
エ

制限及びその例外に係る規定の有無・概要
法の執行目的のガバメントアクセスは、インドネシア国外で管理、処理又は保存されている電子情報も対象となり得るものの、インドネシア居住者又はインドネシア法人に関連する電子情報に限定される（2020 年規則 34 条）。
オ

手続規定の有無・概要
行政監督目的でのガバメントアクセスを行う場合（2020 年規則 22 条ないし 31 条）、実

施主体は、電子システム及び電子情報へのアクセスを要請する書面を送付する。当該要請書には、ガバメントアクセスの根拠、目的及び趣旨並びに詳細が記載される。電子システム運営者は、当該要請に円滑に応じるため、インドネシアに居住する者を責任者として任命する必要がある。当該要請には、5 暦日以内に応じなければならない。
刑事法執行目的でのガバメントアクセスを行う場合（2020 年規則 32 条ないし 41 条）においても、実施主体は、根拠、目的及び趣旨、詳細並びに対象となっている犯罪行為を記載した書面を送付する必要がある。加えて、所管する地方裁判所の決定の添付が必要となる場合がある。所管する地方裁判所の決定が必要か否かは、以下のとおりガバメントアク
セスの対象及び犯罪行為の種類によって異なる。

- 60 -

電 子 情 報 に は 、 ト ラ フ ィ ッ ク デ ー タ （ traffic data ） 及 び 加 入 者 情 報 （ subscriber
information）が含まれる。トラフィックデータは、電話番号、IP アドレス等の電子取引の発信元及び発信先を含む、電子取引に関する情報をいい、加入者情報は、加入者の名前、住所、ID、email アドレス、電話番号等の加入者に関する情報をいう。トラフィックデータ
及び加入者情報へのガバメントアクセスは、2 年以上の禁固が科せられる犯罪行為である
限りにおいて、所管の地方裁判所の決定が不要である。一方、コミュニケーション内容（communication contents）へのガバメントアクセスについては、2 年以上の禁固が科せられる犯罪行為であるか否かを問わず、所管する地方裁判所の決定が必要である。いずれの場
合にも、ガバメントアクセスの要請には、5 暦日以内に応じなければならない。
電子システムへのガバメントアクセスについては原則として所管の地方裁判所の決定が必要となる。また、当該要請には、5 暦日以内に応じなければならない。ただし、電子システムへのガバメントアクセスについては、5 年以上の禁固が科せられる犯罪行為については、所管の地方裁判所の決定が不要となる手続も規定されている。
(2) 正当な目的の追求（ガバメントアクセスの対象を目的の達成に必要な限度に限定する規定の有無・概要）
ガバメントアクセスは、法を執行するために必要な範囲に限定される（2016 年規則 23 条
(2)）が、詳細な規定は設けられていない。なお、前記のとおり、ガバメントアクセスの対
象は要請書に記載される。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
前記の他は、詳細な規定が設けられていない。原則として、ガバメントアクセスは実施

主体が送付する要請書により実施される。
イ

暗号復号強制、保護措置
特に規定されていない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
特に規定されていないが、電子システム運営者を対象としたものであるため、電子シス

テム運営者による保存期間の規定が適用されるものと考えられる（2016 年規則 15 条
(3)）。電子システム運営者による保存期間は、別途法令の定めがない限り、データ主体が電子システムの利用を終了した日から最低 5 年と規定されている。

- 61 -

イ

データの取扱者に関する制限
特に規定されていない。

ウ

安全管理措置に関する定めの有無・概要

特に規定されていない。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
特に規定されていない。

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

特に規定されていない。
ウ

監督機関による監督状況の公表
特に規定されていない。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
N/A

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A
ウ

調査形態
N/A

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A- 62 -

(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
電子情報法令は特に規定はないが、違法なガバメントアクセスに対する民法上の損害賠

償請求は可能と考えられる（Civil Code 1365 条）。
イ

救済を提供する行政機関・裁判所に関する情報（名称・独立性）
民法上の損害賠償請求は民事訴訟上の手続として行われる。なお、インドネシアの憲法上、裁判所の独立が確保されている。
ウ

外国人の救済の可否（当該外国人の所在（内国か外国か）別に）外国の当事者であってもインドネシアの裁判所での民事訴訟手続は可能である。
エガバメントアクセスによって取得された情報に基づき訴追された者の権利

特に規定されていない。
V.

データ保護機関の有無及び連絡先
インドネシアにおいてはデータ保護機関は存在しないが、通信及び IT 技術を所管する官庁として通信情報省がある。
通信情報省への一般的な照会のコンタクト先は以下のとおりである。
住所： Jl. Medan Merdeka Barat no. 9, Jakarta 10110
電話： (+6221) 3452841
電子メール： humas@mail.kominfo.go.id
以上- 63 -

第8章

ウクライナ

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人データ保護法第 2297-VI 号（The Law

of Ukraine on Personal Data Protection No. 2297-VI）（以下「法」という）が存在する。当該法令は 2011 年 1 月 1 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
法は、民間事業者及び公的事業者（地方政府を含む）に適用される。
法の適用対象となる個人データに関連する当事者には、企業、機関及び組織（所有形態を問わない）、公の当局、地方政府、及び個人事業者が含まれる（法 4 条）。
(2) 適用範囲
法は、その全部又は一部が自動化された手段によって行われる個人データの処理、及び非自動化手段によってファイルフォルダに保存され、又はファイルフォルダに保存するため割り当てられた個人データの処理に適用される（法 1 条）。個人データの処理には、取得、保管、利用、移転等が含まれる（法 2 条）。
法は明確に定めていないものの、解釈上、ウクライナ国内におけるあらゆる個人データの処理（ウクライナの事業者による処理か外国事業者による処理かを問わない）及びウク
ライナ国外へのデータ移転に適用される。
(3) 個人データの定義
個人データとは、識別され又は識別可能な自然人に関するデータをいう（法 2 条）。
3.

留意点
現在、個人データ保護法制の改正が議論されている。2021 年 6 月、個人データの保護に関する法律案が議会に提出された。この法律案は、欧州連合の一般データ保護規則（GDPR）をもとに作成されており、EC 指令第 95/46/EC 号に基本的に準拠する現行法を全- 64 -

面的に改正しようとするものである。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ウクライナは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人データの処理は、所定の処理の目的に適合する方法及び態様により、公開かつ透明性をもって行われなければならない（法 6 条 1 項）。
個人データの処理は、データ主体の同意を得て定められた、あるいはウクライナの法令で定められた、特定かつ適法な目的で行われなければならない（法 6 条 5 項）。
個人データの処理は、①データ主体の同意、②管理者の職務の履行のみを目的として法令上管理者に付与された個人データ処理の許可、③データ主体が当事者となっている契約
等の締結及び履行並びにそれらのための行為、④データ主体の重要な利益の保護、⑤管理者又は第三者の正当な利益（データ主体が処理の停止を求め、かつ個人データ保護の必要性が正当な利益を上回る場合を除く）のいずれかの法的根拠に基づかなければならない（法 11 条 1 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
データ主体は、次のいずれかの時点において、管理者、取得される個人データの構成及び内容、法に基づくデータ主体の権利、個人データの取得目的、及び自己の個人データの移転先に関する情報を受領する（法 12 条 2 項）。
①

個人データをデータ主体から取得する場合、個人データの取得時- 65 -

他の場合、個人データの取得から 30 日以内②

また、個人データの処理の法的根拠の一つとしてデータ主体の同意が挙げられることについて、上記アを参照。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人データの構成及び内容は、所定の処理の目的に関連し、適切であり、かつ過剰でな

いものでなければならない（法 6 条 3 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人データは、処理の目的に必要な限りにおいて正確、依拠可能かつ最新のものでなければならない（法 6 条 2 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
データ主体は、次のいずれかの時点において、管理者、取得される個人データの構成及- 66 -

び内容、法に基づくデータ主体の権利、個人データの取得目的、及び自己の個人データの移転先に関する情報を受領する（法 12 条 2 項）。
①

個人データをデータ主体から取得する場合、個人データの取得時②

他の場合、個人データの取得から 30 日以内

イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人データ処理の所定の目的が既存の目的と矛盾する他の目的に変更される場合、法令上別段の定めのある場合を除き、管理者はその後の処理を行うためにはデータ主体から変更後の目的についての同意を得なければならない（法 6 条 1 項）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
上記イを参照。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
上記 3.(1)イを参照。

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
個人データの処理は、データ主体の同意を得て定められた、あるいはウクライナの法令で定められた、特定かつ適法な目的で行われなければならない（法 6 条 5 項）。上記 3.(1)イも参照。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 67 -

安全保護の原則（Security Safeguards Principle）

5.

(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
管理者、処理者及び第三者は、偶発的紛失若しくは破壊、又は違法な処理（個人データの違法な破壊若しくはアクセスを含む）からの個人データの保護を確保しなければならない（法 24 条 1 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
専門的、自律的その他公的な組合又は法人は、多様な分野における個人データ処理の特性を考慮し、データ主体の権利の実効的な保護、及び個人データ保護法令の遵守を確保するための行動規範を策定することができる（法 27 条 2 項）。
行動規範に関連する下位規範として、2014 年 1 月 8 日の個人データの処理に関するガイ
ドライン第 1/02-14 号（The Guidelines on Processing of Personal Data No 1/02-14, dated 8 January2014）が存在する。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
データ主体は、法令上別段の定めのない限り、自己の個人データの取得源及び保存場

所、処理の目的、管理者又は処理者の所在地又は住所を知る権利、及び委任を受けた者にかかる情報を取得させる適切な指示を行う権利を有する（法 8 条 2 項）。
データ主体は、管理者、取得される個人データの構成及び内容、法に基づくデータ主体- 68 -

の権利、個人データの取得目的、及び自己の個人データの移転先に関する情報を受領する（法 12 条 2 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定

データ主体は、法令上別段の定めのない限り権利行使の受領後 30 日以内に、自己の個人
データの処理の有無についての回答及び自己の個人データの内容を受領する権利を有する（法 8 条 2 項）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、自己の個人データが違法に処理され、又は不正確である場合、管理者又は処理者がかかる個人データを修正又は削除することを理由を付して求める権利を有する（法 8 条 2 項）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

理由の通知に関する規定は存在しない。
データ主体は、ウクライナのデータ保護当局又は裁判所に対して、自己の個人データの処理に関する異議を申し立てる権利を有する（法 8 条 2 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。

- 69 -

しかしながら、各義務が管理者及び処理者に適用されることにより、責任の原則に対応する状況が実現されており、法の違反は管理者又は処理者の責任となる。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 22においては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法においては、法に存在する。また、それ以外の代表的な法令 23として、賭博活動の企画及び運営の国家規律に関する 2020 年 7 月 14 日の法律第 768-IX 号（The Law of Ukraine On State
Regulation of Organisation and Handling of Gambling Activity No 768-IX dated 14 July 2020）に存在する。これら以外の法令において、現地法律事務所が把握している限り、存在しない。
それぞれの概要は以下のとおりである。
(1) 法
国家又は自治体（self-government authority）が保有する個人データの処理者は、当該当局の所轄範囲に属するウクライナの国家又は地方が運営する事業者に限られる（法 4 条 3項）。よって、データ管理者である国家及び自治体は、個人データの処理をウクライナの公営企業にのみ処理を行わせることが許されることとなり、移転先が制約されることとな
る。
(2) 賭博活動の企画及び運営の国家規律に関する 2020 年 7 月 14 日の法律第 768-IX 号
オンライン賭博システム（賭博の企画及び実施、受理された賭け金に対するデータの取得、賭け金の計算及び登録、賞金の決定、計算及び支払い、その他の賭博の企画及び実施に関連する活動、並びに関連する情報の保存を提供する一連のソフトウェア及びハード
22

代表的か否かに関する判断は現地法律事務所が行っている。

23

代表的か否かに関する判断は現地法律事務所が行っている。

- 70 -

ウェア）の技術的手段は、ウクライナ国内に存在しなければならない。かかるシステム上の情報はウクライナ国内でのみ処理可能である（同法 23 条 3 項）。
3.

ガバメントアクセス 24
ガバメントアクセスを根拠付ける法令として法がある。調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的

国家安全保障、経済的福祉及び人権保護（法 6 条 6 項）。
イ

実施主体
実施主体は特定されていない。

ウ

取得される個人データの種類に関する限定の有無・概要
存在しない。

エ

制限規定の有無・概要
法に基づくアクセスは、国家安全保障、経済的福祉又は人権保護を目的するものに限られる（法 6 条 6 項）。法の要求事項を遵守する責任を負わない者や当該責任を負うことのできない者は、アクセスを行うことができない（法 16 条 2 項）。
オ

手続規定の有無・概要
個人データに対するアクセスの要求は、要求者の名称、所在地、アクセス対象の個人

データの詳細、目的及び/又は法的根拠等を示し、管理者又は処理者に対して行われる（法16 条 3 項、4 項参照）。
要求を受けた者は、要求の受領から 10 営業日以内に検討を行うとともに、関連する規範
又は法令上の根拠を示した上で、アクセスが可能か・アクセスの対象外かを要求者に回答しなければならない。アクセスの実行は、法令上別段の定めのある場合を除き、要求から
30 暦日以内になされる（法 16 条 5 項）。

24

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 71 -

(2) 正当な目的の追求
個人データの構成及び内容は、所定の処理の目的に関連し、適切であり、かつ過剰でな
いものでなければならない（法 6 条 3 項）。
秘密情報である個人に関するデータは、本人の同意がない限り、処理してはならない。
ただし、法令に定めがあり、かつ国家安全保障、経済的福祉及び人権の利益となる場合はこの限りでない（法 6 条 6 項）。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
個人データに対するアクセスの要求は、所定の事項を示して行わなければならない（上記(1)オを参照）。要求を受けた者は、当該個人データがアクセスの対象外である場合、関連する規範又は法令上の根拠を示して当該要求を拒否できる（法 16 条 5 項）。
イ

暗号復号強制、保護措置存在しない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
一般論として、個人データはその処理の目的に必要な期間を超えて保存してはならな

い。
イ

データの取扱者に関する制限、保護措置存在しない。
ウ

安全管理措置に関する定めの有無・概要
管理者、処理者及び第三者は、偶発的紛失若しくは破壊、又は違法な処理（個人データの違法な破壊若しくはアクセスを含む）からの個人データの保護を確保しなければならない（法 24 条 1 項）。
また、法の要求事項を遵守する責任を負わない者や当該責任を負うことのできない者
は、アクセスを行うことができない（法 16 条 2 項）。

- 72 -

(5) 透明性
ア

ガバメントアクセスの事実の通知義務の有無・概要
データ主体は、原則として、自己の個人データの第三者に対する移転について 10 営業日以内に通知を受ける（法 21 条 1 項）。ただし、捜索、諜報防止活動又はテロリズムとの闘いに関する任務の遂行に際して、要求に応じて個人データの移転を行う場合には適用されない（同条 2 項）。
イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告存在しない。
ウ

監督機関による監督状況の公表
存在しない。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称データ保護領域の全般的な監督は、法に基づき、ウクライナ議会人権コミッショナー（ウクライナのデータ保護当局）及び裁判所が行っている（法 22 条）。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障
ウクライナ議会人権コミッショナー。ウクライナ議会の過半数の投票により指名され、政府から独立した地位にある。
ウ

調査形態
ウクライナ議会人権コミッショナーによる調査には現地調査も含まれ、管理者に対しあらゆる情報の提供を求めることができる（法 23 条）。
調査の結果、個人データの訂正・削除・破壊・アクセス、アクセス制限設定、個人デー
タの取扱いの停止等を命令し、勧告を行い、あるいは行政上の責任を問うことができる（法 23 条 2 項）。
エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

監督メカニズムの実効性を評価する仕組みは存在しない。
ガバメントアクセスへの監督に固有の制度ではないが、ウクライナ議会人権コミッショ
ナーは、ウクライナ国内における人権保護（データ保護を含む）の概況について年次報告を行う。

- 73 -

(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
データ主体は、侵害された権利の回復及び損害賠償を請求可能（法 8 条 2 項）。
法が公表されているのみで、具体的な救済手続は公表されていない。

イ

救済を提供する行政機関・裁判所

裁判所（法 22 条）。裁判所は、国家権力からの独立が確保されており、裁判所の判断はあらゆる法的主体・組織等に対して法的強制力を有する（ウクライナ憲法 6 条、126 条、
129-1 条、司法及び裁判官の地位に関する 2016 年 6 月 2 日の法律第 1402-VIII 号 6 条、13条）。
ウ

外国人の救済の可否
ウクライナ国民と同様に可能。ウクライナ国内の外国人は、法令又は国際条約に別段の定めのない限り、ウクライナ国民と同等の権利、自由及び義務を有する（外国人及び無国籍者の地位に関する 2011 年 9 月 22 日の法律第 3773-VI 号 3 条）。別段の定めのある国際条約は見当たらない。
エガバメントアクセスによって取得された情報に基づき訴追された者の権利

以下の各権利を有する（法 8 条 2 項）。
①

自己の個人データの処理に対する異議の申立て②

自己の個人データが違法に処理され、又は不正確である場合、かかるデータの訂正又は削除③

違法な処理、偶発的紛失、毀損、意図的隠蔽による損害、不提供若しくは提供の遅延からの保護、及び、不正確な情報の提供又は個人の名誉や商取引上の信用を毀損する情報の提供からの保護

V.

データ保護機関の有無及び連絡先

ウクライナ議会人権コミッショナー（The Ukrainian Parliament Commissioner for Human
Rights）
https://ombudsman.gov.ua/en/page/zpd/
メールアドレス：hotline@ombudsman.gov.ua
住所：21/8 Instytutska str., Kyiv 01008, Ukraine- 74 -

上記の連絡先は、データ保護当局のウェブサイトにおいても公表されている。
以上- 75 -

第9章

オーストラリア（オーストラリア連邦）

I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、オーストラリア連邦議会により制定された 1988 年プライバシー法（Privacy Act 1988）（以下「プライバシー法」という）、同法に含まれるオーストラリア・プライバシー原則（Australian Privacy Principles）（以下「APP」という）、及び同法の下位規則として具体的な要求事項を規定する 2013 年プライバシー規則（Privacy Regulation 2013）（以下「プライバシー規則」という）が存在する。プライバ
シー法は 1989 年 1 月 1 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
プライバシー法は、多くの民間組織及び連邦政府機関に適用される（プライバシー法 7条）。もっとも、政党、年間売上高が 300 万オーストラリアドル未満の中小規模事業者、一部の政府情報機関及び国家安全機関には適用されない（プライバシー法 6D 条(1)、7B
条、7C 条）。
(2) 個人情報の定義
プライバシー法が適用される「個人情報」とは、識別された個人又は合理的に識別可能な個人に関する情報又は意見をいい、当該情報又は意見が真実であるか否かや、当該情報又は意見が物理的に記録されているか否かを問わない（プライバシー法 6 条）。なお、「個人情報」の主体は、オーストラリア国民に限られない。
また、人種又は民族、宗教的信念又は信仰、性的指向又は習慣、健康情報等に関する情報や意見を含む「センシティブ情報」については、追加の規制が存在する（プライバシー法 6 条）。
(3) 地理的適用範囲
プライバシー法は、オーストラリア国内の組織の活動に適用されるだけでなく、「オーストラリアと関連性がある（Australian link）」組織の外国での活動にも適用される。国外の組織が「オーストラリアと関連性がある」と判断されるのは、当該組織がオーストラリ- 76 -

ア国内で事業を行い、かつ、オーストラリア国内で個人情報を収集・保管している場合（オーストラリア国内に所在するデータ主体から情報を収集している場合を含む）である（プライバシー法 5B 条）。
3.

留意点
プライバシー法は、法務省による継続的な見直しの対象となっている。2019 年 12 月 12日にはかかる見直しの実施が、2020 年 10 月には見直しに係る論点整理が発表された後、意見公募手続きに付された。2021 年後半又は 2022 年前半に同法の改正案を含むディスカッ
ションペーパーの公表が予定されており、プライバシー法を GDPR 等の外国の規制とより密接に連携させるために、多くの重要な改正点が提案されている。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

オーストラリアは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続
きはなされていない。もっとも、イギリスによる UK GDPR の十分性認定の取得が検討されている。
また、APEC の CBPR システムには 2019 年 11 月 23 日に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
適用対象者は合法的かつ公正な手段によってのみ個人情報を収集することができる（APP3.5 条）。また、適用対象者が連邦機関である場合には、その機関の機能や活動のために合理的に必要であるか、又は直接関連している場合を除き、個人情報を収集してはな
らない（APP3.1 条）。

- 77 -

イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
適用対象者が個人情報を収集する場合、収集前又は収集時に（又はそれが不可能な場合は収集後できるだけ早く）、データ主体に所定の事項を通知するための合理的な手段を講じるか、又はデータ主体がそれらの事項を認識できるようにしなければならない（APP5.1
条）。所定の事項には、収集する適用対象者の名前及び連絡先、収集の状況、収集の目
的、情報の共有先、適用対象者のプライバシー・ポリシーに関する情報が含まれる（APP5.2 条）。
また、センシティブ情報を収集する際には、同意が不要となる一定の場合（例えば、生命、健康、安全に対する深刻な脅威又は公衆の健康や安全に対する脅威を軽減又は防止するために必要であり、かつ、同意を得ることが不合理又は非現実的な場合等）を除き、同意を取得しなければならない（APP3.3 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
適用対象者が連邦機関である場合には、その機関の機能や活動のために合理的に必要であるか、又は直接関連している場合を除き、個人情報を収集してはならない（APP3.1
条）。また、個人情報が特定の目的のために収集された場合、データ主体の同意を得る
か、非常に限定された例外事由に該当しない限り、かかる情報を他の二次的な目的のために使用することはできない（APP6.1 条、6.2 条）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
適用対象者は、使用又は開示する個人情報が、使用又は開示の目的を考慮して、正確、

最新、完全、かつ関連性を有するものであるよう、状況に応じて合理的な措置（もしあれば）をとらなければならない（APP10.2 条）。

- 78 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
適用対象者が個人情報を収集する場合、収集前又は収集時に（又はそれが不可能な場合は収集後できるだけ早く）、データ主体に所定の事項を通知するための合理的な手段を講じるか、又はデータ主体がそれらの事項を認識できるようにしなければならない（APP5.1
条）。所定の事項には、適用対象者が個人情報を収集する目的が含まれる（APP5.2 条）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

個人情報が特定の目的のために収集された場合、データ主体の同意を得るか、APP6.2 条
又は 6.3 条の例外事由に該当しない限り、かかる情報を他の二次的な目的のために使用することはできない（APP6.1 条）。例外事由は限定されており、二次的な目的のための使用又は開示が、オーストラリアの他の法律若しくは裁判所の命令によって要求又は許可されている場合や、個人の生命、健康若しくは安全、公衆の健康若しくは安全に対する深刻な脅威を軽減又は防止するために必要であり、かつ同意を取得することが不合理又は非現実的である場合などが挙げられる。
なお、APP6.1 条に基づく同意が有効であると認められるためには、適用対象者はデータ主体に二次的な目的を通知する必要がある。
ウ

利用目的の変更時における利用目的の特定を定めた規定
上記イと同じ。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 79 -

4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
上記 3(1)イと同じ。

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

上記 3(1)イと同じ。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
適用対象者が個人情報を保有する場合、その適用対象者は、当該情報の誤用、干渉、消失、又は不正なアクセス、変更、開示から保護するために、状況に応じて合理的な措置を講じなければならない（APP11.1 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 80 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
適用対象者は、個人情報の管理について、明確に表現された最新の方針（以下「APP プ

ライバシー・ポリシー」という）を持たなければならない（APP1.3 条）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
適用対象者の APP プライバシー・ポリシーは、以下の情報を含まなければならず（APP1.4 条）、ウェブサイトに掲載する等、状況に応じた合理的な方法で提供しなければならない（APP1.5 条）。
適用対象者が収集、保管する個人情報の種類。



適用対象者が個人情報を収集、保管する方法。

適用対象者が個人情報を収集、保管、使用、開示する目的。



データ主体が、適用対象者が保管するデータ主体の個人情報にアクセスし、当該情報の修正を求める方法。



データ主体が APP の違反について不服を申し立てる方法、及び適用対象者がそのような不服申立てに対処する方法。

適用対象者が外国の受領者に個人情報を開示する可能性の有無。



適用対象者が外国の受領者に個人情報を開示する可能性がある場合において、それらの受領者が所在する可能性のある国を APP プライバシー・ポリシーに明記することが現実的である場合は、その国。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定- 81 -

が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
適用対象者がデータ主体の個人情報を保有している場合において、データ主体の要求があれば、データ主体に対してかかる情報へのアクセスを提供しなければならない（APP12.1 条）。
また、適用対象者は、データ主体が要求したアクセス方法が合理的かつ実行可能である
場合には、かかる方法によりアクセスを提供しなければならず（APP12.4 条）、アクセス権の行使やアクセスの提供についての費用をデータ主体に対して請求することはできない（APP12.7 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
現在、プライバシー法には、消去権は定められていないものの、上記 I.(3)記載の同法の継続的な見直しにおいては、GDPR 等の国際的な規制と整合する消去権を導入すべきかを検討している。
また、適用対象者が保有する個人情報について、その使用又は開示の目的との関係で保管の必要がなくなった場合（かつ、かかる情報が連邦政府の記録に含まれておらず、オーストラリアの法律や裁判所の命令によって保管が義務付けられていない場合）、適用対象者は状況に応じた合理的な手段を講じて、かかる情報を破棄又は非識別化しなければならない（APP11.2 条）。
さらに、適用対象者が保管するデータ主体の個人情報が不正確、最新でない、不完全、関連性がない、若しくは誤解を招くものであると適用対象者が判断した場合、又はデータ主体がかかる情報の訂正を適用対象者に要求した場合には、適用対象者は、状況に応じてかかる情報を訂正するために合理的な措置を講じなければならない（APP13.1 条）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

適用対象者が APP12.2 条及び 12.3 条所定の例外事由に基づき個人情報へのアクセスを拒絶する場合、データ主体に対し、拒絶の理由（ただし、理由を記載することが不合理でない場合に限る）、データ主体による不服申立ての方法、及びプライバシー規則に定められたその他の事項を記載した書面による通知を行わなければならない（APP12.9 条）。また、訂正権の行使への拒絶についても同様の規定が定められている（APP13.3 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 82 -

8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。
適用対象者は、APP に違反する行為をしてはならない（プライバシー法 15 条）。
また、個人情報の開示主体は、特定の状況下において、オーストラリア国外の開示先がAPP を遵守した行動をとることについて責任を負う（プライバシー法 16C 条）。
データ主体がプライバシー法や APP の違反の疑いに対して法的手続きを開始する直接的な権利は定められていないものの、ある適用対象者が APP に違反しているとデータ主体が考えた場合には、プライバシー法の施行を所管する Office of the Australian Information
Commissioner（以下「OAIC」という）に対して不服を申し立てることができる（プライバ
シー法 36 条）。なお、OAIC は、プライバシー法違反の疑いを調査した上で、補償金の支払い等の決定や、連邦裁判所や連邦巡回裁判所に対して民事罰命令を出すことを要請する権限を有する（プライバシー法 13G 条、40 条、80W 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 25においては、現地法律事務所が把握している限りは存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法においては、現地法律事務所が把握している限り、存在しない。なお、プライバシー法において個25

代表的か否かに関する判断は現地法律事務所が行っている。

- 83 -

人データの域外移転既成の定めはあるものの（APP 8.1 条）、域外移転を行うにあたって当局の承認等は必要とされず、実質的な域内保持を義務付けるものではない。
それ以外の代表的な法令 26として、私の健康記録法（My Health Records Act 2012）及び防衛取引管理法（Defense Trade Controls Act 2012）（以下「DTCA」という）に存在する。それぞれの概要は以下のとおりである。
(1) 私の健康記録法
私の健康記録法は、いかなる者であっても、国民の医療情報の取扱いを効率化するために政府が運営しているシステムである「私の健康記録システム」（My Health Record
System）に記録されている情報をオーストラリア国外に持ち出し、保管、処理、又は取り扱うことを禁止している 27。
(2) DTCA
DTCA は、2021 年の防衛・戦略物資リスト（以下「DSGL」という）に記載されている技術を、オーストラリア国内の個人・団体からオーストラリア国外の個人・団体に対し、関連する許可なく「提供」することを禁止している。DSGL には、軍事・防衛用途の商品、ソフトウェア、技術（例えば軍事部品、軍事システムや大量破壊兵器の開発・製造のための技術）等広範な事項が記載されている。
3.

ガバメントアクセス 28
ガバメントアクセスについては、アクセスする政府機関の主体やアクセスの目的ごとに多数の根拠法令が存在している。そのうち代表的な法令 29として 1914 年犯罪法（Crimes
Act 1914）（以下「犯罪法」という）があるが、アクセスを根拠付ける捜索令状は判事又は治安判事によって発行されることが原則であり（犯罪法 3C 条）、我が国の制度と比較して、オーストラリアへの個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度とは解されないことから、本報告書には記載しない。

26

代表的か否かに関する判断は現地法律事務所が行っている。

27

もっとも、日本の組織に同法が適用される可能性は低い。

28

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

29

代表的か否かに関する判断は現地法律事務所が行っている。

- 84 -

V.

データ保護機関の有無及び連絡先[名称]

Office of the Australian Information Commissioner[連絡先] 電話番号：+61 2 9284 9749（月～木、10am～4pm AEST）
住所：GPO Box 5218 Sydney NSW 2001
オンラインによる問い合わせフォームも利用可
以上- 85 -

第 10 章 カナダ
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、民間部門に適用される連邦法である個人

情報保護及び電子文書法（Personal Information Protection and Electronic Documents Act）（以下「PIPEDA」という）と、公的部門に適用される連邦法であるプライバシー法（PrivacyAct）が存在する。PIPEDA は 2001 年から 2004 年にかけて段階的に、プライバシー法は1983 年 7 月 1 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) PIPEDA
ア

適用対象者
商業活動に従事する組織や事業者による個人情報の収集、利用、保持、開示に適用される（PIPEDA 4 条 1 項）。
イ

個人情報の定義「個人情報」とは、特定可能な個人に関する情報をいう（PIPEDA 2 条 1 項）。
「個人情報」の範囲は広義に解釈され、ある情報が単独で、又は他の情報と組み合わせ

ることにより個人を特定できる可能性が高い場合には、「特定可能な個人に関する情報」に該当する。
なお、「個人情報」の主体は、カナダに居住する者に限られない。
ウ

地理的適用範囲
カナダ連邦裁判所は、組織の活動とカナダとの間に現実かつ重要な関係性（real andsubstantial connection）がある場合には、他の法域で設立された民間組織による個人情報の収集、利用及び開示についても PIPEDA が適用されると判示している。
(2) プライバシー法
ア

適用対象者
政府や公共団体（地方を含む）による個人情報の収集、利用、保持、開示に適用される（プライバシー法 2 条）。

- 86 -

イ

個人情報の定義

PIPEDA と実質的に同義である（プライバシー法 3 条）。
ウ

地理的適用範囲
カナダに所在する組織にのみ適用される。

3.

留意点
特になし 30。

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

カナダは、民間部門についてのみ EU の十分性認定を 2001 年 12 月 20 日に取得した。
また、APEC の CBPR システムには 2015 年 4 月 1 日に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
政府機関は、運営事業又は活動に直接関連しない限り、個人情報を収集してはならない（プライバシー法 4 条）。カナダ連邦裁判所は、運営事業又は活動に直接関連する場合とは、収集した情報と政府の運営事業又は活動との間に仲介者が存在しない、直接的・即時的な関連性がある場合をいうと解釈している。

30

なお、ケベック州では、官民両部門に適用される個人情報保護法（QC Private Sector Act 及び Act
respecting Access to Documents held by Public bodies and the Protection of personal information）を改正する法案 64 号が可決され、一部の規定を除き、2023 年 9 月 22 日に施行される。現時点において、このような法改正を行ったのはケベック州のみであるが、連邦政府や一部の州においても、今後同様の法案が提出されることが見込まれている。

- 87 -

さらに、カナダ国家財政委員会によるプライバシー慣行に関する指令（Directive on
Privacy Practices）（以下「指令」という）は、個人情報の収集を政府機関の事業又は活動に直接関連し、かつ明白に必要性が認められる場合に限定すべきとしており、また、個人情報の収集前に、情報が収集される事業又は活動に係る権限を政府機関が有していることを確認することを要求している（指令 6.2.6、6.2.8 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
政府機関は、個人情報の収集の対象となる個人に対し、情報収集の目的を通知しなければならず（プライバシー法 5 条 2 項）、かかる通知には以下の事項を含まなければならない（指令 6.2.9 項）。
①

収集の目的と権限②

当初の目的に合致した利用又は開示③

個人情報の提供を拒否した場合の法律上・行政上の責任④

プライバシー法に基づく個人情報へのアクセス、訂正、保護の権利⑤

政府機関の個人情報の取扱いについて、カナダプライバシー委員会（the CanadianPrivacy Commissioner）に不服を申し立てる権利
また、政府機関は、以下の場合には関連する個人から同意を得なければならない（指令6.2.12 項）。
①

個人情報の間接的な収集。ただし、同意を求めることにより、不正確な情報の収集につながり、又は収集の目的や利用を阻害する場合は除く②

情報を収集又は編集した当初の目的と合致しない利用又は開示③

規則で定められた 2 年間の最低保管基準より前の個人情報の処分。ただし、かかる処分が法律で明示的に許可されている場合を除く
同意を得る必要がある場合には、政府機関は、関連する個人に対し、以下の事項のうち該当するものを通知しなければならない（指令 6.2.13 項）。
①

同意の目的及び対象となる個人情報②

間接的な収集の場合、情報源と、間接的に収集を行う理由③

収集の本来の目的と合致しないことにより同意が求められている原因である利用又は開示④

同意を提供しないことにより生じる可能性のある責任⑤

同意の提供に代わる手段(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 88 -

2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
政府機関は、自身の管理下にある個人情報について、関連する個人の同意を得ずに、収集若しくは編集された目的又はその目的に合致した用途以外に利用してはならない（プライバシー法 7 条(a)）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
政府機関は、利用する個人情報が可能な限り正確、最新かつ完全なものとなるよう、あらゆる合理的な手段を講じなければならない（プライバシー法 6 条 2 項、指令 6.2.22 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
政府機関は、個人情報の収集の対象となる個人データ主体に対し、情報収集の目的を通知しなければならない（プライバシー法 5 条 2 項）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

上記アと同様。
ウ

利用目的の変更時における利用目的の特定を定めた規定
政府機関は、個人情報を取得した目的とは別の目的のために個人情報を利用するために- 89 -

は、その利用が目的に合致する場合、又はその利用が法律で明示的に認められている場合を除き、本人の同意を得なければならない（プライバシー法 7 条(b)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
政府機関は、自身の管理下にある個人情報を、関連する個人の同意なしに、プライバ

シー法の下で明示的に許可された場合を除き、開示してはならない（プライバシー法 8 条
1 項ないし 3 項）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
政府機関は、自身の管理下にある個人情報について、関連する個人の同意を得ずに、収集若しくは編集された目的又はその目的に合致した用途以外に利用してはならない（プライバシー法 7 条(a)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。

- 90 -

政府機関は、個人情報を保護するため、管理的、技術的、物理的な手段を用いて、個人情報へのアクセス及び利用を制限しなければならない。
また、政府機関は、個人情報への不適切・不正なアクセス又は取扱いを適時に特定する
ため、個人情報へのアクセス、利用及び開示が監視され、文書により記録されていることを保証する適切な手段を講じなければならない（指令 6.2.20 項、6.2.21 項）。
なお、政府機関が個人情報を他の機関、公共又は民間部門の団体に開示する場合にも、適切な保護措置を伴う契約を締結しなければならない（指令 6.2.22 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
政府機関は、個人から直接個人情報を収集する場合、かかる個人に対し、情報収集の目的を通知しなければならず（プライバシー法 5 条 2 項）、かかる通知には以下の事項を含まなければならない（指令 6.2.9 項）。
①

収集の目的と権限②

当初の目的に合致した利用又は開示③

個人情報の提供を拒否した場合の法律上・行政上の責任④

プライバシー法に基づく個人情報へのアクセス、訂正、保護の権利⑤

政府機関の個人情報の取扱いについて、カナダプライバシー委員会に不服を申し立てる権利イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定

上記アと同様。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 91 -

個人参加の原則（Individual Participation Principle）

7.

(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
カナダ国民又は永住者であるすべての個人は、個人情報バンク（personal informationbank）又は政府機関の管理下にある個人情報にアクセスする権利を有し、要求に応じてア
クセスを与えられる（プライバシー法 12 条 1 項）。「個人情報バンク」とは、行政目的のために利用された、利用されている、又は利用可能な個人情報の集合体又はグループをいう（プライバシー法 3 条、10 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
管理目的のために利用された、利用されている、又は利用可能な個人情報へのアクセスを与えられたすべての個人は、誤り又は欠落があると考える場合、個人情報の訂正を要求する権利がある（プライバシー法 12 条 2 項(a)）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
個人情報へのアクセスを拒否する場合、政府機関の長は、(a)要求された個人情報が存在しないこと、又は(b)拒否の根拠となった若しくは拒否が合理的に正当化されるプライバ
シー法の規定を通知しなければならない。この際、政府機関は、アクセス権を行使した個人がカナダプライバシー委員会に不服を申し立てる権利があることを通知に記載しなければならない（プライバシー法 16 条 1 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
I.に記載した法令のうちプライバシー法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在す- 92 -

る。具体的には、以下のとおりである。
個人は、政府機関の管理下にある個人情報の収集、利用、保持、開示、破棄に関する問
題、又はかかる情報へのアクセスに関する問題について、カナダプライバシー委員会に不服を申し立てることができる（プライバシー法 29 条）。不服申立てに十分な根拠があること が 判 明 し た 場 合 、 カ ナ ダ プ ラ イ バ シ ー 委 員 会 事 務 所 （ The Office of the Privacy
Commissioner of Canada）は政府機関の責任者に勧告を行うことができる（プライバシー法
35 条 1 項）。
プライバシーに関する国家財政委員会の方針、指令、又は基準を遵守していない政府機関は、議会に提出する年次報告書の中で、コンプライアンス戦略の策定と実施に関する追加情報を提供するよう求められることがある。また、国家財政委員会議長は、政府機関の長に対し、追加要件の規定を含む勧告を行うことができる（プライバシー保護に関する方針（Policy on Privacy Protection）7.1 項及び 7.2 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 31に
おいては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 32においては、現地法律事務所が把握している限り、存在しない。

31

確認・検討した具体的な法令の情報は得られていないが、代表的か否かに関する判断は現地法律事務所が行っている。

32

確認・検討した具体的な法令の情報は得られていないが、代表的か否かに関する判断は現地法律事務所が行っている。

- 93 -

3.

ガバメントアクセス 33
ガバメントアクセスを根拠付ける法令として刑法（Criminal Code）、カナダ安全保障情報局法（Canadian Security Intelligence Service Act）及びカナダ通信保安局法 Communications
Security Establishment Act（以下「CSEA」という）がある。これらのうち、Criminal Code 及び Canadian Security Intelligence Service Act に基づくガバメントアクセスは、裁判所の令状を得て行われるため、ここでは CSEA のみを紹介するものとする。CSEA の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的

カナダの通信保安局（Communications Security Establishment。以下「CSE」という）によるガバメントアクセスは、外国諜報、サイバーセキュリティ及び情報保証（information
assurance）、防衛的サイバーオペレーション、積極的サイバーオペレーション並びに技術上及び運用上の支援という CSE の任務のために実施される（CSEA 15 条 2 項）。
イ

実施主体
CSE によるガバメントアクセスは、法令に抵触する場合又はカナダ国民の合理的な予想を侵害する場合には、カナダ国防大臣（Minister of National Defence）が発出した外国諜報状（Foreign Intelligence Authorization）によって許可されなければならない（CSEA 22 条 3
項）。
ウ

取得される個人データの種類に関する限定の有無・概要
上記イと同様。

エ

制限及びその例外に係る規定の有無・概要

上記イと同様。
オ

手続規定の有無・概要
上記イのとおり、CSE によるガバメントアクセスは、法令に抵触する場合又はカナダ国

民の合理的な予想を侵害する場合には、カナダ国防大臣が発出した外国諜報状によって許可 さ れ な け れ ば な ら な い と こ ろ （ CSEA 22 条 3 項 ） 、 外 国 諜 報 状 は 、 Intelligence
Commissioner による準司法的レビューにより承認されなければならない（CSEA 28 条、イ33

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 94 -

ンテリジェンスコミッショナー法（Intelligence Commissioner Act）20 条)。 Intelligence
Commissioner は元上級裁判所裁判官であり、Intelligence Commissioner Act により設置された独立の監視機関である。
なお、ガバメントアクセスが認められる期間については法定されていないが、外国諜報状に一定の期間が定められることもある。
(2) 正当な目的の追求
ガバメントアクセスの対象を目的の達成に必要な限度に限定する規定は、カナダ権利と自由憲章（Canadian Charter of Rights and Freedom, Schedule B to the Canada Act 1982 (UK)）（以下「憲章」という）において存在する。
憲章は、個人を不合理な捜索及び押収から保護している（憲章 8 条）。すなわち、上記(1)の外国諜報状の発令における合理性の要件には、国家によるプライバシーの侵害の程度が必要かつ相当であるという要件が内在している。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

上記(1)イ及びオ記載のとおり。
イ

暗号復号強制、保護措置
特になし。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
特になし。

イ

安全管理措置に関する定めの有無・概要

プライバシー法の適用を受ける政府機関は、カナダ国家財政委員会による Guidelines forPrivacy Breaches 及び Guidance Document: Taking Privacy into Account Before Making Contracting
Decisions の各ガイドラインに従い、契約締結前に、プライバシーに関する事項を考慮しなければならない。
具体的には、プライバシー侵害が発生した場合には、カナダプライバシー委員会事務所、Departmental Security Office、カナダ国家財政委員会、及び影響を受ける個人に直ちに通知し、すべてのプライバシー侵害の記録を保管する等、プライバシー侵害に対処するための計画と手順を確立することが求められる。

- 95 -

さらに、従業員や役員等に対して、定期的かつ継続的にプライバシーに関する教育を行わなければならない。
他にも、個人情報を含む記録へのアクセス及び編集権限を一定の従業員のみに制限する
明確な管理統制を確立し、「フィッシング」や「ファーミング」に対する予防措置を講じ、暗号を利用して機密性の高い個人情報を保護する等、国際規格である ISO 27001 及び
ISO 27002 に準拠した技術的対策を講じる必要がある。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
特になし。

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告
ガバメントアクセスに関する報告書を公表する義務は存在しないものの、カナダのイノ

ベーション・科学・経済開発省は、民間組織が政府当局への情報開示件数に関する統計を報告することを奨励するガイドラインを公表している。そして、多くの企業が、どのような頻度・状況で、顧客に関する情報を政府当局に提供しているかを説明するために、「透明性レポート（Transparency Report）」を自主的に発行している。
ウ

監督機関による監督状況の公表
まず、国家安全保障情報審査機関法（National Security and Intelligence Review AgencyAct）（以下「NSIRA 法」という）の下で設立された National Security and Intelligence Review
Agency（以下「NSIRA」という）は、(a)国家安全保障情報に関連するあらゆる政府活動の合法性・合理性・必要性を審査し、報告すること、及び(b)一定の政府機関に対する不服申立てを調査することを目的とした機関である。NSIRA は、一定の政府機関の活動（令状の取得数を含む）に関して、年次報告書を発表しなければならない（NSIRA 法 32 条）。
また、国会議員の国家安全保障及び諜報委員会法（National Security and Intelligence
Committee of Parliamentarians Act）（以下「NSICP 法」）に基づき設立された National
Security and Intelligence Committee of Parliamentarians（以下「NSICP」という）は、(a)国家安全保障と諜報のための立法、規制、政策、行政、財政の枠組み、(b)国家安全保障又は国家情報に関連する部門が実施する活動、及び(c)大臣が NSICP に照会した国家安全保障又は国家情報に関連する事項の監督を行うことを目的とした機関である（NSICP 法 8 条 1 項）。
NSICP は、首相に年次報告書を提出しなければならず、その任務に関連する事項について
特別報告書を提出することもできる（NSICP 法 21 条 1 項、2 項）。

- 96 -

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称事前承認のシステムとしては、上記(1)のとおり、CSE によるガバメントアクセスは、法令に抵触する場合又はカナダ国民の合理的な予想を侵害する場合には、カナダ国防大臣が発出した外国諜報状によって許可されなければならない（CSEA 22 条 3 項）。
事後的な監督のシステムとしては、上記(5)ウのとおり、NSIRA 及び NSICP による監督・調査が行われている。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障監督機関として、NSIRA、NSICP 及びカナダプライバシー委員会事務所が存在する。
NSIRA のメンバーは、首相の推薦により任命され、5 年の任期が定められている（NSIRA 法 4 条 1 項、3 項）。
NSICP のメンバーも首相の推薦により任命され、大臣、国務大臣若しくは議会秘書官に任命されたとき、上院若しくは下院の議員でなくなったとき、又は辞任したときにメンバーでなくなる（NSICP 法 5 条 1 項、4 条 4 項）。
ウ

調査形態
上記(5)ウと同様。

エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

上記(5)ウの報告書は、カナダ政府のウェブサイトに公表されている。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表(ア) 憲章に基づく救済措置
憲章で保証された権利・自由が侵害又は否定された者は、管轄権を有する裁判所に申請して、裁判所が状況に応じて適切かつ公正であると判断した救済措置を得ることができる（憲章 24 条 1 項）。
かかる手続において、裁判所が、憲章によって保障された権利・自由を侵害又は否定する方法で証拠が取得され、手続においてその証拠を認めることが司法の運営に不名誉をもたらすことが立証された場合、その証拠は除外される（憲章 24 条 2 項）。

- 97 -

(イ) プライバシー規制機関への不服申立て
個人は、カナダプライバシー委員会（及び各州の対応機関）に対して、政府機関に個人情報を提供した組織による PIPEDA の違反、又は個人情報にアクセスした政府機関によるプライバシー法の違反を主張して、不服を申し立てることができる（PIPEDA 11 条、プラ
イバシー法 29 条）。
イ

救済を提供する行政機関・裁判所に関する情報
カナダプライバシー委員会事務所は政府から独立した、議会の直属の機関である。

ウ

外国人の救済の可否
不合理な捜索及び押収からの保護は、外国人を含む「すべての人」に与えられる（憲章

8 条）。
エ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

上記アのとおりである。
V.

データ保護機関の有無及び連絡先[名称]

The Office of the Privacy Commissioner of Canada[連絡先] 電話番号：1-800-282-1376（フリーダイヤル）
住所：30, Victoria Street, Gatineau, Quebec K1A 1H3
以上- 98 -

第 11 章 韓国（大韓民国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人情報保護法（Personal Information

Protection Act）が存在する。当該法令は 2011 年 9 月 30 日に施行されている。
2.

個人情報保護法に関する基本的事項(1) 個人情報保護法の適用対象者
個人情報保護法は、公的部門と民間部門のいずれにも適用される。同法の主な適用対象者である「個人情報処理者」とは、「業務を目的として、個人情報ファイルを運用するために、自ら又は他人を介して個人情報を処理する公共機関、法人、団体及び個人」を意味し（個人情報保護法（以下、特段法令名の記載のない条文は全て個人情報保護法の条文とする）2 条 5 号）、公共機関、営利・非営利法人、営利・非営利団体、個人はいずれも「個人情報処理者」に含まれ得る。
また、同法の適用対象となる公共機関には、日本における地方公共団体に相当する地方自治団体も個人情報処理者に含まれ得る（2 条 6 号参照）。
(2) 個人情報の定義
個人情報保護法の適用対象となる「個人情報」とは、生存する個人に関する情報であって、(i) 氏名、住民登録番号及び映像等を通じて個人を識別することができる情報、又は(ii) 当該情報のみでは特定の個人を識別することができないとしても、他の情報と容易に結合して識別することができる情報（この場合、容易に結合することができるか否かは、他の情報の入手可能性等、個人の識別に要する時間、費用、技術等を合理的に考慮して判断される）、又は(iii) 上記(i)、(ii)を仮名処理することにより、本来の状態に復元するための追加情報の使用・結合なしには、特定の個人を識別することができない情報（仮名加工情報）のいずれかに該当する情報をいう（2 条 1 号）。
(3) データ主体の定義
個人情報保護法の適用対象となる「データ主体」とは、処理される情報によって識別することができる者であって、その情報の主体となる者をいう（2 条 3 号）。データ主体を- 99 -

国内に所在する者に限定する規定はなく、生存する者である限り、国籍や身分に関係なく、大韓民国国籍を有していない外国人も含め、誰もがデータ主体になり得る。
(4) 個人情報保護法の地理的適用範囲
個人情報保護法は、域外適用について明示的な規定を設けていないが、国内利用者の個
人情報を処理する海外事業者への域外適用は認められている。当局は、域外適用の有無
は、韓国語サービスを運営しているか、韓国人を利用対象として想定しているか、国内に事業届出を行っているか等、複数の要素を総合的に考慮して判断されるとの解釈を示している。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

韓国は、EU の十分性認定を取得していないが、2021 年 3 月 30 日に欧州委員会から十分性認定につき初期的な決定を得ており、現在は最終的な決定を控えている。
また、APEC の CBPR システムには 2017 年 6 月に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
個人情報保護法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人情報処理者は、個人情報の処理目的を明確にしなければならず、その目的に必要な範囲で最小限の個人情報のみを適法かつ正当に収集しなければならない（3 条 1 項）。また、偽り又はその他不正の手段若しくは方法により個人情報を取得し、又は処理に関する同意を得てはならない（59 条 1 号）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
個人情報処理者は、原則としてデータ主体の同意を得た場合にのみ、個人情報を収集することができ、その収集目的の範囲内でのみ個人情報を利用することができる（15 条 1- 100 -

項）。
同意以外の正当化事由としては、15 条 1 項各号において以下のものが列挙されている。
①

法律に特別な規定があり、又は法令上の義務を遵守するために不可避である場合②

公共機関が法令等で定める所管業務を遂行するために不可避である場合③

データ主体との契約の締結及び履行のために不可避である場合④

データ主体又はその法定代理人が意思表示をすることができない状態にあり、又は住所不明等により事前の同意を得ることができない場合であって、データ主体又は第三者の急迫した生命、身体、財産の利益のために明らかに必要であると認められる場合⑤

個人情報処理者の正当な利益を達成するために必要な場合であって、当該利益が明らかにデータ主体の権利に優先する場合（個人情報処理者の正当な利益と相当の関連性があり、合理的な範囲を超えない場合に限る）

なお、個人情報処理者がデータ主体から同意を得るときには、(i) 個人情報の収集・利用の目的、(ii) 収集しようとする個人情報の項目、(iii) 個人情報の保有及び利用の期間、(iv)
データ主体に同意を拒否する権利がある旨及び同意の拒否による不利益の内容を、データ主体が明確に認識することができるように通知しなければならない（15 条 2 項、22 条 1
項）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
個人情報処理者が個人情報の収集・利用目的を変更する場合も、上記イの(i)から(iv)までを知らせ、同意を得なければならない（15 条 2 項 1 号）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
個人情報保護法には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人情報処理者は、15 条 1 項各号（上記 1.(1)参照）のいずれかに該当し、個人情報を収集する場合には、その目的に必要な最小限の個人情報を収集しなければならない。この場- 101 -

合、最小限の個人情報の収集についての立証責任は、個人情報処理者が負う（16 条 1項）。また、個人情報処理者は、個人情報を、15 条 1 項の範囲を超えて利用してはならな
い（18 条 1 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人情報処理者は、個人情報の処理目的に必要な範囲で個人情報の正確性、完全性、最新性が保障されるようにしなければならない（3 条 3 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
個人情報保護法には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
個人情報処理者は、個人情報の処理目的を明確にしなければならず、その目的に必要な範囲内で最小限の個人情報のみを適法かつ正当に収集しなければならない（3 条 1 項）。
また、個人情報を収集するためには、原則としてデータ主体の同意を得る必要がある（15 条 1 項）が、個人情報処理者が同意を得る際には、データ主体に対して個人情報の収集・利用目的を通知しなければならない（15 条 2 項 1 号）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人情報処理者は、個人情報を収集するためには、原則としてデータ主体の同意を得なければならず、その収集目的の範囲内で利用することができる（15 条 1 項 1 号）。同条２
項では、個人情報処理者が個人情報の収集・利用目的を変更する場合、これを通知し、同意を得なければならないとしている（15 条 2 項 1 号）。なお、同条 3 項は、個人情報処理者は、当初の収集目的と合理的に関連した範囲内で、データ主体において不利益が発生するか否か、暗号化等の安全性の確保に必要な措置を取っているか否か等を考慮し、大統領令で定めるところにより、データ主体の同意なしに個人情報を利用することができると規定している。

- 102 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
個人情報保護法には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
個人情報処理者は、個人情報の処理目的に必要な範囲内で適法に個人情報を処理しなければならず、その目的以外の用途に活用してはならない（3 条 2 項）。
また、個人情報処理者は、データ主体に対し利用・提供目的を告知して同意を得た範囲、又は個人情報保護法若しくは他の法令に基づき利用・提供が許容されている範囲を超えて、個人情報を利用又は提供してはならない（18 条 1 項）。なお、同項の例外として、
同条 2 項は、以下の場合には、データ主体又は第三者の利益を不当に侵害するおそれがあるときを除き、個人情報を目的外の用途に利用し、又はこれを第三者に提供することができると規定している。このうち、④から⑧までは、公共機関に対してのみ適用され、情報通信サービス提供者に対しては、①及び②のみが適用される。
①

データ主体から別途同意を得た場合②

他の法令に特別な規定がある場合③

データ主体又はその法定代理人が意思表示をすることができない状態にあり、又は住所不明等により事前の同意を得ることができない場合であって、データ主体又は第三者の切迫した生命、身体、財産の利益のために明らかに必要であると認められる場合④

個人情報を目的外の用途に利用し、又はこれを第三者に提供しなければ他の法律に定める所管業務を遂行することができない場合であって、保護委員会の審議・議決を経
ている場合

⑤

条約、その他の国際協定を履行するため、外国政府又は国際機関に提供するために必
要な場合⑥

犯罪の捜査及び公訴の提起並びに維持のために必要な場合⑦

裁判所の裁判業務の遂行のために必要な場合⑧

刑及び監護、保護処分の執行のために必要な場合- 103 -

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

上記アと同じ。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
個人情報保護法には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
個人情報処理者は、個人情報の処理方法及び種類等に応じてデータ主体の権利が侵害される可能性とそのリスクの程度を考慮し、個人情報を安全に管理しなければならない（3条 4 項）。
また、個人情報処理者は、個人情報が紛失・盗難・流出・偽造・変造又は毀損されない
よう、内部管理計画の策定、アクセス記録の保管等、大統領令で定めるところにより、安全性の確保に必要な技術的・管理的及び物理的な措置を取らなければならない（29 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
個人情報保護法には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
個人情報処理者は、(i) 個人情報の処理目的、(ii) 個人情報の処理及び保有期間、(iii) 個

人情報の第三者提供に関する事項、(iv) 個人情報の廃棄手続及び廃棄方法、(v) 個人情報処理の委託に関する事項、(vi) データ主体と法定代理人の権利・義務及びその行使方法に関する事項、(vii) 個人情報保護責任者の氏名又は個人情報保護業務及び関連苦情を処理す- 104 -

る部署の名称や電話番号等の連絡先、(viii) インターネット接続ファイル等の個人情報を自動的に収集する装置の設置・運営及びその拒否に関する事項、(ix) その他に個人情報の処理に関して大統領令で定める事項（処理する個人情報の項目、個人情報の安全性の確保措置に関する事項）を含む個人情報の処理方針を定めなければならない（30 条 1 項及び個
人情報保護法施行令 31 条 1 項）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
個人情報処理者は、個人情報処理方針等、個人情報の処理に関する事項を公開しなければならず（3 条 5 項前段）、個人情報処理方針を策定又は変更する場合には、データ主体
が容易に確認できるように、大統領令で定める方法により公開しなければならない（30 条
2 項）。
また、個人情報処理者は、個人情報処理方針を個人情報処理者のインターネットのホー
ムページに継続的に掲載しなければならず、インターネットのホームページに掲載することができない場合には、(i) 個人情報処理者の事業場等における見やすい場所に掲示する方法、(ii) 官報（ただし、個人情報処理者が公共機関である場合に限る）又は個人情報処理者の事業場等が所在する市・道以上の地域を主たる普及地域とする一般日刊新聞、一般週刊新聞若しくはインターネット新聞に掲載する方法、(iii) 同一のタイトルで年に 2 回以上発行し、データ主体に配布する刊行物・ニュースレター・広報紙又は請求書等に継続的に掲載する方法、(iv) 財貨や用役を提供するために個人情報処理者とデータ主体が作成した契約書等に掲載し、データ主体に対して発行する方法のうち、いずれか 1 つ以上の方法により、策定又は変更した個人情報処理方針を公開しなければならない（個人情報保護法施行令 31 条 2 項、3 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
個人情報保護法には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定

個人情報処理者は、閲覧請求権等のデータ主体の権利を保障しなければならない（3 条 5- 105 -

項後段）。また、4 条 3 号は、データ主体の権利の 1 つとして、個人情報の処理の有無を確認し個人情報に対する閲覧（写しの発行を含む）を要求する権利を規定している。35 条 1
項は、データ主体は、個人情報処理者が自身の個人情報に対する閲覧を当該個人情報処理者に要求することができると規定しており、同条を受けて、個人情報保護法施行令 41 条 1
項は、データ主体が閲覧を要求することができる事項として、(i) 個人情報の項目及び内容、(ii) 個人情報の収集・利用の目的、(iii) 個人情報の保有及び利用期間、(iv) 個人情報の第三者提供の現況、(v) 個人情報の処理に同意した事実及び内容を定めている。さらに、個人情報処理者は、データ主体からの閲覧を要求されたときには、10 日以内に、データ主体が当該個人情報を閲覧できるようにしなければならず、当該期間内に閲覧させることができない正当な事由があるときには、データ主体に当該事由を通知して閲覧を延期することができ、当該事由が消滅したときは遅滞なく閲覧できるようにしなければならない（35 条 3 項、個人情報保護法施行令 41 条 4 項）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
個人情報処理者は、閲覧請求権等のデータ主体の権利を保障しなければならない（3 条 5項後段）。また、4 条 4 号はデータ主体の権利の 1 つとして個人情報の処理の停止、訂正、削除及び破棄を要求する権利を規定している。35 条の規定により、自身の個人情報を閲覧したデータ主体は、個人情報処理者にその個人情報の訂正又は削除を要求することができ（36 条 1 項本文）、個人情報処理者は、訂正又は削除の要求を受けたときには、個人情報の訂正又は削除について他の法令に特別な手続が規定されている場合を除いては、遅滞なくその個人情報を調査しデータ主体の要求に応じて訂正・削除等、必要な措置を取った
上、その結果をデータ主体に通知しなければならない（36 条 2 項）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
35 条 4 項は、一定の場合に、データ主体の閲覧要求を拒絶できることを規定しているが、同条 5 項及び個人情報保護法施行令 42 条 2 項は、個人情報処理者がデータ主体の閲覧要求を拒絶した場合には、閲覧要求を受けた日から 10 日以内に拒絶の事由及び異議提起の方法を所定の延期・拒絶通知書により当該データ主体に通知しなければならないと規定している。
また、36 条 1 項但書は、一定の場合に、データ主体の訂正・削除要求を拒絶できることを規定しているが、36 条 4 項及び個人情報保護法施行令 43 条 3 項後段は、個人情報処理者
は、個人情報の訂正・削除要求書を受けた日から 10 日以内に削除の要求に応じないことにした事実、その理由と異議提起の方法を所定の個人情報の訂正・削除結果通知書により当該データ主体に通知しなければならないと規定している。

- 106 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
個人情報保護法には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、個人
情報処理者は、同法及び関係法令に規定されている責任と義務を遵守し実践することにより、データ主体の信頼を得るために努力しなければならない（3 条 8 項）旨規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制①個人情報の保護に関する法令又はサイバーセ

キュリティに関する法令における域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護
法令又はサイバーセキュリティ関連法においては、存在しない。しかし、それ以外の代表的な法令 34として、金融委員会告示及び医療法に存在する。それぞれの概要は以下のとおりである。
(1) 金融委員会告示
ア

概要「金融会社の情報処理業務の委託に関する規程」（金融委員会告示）5 条 1 項、4 条 1 項
は、金融会社が認可等を受けた業務を営むに当たり、情報の処理を第三者に委託する場
合、「個人顧客の固有識別情報」は、国外に移転されないようにしなければならないという規制を設けている。固有識別情報は、住民登録番号、パスポート番号、運転免許証番
34

代表的か否かに関する判断は現地法律事務所が行っている。

- 107 -

号、外国人登録番号を意味する（個人情報保護法施行令 19 条）。
また、「電子金融監督規程」（金融委員会告示）14 条の 2 第 8 項は、金融会社又は電子金融業者（外国系金融会社の国内支店、海外サイバーモールのための電子支払決済代行業者（同規程 50 条の 2 参照）は除く）が固有識別情報又は個人信用情報を、クラウドコン
ピューティングサービスを介して処理する場合、当該情報処理システムを国内に設置しなければならないと規定している。なお、個人信用情報には、取引内容を判断できる情報（個人の貸付やクレジットカード等の取引内容に関する情報）や信用度を判断できる情報（金融取引等の商取引に関して発生した個人の延滞、不渡り等に関する事項）等が含まれる。
イ

域外に所在する者についての適用対象該当性及び手続
上記アの各告示においては、外国からの移転により取得した個人情報をその適用対象から除外していないため、結局、上記規定等の適用対象に該当し得ると判断される。
ウ

目的
保有・保管義務の目的について、「金融会社の情報処理業務の委託に関する規程」（金融委員会告示）5 条 1 項、4 条 1 項は、個人顧客の固有識別情報を保護するために国外移転を禁止する規定として理解されているが、当該目的が、法令に明記されているわけではない。また、「電子金融監督規程」（金融委員会告示）についても、14 条の 2 第 8 項は、金融会社又は電子金融業者のクラウドコンピューティングサービスを原則として認めつつ、固有識別情報又は個人信用情報については、国外情報処理システムにおいて処理されることを制限するための規定として理解されているが、当該目的が、法令に明記されているわ
けではない。
エ

適用要件
適用の対象となるデータについては、「金融会社の情報処理業務の委託に関する規程」

では、固有識別情報であり、「電子金融監督規定」では、固有識別情報及び個人信用情報である。
適用の対象となる事業者については、以下のとおりである。
(ア) 金融会社の情報処理業務の委託に関する規程「金融会社の情報処理業務の委託に関する規程」（金融委員会告示）の適用を受ける「金融会社」は次のとおりである（同規程 2 条 1 項）。
①「銀行法」に基づく銀行②「韓国産業銀行法」に基づく韓国産業銀行③「中小企業銀行法」に基づく中小企業銀行④「韓国輸出入銀行法」に基づく韓国輸出入銀行- 108 -

⑤

「資本市場と金融投資業に関する法律」に基づく金融投資業者、総合金融会社⑥「保険業法」に基づく保険会社⑦「相互貯蓄銀行法」に基づく相互貯蓄銀行⑧「信用協同組合法」に基づく信用協同組合⑨「与信専門金融業法」に基づく与信専門金融会社⑩「農業協同組合法」に基づく農協銀行⑪「水産業協同組合法」に基づく水協銀行⑫「電子金融取引法」に基づいて許可を受け、又は登録した電子金融業者⑬「オンライン投資連携金融及び利用者保護に関する法律」に基づくオンライン投資連
携金融業者

⑭

「金融消費者保護に関する法律」に基づいて登録した金融商品諮問業者(イ) 電子金融監督規程「電子金融監督規程」の「金融会社」及び「電子金融業者」は次のとおりである。ただし、前述のとおり、外国系金融会社の国内支店、国外サイバーモールのための電子支払決済代行業者（電子金融監督規程 50 条の 2 参照）は、同規程 14 条の 2 第 8 項に基づいて情報処理システムを国内に設置すべき義務の適用を受けない。
①

金融会社（電子金融取引法 2 条 3 号）

(i)

「金融委員会の設置等に関する法律」38 条 1 号から 5 号まで、7 号及び 8 号に該当する機関(ii) 「与信専門金融業法」に基づく与信専門金融会社(iii) 「郵便局預金及び保険に関する法律」に基づく逓信官署(iv) 「セマウル金庫法」に基づくセマウル金庫及びセマウル金庫中央会(v) 大統領令に定める者（電子金融取引法施行令 2 条） 3535

具体的には、以下の事業者が指定されている。「韓国産業銀行法」に基づく韓国産業銀行；「中小企業銀行法」に基づく中小企業銀行；「韓国輸出入銀行法」に基づく韓国輸出入銀行；「森林組合法」に基づく組合とその中央会の信用事業部門；「農業協同組合法」に基づく組合；「水産業協同組合法」に基づく組合；「資本市場と金融投資業に関する法律」に基づく取引所；「資本市場と金融投資業に関する法律」に基づく韓国預託決済院；「株式・社債等の電子登録に関する法律」に基づく電子登録機関；「金融持株会社法」に基づく金融持株会社と「金融持株会社法施行令」2 条 2 項
1 号に該当する会社；「保険業法」に基づく保険協会と保険料率算出機関；「火災による災害補償と保険加入に関する法律」に基づく韓国火災保険協会；「資本市場と金融投資業に関する法律」に基づく韓国金融投資協会；「信用情報の利用及び保護に関する法律」に基づく信用情報会社；債権取立会社及び総合信用情報集中機関；「金融会社の不良資産等の効率的処理及び韓国資産管理公社の設立に関する法律」に基づく韓国資産管理公社；「韓国住宅金融公社法」に基づく韓国住宅金融公社；「信用保証基金法」に基づく信用保証基金；「技術保証基金法」による技術保証基金；「オンライン投資連携金融業及び利用者保護に関する法律」2 条 3 号の規定に基づくオンライン投資連携金融業者。

- 109 -

②

電子金融業者（電子金融取引法 2 条 4 号）：電子金融取引法 28 条の規定に基づいて許可を受け、又は登録をした者（金融会社は除く）(i)

電子貨幣の発行及び管理業者(ii) 電子資金振替業務(iii) デビット電子支払手段の発行及び管理(iv) 前払電子支払手段の発行及び管理(v) 電子支払決済代行に関する業務
オ

具体的内容「金融会社の情報処理業務の委託に関する規程」の条項は、金融会社が情報処理業務を第三者に委託する場合に、個人顧客の固有識別情報を国外に移転してはならないという規定である。したがって、情報処理業務を委託する場合、国内データ処理を義務付ける規定であると解せる。
「電子金融監督規程」の条項は、固有識別情報又は個人信用情報を、クラウドコン
ピューティングサービスを介して処理する場合、当該情報処理システムを国内に設置しなければならないという規定である。したがって、情報処理システムに含まれるサーバは国内に設置されなければならない。ただし、クラウドコンピューティングサービスを介して処理する場合でないならば、上記規定の適用対象には該当しない。
上記の各規定の存在により、事業者・機関が本人からの開示又は消去等の請求に対応できない場合が発生することはないと考えられる。
カ所管機関
金融委員会（金融監督院に権限が委託されている）(2) 医療法ア概要

医療法 23 条 2 項、施行規則 16 条 3 項、その委任を受けた「電子義務記録の管理・保存に必要な施設と装備に関する基準」（保健福祉部告示）7 条、「［別表］医療機関以外の場所に電子義務記録を保管する際に必要な追加の措置」は、医療人や医療機関の開設者が電子義務記録を安全に管理及び保存するために備えなければならない施設と装備について規定し、「電子義務記録システム及びそのバックアップ装備の物理的な位置は、国内に限定する」という規制を設けている。
イ

域外所在本人についての適用対象該当性及び手続
医療法においては、外国からの移転により取得した個人情報をその適用対象から除外していないため、上記規定等の適用対象に該当し得ると判断される。

- 110 -

ウ

目的
保有・保管義務の目的について、「電子義務記録の管理・保存に必要な施設と装備に関する基準」（保健福祉部告示）は、電子義務記録のセキュリティのために物理的な位置を国内に置くこととした規定として理解されているが、当該目的が、法令に明記されている
わけではない。
エ

適用要件
適用の対象となる事業者は、医療法 2 条及び 3 条に基づく医療人（保健福祉部長官の免許を受けた医師・歯科医師・韓医師・助産師及び看護師）及び医療機関（医院級医療機関、助産院、病院級の医療機関）である。適用の対象となるデータは、電子義務記録（医療人や医療機関開設者が診療録等を電子署名法に基づく電子署名が記載された電子文書として作成・保管したもの；同法 23 条 1 項）である。
オ

具体的内容「電子義務記録の管理・保存に必要な施設と装備に関する基準」の条項は、医療人又は医療機関の電子義務記録システム及びバックアップ装備の場所的位置を制限する規定である。したがって、上記システム及びバックアップ装備に含まれるサーバは国内に設置されなければならない。ただし、義務記録等の敏感情報の国外移転自体を禁止し、又は制限する規定ではないと解釈されている。
本規定の存在により、事業者・機関が本人からの開示又は消去等の請求に対応できない
場合が発生することはないと考えられる。
カ所管機関
保健福祉部が所管している。

2.

データ・ローカライゼーション規制②個人情報の保護に関する法令又はサイバーセ

キュリティに関する法令における域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法、及びそれ以外の代表的な法令 36は、現地法律事務所が把握している限りは存在しない。

36

代表的か否かに関する判断は現地法律事務所が行っている。

- 111 -

3.

ガバメントアクセス 37
ガバメントアクセスを根拠付ける法令として、刑事法執行及び安全保障を目的とする通信秘密保護法が主要な法令として位置付けられるが、電気通信の傍受等の通信制限措置を行うには裁判所の許可を受ける必要があり、我が国の制度と比較して、韓国への個人デー
タの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度とは解されないことから、本報告書には記載しない。
V.

データ保護機関の有無及び連絡先
データ保護機関として個人情報保護委員会が設置されており、その連絡先はホームペー

ジ（https://www.pipc.go.kr/np/）で確認することができる。
電話番号（代表）は 02-2100-3016、ファックス番号は 02-2100-3008 である。
以上

37

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 112 -

第 12 章 カンボジア（カンボジア王国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在しないが、代表的な個別法として電子商取引法（Law on E-Commerce）が存在する。電子商取引法は 2020 年 5 月 23 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
電子商取引法は、カンボジア国内及びカンボジア・国外間の電子商取引に関する法律であり個人情報の電子記録を保存する者に対し、個人情報が、滅失、並びに、データ主体の同意又は法律上の権限なしに行われる、不正なアクセス、利用、改変及び開示から合理的に保護されるために必要な措置を実施する義務を課している（電子商取引法 32 条）。電子商取引における電気通信の過程における保護を定めているものの、同過程に関する限り適用対象者を限定しておらず、公的部門、民間部門を問わず適用される。
(2) 個人情報の定義及び適用範囲
電子商取引法において「情報」に関する定義規定は存在するが、個人情報を定義した規定は存在しない。
(3) 地理的範囲
電子商取引法は、カンボジア国内のみならず、カンボジア国内とカンボジア国外との取引についても適用対象としているため、カンボジア国内の個人だけでなく、同法の適用を受ける者により保存されるカンボジア国外の個人の個人情報についても適用されうる。ただし、電子法取引法には、域外適用の規定はおかれていない。
3.

留意点
電子商取引法の他に、憲法（Constitution）及び民法（Civil Code）においてカンボジア国

民のプライバシーが保障されている。また、郵便通信局の 2021 年 2 月 19 日付のアナウン- 113 -

ス メ ン ト （ Announcement dated Feburuary 19, 2021 made by the Ministry of Posts andTelecommunication）によれば、将来的に、サイバーセキュリティ法が成立した後に、個人情報保護法を作成する予定であるとのことである。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

カンボジアは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。
また、APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則(Collection Limitation Principle)(1) 規定の存否と概要
電子商取引法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定は直接的ではないが、存在する。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

N/Aイ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
詳細は規定されていないが、電子商取引における電気通信の過程において個人情報の電子記録を保存する者に対し、個人情報を滅失、並びに、データ主体の同意又は法律上の権限なしに行われる、不正なアクセス、利用、改変及び開示から合理的に保護するために必要な措置を実施する義務が定められており（電子商取引法 32 条）、個人情報処理の前、取得時において、同意の取得及び同意取得の前提としての目的等の通知が必要であると解されている。
(2) 当該原則が実質的に及ばない分野等について
N/A- 114 -

2.

データ内容の原則(Data Quality Principle)
電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存

在しない。
3.

目的明確化の原則(Purpose Specification Principle)
電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。ただし、1(1)イに記載のとおり、電子商取引における電気通信の過程において
個人情報の電子記録を保存する者に対し、個人情報を滅失、並びに、データ主体の同意又は法律上の権限なしに行われる、不正なアクセス、利用、改変及び開示から合理的に保護するために必要な措置を実施する義務が規定されている（電子商取引法 32 条）ことから、取得時又はそれよりも前における、利用目的の特定及び通知が必要と解されている。
4.

利用制限の原則(Use Limitation Principle)
電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定は存在しない。ただし、1(1)イに記載のとおり、電子商取引における電気通信の過程において
個人情報の電子記録を保存する者に対し、個人情報を滅失、並びに、データ主体の同意又は法律上の権限なしに行われる、不正なアクセス、利用、改変及び開示から合理的に保護するために必要な措置を実施する義務が規定されており（電子商取引法 32 条）、当該規定によれば、個人情報の開示、利用は同意の範囲内で又は法律上認められた範囲内でなされる必要があると解される。
5.

安全保護の原則(Security Safeguards Principle)(1) 規定の存否と概要
電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定)が存在する。具体的には、1(1)イに記載のとおり、個人情報の電子記録を保存する者に対し、個人情報を滅失、並びに、データ主体の同意又は法律上の権限なしに行われる、不正なアクセス、利用、改変及び開示から合理的に保護するために必要な措置を実施する義務が規定されている（電子商取引法 32 条）。なお、データ主体又は法令により承認された者は上記の義務の適用から除外されると同条では定めているが、かかる法令の詳細については規定が存在しない。

- 115 -

(2) 当該原則が実質的に及ばない分野等について
N/A
公開の原則(Openness Principle)

6.

電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存
在しない
個人参加の原則(Individual Participation Principle)

7.

電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定は存在しない。
責任の原則(Accountability Principle)

8.

電子商取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限り、存在しない。

- 116 -

3.

ガバメントアクセス 38
ガバメントアクセスを根拠付ける法令として、①電子商取引法及び②ナショナル・イン

ターネット・ゲートウェイの設立に関する副指令（the Sub-Decree on the Establishment of a
National Internet Gateway）（以下「インターネット訓令」という）が存在する。②イン
ターネット訓令は 2021 年 2 月 16 日に成立している。
(1) 法的根拠
ア目的(ア) 電子商取引法：民事責任又は刑事責任追及のため（電子商取引法 25 条）。事業者・機関 は 、 仲 介 者 （ intermediary ） 又 は 電 子 商 取 引 サ ー ビ ス 提 供 者 （ e-commerce service
provider）に該当する場合において、保存している情報にある個人の民事又は刑事責任に関する情報が含まれていることを認識した場合、当該情報を証拠として保存し、郵政省及び関連する省庁に対して、当該情報及び当該個人の身元に関する情報を報告する必要がある(同条)。
(イ) インターネット訓令：安全、治安、道徳、文化、伝統・慣習、犯罪の予防・鎮圧等のため（インターネット訓令 13 条）。カンボジア電気通信規制局は、国家インターネット
ゲートウェイ運営者の設備等を検査するとともに、同運営者に対して、IP アドレスの記録等に関する報告書を作成する義務、必要に応じて他の情報を提供する義務を課す（同 14
条）。
イ

実施主体

(ア) 電子商取引法：郵政省及び関連する省庁(イ) インターネット訓令：郵政省及びカンボジア電気通信規制局
ウ

取得される個人データの種類に関する限定の有無・概要
なし。

エ制限及びその例外に係る規定の有無・概要なし。

38

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務づけられるものについて調査している。

- 117 -

オ

手続規定の有無・概要(ア) 電子商取引法：事業者・機関側の報告義務は定めているが、政府側の手続は法定されていない。
(イ) インターネット訓令：国家インターネットゲートウェイ運営者に義務を課すと定めるのみで、政府側の手続は法定されていない。
(2) 正当な目的の追求
N/A(3) 承認の要求
ア

事前承認及び事後承認、保護措置

N/Aイ

暗号復号強制、保護措置(ア) 事前承認及び事後承認、保護措置
N/A(イ) 暗号復号強制、保護措置①

電子商取引法：犯罪に関連する又は告発にあたって証拠となるデータ又は電子通信を暗号化することは禁止されている（電子商取引法 43 条）が、暗号復号強制、保護措置に関する規定は法定されていない。
②

インターネット訓令：なし。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
N/A

イ

データの取扱者に関する制限
N/A- 118 -

ウ

安全管理措置に関する定めの有無・概要なし。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要なし。

イガバメントアクセスの実施状況の公表・公的機関に対する報告なし。
ウ

監督機関による監督状況の公表
N/A(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有

無・名称
なし。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表なし。

- 119 -

イ

救済を提供する行政機関・裁判所に関する情報
N/A

ウ

外国人の救済の可否
N/Aエ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

N/A

V.

データ保護機関の有無及び連絡先
データ保護を包括的に取り扱っている機関は存在しないが、下記の当局がデータ保護に関する問題を取り扱っている。
①

商務省:

•

ホームページ: https://www.moc.gov.kh/•

電話: (+855) 23 866 188•

電子メール: cabinet.info@moc.gov.kh

②

郵政省

•

ホームページ: https://mptc.gov.kh/•

電子メール: info@mptc.gov.kh

③

内務省

•

ホームページ: https://www.interior.gov.kh/•

電話: (+855) 23 721 905
以上- 120 -

第 13 章 シンガポール（シンガポール共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人情報保護法（Personal Data Protection

Act (No. 26 of 2012)）（以下「PDPA」という）が存在する。当該法令は 2013 年 1 月 2 日に施行されている 39。
PDPA は民間セクターを対象としており、公共セクターを対象とする個人情報の保護に関連する規定は、公共セクター（ガバナンス）法（Public Sector (Governance) Act (No. 5 of2018)）（以下「PSGA」という）に若干含まれている。PSGA は、2018 年 4 月 1 日に施行されている。
そ の 他 、 個 別 の セ ク タ ー や 事 案 を 対 象 と し た も の と し て 、 顧 客 情 報 （ customer
information）の取扱いについて規定した銀行法（Banking Act (Cap. 19 of Singapore)）や、
COVID-19 の感染拡大防止を目的として収集される人的接触追跡データ（personal contact
tracing data）について規定した新型コロナウイルス感染症（暫定措置）法（COVID-19(Temporary Measures) Act 2020 (No. 14 of 2020)）（以下「COVID-19 暫定措置法」という）などが存在する。
2.

1.記載の法令に関する基本的事項(1) PDPAア

個人情報の定義

PDPA において保護の対象となる｢個人情報（personal data）｣とは、真実であるか否かを問わず、当該データから、又は当該データとその組織等（organisation）がアクセス可能な
その他の情報とを合わせて、個人が識別可能なデータをいう（PDPA 2 条）。
イ

適用範囲

PDPA は、組織等が規制を受ける対象とされており、政府機関（public agency）には適用されない（PDPA 4 条 1 項）。
「組織等」とは、①シンガポール法に基づき設立されたか否かにかかわらず、又は②シンガポールの居住者であるか、シンガポールに事務所又は事業を行う場所を有するか否か

39

PDPA を改正する個人情報保護（改正）法（Personal Data Protection (Amendment) Act (No. 40 of 2020)）
が 2021 年 2 月 1 日から段階的に施行されている。

- 121 -

を問わず、一切の個人、会社、アソシエーション又は社団等を含むと定義されている（PDPA 2 条）。
ウ

地理的適用範囲
域外適用について明確な規定は存在しないが、前記（イ）のとおり、「組織等」とは、①シンガポール法に基づき設立された否かにかかわらず、又は②シンガポールの居住者であるか、シンガポールに事務所又は事業を行う場所を有するか否かを問わず、一切の個
人、会社、アソシエーション又は社団等を含むと定義されているため、シンガポール国外の組織等についても適用対象となる。また、シンガポール国外に所在する者の個人情報であっても、シンガポールにおいて個人情報を収集、利用又は開示される場合には、PDPAの適用対象となると解されている。
(2) PSGAア

個人情報の定義「情報（information）」とは、事実、統計、指示、概念又はその他のデータであって、通信、分析又は処理が可能な形式（個人、コンピュータ又はその他の自動化された方法によるか否かを問わない）であるものをいう（PSGA 2 条）。
イ

適用範囲

PSGA はシンガポールの公共セクター機関（Singapore public sector agency）に適用される（PSGA 2 条）。
ウ

地理的適用範囲
域外適用について明確な規定は存在しない。シンガポール国外に所在する者の個人情報であっても、PSGA 上の「情報」の定義には含まれると考えられる。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

シンガポールは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには 2018 年 2 月に加盟した。

- 122 -

III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
シンガポールは EU の十分性認定を受けていないが、APEC の CBPR システムに加盟しているため、民間セクターを対象とした PDPA については本項目の説明は省略する。
また、公共セクターを対象とした PSGA には、OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定は存在しない。もっとも、公共セクターについては、政府が保有又はコントロールするデータ（個人情報が含まれる）の管理に関するポリシーである情報通信技術及びスマートシステム管理に関する政府指導書（Government Instruction Manual on Infocomm Technology & Smart Systems Management）（以下「IM」という）が定められている 40。IM は公表されていないが、IM における個人情報の保護に関する主要なポリシーを記載した政府個人情報保護方針（Government Personal
Data Protection Policies）（以下「PDPP」という）が Smart Nation & Digital Governance Officeにより公表されている。IM 及び PDPP は、法令ではなく法的拘束力は有していないものの、公共機関は IM 及び PDPP を遵守することが求められているため、以下では PDPP について説明する。
収集制限の原則（Collection Limitation Principle）

1.

(1) 規定の存否と概要
PDPP には、収集制限の原則又はこれに対応する公共機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
公共機関（agency）は、個人情報を収集、利用、又は開示する前に、そのような収集、

利用、又は開示について定め又は禁止する法令がないかを確認しなければならない（PDPP
5 項）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定

公共機関は、前記アの法令に従うことを条件として、個人情報が関係する個人が、PDPP
21 項で規定する目的のための当該公共機関による個人情報の収集について同意し又は同意したとみなされない限り、個人情報を収集してはならない（PDPP 5 項(a)）。
40

いずれの機関が定めたものであるかは公開情報からは明らかでない。

- 123 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
PDPP には、データ内容の原則又はこれに対応する公共機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人情報の収集、利用又は開示は、PSGA に基づいて発出される大臣指令（Ministerial

Direction）の目的に合致しなければならない（PDPP 21 項）。
公共機関は、PSGA の 4 条で定める目的のいずれかに該当し、PSGA に基づいて発出される大臣指令（Ministerial Direction）で要求される限度である場合を除き、個人情報を収集、利用又は開示してはらない（PDPP 5 項(a)(b)）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
公共機関は、その保有する全てのデータ（個人情報を含む）が、その利用目的のために必 要 に 応 じ て 、 正 確 で 、 矛 盾 せ ず （ consistent ） 、 適 時 で （ timely ） 、 関 連 が あ り（relevant）、完全であるように合理的かつ実践的な措置を講じなければならない（PDPP
47 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
PDPP には、目的明確化の原則又はこれに対応する公共機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 124 -

ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
個人情報の収集、利用又は開示は、PSGA に基づいて発出される大臣指令（Ministerial

Direction）の目的に合致しなければならず（PDPP 21 項）、また、個人情報の収集時又はそれより前に、個人情報の収集、利用、又は開示の目的を個人に通知しなければならない（PDPP 22 項(a)）。これらの規定により、取得時又はそれより前の個人データの利用目的の特定が確保されていると解釈できる。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を明示的に定めた規定は存在しない。もっとも、前記 2 のとおり、個人情報の収集、利用、又は開示は、PSGA に基づいて発出される大臣指令（Ministerial Direction）の目的に合致しなければならないとされている（PDPP 21 項）ことをふまえると、個人情報の処理は、特定された利用目的の範囲内に限られると解釈できる。
ウ

利用目的の変更時における利用目的の特定を定めた規定

PDPP 22 項(a)に基づき通知されていない目的のために個人情報を利用又は開示する場合には、公共機関は、かかる目的のために個人情報を利用又は開示する前に、個人に目的を通知しなければならない（PDPP 22 項(b)）。この規定により、利用目的の変更時における利用目的の特定が確保されていると解釈できる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
PDPP には、利用制限の原則又はこれに対応する公共機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 125 -アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
公共機関は、PSGA の 4 条で定める目的のいずれかに該当し、PSGA に基づいて発出される大臣指令（Ministerial Direction）で要求される限度である場合を除き、個人情報を開示してはらない（PDPP 5 項(b)）。
イあらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

前記 3(1)イのとおり、個人情報の収集、利用、又は開示は、PSGA に基づいて発出される大臣指令（Ministerial Direction）の目的に合致しなければならないとされている（PDPP
21 項）ことをふまえると、あらかじめ特定した利用目的の範囲を超えた個人情報の利用は制限されていると解釈できる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）
PDPP には、安全保護の原則又はこれに対応する公共機関の義務に関する規定（漏洩、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
PDPP には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
公共機関は、そのデジタルサービスに表示されるプライバシーステートメントを通じて、個人情報の処理に関するそのポリシー及びプロセスに関する情報を提供しなければならない（PDPP 3 項）。

- 126 -

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
前記 3(1)アのとおり、公共機関は、個人情報の収集時又はそれより前に、個人情報の収集、利用、又は開示の目的を個人に通知しなければならない（PDPP 22 項(a)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
PDPP には、個人参加の原則又はこれに対応する公共機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
公共機関は、個人の請求に応じて、合理的に可能な限り速やかに、当該個人に対し、(a)個人が以前に公共機関に提供した個人に関する個人情報、及び(b)それらの個人情報が、請求日の直前 12 ヶ月以内に公共機関により利用若しくは開示された又はそれの可能性がある
方法についての情報を提供しなければならない（PDPP 27 項）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
個人は、自己が公共機関に提供した当該個人に関する情報の誤り又は省略を訂正するよ

う求めることができる（PDPP 38 項）。
個人が自己に関する個人情報の消去を求める権利を有する旨を端的に示した規定は存在しない。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
権利行使ができない場合に理由を通知する旨や異議申し立てが認められる旨を端的に示した規定は存在しない。

- 127 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
PDPP には、責任の原則又はこれに対応する公共機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限り、存在しない 41。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限り、存
在しない。
3.

ガバメントアクセス
複数の法令においてガバメントアクセスを根拠付ける規定が存在し、例えば以下のものが挙げられる。
①

PDPA の 50 条②

電気通信法（Telecommunications Act (Cap. 323 of Singapore)）の 58 条③

刑事訴訟法（Criminal Procedure Code (Cap. 68 of Singapore)）の 20 条 1 項及び 39 条④

サイバーセキュリティ法（Cybersecurity Act 2018 (No. 9 of 2018)）の 23 条 1 項⑤

2011 年 職 場 安 全 衛 生 （ 健 康 診 断 ） 規 則 （ Workplace Safety and Health (Medical
Examinations) Regulations 2011）の 9 条⑥

銀行法の 47 条 2 項

41

代表的か否かに関する判断は現地法律事務所が判断している。

- 128 -

⑦

民間病院・診療所法（Private Hospitals and Medical Clinic Act (Cap. 248 of Singapore)）の
13 条⑧

COVID-19 暫定措置法の 82 条 2 項⑨

下級裁判所実務指令 32（State Courts Practice Direction 32）及び最高裁判所実務指令 43（Supreme Court Practice Direction 43）
産業セクターを問わず適用されるという意味においては、刑事訴訟法が代表的な法令として位置付けられる。刑事訴訟法の調査項目別の概要は以下のとおりである。
(1) 法的根拠
一定の職位以上の警察官は、捜査、取調べ、裁判又は刑事訴訟法に基づく手続を執行す
るために必要と認める場合には、情報を提出し又は当該情報へのアクセスを提供するよう求める提出命令（written order）を発出する権限を与えられている（刑事訴訟法 20 条 1項）。提出命令には法的拘束力があり、これに従わないことは犯罪となり、対象者の属性に応じて以下の刑罰が科される（刑事訴訟法 20 条 7 項）。
①

法 人 （ body corporate ） 、 有 限 責 任 組 合 （ limited liability partnership ） 、 組 合（partnership）、法人格のないアソシエーション（unincorporated association）の場合、
10,000 シンガポールドル以下の罰金。

②

個人の場合であって、提出命令に無令状逮捕可能な犯罪（arrestable offence）の捜査又は裁判のために必要であることが明記されている場合、5,000 シンガポールドル以下の罰金若しくは 6 か月以下の禁錮刑又はこれらを併科される。

③

その他の場合、1,500 シンガポールドル以下の罰金若しくは 1 か月以下の禁錮刑又はこれらを併科される。
なお、裁判所は、対象者が上記の提出命令に従わない場合、書類若しくはデータについて所有者が不明な場合、又は当該捜索が司法、捜査、取調べ、裁判若しくは刑事訴訟法に基づく手続の目的に資すると考えられる場合のいずれかに該当する場合には、捜索令状（search warrant）を発することができる（刑事訴訟法 24 条 1 項）。
また、警察官又は無令状逮捕可能な犯罪を捜査する権限を有する者は、コンピュータにアクセスし、当該コンピュータに含まれるデータのコピーを捜査する権限を与えられている（刑事訴訟法 39 条）。警察官等によるかかる権限の行使を妨害した場合又はその命令に従わない場合、無令状逮捕可能な犯罪となり、対象者の属性に応じて以下の刑罰が科される（刑事訴訟法 39 条 3 項・4 項）。
①

法 人 （ body corporate ） 、 有 限 責 任 組 合 （ limited liability partnership ） 、 組 合（partnership）、法人格のないアソシエーション（unincorporated association）の場合、
10,000 シンガポールドル以下の罰金。

②

その他の場合、5,000 シンガポールドル若しくは 6 か月以下の禁錮刑又はこれらを併科される。

- 129 -

ア目的
捜査、取調べ、裁判又は刑事訴訟法に基づく手続を執行するため（刑事訴訟法 20 条 1

項）。
イ

実施主体
刑事訴訟法 20 条 1 項については、一定の職位以上の警察官。
刑事訴訟法 39 条については、警察官又は無令状逮捕可能な犯罪を捜査する権限を有する者。
ウ取得される個人データの種類に関する限定の有無・概要
特に限定されていない。

エ

制限及びその例外に係る規定の有無・概要

刑事訴訟法 20 条 1 項については、捜査、取調べ、裁判又は刑事訴訟法に基づく手続を執行するために必要と認める場合に限り認められる。
刑事訴訟法 39 条については、対象となるコンピュータが無令状逮捕可能な犯罪に関連して使用されたこと又は無令状逮捕可能な犯罪に関する証拠を含むことが合理的に疑われる
場合に限り認められる。
オ

手続規定の有無・概要
法令上は特に規定されていない。警察の内部規則に警察組織内の承認等の手続が定められていることはあり得るが、そのような内部規則は公表されていない。
(2) 正当な目的の追求
前記(1)エを参照されたい。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

法令上は特に規定されていない。
イ

暗号復号強制、保護措置
無令状逮捕可能な犯罪を捜査するため、司法長官（Attorney General）は、警察官等に対し、犯罪を捜査する目的で、暗号化されたデータを可読で理解可能な形式又はテキストに再変換又は解読するための情報、コード又は技術にアクセスする権限を与えること等が認- 130 -

められている（刑事訴訟法 40 条）。
(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
法令上は特に規定されていない。

イ

データの取扱者に関する制限
法令上は特に規定されていない。

ウ

安全管理措置に関する定めの有無・概要

法令上は特に規定されていない。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
法令上は特に規定されていない。

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

法令上は特に規定されていない。
ウ

監督機関による監督状況の公表
法令上は特に規定されていない。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
特に存在しない。

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A
ウ

調査形態
N/A

- 131 -

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
刑事訴訟法上特に規定されていないが、一般的に、行政上の決定は、裁判所による司法審査の対象となる。
イ

救済を提供する行政機関・裁判所に関する情報
裁判所は行政機関からの独立が保障されている。

ウ

外国人の救済の可否
違法なガバメントアクセスにより個人の権利が影響を受けたと主張する場合には、外国人も提訴権を有すると考えられる。
エガバメントアクセスによって取得された情報に基づき訴追された者の権利
個人情報に関する特別な規定はなく、ガバメントアクセスによって取得された情報を証拠として採用することができるかは一般的な証拠法に従って判断されることになる。
V.

データ保護機関の有無及び連絡先

Personal Data Protection Commission
電話：+65 6377 3131
ウェブサイト：https://go.gov.sg/pdpc-feedback
以上- 132 -

第 14 章 スイス（スイス連邦）I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、1992 年 6 月 19 日のデータ保護に関する連邦法（The Federal Act on Data Protection of 19 June 1992）（以下「DPA」という）及び 1993
年 6 月 14 日のデータ保護に関する連邦法規則（The Ordinance to the Federal Act on Data
Protection of 14 June 1993）（以下「ODPA」という）が存在する。DPA の最新の改正は 2013年 7 月 1 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用範囲（適用対象者・地理的適用範囲）
DPA は、民間事業者、私人又は連邦機関による、自然人又は法人に関するデータの処理に適用される 42（DPA2 条 1 項）。
DPA は、スイスにおけるデータ処理活動に適用される他、スイスに影響を有する事実（他国において生じたものか否かを問わない）に適用される予定である（改正後 DPA3条）。
(2) 個人データ等の定義
個人データとは、識別され又は識別可能な自然人又は法人に関するあらゆる情報をいう（DPA3 条 a 号）。当該自然人及び法人について、DPA 上、居住地又は国籍による区別はない。
人格プロファイルとは、自然人の人格の重要な特徴の評価を可能にするデータの集合体をいう（DPA3 条 d 号）。
処理とは、方法及び手続を問わず個人データに係るあらゆる活動をいい、特に個人デー
タの取得、保存、利用、改変、開示、保管又は破壊を含む（DPA3 条 e 号）。

42

州（canton）や市町村自治体（commune）については、別途州レベルの法の適用対象となるため、
DPA の適用対象外である。

- 133 -

3.

留意点
スイス議会は、2020 年 9 月 25 日に、GDPR による個人データの保護水準に合わせること等を目的とする 43DPA の全面的改正案を可決し、2022 年下半期に施行される見込みである。また、ODPA も改正案が 2021 年 10 月 14 日まで意見募集手続に付されており、今後改正がなされる可能性がある。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

スイス連邦は、EU の十分性認定を 2000 年 7 月に取得した。
APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
II.に記載のとおり、スイスは EU の十分性認定を取得している国であるため、本項目は記載していない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 44においては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 45においては、現地法律事務所が把握している限り、
43

ただし、同法案は GDPR の規定と同一ではない。

44

代表的か否かに関する判断は現地法律事務所が行っている。

45

代表的か否かに関する判断は現地法律事務所が行っている。

- 134 -

存在しない。
3.

ガバメントアクセス 46
ガバメントアクセスを根拠付ける法令として 2015 年 9 月 25 日の諜報活動に関する連邦法（The Federal Act on the Intelligence Service of 25 September 2015）（以下「IntelSA」という）が存在する。IntelSA の本件調査目的別の概要は下記のとおりである。
(1) 法的根拠
ア

目的（IntelSA2 条）①

スイスの民主的及び憲法的原則の保障及び住民の自由の保護に貢献すること②

スイス住民及び外国にあるスイス国民の安全を増進すること③

スイスの行動能力を支えること④

国際的な安全保障上の利益の保障に貢献すること

イ

実施主体
連邦諜報機関（Service de renseignement de la Confédération / Nachrichtendienst des Bundes、

以下「FIS」という）ウ取得される個人データの種類に関する限定の有無・概要
存在しない。

エ

制限及びその例外に係る規定の有無・概要
FIS は、その任務の遂行のため、公開又は非公開の情報源から情報を収集することができる（IntelSA5 条 1 項）。
FIS は、許諾を得る必要のある情報収集手段も許諾不要の情報収集手段も使用することができる（IntelSA5 条 2 項）。
FIS は、①特定の情報収集目的を達成するために最も適切かつ必要、かつ②関係者の基本権を最も阻害しない情報収集手段を選択しなければならない（IntelSA5 条 3 項）。
FIS は、関係者に注意喚起をすることなく情報収集をすることができる（IntelSA5 条 4
項）。
FIS は、政治活動又はスイスにおける言論、集会又は結社の自由の行使に関する情報を収集又は処理することができない（IntelSA5 条 5 項）。
46

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 135 -

例外として、組織又は個人がテロリズム、諜報又は暴力的過激主義の活動を実行するためにその権利を行使する場合という特定の証拠がある場合、FIS はかかる組織又は個人のIntelSA5 条 5 項に定める情報を収集することができ、個人に関連する当該情報を記録することができる（IntelSA5 条 6 項）。
IntelSA5 条 6 項に定める活動への参加が排除される場合、FIS は個人に関する情報を削除しなければならない。ただし、かかる活動の証拠が得られない場合は、記録から遅くとも1 年以内に削除しなければならない（IntelSA5 条 7 項）。
IntelSA72 条の監視リストに記載された組織又は集団によりもたらされる脅威を情報収集等により評価できる場合、かかる組織若しくは集団又はその構成員の IntelSA5 条 5 項に定める情報を収集及び処理することができる（IntelSA5 条 8 項）。
FIS は、以下の場合に、民間事業者に情報の提供を要求できる（IntelSA25 条）。
①FIS が要求することのできる情報は、国内外の安全に対する特定の脅威を特定、予防又は排除するために必要なものでなければならない。
②当該情報は、(i)商業的利益のために運輸事業を行い、又は運輸手段の提供若しくは手配を行う自然人又は法人、あるいは(ii)特に映像送信又は映像録画装置等のセキュリティイ
ンフラストラクチャを運営する民間事業者に対してのみ要求することができる。(i)の場合には提供するサービスに関する情報、(ii)の場合には記録の移転（公の場所におけるイベン
トの記録を含む）の提供を求めることができる。
オ

手続規定の有無・概要
存在しない。

(2) 正当な目的の追求
IntelSA に基づき連邦機関が行った判断については、連邦行政裁判所に対して提訴可能であり、さらに連邦最高裁判所に対する上訴が可能である（IntelSA83 条）。
基本権に対する制限は、①法令上の根拠を有し、②公益又は他人の基本権の保護によって正当化され、かつ③比例原則上適切でなければならない（スイス連邦憲法 36 条）。
民間事業者が保有する個人データに対するガバメントアクセスは、IntelSA25 条が許容するものに限られる（上記 IV.3.(1)エを参照）。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

FIS の判断に従わない場合は、裁判手続が可能である（IntelSA83 条）ため、承認を求める規制は存在しない。
また、FIS によって情報が取得されたと思料する者が FIS 又はデータ保護当局から情報提- 136 -

供を受ける権利が定められている。
イ

暗号復号強制、保護措置存在しない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
IntelSA 上、特定の保管期間の定めはない。ただし、IntelSA45 条において、FIS は全ての情報システムにおいて個人データの記録が任務の遂行に未だ必要なものかを定期的に確認し、必要のなくなったデータの記録については削除することとされている。
イ

データの取扱者に関する制限
個人データ（センシティブデータ及び人格プロファイル（定義は I.2.(2)を参照）を含む）を処理できるのは、FIS 及びカントン 47の執行当局に限定される（IntelSA44 条 1 項）。
FIS には、定期的に多様な監査を行う内部品質保証部門が存在する（IntelSA45 条 5 項）。
ウ

安全管理措置に関する定めの有無・概要

存在しない。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
存在しない。

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告
諜 報 活 動 監 督 局 （ Autorité de surveillance indépendante des activités de renseignement /Unabhängige Aufsichtsbehörde über die nachrichtendiensten Tätigkeiten。以下「OA-IA」という）は、FIS を監督する独立機関である。FIS は、OA-IA に対する報告義務はあるが、それ以外の機関に対する報告義務や公表義務はない。
ウ

監督機関による監督状況の公表
OA-IA は、連邦国防・市民防衛・スポーツ省に対し、その活動を記載した年次報告書を提出しなければならず、この報告書は公表される（IntelSA78 条 3 項）。当該報告書はインターネット上で誰でも閲覧可能である。
47

スイスの地方自治組織の単位。

- 137 -

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称IntelSA75 条。
諜報活動監督規則（Ordonnance sur la surveillance des activités de renseignement du 16 août2017 / Verordnung über die Aufsicht über die nachrichtendienstlichen Tätigkeiten vom 16. August2017）。
OA-IA の内部規則。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

OA-IA。
OA-IA は、連邦国防・市民防衛・スポーツ省に所属しており、主要な事項については連
邦参事会も監督権限を有している。
OA-IA は独立した機関であり、他の当局の指示に拘束されない（IntelSA77 条 1 項）。
OA-IA は、独立した予算、職員を有し、自らその組織、勤務形態及び内部手続を定めている（IntelSA77 条 2 項、3 項）。
OA-IA のディレクターは、連邦国防・市民防衛・スポーツ省の推薦に基づき、連邦参事会が任命し、その任期は 6 年間である。連邦参事会が現任のディレクターが適切でないことを客観的に合理的な理由を付して現任のディレクターの任期終了の 6 か月前までに決定
しない限り、現任のディレクターは次の 6 年間の任期について再任される。現任のディレクターが故意若しくは重過失により職務上の義務に違反し、又は職務の遂行が恒常的に不可能となった場合、連邦参事会は現任のディレクターをその任期終了より前に解任することができる。
ウ

調査形態
OA-IA は、FIS が行う諜報活動を監督する（IntelSA78 条）。OA-IA は、FIS の活動の適法性、有用性及び実効性を評価する。
OA-IA は、関連する全ての情報及び文書、並びに FIS の全ての施設に対するアクセスが可能である。OA-IA は文書の写しを提出することを要求できる。監督活動の範囲内で、
OA-IA は、他の連邦及びカントンの当局から情報を求め、かかる当局が保有するファイルを検査することができる（ただし、かかる情報が当局間の協力及び FIS に関連することを条件とする）（IntelSA78 条 4 項）。
OA-IA は、監督活動を目的として、FIS が保有する全ての情報システム及びデータの集合体（機微データを含む）に対するアクセスが可能である。OA-IA は、監督が完了するまでの間に限り、取得したデータを保存することができる。データの集合体の所有者は、- 138 -

データの集合体に対するアクセスを記録しなければならない（IntelSA78 条 5 項）。
OA-IA は、その監査の結果に関する報告書を連邦国防・市民防衛・スポーツ省に提供する（IntelSA78 条 6 項）。OA-IA は勧告を出すことができ、連邦国防・市民防衛・スポーツ
省は勧告の実施を確保するか、勧告を拒否する場合には勧告を連邦参事会に提出し、判断を仰ぐ（IntelSA78 条 7 項）。
エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

OA-IA は、その監査の結果に関する報告書を連邦国防・市民防衛・スポーツ省に提供する（IntelSA78 条 6 項）。OA-IA は勧告を出すことができる。連邦国防・市民防衛・スポー
ツ省は、連邦参事会に対し定期的に脅威及び FIS の活動について報告する（IntelSA80 条 1
項）。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
DPA に基づく救済を求めることが可能である。また、IntelSA 上、データ主体に追加的な情報提供を受ける権利が定められており、これに基づき FIS が自己に関するデータを処理しているかについて情報提供を求めることができる。
イ

救済を提供する行政機関・裁判所

通常の民事及び刑事の裁判所が救済について審理する。
ウ

外国人の救済の可否可。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利一般手続法に基づき異議を述べることができる。
V.

データ保護機関の有無及び連絡先

連邦データ保護・透明性コミッショナー（Préposé fédéral à la protection des données et à latransparence / Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftrager）
住所：Feldeggweg 1, CH - 3003 Berne, Switzerland
https://www.edoeb.admin.ch/edoeb/en/home.html
電話番号：+41 (0)58 462 43 95（月曜～金曜 10～12 時）
FAX：+41 (0)58 465 99 96

以上- 139 -

第 15 章 タイ（タイ王国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
タイにおいては、個人情報の保護に関する包括的な法令として、個人情報保護法（Personal Data Protection Act）（以下「PDPA」という）が存在する。当該法令は既に成立済みであり、2019 年 5 月 28 日に個人情報保護委員会設立に関する部分のみが一部施行され、管理者及び処理者の義務等の主な事項については 2022 年 6 月 1 日に施行される予定である。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
PDPA は、同法 4 条に規定される以下の場合を除き、公共機関及び民間事業者の双方に適用される。
①

自然人が、自身の個人データを個人的利益又は家庭内の行為のためにのみ、収集、利用又は開示する場合②

マネーロンダリングの予防及び防止、科学的捜査又はサイバーセキュリティを含む、金融上の安全保障又は公共の安全その他の国家の安全を保持する責務を負う国家当局の活動の場合③

自然人又は法人が、マスメディア、芸術、又は文学活動のみを目的として収集された個人データを職業倫理又は公共の利益のためにのみ利用又は開示する場合④

下院、上院又は国会により任命された委員会を含む下院、上院及び国会が、その職責、権能を果たすために個人データを収集、利用又は開示する場合⑤

裁判及び裁判所における裁定並びに刑事司法手続に従った業務を含む、法的手続、執行及び供託における職員の業務の場合⑥

信用情報関連業法に基づき、信用情報会社及びその職員により個人データが取り扱われる場合(2) 個人データの定義
PDPA において、個人データとは、自然人に関する情報で直接又は間接を問わず当該自然人を特定することを可能とする情報を意味するが、既に死亡している自然人に関する情報は含まれない（同法 6 条）。

- 140 -

(3) 地理的適用範囲
PDPA は、タイに所在する管理者又は処理者による個人データの収集、利用又は開示については、当該収集、利用又は開示がタイの域内でなされるか否かを問わず適用される（同法 5 条）。そのため、タイに所在する管理者又は処理者がタイ国外に所在するデータ
主体やタイ国籍を有しないデータ主体の個人データを処理する場合であっても、PDPA が適用される。
また、管理者又は処理者がタイ域外に所在する場合であっても、①タイ域内に所在するデータ主体に対して商品又はサービスが提供されている場合（データ主体による対価支払いの有無を問わない）、又は、②データ主体のタイ域内における行動が監視されている場
合には適用される（同条）。
3.

留意点
PDPA に基づき個人情報保護委員会（以下「PDPC」という）が設立され、PDPC によって PDPA の下位規則が定められることになっているが、現時点では未だ PDPC の設立は完了しておらず、下位規則も制定されていない。
PDPA には、詳細は下位規則で定めることになっている規定も存在し、そのような規定は、下位規則が制定されるまで具体的内容は明らかにならないため、留意する必要がある。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

タイは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。

- 141 -

III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
PDPA には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人データの収集は、管理者の適法な目的に関連して必要な範囲内に限定される（PDPA22 条）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
管理者は、以下に規定する場合を除き、個人データを収集する場合、データ主体の同意を取得する必要がある（PDPA24 条）。また、収集する個人データがセンシティブ個人
データに該当する場合、原則としてデータ主体の明示の同意が必要となる（PDPA26条）。同意の要請は、その性質上行うことができない場合を除き、書面又は電子的方法により、明示的に行わなければならず、他の事項と明確に区別することができる方法で、容易にアクセス及び理解ができる形式及び説明により、明瞭かつ平易な言語で提示されなけ
ればならず、また、当該目的に関してデータ主体を欺罔する又は誤認を生じさせるようなものであってはならない（PDPA19 条）。
①

歴史的文書若しくは公益のための記録の作成、又は研究若しくは統計を目的としてなされる場合で、データ主体の権利及び自由を保護するために適当な措置が、PDPC の定める通達に従って実施されている場合②

人の生命、身体又は健康への危害を防止又は回避する目的でなされる場合③

データ主体が契約当事者となっている契約の履行のために必要な場合、又は契約締結前にデータ主体の要求に応じた措置を講ずるために必要な場合④

管理者が公益上行うべき行為のために必要とされる場合又は管理者の公共上の職権行使のために必要とされる場合⑤

管理者又は第三者の正当な利益のために必要な場合。ただし、当該利益よりもデータ
主体の基本的権利が優先する場合はこの限りでない⑥

管理者が服する法的義務を遵守するために必要な場合
また、管理者は、個人データを収集する場合、データ主体が内容を知っている場合を除き、当該収集に先立ち又は収集時にデータ主体に PDPA23 条所定の事項（利用目的等）を通知する必要がある（同条）。

- 142 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
PDPA には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人データの収集は、管理者の適法な目的に関連して必要な範囲内に限定される（PDPA22 条）。管理者は、個人データの収集、利用又は開示を、個人データの収集前又は収集時にデータ主体に通知した当該目的に従って行わなければならない（PDPA21条）。
また、管理者は、前記 1.(1)イに記載した要件を満たしてデータ主体の同意なく収集された個人データでない限り、データ主体の同意なく個人データを利用又は開示してはならな
い（PDPA27 条）。データ主体の同意等に基づき管理者から個人データを受領した者も、あらかじめ管理者に通知した目的以外の目的で、当該個人データを利用し又は開示してはならない（同条）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
管理者は、個人データが正確で最新のものであり、完全で、誤解を招くものでないことを確保する必要がある（PDPA35 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
PDPA には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 143 -

ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
管理者は、個人データの収集にあたり、収集前又は収集時に、データ主体が既に詳細を知っている場合を除き、利用目的等の所定の事項を特定し、データ主体に通知する必要がある（PDPA23 条）。また、データ主体からの同意を求める場合にも利用目的等を特定し、データ主体に通知する必要がある（PDPA19 条）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
前記 2.(1)アに記載したとおり、管理者は、個人データの収集、利用又は開示を、個人

データの収集前又は収集時にデータ主体に通知した目的に従って行わなければならない（PDPA21 条）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
管理者は、利用目的が変更された場合、データ主体に新たな目的等を通知し、かつ、①

収集、利用若しくは開示の前にデータ主体の同意を得る又は②法令上の要件を満たす（前記 1.(1)イに記載した同意を取得することなく個人データを収集することができる場合に該当する）必要がある（PDPA21 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
PDPA には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
前記 2.(1)アに記載したとおり、管理者は、個人データの収集、利用又は開示を、個人

データの収集前又は収集時にデータ主体に通知した目的に従って行わなければならない（PDPA21 条）。

- 144 -

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
前記 2.(1)アに記載したとおり、管理者は、個人データの収集、利用又は開示を、個人

データの収集前又は収集時にデータ主体に通知した目的に従って行わなければならない（PDPA21 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
PDPA には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、管理者は、個人データが権限なく又は違法に紛失、アクセス、利用、改変、修正又は開示されないよう適切なセキュリティ措置を講じなければならず、必要に応じて、又は適切なセキュリティと安全性を効率的に維持するために技術が変更された場合には、その対策を見直さなければならない（PDPA37 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
PDPA には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
ア

個人データの取扱いに関する方針の策定に関する規定
後記イに記載する利用目的等の通知義務（PDPA23 条）以外に個人データの取扱いに関する方針の策定を定める規定は存在しない。

- 145 -

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識でイきる方法による提供に関する規定
管理者は、個人データの収集にあたり、収集前又は収集時に、データ主体が既に詳細を知っている場合を除き、利用目的、管理者の情報、住所及び連絡方法等の所定の事項を特定し、データ主体に通知する必要がある（PDPA23 条）。当該規定はあくまでデータ主体
への通知を定めるものであり公表を義務付けるものではないが、今後下位規則において公表に関して定められる可能性はある。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
PDPA には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、管理者が責任を負う自身に関連する個人データへアクセスしてコピーを取得すること、又はデータ主体の同意なく取得した個人データの開示を請求することができる（PDPA31 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、以下の場合、管理者に対し、個人データを消去若しくは破棄すること又はデータ主体を特定できない匿名データとすることを請求することができる（PDPA33条）。
①

個人データが、収集、利用又は開示された目的との関連で必要ではなくなった場合②

データ主体が、収集、利用又は開示の根拠となる同意を撤回し、管理者による収集、使用又は開示にその他の法的根拠（前記 1.(1)イに記載した同意を取得することなく個
人データを収集することができる要件）が認められない場合③

データ主体が PDPA に基づく個人データの収集、利用又は開示への異議を申し立て、管理者が請求を拒絶することができない場合④

個人データが違法に収集、利用又は開示された場合
また、データ主体は、管理者に対し、正確ではない個人データ等の訂正を請求することができる（PDPA35 条）。

- 146 -

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

PDPA 上、管理者が権利行使を拒否することができる場合があり、一定の場合はその理由を記録する義務を負うが、理由の通知義務は規定されていない。もっとも、今後下位規則において定められる可能性はある。なお、管理者が権利行使を拒否できる場合として、
個人データのアクセス及びコピーの取得を求める権利については、法令又は裁判所の命令に従って許可されている場合であって、アクセス及び個人データのコピーの取得が他人の権利及び自由に悪影響を及ぼす場合が挙げられる。また、個人データの消去を求める権利については、表現の自由、公共の利益のために実施される業務履行の目的、法的権利の確立、遵守若しくは行使若しくは防御の目的、又は法令遵守の目的のために個人データの保有が必要となる場合が挙げられる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
PDPA には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 48においては、現地法律事務所が把握している限り、存在しない（電気通信事業法やコンピュータ犯罪法において一定期間のデータ保存義務が規定されているが、保存場所に関する義務は存在しない）。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する48

代表的か否かに関する判断は現地法律事務所が判断している。

- 147 -

法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限り、存在しない（ただし、PDPA 及び電気通信事業法（Telecommunications Business Act）には個人
データの域外移転規制自体は存在する）。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として刑事訴訟法（Criminal Procedure Code）、非常事態勅令（Emergency Decree on Public Administration in Emergency Situations）、特別事件
捜査法（Special Case Investigation Act）、コンピュータ犯罪法（Computer Crimes Act）及びサイバーセキュリティ法（Cybersecurity Act）がある。これらのうち主要な法令は、一定の場合に裁判所の審査無くガバメントアクセスを可能とする規制を有するという理由から、特別事件捜査法、コンピュータ犯罪法及びサイバーセキュリティ法であると位置付けられる（非常事態勅令に基づく命令等も裁判所の審査を必要としないが、当該規制は新型コロ
ナウイルスのパンデミックのような非常事態が発生した場合に非常事態宣言に伴い適用されるものであるため、主要な法令とは位置付けないこととする）。これらの法令の調査項
目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的①

特別事件捜査法：国家安全保障、公序良俗等に深刻な影響を与える一定の犯罪の捜査等を目的としている。特別事件捜査官は、当該捜査のため、一定の場合は裁判所の審査無
く私人に対して情報提供等を命令できる（同法 24 条）。
②

コンピュータ犯罪法：コンピュータ関連犯罪の捜査等を目的としている。デジタル経済社会省が任命する捜査官は、当該捜査のため、一定の場合は裁判所の審査無くサービス
プロバイダに対するユーザーデータの提出等を命令できる（同法 18 条）。
③

サイバーセキュリティ法：サイバー脅威（コンピュータ等を用いて行われデータに損害を与える行為等）によるリスクに関する予防又は対応等を目的としている。サイバーセ
キュリティ規制委員会は、当該目的のため、一定の場合は裁判所の審査無くコンピュータに保存されたデータへ強制的にアクセスすること等ができる（同法 68 条）。
イ

実施主体

①

特別事件捜査法：特別事件委員会、特別事件捜査官等。

②

コンピュータ犯罪法：デジタル経済社会省が任命する捜査官等。

③

サイバーセキュリティ法：国家サイバーセキュリティ委員会及びサイバーセキュリ

ティ規制委員会。

- 148 -

ウ

取得される個人データの種類に関する限定の有無・概要
存在しない。

エ

制限及びその例外に係る規定の有無・概要

存在しない。
オ

手続規定の有無・概要①

特別事件捜査法：同法に基づき私人に情報提供等を命じる場合、裁判所の審査は不要であるが、特別事件委員会が制定した規則（合理的な犯罪の嫌疑、当該犯罪と求める
情報の合理的な関連性等に関する記録作成等）を遵守する必要がある。もっとも、情報提供命令に留まらずコンピュータに保存されたデータに強制的にアクセス等する場
合は裁判所の事前審査が必要である（同法 25 条）。

②

コンピュータ犯罪法：サービスプロバイダが保存義務を負う一定のユーザーデータの提出を求める場合等は裁判所の審査は不要であるが、コンピュータに保存されたデー
タに強制的にアクセス等する場合は裁判所の事前審査が必要である（同法 18 条及び19 条）。

③

サイバーセキュリティ法：コンピュータに保存されたデータに強制的にアクセス等する場合は裁判所の事前審査が必要であるが（同法 65 条及び 66 条）、重大なレベルのサイバー脅威に対応するための緊急性及び必要性が認められる場合、事後に遅滞なく当該措置の詳細を裁判所に通知することで足りる（同法 68 条）。

(2) 正当な目的の追求
前記(1)アに記載したいずれの法令にも、個人データに関する権利やプライバシー権等について定めた規定やそれらの権利とガバメントアクセスの必要性を調整するための規定は存在しない。
もっとも、これらの法令に基づくガバメントアクセスが許容される場合は、一定の犯罪の捜査又はサイバー脅威防止等の目的のために必要な場合に限定されている。また、そのような必要性が認められる場合でも、コンピュータへの強制的アクセス等の私人の権利侵害の程度が大きい一定のガバメントアクセスについては、原則として裁判所の事前審査が必要とされている。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
前記(1)オ及び(2)に記載したとおり、前記(1)アに記載したいずれの法令でも、コンピュータへの強制的アクセス等の私人の権利侵害の程度が大きいガバメントアクセスにつ- 149 -いては、重大なレベルのサイバー脅威に対応するための緊急性及び必要性が認められる場
合を除いて、裁判所の事前審査が必要とされている。もっとも、私人に対する情報提供命
令（サービスプロバイダが保管義務を負う一定のユーザーデータの提出命令を含む）に留
まるガバメントアクセスについては、裁判所の審査は必要とされていない。
イ

暗号復号強制、保護措置
コンピュータ犯罪法に基づく捜査のために必要性が認められる場合、捜査官はコン

ピュータ等に保存されたデータにかけられた暗号を復号することができる（同法 18 条）。
この場合は、データに対する強制的アクセスと同様に、裁判所の事前審査が必要である（同法 19 条）。
(4) 取得された個人データの取扱いに対する制限
前記(1)アに記載したいずれの法令にも、個人データの取扱いに着目した制限は存在しない。
もっとも、特別事件捜査法に基づき司法審査の下でデータへの強制的アクセスが実施される場合、裁判所による承認は 90 日以内の期間についてのみ与えられる（同法 25 条）。
また、コンピュータ犯罪法又はサイバーセキュリティ法に基づき司法審査の下で差し押さえられたコンピュータ等については、差押期間が原則 30 日間に制限される（コンピュータ
犯罪法 19 条及びサイバーセキュリティ法 66 条）。加えて、前記(1)アに記載したいずれの法令にも、法令に基づきアクセスしたデータに対する捜査官等の秘密保持義務等が規定されている（特別事件捜査法 26 条、コンピュータ犯罪法 22 条、サイバーセキュリティ法 70条）。
(5) 透明性
ガバメントアクセスの事実の通知義務の有無・概要、実施状況の公表・公的機関に対する報告、及び監督機関による監督状況の公表はいずれも存在しない。
(6) 監督・調査・審査の仕組み
ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令は存在しない。もっとも、前記(1)アに記載した法令においては、コンピュータへの強制的アクセス
等の私人の権利侵害の程度が大きいガバメントアクセスについて、裁判所が審査の役割を担うことが想定されている。

- 150 -

(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
違法なガバメントアクセスに着目した救済制度は存在しない。もっとも、一般的に、行政機関と私人との間に行政権の行使に係る紛争が発生した場合、私人は、行政裁判所において、違法な行政処分の停止、損害賠償等を求めて訴訟を提起することができる（行政裁判所の設置及び行政裁判所の手続に関する法律（Establishment of. Administrative Courts andAdministrative Court Procedure）42 条）。また、行政手続法（Administrative Procedure Act）に基づき行政機関に対して不服申立てを行うこともできる。
イ

救済を提供する行政機関・裁判所に関する情報
アに記載した訴訟の提起先は行政裁判所、不服申立ての申立先は違法な行政権の行使に関与した行政機関である。また、裁判官の独立は憲法上明記されている（憲法 188 条）。
ウ

外国人の救済の可否
前記アに記載した訴訟は外国人も提起することができる。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利
違法なガバメントアクセスによって取得された個人情報に基づき訴追された際の証拠排除等の、個人情報に着目した特別な救済手段は存在しない。もっとも、前記アに記載した訴訟提起等の手段を通じて、違法な行政処分の停止、損害賠償等の救済が認められ得る。
V.

データ保護機関の有無及び連絡先
データ保護機関として、PDPC（個人情報保護委員会）の設立が予定されているが、現時点ではまだ設立手続は完了していない。現時点では商務省の組織として個人情報保護委
員会事務局が存在し、PDPA の施行準備作業を担当している。その連絡先は以下のとおりである。
電子メールアドレス: pdpc@mdes.go.th
電話: +66(0)2-142-1033
以上- 151 -

第 16 章 台湾
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個 人 情 報 の 保 護 に 関 す る 包 括 的 な 法 令 と し て 、 「 個 人 情 報 保 護 法（ Personal Data

Protection Act 49）（以下「個人資料保護法」という。）」が存在する。当該法令は 2012 年
10 月 1 日に施行されており、改正法が 2016 年 3 月 15 日に施行されている。
2.

個人資料保護法に関する基本的事項(1) 適用対象
個人資料保護法は、公的部門（「公務機関」：法に基づき公権力を行使する中央又は地方の機関又は行政法人を指す（2 条 7 号））及び民間部門（「非公務機関」：「公務機関」
以外の自然人、法人その他の団体を指す（2 条 8 号））のいずれも対象とする。
(2) 保護対象の個人情報の定義
個人資料保護法の保護対象となる個人情報（原文では、「個人資料」）とは、自然人の氏名、生年月日、台湾人身分証番号、旅券番号、特徴、指紋、婚姻、家族、学歴、職業、病歴、治療、遺伝子、性生活、健康診断、犯罪歴、連絡先、財務状況、社会活動等の情報
その他直接又は間接に当該個人を識別し得る情報をいう（2 条 1 号）。
上記定義においては、情報主体の国籍について特に限定しておらず、台湾において収集、処理又は利用行為が行われる場合は、台湾人でない外国人の個人情報であっても、個人資料保護法の適用対象となる。
また、公務機関又は非公務機関が台湾以外の地域において行う個人情報の収集、処理又は利用行為についても、当該個人情報が台湾人に関するものである限り、適用がある（51条 2 項）。すなわち、域内に所在する情報主体のみならず、台湾人については域内・域外を問わず個人資料保護法の保護対象となる個人情報の情報主体になる。
ただし、個人資料保護法の主務機関である行政院法務部の 2018 年 3 月 12 日付法律字第10703502240 号通達においては、台湾以外の地域において行われる個人情報の収集、処理
又は利用行為に個人資料保護法が適用される要件として、①当該個人情報の収集、処理又は利用行為を行う者が台湾の公務機関又は非公務機関であること、かつ、②収集、処理又49

現地語法律名称：個人資料保護法。

- 152 -

は利用される個人情報が台湾人の個人情報であることが必要であるとの行政解釈が示されている（もっとも、法務部によるかかる解釈について判断した裁判例は現時点で存在しない）。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

台湾は、EU の十分性認定を取得しておらず、現時点ではなお審査段階にあり、認定の見通しについては明らかでない。
また、APEC の CBPR システムには 2018 年 12 月に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
個人資料保護法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人情報の収集、処理及び利用は、本人の権利及び利益を尊重するような方法で、信義に基づき誠実な態様で行われなければならず、特定目的のために必要な範囲を超えてはな
らず、収集目的と正当かつ合理的な関係がなければならない（5 条）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定(ア) 個人情報の収集者の通知
公務機関又は非公務機関は、個人資料保護法 15 条又は 19 条の規定に基づいて個人情報を収集するときは、以下の情報を本人に明示的に告知しなければならない（8 条 1 項）。
①

当該公務機関又は非公務機関の名称

②

収集の目的

③

収集される個人情報の種別④

個人情報の利用を行う期間、地域、対象及び方法⑤

第三条に基づく本人の権利及び当該権利の行使方法⑥

本人が個人情報を提供しないことを選択した場合に影響を受ける本人の権利及び利益- 153 -

(イ) 間接的に個人情報の提供を受ける者の通知
公務機関又は非公務機関は、15 条又は 19 条の規定により収集された個人情報のうち、本人から提供を受けていないものを処理又は利用する場合には、あらかじめ、当該個人情報の提供元及び上記(ア)①ないし⑤に掲げるその他の情報を本人に告知しなければならな
い（9 条 1 項）。
(ウ) 公務機関の同意取得に係る規定
公務機関による個人情報の収集又は処理は、6 条 1 項に規定する個人情報を除き、特定目的のために行われるものであり、かつ、次の各号のいずれかに該当するものでなければならない（15 条）。
①

その法定の職務を行うために必要な範囲内にあるとき②

本人の同意が得られたとき③

本人の権利及び利益が侵害されないとき(エ) 非公務機関の同意取得に係る規定
6 条 1 項に規定する個人情報を除き、非公務機関による個人情報の収集又は処理は、特定目的のために行われるものであり、かつ、次の各号のいずれかに該当するものでなければならない（19 条 1 項）。
①

法律により明示的に要求されるとき②

非公務機関と本人との間に契約上又は準契約上の関係があり、かつ、当該個人情報の安全を確保するための適切な安全保護措置が講じられているとき③

当該個人情報が本人により公表されているとき又は適法に公表されているとき④

公益目的での統計の収集又は学術研究に必要であるとき。ただし、情報提供者によって処理され、又は情報収集者によって開示される当該情報が、具体的な本人の特定につながらないことを条件とする⑤

本人の同意が得られたとき⑥

公共の利益を増進するため必要があるとき⑦

当該個人情報が公に入手可能な情報源から入手されたとき。ただし、本人が当該個人情報の処理又は利用を禁止することに重大な利益を有している場合を除く⑧

本人の権利及び利益が侵害されないとき(オ) センシティブ個人情報の特則取扱いに特別の制限が課され、かつ、上記 8 条及び 9 条の規定が準用される（6 条）。
①

自然人の病歴、治療、遺伝子、性生活、健康診断、犯罪歴に関する個人情報は、次のいずれかの事由に基づくものでない限り、収集、処理又は利用してはならない(i)

法律により明示的に要求されるとき- 154 -

(ii) 公務機関がその法定の職務を行うために必要な範囲内にあるとき又は非公務機関がその法定の義務を履行するために必要な範囲内にあるとき。ただし、当該個人情報の収集、処理又は利用の前後を問わず、適切な安全保護措置がとられていることを条件とする(iii) 当該個人情報が本人により公表され、又は適法に公表されているとき(iv) 公務機関又は学術機関による、保健、公衆衛生又は犯罪の予防を目的とする統計の収集又は学術研究のために必要であるとき。ただし、情報提供者によって処理され、又は情報収集者によって開示される当該情報が、具体的な本人の特定につながらないことを条件とする(v) 公務機関がその法定の職務を行い、又は非公務機関がその法定の義務を履行することを助けるために必要であるとき。ただし、当該個人情報の収集、処理又は利用の前後を問わず、適切な安全保護措置がとられていることを条件とする(vi) 本人がその個人情報の収集、処理及び利用に対し書面により同意したとき。ただし、収集、処理若しくは利用がその特定目的に必要な範囲を超えるとき、本人の同意のみに基づく収集、処理若しくは利用が法律により禁止されているとき、又はその同意が本人の自由意思によってなされたものでないときを除く②

8 条及び 9 条の規定は前項の規定による個人情報の収集、処理又は利用について、7 条
1 項、2 項及び 4 項の規定は前項 6 号の規定による同意について、それぞれ準用する(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人資料保護法 5 条において、上記 1.(1)アのとおり、特定目的のために必要な範囲で、収集目的と正当かつ合理的な関係があることという制限が定められている。その他の定めは次のとおり。
(ア) 公務機関の他の目的のための利用に係る規定
公務機関は、6 条 1 項に規定する個人情報を除き、その法定の職務を行うために必要な- 155 -

範囲内で、かつ、特定の収集の目的のために個人情報を利用しなければならないが、他の目的のための個人情報の利用は、次に掲げるいずれかの事由に基づかなければ行ってはならない（16 条）。
①

法律により明示的に要求されるとき②

台湾の安全を維持するため、又は公共の利益を増進するため必要があるとき③

本人の生命、身体、自由又は財産に対する侵害を防止するためのものであるとき④

他人の権利及び利益に対する著しい侵害を防止するためのものであるとき⑤

公益目的での統計の収集又は学術研究に必要であるとき。ただし、情報提供者によって処理され、又は情報収集者によって開示される当該情報が、具体的な本人の特定につながらないことを条件とする⑥

本人の同意が得られたとき⑦

本人の権利及び利益のためのものであるとき(イ) 非公務機関の他の目的のための利用に係る規定
非公務機関は、6 条 1 項に規定する個人情報を除き、特定の収集の目的の範囲内でしか個人情報を利用してはならず、他の目的のための個人情報の利用は、次に掲げるいずれかの事由に基づかなければ行ってはならない（20 条 1 項）。
①

法律により明示的に要求されるとき②

公共の利益を増進するため必要があるとき③

本人の生命、身体、自由又は財産に対する侵害を防止するためのものであるとき④

他人の権利及び利益に対する著しい侵害を防止するためのものであるとき⑤

公益目的での統計の収集又は学術研究に必要であるとき。ただし、情報提供者によって処理され、又は情報収集者によって開示される当該情報が、具体的な本人の特定につながらないことを条件とする⑥

本人の同意が得られたとき⑦

本人の権利及び利益のためのものであるとき

イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定

個人資料保護法 11 条において、正確性確保のための訂正及び追加や、紛争発生時又は利用目的の消滅若しくは期間の満了時における消去又は利用等の停止等について以下のとおり規定されている。
①

公務機関又は非公務機関は、その保有する個人情報の正確性を確保するとともに、自ら又は本人の求めに応じて、当該個人情報を訂正又は追加しなければならない②

個人情報の正確性に関して紛争が生じた場合、公務機関又は非公務機関は、自ら又は本人の求めに応じて、個人情報の処理又は利用を中止するものとする。ただし、公務- 156 -

上若しくは事業上の義務の遂行に必要な場合、又は本人が書面により同意し、かつ、紛争が記録されている場合はこの限りではない③

公務機関又は非公務機関は、情報収集の特定目的がなくなったとき、又は期間が満了したときは、自ら又は本人の求めに応じて、個人情報を消去し又は処理若しくは利用を停止しなければならない。ただし、事業上若しくは業務上の義務の遂行のために必要であるとき、又は書面により本人の同意を得たときを除く④

公務機関又は非公務機関は、個人情報の収集、処理又は利用が個人資料保護法に違反する場合には、自ら又は本人の求めに応じて、収集された個人情報を消去し、又はその収集、処理若しくは利用を停止しなければならない⑤

個人情報の訂正又は追加をしなかったことが公務機関又は非公務機関の責に帰すべきものであるときは、当該訂正又は補充を行った後、当該個人情報の提供を受けた者に通知しなければならない(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定

個人資料保護法 5 条において、上記 1.(1)アのとおり、個人情報の収集は、特定目的のために必要な範囲で、収集目的と正当かつ合理的な関係がなければならないという制限が定められている。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

上記 2.(1)アのとおり、公務機関については 16 条、非公務機関については 20 条 1 項において、原則として、特定の収集の目的のために個人情報を利用しなければならない旨の制
限が定められている。
ウ

利用目的の変更時における利用目的の特定を定めた規定
利用目的の変更時における利用目的の特定を直截に定めた規定は存在しない。しかし、- 157 -

上記 2.(1)アのとおり、公務機関については 16 条、非公務機関については 20 条 1 項において、他の目的のための個人情報の利用を正当化する事由の一つとして、本人の同意を得ることを要求する形で実質的に規定されている。また、上記 2.(1)イのとおり、11 条 3 項は、情報収集の特定目的が消滅した場合には個人情報を消去し又は処理若しくは利用を停止しなければならないとしつつ、事業上若しくは業務上の義務の遂行のために必要であるとき、又は書面により本人の同意を得たときには、引き続き当該個人情報を保有し続けることを例外的に認めている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
上記 1.(1)アのとおり、個人資料保護法 5 条において、個人情報の収集、処理及び利用

は、特定目的のために必要な範囲で、収集目的と正当かつ合理的な関係があることという制限が定められている。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

上記の個人資料保護法 5 条に加え、上記 2.(1)アのとおり、16 条及び 20 条 1 項では公務機関及び非公務機関による利用の制限が設けられている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 158 -

5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
ア

公務機関に係る規定
個人情報ファイルを保有する公務機関は、個人情報の窃取、改ざん、毀損、滅失又は漏洩を防止するため、担当者を指定し安全保護措置を講じなければならない（18 条）。
イ

非公務機関に係る規定①

個人情報ファイルを保有する非公務機関は、個人情報の窃取、改ざん、毀損、滅失又は漏洩を防止するため、適切な安全保護措置を講じなければならない②

関係事業分野を所管する中央政府当局は、特定の非公務機関を指定して、個人情報ファイル保護のための安全保護計画及び事業終了後の個人情報の処分に関する指針の策定を命じることができる③

前項の計画及び処分規則に関する基準その他の事項は、当該事業分野を所管する中央政府当局によって明示的に定められなければならない（以上につき、27 条 1 項）

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
上記 I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
公務機関についても非公務機関についても、特段存在しない。

- 159 -

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定

公務機関についても非公務機関についても、上記 1.(1)イのとおり、個人資料保護法 8 条
1 項及び 9 条 1 項により、個人情報の直接又は間接の収集者が負う告知義務の内容として、
個人情報収集者の名称や収集の目的、個人情報の種別、利用期間・地域・対象・方法が含まれる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
本人は、その個人情報に関し、次に掲げる権利を行使することができ、当該権利をあらかじめ放棄し、又は契約により制限することはできない（3 条）。
①

個人情報の照会及び開示を求める権利②

個人情報の複製物の交付を求める権利③

個人情報の追加又は訂正を求める権利④

個人情報の収集、処理又は利用の停止を求める権利⑤

個人情報の削除を求める権利イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
上記アのとおり、3 条 3 号及び 5 号がこれに当たる。

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
公務機関については、訴願（＝行政不服申立）法に基づき、行政機関による行政処分に対して、行政処分書を受け取って 30 日以内に、処分機関の上級機関に行政処分を取り消す
よう訴願を提起することができ、また、訴願が棄却された場合、処分機関を相手方として行政訴訟を提起することができる。非公務機関については、存在しない。

- 160 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
個人資料保護法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは存
在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令は、存在しない（刑事訴訟手続等で「令状」等の司法的審査を経た上で行うアクセスを除く）。
V.

データ保護機関の有無及び連絡先
台湾では、データ保護機関は設置されていない。
以上- 161 -

第 17 章 中国（中華人民共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、中華人民共和国個人情報保護法（Personal

Information Protection Law of the People's Republic of China）（以下「個人情報保護法」という）が存在する。当該法令は 2021 年 11 月 1 日に施行されている。
2

1.記載の法令に関する基本的事項(1) 適用対象者
公的部門と民間部門のいずれも対象とする。「地方公共団体」に相当する地方人民政府
も、個人情報を取り扱う場合には適用対象となる。個人情報の取扱いには、個人情報の収集、保存、使用、加工、伝送、提供、公開、削除等が含まれる（4 条 2 項）。
(2) 個人情報の定義
個人情報とは、電子その他の方法により記録される、既に識別され、又は識別可能な自然人に関する各種情報をいうが、匿名化処理後の情報は含まない（4 条 1 項）。当該自然人について、個人情報保護法上、所在地又は国籍による区別はない。
(3) 地理的適用範囲
中国境内 50における個人情報の取扱いであれば、仮に自然人が中国境外に所在する場合であっても個人情報保護法の保護対象となる。
また、中国境外において中国境内の自然人の個人情報を取り扱う活動については、以下の場合に、個人情報保護法が適用される（3 条）。
①

中国境内の自然人に対する製品又はサービスの提供を目的とするとき②

中国境内の自然人の行為を分析し、又は評価するとき③

法律・行政法規所定のその他の事由に該当するとき50「中国境内」には、台湾、香港、澳門は含まれないとされている。

- 162 -

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

中国は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定(ア) 民間部門に関する規定
個人情報を取り扱う場合には、適法、正当、必要性及び信義誠実の原則を遵守しなければならず、誤導、詐欺、脅迫等の方法により個人情報を取り扱ってはならない（5 条）。
いかなる組織及び個人も、他人の個人情報を違法に収集し、使用し、加工し、伝送してはならず、他人の個人情報を違法に売買し、提供し、又は公開してはならず、国の安全及び公共利益に危害を及ぼす個人情報の取扱いに係る活動に従事してはならない（10 条）。
(イ) 公的部門に関する規定
国家機関が個人情報を取り扱う活動には、別段の規定がない限り、個人情報保護法が適用される（33 条）。これにより、民間部門と同様、5 条及び 10 条が適用される。
国家機関は、法定の職責を履行するために個人情報を取り扱う場合には、法律・行政法
規所定の権限及び手続に従い行わなければならず、法定の職責の履行に必要な範囲及び限度を超えてはならない（34 条）。

- 163 -

イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定

次の各号のいずれかに該当する場合に限り、個人情報取扱者 51は、個人情報を取り扱うことができる（13 条）。
①

個人の同意を取得したとき②

個人を一方当事者とする契約の締結若しくは履行のために必要であり、又は法により制定された労働規則制度及び法により締結された集団契約に従い人的資源管理を実施するのに必要なとき③

法定の職責又は法定の義務の履行のために必要であるとき④

突発的な公共衛生事件に対応するため、又は緊急の状況において自然人の生命・健康
及び財産の安全を保護するために必要であるとき⑤

公共利益のためにニュース報道、世論監督等の行為を行うため、合理的な範囲内において個人情報を取り扱うとき⑥

この法律の規定に従い、合理的な範囲内において、個人が自ら公開した、又はその他の既に適法に公開された個人情報を取り扱うとき⑦

法律・行政法規所定のその他の事由に該当するとき(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人情報を取り扱う場合には、明確かつ合理的な目的を有しなければならず、かつ、取扱いの目的と直接関連し、個人の権益に対する影響が最も小さい方法を採用しなければならない（6 条 1 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人情報を取り扱う場合には、個人情報の品質を保証し、個人情報の不正確さ及び不完

51

個人情報の取扱活動において取扱いの目的及び取扱方法を自主的に決定する組織又は個人をいう（73 条 1 項）。国家機関も個人情報取扱者に含まれ得る。

- 164 -

全さにより個人の権益に対し不利な影響を及ぼすことを避けなければならない（8 条）。
個人は、自己の個人情報が正確でなく、又は完全でないことを発見した場合には、個人情報取扱者に対し訂正し、又は補充するよう請求する権利を有する。個人が自己の個人情報を訂正し、又は補充するよう請求した場合には、個人情報取扱者は、その個人情報について照合し、かつ、遅滞なく訂正し、又は補充しなければならない（46 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
個人情報を取り扱う場合には、公開及び透明の原則を遵守し、個人情報取扱規則を公開し、取扱いの目的、方法及び範囲を明示しなければならない（7 条）。
個人情報取扱者は、個人情報を取り扱う前に、顕著な方法及び明瞭かつ理解しやすい言語により、ありのままに、正確かつ完全に個人に対し個人情報の取扱いの目的等を告知しなければならない（17 条 1 項 2 号）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人情報を取り扱う場合には、明確かつ合理的な目的を有しなければならず、かつ、取扱いの目的と直接関連し、個人の権益に対する影響が最も小さい方法を採用しなければならない（6 条 1 項）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
個人情報の取扱いの目的、取扱方法及び取り扱う個人情報の種類に変更が生じた場合には、改めて個人の同意を取得しなければならない（14 条 2 項）。
個人情報の取扱いの目的に変更が生じた場合には、変更部分を個人に告知しなければならない（17 条 1 項 2 号、同条 2 項）。

- 165 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
個人情報を取り扱う場合には、明確かつ合理的な目的を有しなければならず、かつ、取扱いの目的と直接関連し、個人の権益に対する影響が最も小さい方法を採用しなければならない（6 条 1 項）。
また、個人情報取扱者は、自己が取り扱った個人情報を公開してはならない。ただし、個人から個別の同意を取得した場合を除く（25 条）。
イあらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
個人情報を取り扱う場合には、明確かつ合理的な目的を有しなければならず、かつ、取扱いの目的と直接関連し、個人の権益に対する影響が最も小さい方法を採用しなければならない（6 条 1 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
個人情報取扱者は、その個人情報の取扱いに係る活動につき責任を負い、かつ、取り扱
う個人情報の安全性を保障するのに必要な措置を講じなければならない（9 条）。

- 166 -

また、個人情報の取扱いの目的、取扱方法、個人情報の種類、並びに個人の権益に対する影響及び存在するおそれのある安全リスク等に基づいて、次の措置を講じて個人情報取扱活動が法律・行政法規の規定に適合することを確保し、かつ、授権を経ていないアクセス及び個人情報の漏洩、改ざん又は紛失を防止しなければならない（51 条）。
①

内部管理制度及び運用規程を制定すること②

個人情報について分類管理を行うこと③

相応する暗号化、非識別化等の安全技術措置を講ずること④

個人情報の取扱いに係る操作権限を合理的に確定し、かつ、業務従事者に対し定期的に安全教育及び研修を行うこと⑤

個人情報安全事件の緊急時対応計画を制定し、かつ、実施を手配すること⑥

法律・行政法規所定のその他の措置(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定(ア) 民間部門に関する規定
個人情報を取り扱う場合には、公開及び透明の原則を遵守し、個人情報取扱規則を公開し、取扱いの目的、方法及び範囲を明示しなければならない（7 条）。
(イ) 公的部門に関する規定
上記(ア)は国家機関にも適用される（33 条）。
また、国家ネットワーク情報部門は、関係部門が個人情報保護法により次の個人情報保護業務を推進するよう統一的に計画して調整する（62 条 1 項）。
①

個人情報保護の具体的な規則及び標準を制定すること②

小規模の個人情報取扱者、センシティブ情報の取扱い、及び顔認証、人工知能等の新技術及び新アプリケーションに対して、専用の個人情報保護規則及び標準を制定する
こと- 167 -

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
個人情報取扱者は、個人情報を取り扱う前において、顕著な方法及び明瞭かつ理解しやすい言語により、ありのままに、正確かつ完全に個人に対し次の事項を告知しなければならない（17 条 1 項）。
①

個人情報取扱者の名称又は氏名及び連絡方法②

個人情報の取扱いの目的及び取扱方法並びに取り扱う個人情報の種類及び保存期間③

個人が個人情報保護法所定の権利を行使する方法及び手続④

法律・行政法規所定のその他の告知すべき事項
また、個人情報取扱者が個人情報取扱規則を制定する方法により上記の事項を告知する

場合には、当該取扱規則は、これを公開し、かつ、容易に閲覧及び保存ができるようにしなければならない（17 条 3 項）。
(2) 当該原則が実質的に及ばない分野等について
例えば、「反テロリズム法」45 条、「国家情報法」15 条、「反スパイ法」12 条等において、科学的偵察措置が認められており、また、税収徴収管理法 54 条においては、税務当
局は、納税者の帳簿等の資料を強制的に調査することができると定められており、これらの手続においては収集される情報に含まれ得る個人情報について上記(1)イの告知がなされないこととなると考えられる。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
個人は、個人情報取扱者から自己の個人情報を閲覧し、及び複製する権利を有し、個人が自己の個人情報の閲覧及び複製を請求する場合には、個人情報取扱者は、遅滞なく提供しなければならない（45 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
個人は、自己の個人情報が正確でなく、又は完全でないことを発見した場合には、個人情報取扱者に対し訂正し、又は補充するよう請求する権利を有し、個人が自己の個人情報- 168 -

を訂正し、又は補充するよう請求した場合には、個人情報取扱者は、その個人情報について照合し、かつ、遅滞なく訂正し、又は補充しなければならない（46 条）。
次の各号のいずれかに該当する場合には、個人情報取扱者は、自主的に、個人情報を削除しなければならない。個人情報取扱者が削除しなかった場合には、個人は、削除するよう請求する権利を有する（47 条 1 項）。
①

取扱いの目的が既に実現し、若しくは実現することができなくなり、又は取扱いの目的の実現に必要なくなったとき②

個人情報取扱者が製品若しくはサービスの提供を停止し、又は保存期間が既に経過し
ているとき

③

個人が同意を撤回したとき④

個人情報取扱者が法律・行政法規に違反し、又は約定に違反して個人情報を取り扱ったとき⑤

法律・行政法規所定のその他の事由に該当するとき

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
個人情報取扱者は、個人の権利行使に係る申請の受理及び取扱いにつき簡便・迅速な制度を確立しなければならない。個人の権利行使に係る請求を拒絶する場合には、理由を説明しなければならない。また、個人情報取扱者が個人の権利行使に係る請求を拒絶した場
合には、個人は、法により人民法院に対し訴訟を提起することができる（50 条）。
(2) 当該原則が実質的に及ばない分野等について「証券法」では、証券会社の顧客情報の保存期間は 20 年以上とされている（同法 37条）。「電子署名法」では、電子認証サービス提供者による認証関連情報は少なくとも電子署名認証証書の失効から 5 年間は保存が必要とされている（同法 24 条）。「精神衛生法」では、医療機関における精神疾患患者のカルテの保存期間は 30 年以上とされている（同法 47 条）。したがって、これらの場合は個人の削除権の行使が制限され得る。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。
個人情報取扱者は、その個人情報の取扱いに係る活動につき責任を負い、かつ、取り扱
う個人情報の安全性を保障するのに必要な措置を講じなければならない（9 条）。

- 169 -

いかなる組織及び個人も、違法な個人情報取扱活動に対して、個人情報保護に係る職責を履行する部門に対し苦情申立又は通報を行う権利を有する。苦情申立又は通報を受理した部門は、法により遅滞なく処理し、かつ、処理結果を苦情申立人又は通報人に告知しなければならない。個人情報保護に係る職責を履行する部門は、苦情申立又は通報の受理に係る連絡方法を公布しなければならない（65 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護

法令又はサイバーセキュリティ関連法においては、個人情報保護法及びサイバーセキュリ
ティ法（Cybersecurity Law of the People's Republic of China）に存在する。また、それ以外の代表的な法令 52には、現地法律事務所が把握する限り存在しない。それぞれの概要は以下のとおりである。
(1) 個人情報保護法
ア対象となる事業者
以下の者について、それぞれ域内での保有・保管義務が課されている。

①

国家機関（36 条）②

重要情報インフラの運営者（40 条）③

国家ネットワーク情報部門所定の数量 53に達する個人情報取扱者（40 条）

イ

対象となるデータ
中国境内での運営において収集し、及び生じた個人情報（40 条）。したがって、外国の事業者からの移転により取得した個人データには適用されない場合があると解される。
52

代表的か否かに関する判断は現地法律事務所が行っている。

53

現行法上は明確な基準は定められていないものの、国家ネットワーク情報部門が 2021 年 10 月 29 日に公表した「データ越境安全評価弁法（意見募集稿）」4 条 1 項（データ取扱者が国外にデータを提供する際、当局による安全評価が必要となるケースを定めている）に定める以下の内容が参考になる。
①100 万人以上の個人情報を取り扱う個人情報取扱者が国外に個人情報を移転する場合②累計して 10 万人以上の個人情報又は 1 万人以上のセンシティブ個人情報を国外に移転する場合- 170 -

ウ

義務の目的・概要
目的は安全保障と考えられる。
データの複製を含めて国内での保有・保管義務の対象とされていると考えられ、また、国内のサーバの設置は明文上規定されていないものの、国内における保存義務の帰結として、当該義務の対象となる情報を保存するサーバを国内に設置する必要があると解され
る。
エ

所管機関
国家ネットワーク情報部門（40 条）。

(2) サイバーセキュリティ法ア

対象となる事業者
重要情報インフラ 54の運営者（37 条）。

イ

対象となるデータ
重要情報インフラの運営者が中国の国内での運営において収集、発生させた個人情報及び重要データ（37 条）。したがって、外国の事業者からの移転により取得した個人データには適用されない場合があると解される。
ウ

義務の目的・概要
目的は安全保障と考えられる。
データの複製を含めて国内での保有・保管義務の対象とされていると考えられ、また、国内のサーバの設置は明文上規定されていないものの、国内における保存義務の帰結として、当該義務の対象となる情報を保存するサーバを国内に設置する必要があると解される。
他方で、あらゆる情報の国外への移転（持ち出し）が禁止されているわけではなく、業務上の必要により、国外に提供する必要が確実にある場合は、国家インターネット情報部
門が国務院の関係部門と共に制定した規則に従って安全評価を行わなければならない（37条）との規定も存在する。
54「サイバーセキュリティ法」の下位法令（行政法規）である「重要情報インフラ安全保護条例」においては、以下のように定義されている。
「重要情報インフラとは、公共通信及び情報サービス、エネルギー、交通、水利、金融、公共サー
ビス、電子政務、国防科学技術工業等の重要な業種・分野における重要なネットワーク施設、情報システム等、並びにその他の一旦破壊され、機能を喪失し、又はデータが漏えいすれば国の安全、
国家経済・国民生活及び公共利益に重大な危害を及ぼすおそれのある重要なネットワーク施設、情報システム等をいう。」（同条例 2 条）

- 171 -

エ

所管機関
国家ネットワーク情報部門（37 条）。

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法においては、個人情報保護法及びサイバーセキュリティ法に存在する。また、それ以外の代表的な法令 55として、現地法律事務所が把握する限り、データセキュリティ法（Data Security Lawof the People's Republic of China）に存在する。それぞれの概要は以下のとおりである。
(1) 個人情報保護法
ア対象となる事業者・データ等の要件（40 条、41 条）(ア) 対象となる事業者
以下の者について、それぞれ域外移転の制約による実質的な域内保持義務が課されている。
①

重要情報インフラの運営者②

取扱いに係る個人情報が国家ネットワーク情報部門所定の数量に達する個人情報取扱者③

中国境内に保存された個人情報を外国の司法又は法律執行機関に対して提供する個人
情報取扱者(イ) 対象となる個人データ（上記(ア)①～③にそれぞれ対応）①

重要情報インフラの運営者が中国境内で収集した個人情報②

所定の数量に達する個人情報③

外国の司法又は法律執行機関に対して提供する個人情報

なお、外国の事業者からの移転により取得した個人データには適用されない場合があると解される。
(ウ) その他の要件（上記(ア)及び(イ)①～③にそれぞれ対応）①② 当局の安全評価に合格すること③

主管機関の認可を経ること55

代表的か否かに関する判断は現地法律事務所が行っている。

- 172 -

イ

規定の目的・概要
目的は安全保障と考えられる。
重要情報インフラの運営者及び取扱いに係る個人情報が国家ネットワーク情報部門所定の数量に達する個人情報取扱者は、中国の国内において収集し、及び発生した個人情報を国内において保存しなければならない。国外に提供する必要が確実にある場合には、国家
ネットワーク情報部門が組織する安全評価に合格しなければならない。法律・行政法規及び国家ネットワーク情報部門が安全評価を行わなくてよい旨を定める場合には、その規定に従う（40 条）。
また、主管機関は、関連する法律及び中国が締結し、若しくは参加する国際条約若しくは協定に基づいて、又は平等互恵原則に従い、外国の司法又は法律執行機関による国内に保存された個人情報の提供に関する請求を処理する。主管機関の認可を経ていない場合には、個人情報取扱者は外国の司法又は法律執行機関に対して中国境内に保存されている個
人情報を提供してはならない（41 条）。
ウ

所管機関
国家ネットワーク情報部門（40 条）(2) サイバーセキュリティ法ア

対象となる事業者・データ等の要件（37 条）(ア) 対象となる事業者
重要情報インフラの運営者(イ) 対象となる個人データ
重要情報インフラの運営者が中国国内で収集及び発生した個人情報
なお、外国の事業者からの移転により取得した個人データには適用されない場合があると解される。
(ウ) その他の要件
当局の安全評価に合格すること- 173 -

イ

規定の目的・概要
目的は安全保障と考えられる 56。
重要情報インフラの運営者は、中国境内での運営において収集し、及び発生した個人情報及び重要データを、中国境内で保存しなければならない。業務上の必要により、国外に提供する必要が確実にある場合は、国家インターネット情報部門が国務院の関係部門と共に制定した規則に従って安全評価を行わなければならない。法律、行政法規に別途規定がある場合は、それに従う（37 条）。
ウ

所管機関
国家ネットワーク情報部門（37 条）(3) データセキュリティ法ア

対象となる事業者・データ等の要件（31 条、36 条）(ア) 対象となる事業者
以下の者について、それぞれ域外移転の制約による実質的な域内保持義務が課されている。
①

重要情報インフラの運営者②

中国境内の組織又は個人(イ) 対象となる個人データ（上記(ア)①、②にそれぞれ対応）
①

重要データ

②

中国境内に保存されているデータ

なお、外国の事業者からの移転により取得した個人データには適用されない場合があると解される。
(ウ) その他の要件（上記(ア)及び(イ)①、②にそれぞれ対応）①

当局の安全評価に合格すること②

外国の司法又は法律執行機関への提供について主管機関の認可を経ること

イ

規定の目的・概要
目的は安全保障と考えられる。
重要情報インフラの運営者が中国境内での運営において収集し、及び発生した重要デー56

同法 11 条では、国は、積極的に、データ安全ガバナンス、データ開発・利用等の分野の国際交流及び提携を展開し、データ安全に関する国際規則及び標準の制定に参与し、データ越境における安全かつ自由な流動を促進するものと定められている。

- 174 -

タの越境安全管理には、サイバーセキュリティ法の規定を適用する。その他のデータ処理者が中国境内での運営において収集し、及び発生した重要データの越境安全管理弁法については、国家ネットワーク部門が国務院の関係部門と共に制定する（31 条）。
また、主管機関は、関連する法律及び中国が締結し、若しくは参加する国際条約若しくは協定に基づいて、又は平等互恵原則に従い、外国の司法又は法律執行機関によるデータ
提供に関する請求を取り扱う。主管機関の認可を経ていない場合には、中国境内の組織又は個人は、外国の司法又は法律執行機関に対し、中国境内に保存されているデータを提供
してはならない（36 条）。
ウ

所管機関
国家ネットワーク情報部門（31 条）

3.

ガバメントアクセス 57
ガバメントアクセスを根拠付ける法令としてサイバーセキュリティ法、データセキュリ

ティ法、国家安全法、国家情報法及び刑事訴訟法がある。国家安全保障目的関連では基本
法的位置付けにある「国家安全法」や「国家情報法」並びにデータ保護法制である「サイバーセキュリティ法」及び「データセキュリティ法」を、刑事法執行目的関連では基本原則を定めている「刑事訴訟法」を、それぞれ主要な法律として選定している。各法律の概要は以下のとおりである。いずれの法律でも、取得される個人データの種類には限定がない。
(1) 法的根拠
ア

サイバーセキュリティ法(ア) 目的
国の安全の維持・保護及び犯罪捜査（28 条）(イ) 実施主体
公安機関、国家安全機関（28 条）。ネットワーク運営者は、公安機関や国家安全機関による国の安全の維持・保護及び犯罪捜査に係る活動に対し、技術的サポート及び協力を提供することが義務付けられている（28 条）。

57

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 175 -

(ウ) 制限規定の有無・概要、手続規定の有無・概要
いずれも、該当する規定は存在しない。
イ

データセキュリティ法(ア) 目的
国の安全の維持・保護又は犯罪捜査（34 条）(イ) 実施主体
公安機関、国家安全機関（35 条）(ウ) 制限規定の有無・概要
公安機関及び国家安全機関は法により国の安全を維持・保護し、又は犯罪を捜査する必要によりデータを取り調べる場合には、国の関係規定に従い、厳格な承認手続を経て、法により行わなければならず、関係する組織又は個人はこれに協力しなければならない（35条）。
(エ) 手続規定の有無・概要(ウ)と同様。
ウ

国家安全法(ア) 目的国の安全（42 条）(イ) 実施主体
国家安全機関、公安機関、関係する軍事機関（42 条）(ウ) 制限規定の有無・概要
国の安全を維持・保護する場合には、憲法及び法律を遵守し、人権を尊重・保障し、法により公民の権利及び自由を保護しなければならず（7 条）、国家機関及びその職員は、国の安全に係る業務や国の安全とかかわる活動において、厳格に法により職責を履行しなければならず、職権逸脱、職権濫用をしてはならず、個人・組織の適法な権益を侵害してはならない（43 条 2 項）。
(エ) 手続規定の有無・概要
該当する規定は存在しない。

- 176 -エ

国家情報法(ア) 目的
国の安全及び利益の保護（1 条）。
(イ) 実施主体
国家安全機関、公安機関の情報部門、軍の情報部門（以下総称して「国家情報活動機構」という。5 条 1 項）。国家情報活動機構は、国家情報活動 58に関し、関係する機関・組織・国民に対し、必要な支持・援助・協力を求めることができる（14 条）。
(ウ) 制限規定の有無・概要
国家情報活動機構は、業務上の必要に基づき、法に従い必要な方法、手段及び経路を利用し（10 条）、国家情報活動機構の活動要員は、法に従い任務を遂行するに当たり、国の関係規定に基づき、許可を得て、必要な証明文書を提示することにより、立入りが制限されている関係区域・場所に立ち入り、関係する機関、組織及び個人に対し関係する状況について聴取又は質問を行い、関係する公文書、資料及び物品を閲覧又は押収することができる（16 条）。
(エ) 手続規定の有無・概要(ウ)の 16 条と同様。
オ

刑事訴訟法

(ア) 目的犯罪に対する懲罰、国の安全や社会公共安全の保障等（1 条）(イ) 実施主体
捜査機関、検察機関、司法機関（52 条、54 条）(ウ) 制限規定の有無・概要①

証拠収集：法的手続の遵守、自白強要の禁止、違法証拠収集の禁止、情報提供者がありのままかつ十分に証拠を提供できる条件の保障（52 条）

58「国家情報活動」とは、総合的国家安全観を堅持し、国の重大な政策決定のために参考となる情報を提供し、国の安全に危害を及ぼすリスクを警戒及び除去するために情報面での支援を提供し、国の政権、主権、統一と領土保全、社会福祉、経済社会の持続可能な発展及び国のその他の重大利益を守るもの、とされている（2 条）。

- 177 -

②

国家秘密、商業秘密、プライバシーに関する証拠について：その秘密保持を行う必要がある（54 条 3 項）③

技術的捜査 59について(i)

公安機関は、国の安全に危害を及ぼす犯罪、テロ活動に係る犯罪、黒社会（日本でいう暴力団の意）系の組織犯罪、重大薬物犯罪等の社会に深刻な危害を及ぼす犯罪について、捜査の必要性に応じて、厳格な認可手続を経て、技術的捜査をすることが可能（150 条 1 項）(ii) 検察は、職権を利用した、公民の人身の権利を深刻に侵害する重大犯罪について、捜査の必要性に応じて、厳格な認可手続を経て、技術的捜査をすることが可能（150 条 2
項）(iii) 指名手配された、又は逮捕が認可・決定された被疑者、被告人については、認可を経て、技術的捜査をすることが可能（150 条 3 項）(iv) 技術的捜査を行う場合、認可された種類、適用対象及び期間に従って厳格に実行しな
ければらない（152 条 1 項）。かかる捜査の過程で知り得た国家秘密、商業秘密及び個人のプライバシーについては、秘密を保持しなければらない（同条 2 項）。かかる捜査により獲得した事件と無関係の資料は、遅滞なく廃棄しなければらならず（同条項）、捜査により獲得した資料は、犯罪の捜査、起訴及び審理のためにのみ使用し、その他の用途に用いてはならない（同条 3 項）(エ) 手続規定の有無・概要①（刑事訴訟法の下位法令である）公安機関刑事事件取扱手続規定(i)

一般的な証拠収集：事件担当部門の責任者の認可を経て、証拠捜査通知書が発行され、捜査する証拠及び提供期限が明記される。捜査対象となる単位 60 及びその担当者、証拠保持者は、通知書において捺印又は署名をし、捺印又は署名を拒絶した場合には公安機関はこれを注記する。必要に応じて録音録画の方法で証拠の内容及び証拠の取得過程を記録する（62 条）。

(ii) 技術的捜査：技術的捜査を実施する旨の報告書を作成し、上級の公安機関の責任者に送付してその認可を取得し、技術的捜査の実施に係る決定書を作成する。検察が技術的捜査を実施する場合において、公安機関に実施させるときは、上級の公安機関が関連手続を行った後、技術的捜査を担当する部門に実施させ、かつ、実施状況を検察等の部門に通知させる（265 条）。

59

公安機関刑事事件取扱手続規定によれば、「記録に対するモニタリング、通信に対するモニタリン
グ、場所に対するモニタリング等」とされ（264 条 1 項）、例えば、通信傍受、ビデオカメラによる監視、電子メールに対するモニタリングはこれに当たる。なお、技術的捜査の適用対象は、被疑者、被告人及び犯罪活動に直接関連する人員とされている（同条 2 項）。

60

計画経済時代、国有企業など人々が所属していた場所を意味する。

- 178 -

②

刑事訴訟法
技術的捜査の実施可能期間の制約が存在する。すなわち、技術的捜査の認可の決定は、発行日から 3 か月間有効であるが、継続不要の技術的捜査は遅滞なく終了しなければならない。複雑な事件、対処が難しい事件については、技術的捜査を継続が必要であれば、認可を経て延長可能である（最長 3 か月の延長が可能）（151 条）。
(2) 正当な目的の追求
ア

国家安全法
国の安全を維持・保護する場合には、憲法及び法律を遵守し、人権を尊重・保障し、法により公民の権利及び自由を保護しなければならない（7 条）。
イ

刑事訴訟法
技術的捜査について、認可された種類、適用対象及び期間に従って厳格に実行しなければらない（152 条 1 項）。かかる捜査の過程で知り得た国家秘密、商業秘密及び個人のプ
ライバシーについては、秘密を保持しなければらない（同条 2 項）。かかる捜査により獲得した事件と無関係の資料は、遅滞なく廃棄しなければらならず（同条項）、捜査により獲得した資料は、犯罪の捜査、起訴及び審理のためにのみ使用し、その他の用途に用いてはならない（同条 3 項）。
ウ

サイバーセキュリティ法、データセキュリティ法、国家情報法

いずれも、該当する規定は存在しない。
(3) 承認の要求
ア

データセキュリティ法
公安機関及び国家安全機関は法により国の安全を維持・保護し、又は犯罪を捜査する必要によりデータを取り調べる場合には、国の関係規定に従い、厳格な承認手続を経て、法により行わなければならず、関係する組織又は個人はこれに協力しなければならない（35条）。なお、保護措置又は暗号復号強制に関する規定は存在しない。
イ

国家情報法
国家情報活動機構の活動要員は、法に従い任務を遂行するに当たり、国の関係規定に基づき、認可を得て、必要な証明文書を提示することにより、立入りが制限されている関係
区域・場所に立ち入り、関係する機関、組織及び個人に対し関係する状況について聴取又は質問を行い、関係する公文書、資料及び物品を閲覧又は押収することができる（16条）。なお、保護措置又は暗号復号強制に関する規定は存在しない。

- 179 -

ウ

刑事訴訟法
公安機関及び検察は、一定の犯罪について、捜査の必要性に応じて、厳格な認可手続を経て、技術的捜査をすることが可能である（150 条）。
事件担当部門の責任者の認可を経て、証拠捜査通知書が発行され、捜査する証拠及び提供期限が明記される（62 条）。捜査対象となる単位及びその担当者、証拠保持者は、証拠捜査通知書に捺印又は署名をし、捺印又は署名を拒絶した場合には公安機関はこれを注記する。必要に応じて録音録画の方法で証拠の内容及び証拠の取得過程を記録する。
技術的捜査を実施する旨の報告書を作成し、上級の公安機関の責任者に送付してその認可を取得し、技術的捜査の実施に係る決定書を作成する（265 条）。検察が技術的捜査を実施する場合において、公安機関に実施させるときは、上級の公安機関が関連手続を行った後、技術的捜査を担当する部門に実施させ、かつ、実施状況を検察等の部門に通知させる。
保護措置又は暗号復号強制に関する規定は存在しない。
エサイバーセキュリティ法、国家安全法

いずれも、該当する規定は存在しない。
(4) 取得された個人データの取扱いに対する制限ア

データセキュリティ法
政府機関の同法違反の行為について、関係主管部門に対し、苦情を申し立て、又は告発・通報することができる（12 条 1 項）。関係主管部門は、苦情申立人又は告発・通報者の関係情報について秘密を保持し、苦情申立人又は告発・通報者の適法な権益を保護しなければならない（同条 2 項）。
イ

刑事訴訟法

(ア) 保管期間の定めの有無・概要
技術的捜査により獲得した事件と無関係の資料については、遅滞なく廃棄しなければならないとされ（152 条 2 項）、案件と関係のある資料については、「人民検察院訴訟檔案
管理弁法」等の法令により、永久、60 年間又は 30 年間といった保存期間が定められている。
(イ) データの取扱者に関する制限、保護措置
国家秘密、商業秘密、プライバシーに関する証拠については、その秘密を保持しなけれ- 180 -

ばならない（54 条 3 項）。
捜査官は、技術的捜査の過程で知り得た国家秘密、商業秘密及び個人のプライバシーについても、捜査官は、秘密を保持し、当該捜査によって獲得した事件と無関係の資料を遅滞なく廃棄しなければならない（152 条 2 項）。また、技術的捜査に協力した者は、関連する状況について秘密を保持しなければならない（同条 4 項）。
ウ

サイバーセキュリティ法、国家安全法、国家情報法
いずれも、該当する規定は存在しない。

(5) 透明性
サイバーセキュリティ法、データセキュリティ法、国家安全法、国家情報法及び刑事訴
訟法には、該当する規定は存在しない。ただし、刑事訴訟法の下位規範である公安機関刑事事件取扱手続規定において、一般的な証拠収集について、以下の定めが存在する（62条）。
①

事件担当部門の責任者の認可を経て、証拠捜査通知書が発行され、捜査する証拠及び提供期限が明記される②

捜査対象となる単位及びその担当者、証拠保持者は、通知書において捺印又は署名をし、捺印又は署名を拒絶した場合には公安機関はこれを注記する③

必要に応じて録音録画の方法で証拠の内容及び証拠の取得過程を記録する(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称・条文の内容
広く一般的な公務員の違法行為について、監察法は以下の定めを置いている。

①

監察委員会は、公権力を行使する全ての公務員に対して監察を行い、職務における違法行為及び犯罪を調査する（3 条）②

監察委員会の監察対象には、政府や人民検察院も含まれる（15 条 1 号）③

汚職、職権濫用等の職務における違法行為及び犯罪について監督し、調査し、処分を行う権限を有する（11 条 2 号）

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障
監督、調査機関（「監察機関」ともいう）としては国家監察委員会（最高人民法院や最高人民検察院と並ぶ国家機関である）が存在する。監察機関が行使できる権限には、監督権及び調査権があり（18 条）、公務員に対して監督権を行使し、汚職、職権濫用等の疑いがあれば調査権を行使し（11 条 1 号、2 号）、最終的には処分を決定する（同条 3 号）。

- 181 -

国家監査委員会は独立した監察権を行使することができ、行政機関からも独立している（4 条）。
国家監察委員会の主任は全国人民代表大会から選出され、副主任及び委員は主任が全国人民代表大会常務委員会に任免を推薦する（8 条）。
その身分は保障されていない。
ウ

調査形態
公安機関による捜査と類似した権限として、取調べ、捜査等の権限がある。具体的には以下の規定が存在する。
①

預金、送金、債券、株券、ファンド持分等の財産に対する捜査や凍結（23 条）②

犯罪の疑いのある調査対象者（及び当該者を隠匿し、又は犯罪の証拠を隠蔽するおそれのある者）の身体、物品、住所その他の関連する場所に対する捜索。ただし、捜索証の提示及び調査対象者又はその家族等の立会人の立ち会いが必要（24 条 1 項）③

財物、文書、電子データ等の情報に対する取調べ、差押え、押収（25 条 1 項）④

現場検証・検査（26 条）、専門家による鑑定（27 条）⑤

重大な汚職・賄賂等の犯罪について、厳格な認可手続を経たうえでの技術的調査（28条）

エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度
監察機関は、監督活動に係る報告書を定期的に公表する義務を負っている（個別案件に関する公表 61につき 39 条、監査業務全体に関する公表 62につき 54 条）。これらの報告書の中には、法令に違背するガバメントアクセス事案の件数に関する情報は含まれていない。
(7) 救済ア

救済の保障に関する規定
公民及び組織は、国の安全に係る業務について国家機関に対し、批判・提案をする権利を有し、国家機関及びその職員の違法行為について申立て、告発等をする権利を有する（国家安全法 82 条）。
また、いかなる個人及び組織も、国家情報活動機構及びその活動要員の職権逸脱、職権濫用その他の違法及び規律違反の行為について、告発又は告訴を行う権利を有する。告発及び告訴を受理した関係機関は、速やかに調査及び処理を行い、かつ、その結果を告発人
61

https://www.ccdi.gov.cn/scdc

62

https://www.ccdi.gov.cn/xxgk/xxgknb/及び https://www.ccdi.gov.cn/xxgk/hyzl/- 182 -

及び告訴人に告知しなければならない（国家情報法 27 条 1 項）。

イ

救済を提供する行政機関・裁判所①

行政不服審査機関：ガバメントアクセスを実施した機関が国家安全機関である場合、その上級機関に救済を申請することとなる。国家安全機関以外がガバメントアクセスを実施した場合、ガバメントアクセスを実施した機関が所在する人民政府又はその上級機関に救済を申請することとなる（行政不服審査法 12 条）②

裁判機関（人民法院）：行政訴訟を受理・審議する（行政訴訟法 2 条）③

国家監察委員会：個人からの告発を受理する（監察法 35 条）
なお、上記②③は政府からの中立性・独立性を有する。

ウ

救済の具体的内容
救済の具体的内容に関する規定は不見当だが、自己のプライバシーの権利等が侵害された場合、個人情報保護法上認められている救済方法（個人データの訂正・削除・利用停止、損害賠償等）が認められる可能性がある。
エ

外国人の救済の可否
行政不服審査については、域内に所在する外国人又は域外に所在する外国人であっても、自国民と同等の救済を求めることは可能である（行政不服審査法 41 条）。行政訴訟の提起についても同様（行政訴訟法 98 条、98 条）。
他方で、国家監察委員会については、関連する規定は不見当であり、自国民と外国人とで区別していないものと思われる。
オ

その他

政府は、訴訟の結果を遵守する義務を負う（行政訴訟法 94 条、96 条）。
個人が救済を受けるための手続として、国家監察については、個人は所定の URL から告発をすることができる。
V.

データ保護機関の有無及び連絡先①

国家ネットワーク情報部門（中国国家ネットワーク情報弁公室）
問合せは受け付けておらず、通報のみ受け付けている。
通報電話：＋86-10-12377
通報メール：http://www.cac.gov.cn/zrxx/A0918index_1.htm②

国務院の関係部門（例えば、電信主管部門である工業信息化部、ネットワーク案の安- 183 -

全やデータの安全を保護する公安部、その他の各分野の主管機関（工業、交通、金融、教育等））
ホームページ（各部門をクリック）から確認できる。
以上- 184 -

第 18 章 トルコ（トルコ共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人情報保護法（Law on Protection of

Personal Data）（以下「法」という）が存在する。当該法令は 2016 年 4 月 7 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 個人データの定義
法において、「個人データ」は、識別され又は識別可能な自然人に関するあらゆる情報を指す（法 3 条）。保護の対象となる「自然人」について、法文上は、居住地又は国籍による区別はない。
(2) 適用対象者
法は、公的主体にも民間主体にも適用される。より具体的には、法は、自身の個人デー
タが処理される自然人、並びに、自動化された手段又はデータファイリングシステムの部
分を成す自動化されていない手段により個人データを処理する自然人及び法人に適用される（法 2 条）。
(3) 地理的適用範囲
地理的適用範囲に関する明文の規定は存在しないが、「個人のプライバシーの保護」という法の目的（法 1 条）から、法はトルコ共和国内に居住する自然人に関連する処理活動に適用され、当該処理活動を行う管理者が同国内に所在するか否かを問わないと解釈されている。データ保護当局（Kişisel Verileri Korunma Kurumu、以下「KVKK」という）も、管理者がトルコ共和国内に居住する者から個人データを取得し、処理する限り、同国外に所在する管理者も法の適用対象となるとの見解を採用している。
3.

留意点
現在、欧州連合の一般データ保護規則（GDPR）の越境データ移転規制等を考慮した法- 185 -

の改正を目指した検討が行われている。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

トルコ共和国は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

個人データの取得は「個人データの処理」の定義に含まれる（法 3 条(1)項(e)号）。基本
原則として、個人データの処理は、適法性及び公正性の原則に適合しなければならない（法 4 条(2)項(a)号）。個人データの処理の根拠としては、以下が示されている（法 5条）。
①

データ主体の明示的同意②

法令上の明示的規定③

データ主体又は第三者の生命又は身体の完全性の保護（身体障害により同意の意思表示ができない、又は同意が法律上有効と評価できない場合に限る）④

データ主体が当事者である契約の履行（契約の締結又は履行に直接関連する場合に限る）⑤

管理者の法的義務の履行⑥

データ主体による個人データの公開⑦

権利の設定、行使又は保護⑧

管理者の正当な利益（データ主体の基本的権利及び自由を侵害しない場合に限る）- 186 -

イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
個人データは、法令に基づく場合やデータ主体が当事者となっている契約の履行に必要な場合等の例外事由（法 5 条(2)項）に該当する場合を除いて、原則としてデータ主体の明
示的な同意なしに処理してはならない（法 5 条(1)項）。また、特別な種類の個人データ（センシティブデータ）の処理については、原則としてデータ主体の明示的な同意を得る必要がある 63（法 6 条(2)項、(3)項）。
法において「明示的な同意」は、任意、具体的かつ情報提供に基づく同意と定義されており（法 3 条(1)項(a)号）、明示的な同意の取得にはデータ主体に対する情報提供が必要である。これに関し、管理者は、個人データの取得までに、データ主体に対して以下の内容を通知する必要がある（法 10 条）。
①

管理者（及び該当する場合にはその代表者）を特定する情報②

個人データの処理の目的③

個人データの移転の目的と移転先④

個人データの収集の手段と法的根拠⑤

データ主体の権利(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人データ処理の基本原則として、個人データの処理は、特定、明示的かつ正当な目的のために行われなければならず、また、処理の目的に関連し、処理の目的の限度で、かつ処理の目的に比例した態様で行われなければならない（法 4 条(2)項(c)号、(ç)号）。

63

なお、健康及び性生活に関するものを除くセンシティブデータは、法令に定める場合には、データ主体の明示的な同意を求めることなく処理することができる。健康及び性生活に関する個人情報
は、公衆衛生の保護、予防医学の運営、医療診断、治療及び看護サービス、医療サービスの計画及び管理並びにこれらの資金調達を目的として、守秘義務を負う個人、認可された公的機関及び組織によってのみ、データ主体の明示的な同意を求めることなく処理することができる。

- 187 -

イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人データ処理の基本原則として、個人データの処理は、正確性及び必要に応じて最新の状態に維持することを遵守して行われなければならない（法 4 条(2)項(b)号）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
管理者は、個人データの取得までに、データ主体に対して個人データの処理及び移転の目的を含む同条所定の事項を通知する必要がある（法 10 条）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
存在しない。基本原則として、個人データの処理は、特定、明示的かつ正当な目的のために行われなければならず、また、処理の目的に関連し、処理の目的の限度で、かつ処理の目的に比例した態様で行われなければならない（法 4 条(2)項(c)号、(ç)号）。
また、個人データの目的外利用は明示的に禁じられている（法 12 条(4)項）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
固有の規定は存在しない。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 188 -

4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
個人データの開示及び移転は「個人データの処理」の定義に含まれる（法 3 条(1)項(e)号）。基本原則として、個人データの処理は、特定、明示的かつ正当な目的のために行われなければならず、また、処理の目的に関連し、処理の目的の限度で、かつ処理の目的に比例した態様で行われなければならない（法 4 条(2)項(c)号、(ç)号）。
また、個人データの移転及び域外移転は原則としてデータ主体の明示的な同意に基づく必要がある（法 8 条(1)項、9 条(1)項）。「明示的な同意」については 1.(1)イのとおり。
法に反して個人データを開示することは明示的に禁じられている（法 12 条(4)項）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

3.(1)イのとおり。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
法は、①個人データの違法な処理の防止、②個人データに対する違法なアクセスの防止、及び③個人データの保持の確保を目的として、十分な安全管理水準を提供するために必要な全ての技術上及び管理上の措置を講ずることを管理者に義務付けている（法 12 条(1)項）。
また、管理者が自己のために個人データを処理する自然人又は法人（処理者）を用いる
場合であっても、管理者は処理者と連帯して法 12 条(1)項の安全管理措置を講ずる義務を負- 189 -

う（法 12 条(2)項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
法 16 条に基づき管理者登録簿への登録義務を負う管理者は、個人データ処理目録に沿って、個人データの保存及び処分に係る方針を公表しなければならない（個人データの消去 、 削除 又 は匿 名化 に関 す る規 則 （By-Law on Erasure, Destruction or Anonymization of
Personal Data）5 条）。
個人データ処理目録とは、以下の説明を含む目録である。
①

管理者の事業目的に従った管理者の個人データ処理活動②

個人データ処理の目的及び法的根拠③

データの種類④

受領者の種類、データ主体の種類及び個人データの処理に応じて定められた目的に必要な個人データ保存期間の最大値⑤

外国に対する移転の対象となる個人データ⑥

個人データの安全管理のために講じられる措置

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
個人データを処理しようとする自然人又は法人は、管理者登録簿に登録しなければならない（法 16 条(1)項）。
管理者登録簿への登録申請には以下の情報を記載する必要がある（法 16 条(3)項）。
①

管理者及び（該当する場合）代理人の氏名又は名称及び住所②

個人データの処理の目的③

データ主体の種類及び各種類に関連する個人データの種類④

個人データが移転される可能性のある受領者又は受領者の種類⑤

外国に対する移転の対象となる個人データ- 190 -

⑥

個人データの安全管理措置⑦

個人データの処理に必要な期間の最大値

管理者登録簿は、VERBIS というシステムを通じて公開されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
何人も、管理者に対し以下を求める権利を有している（法 11 条(1)項(a)号から(ç)号まで）。
①

自己の個人データが処理されているか否かを知ること②

自己の個人データが処理されている場合、情報提供を求めること③

自己の個人データの処理の目的、及び当該データが当該目的のために利用されているかを知ること④

自己の個人データの国内外の移転先である第三者を知ることイ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
何人も、管理者に対し以下の権利を有している（法 11 条(1)項(d)号から(ğ)号まで）。

①（該当する場合）不完全又は不正確なデータの訂正を求めること②

法 7 条に定める条件に従った、自己の個人データの消去又は削除を求めること③

自己の個人データの移転先である第三者に対し上記①及び②に従って行われる活動の報告を求めること④

自動化された手段によってのみ行われる自己の個人データの処理のうち、データ主体に不利益を生ずるものについて、異議を申し立てること⑤

自己の個人データの違法な処理から生じた損害の賠償を求めること

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
管理者は、データ主体の権利行使の要求に対し、正当な理由に基づき当該要求に応じる- 191 -

か否かを判断し、当該理由を付してデータ主体に対し回答しなければならない（法 13 条(3)項、データ主体に対する回答に関する通知 6 条(2)項）。
また、上記イ④のとおり、何人も、管理者に対する異議申立権を有している（法 11 条(1)項(g)号）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。
個人データ処理の基本原則として、個人データの処理は、法その他の法令に定める手続及び原則を遵守してのみ行われなければならない（法 4 条(1)項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令又はサイバーセキュリティに関する法令においては、現地法律事務所が把握している限り、存在しない。それ以外の代表的な法令 64 として、車両内におけるイン
ターネット通話に関する情報通信技術庁の決定、遠隔プログラム可能な eSIM に関する情報通信技術庁の決定、通信分野における個人データの処理に関する規則、金融データに関する法令等に、それぞれ eSIM 等の端末に保存される情報、交通及び位置情報、金融の一次及び二次システム等をトルコ共和国内で保有・保管することを義務付ける規定が存在するものの、いずれも同国外から同国内に移転される個人情報・個人データには適用がな
64

代表的か否かに関する判断は現地法律事務所が行っている。

- 192 -

い。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 65においては、現地法律事務所が把握している限り、存在しない。
3.

ガバメントアクセス 66
ガバメントアクセスを根拠付ける法令として、刑事訴訟法が主要な法令として位置付けられるが、捜索を行うには裁判所の令状が必要であり、我が国の制度と比較して、トルコ
への個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度とは解されないことから、本報告書には記載しない。
V.

データ保護機関の有無及び連絡先

個人データ保護機関（Kişisel Verileri Korunma Kurumu）
ウェブサイト：https://kvkk.gov.tr/
電話番号：+90312 216 50 00
ALO 198 Data Protection Line Information and Consultation Center
住所：Nasuh Akar Mahallesi 1407. Sok. No:4, 06520 Çankaya/Ankara, Turkey
以上65

代表的か否かに関する判断は現地法律事務所が行っている。

66

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 193 -

第 19 章 ニュージーランド
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、2020 年プライバシー法（The Privacy Act2020）（以下「法」という）が存在する。当該法令は 2020 年 12 月 1 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用範囲
法は、以下に適用される（法 4 条(1)項）。
①

ニュージーランドの事業者（New Zealand agency）の活動で、当該事業者が取得又は保有する個人情報に関連するもの②

外国事業者（overseas agency）がニュージーランド国内において事業を行う過程で行う活動で、当該事業者が取得又は保有する個人情報に関連するもの③

ニュージーランドに通常居住していない個人の活動で、以下のいずれかに関するもの(i)

当該個人がニュージーランド国内に所在した時に取得した個人情報（その後において当該個人が当該個人情報を保有する場所及び当該個人情報が関連する個人が所在する
場所を問わない）(ii) 当該個人がニュージーランド国内に所在した時に保有した個人情報（当該個人がニュージーランド国内に所在する時に取得した個人情報を除く。当該個人情報が関連する個人が所在する場所を問わない）
ニュージーランドの事業者（New Zealand agency）とは、①ニュージーランドに通常居住する個人、②公的事業者、③ニュージーランドの民間事業者、及び④裁判所（ただし、その司法機能に関する場合を除く）を意味するが、国会議員等の一定の例外に該当する者は含まれない（法 8 条）。
外国事業者（overseas agency）とは、外国の自然人、法人又は法人格を有しない団体を意味するが、①ニュージーランドの事業者、②外国政府、③外国政府のために公的機能を遂行する限りにおいて外国の政府機関、及び④報道機能を遂行する限りにおいて報道機関を除く（法 9 条）。
外国事業者がニュージーランド国内において事業を行っているか否かは個別の事案によって判断されるが、データ保護当局である The Office of the Privacy Commissioner（以下「OPC」という）は、「ニュージーランドの住民に対し役務を提供し、及び／又は自己の- 194 -

目的のためにニュージーランドの住民の個人情報を取得する事業者」との広汎な定義を採用している。
(2) 個人情報の定義「個人情報」とは、識別可能な個人に関する情報をいい、1995 年出生、死亡、婚姻及び関係登録法（the Births, Deaths, Marriages, and Relationships Registration Act 1995）又はそれ以前の法律に基づき戸籍当局の長官が保有する死亡に関する情報が含まれる（法 7 条(1)項）。「個人情報」が関連する個人について、法文上、居住地又は国籍による区別はな
い。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ニュージーランドは、EU の十分性認定を 2012 年 12 月に取得した。
APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
II.に記載のとおり、ニュージーランドは EU の十分性認定を取得している国であるため、本項目は記載していない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、及びサイバーセキュリティに関する法令には現地法律事務所が把握している限りは存在しない。それ以外の代表的な法令 67として、現地法律事務所が把握している限りは、1994 年租税管理法、1985 年物品・サービス税法、2018 年関税及び物品税法等に、それぞれ租税及び一定の事業の記録並びに関税・輸出入に関する記録等をニュージー
ランド国内で保有・保管することを義務付ける規定が存在する。

67

代表的か否かに関する判断は現地法律事務所が行っている。

- 195 -

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令及びサイバーセキュリティに関する法令においては、法に存在する。その概要は以下のとおりである。
プライバシー・コミッショナーは、合理的な理由に基づき以下の状況が存在すると信じる場合、ニュージーランドから外国に対する個人情報の移転を禁止することができる（法193 条）。当該禁止は、移転禁止通知の送達により行われる（法 195 条 1 項）。
①

外国からニュージーランドに移転された情報が、法と同等の保護措置を定める法令の適用対象となっていない第三国に移転される可能性があること、かつ当該移転が、OECD プライバシーガイドライン第 2 編及び法別表 8 に定める国内適用②の基本原則の違反につながる可能性があること
従って、OPC は、ニュージーランド経由での情報の再移転を防止するために、かかる情報をニュージーランドに留め置くことも要求できる。これは、EU の法令を迂回するためにニュージーランドを経由した個人情報の移転を行うことを防ぐことを目的とする規制である。
3.

ガバメントアクセス 68
ガバメントアクセスを根拠付ける法令として 2017 年諜報及び安全保障法（Intelligenceand Security Act 2017）（以下「ISA」という）がある 69。
(1) 法的根拠
ア

目的
以下の手段によりニュージーランドを開かれた自由かつ民主的な社会として保護すること（ISA3 条）。
①

ニュージーランドの国家安全保障、国際関係及び国際社会における良好な立ち位置、

68

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

69

その他、2012 年捜索・監視法（Search and Surveillance Act 2012）、2013 年電気通信傍受及びセキュリティ法（Telecommunications （Interception Capability and Security）Act 2013）、2020 年プライバシー法（Privacy Act 2020）も主要な法令として位置付けられるが、アクセスのためには裁判所の令状が必要であり、我が国の制度と比較して、ニュージーランドの個人データの越境移転に伴い当該個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度とは解されないことか
ら、本報告書には記載しない。

- 196 -

並びに経済的安定に効果的に貢献する諜報及び安全保障機関の設立②

諜報及び安全保障機関に対する適切な機能、権限及び義務の付与③

諜報及び安全保障機関の機能がニュージーランドの法令及びニュージーランド法上認められた人権に基づく義務と適合的に履行され、完全性及び職業倫理を以て履行され、かつ実効的な民主的監督を促進する態様で履行されることの確保④

諜報及び安全保障機関の権限が組織的な監督及び適切な保護措置に服することの確保

イ

実施主体
執行当局は、政府通信安全局（Government Communications Security Bureau）及びニュージーランド安全保障諜報局（New Zealand Security Intelligence Service）である。
ウ

取得される個人データの種類に関する限定の有無・概要
かかる限定は存在しない。

エ制限及びその例外に係る規定の有無・概要

かかる制限は存在しない。
オ

手続規定の有無・概要
ガバメントアクセスの実施に必要な諜報令状の発給について ISA55 条、121 条、125 条等に手続規定が存在する。発給請求の根拠・対象等を書面で示すことが求められている。
(2) 正当な目的の追求
成立した法律は全て、1990 年ニュージーランド権利章典法（New Zealand Bill of Rights
Act 1990）（以下「NZBORA」という）に対する適合性の審査を受けなければならない（NZBORA7 条）。特に同法には不合理な捜索及び差押えから保護される権利が定められている（NZBORA21 条）。
ただし、NZBORA は上位規範ではないため、他の法令に劣後する可能性がある他、
NZBORA 上の権利に対する法令の定めによる正当な制限は許容されている（NZBORA5条）。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

上記の NZBORA に基づく事前審査を除き、かかる規制は存在しない。

- 197 -

イ

暗号復号強制、保護措置かかる規定は存在しない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
無権限又は無関係に取得した情報は削除されなければならず、偶発的に取得した情報は重大犯罪の防止・発見に関連して警察に開示する等限定的な利用しか利用することはできない（ISA102 条ないし 104 条）。諜報令状に基づき差し押さえられた有形の物品は、諜報及び安全保障機関が当該物品の捜索又は分析を行うために合理的に必要な期間に限り保存可能である。（ISA105 条）。 これら以外の場合には、法に基づき、情報の適法な利用目的のために必要な期間を超えて情報を保存できない（法 9 条）。
イ

データの取扱者に関する制限
権限を与えられた者のみが当該権限の範囲内でデータを取り扱うことができる（ISA 108条）。
ウ

安全管理措置に関する定めの有無・概要

かかる定めは存在しない。法に基づいて安全管理措置を講じることになる。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
かかる定めは存在しない。

イガバメントアクセスの実施状況の公表・公的機関に対する報告
各会計年度の終了後実務上可及的速やかに、各諜報及び安全保障機関の長は、所管大臣に対し、当該年度における活動の報告を行う（ISA221 条）。
ウ

監督機関による監督状況の公表
ISA 調査官の長（Inspector-General）は、所管大臣及び首相に対し、年間の活動報告を行う（ISA222 条）。

- 198 -

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
1975 年オンブズマン法（Ombudsman Act 1975）、ISA 及び 1988 年独立警察活動当局法（Independent Police Conduct Authority Act 1988）。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障
オンブズマンは、苦情処理及び政府機関の行政上の行為の調査を行う。

ISA 調査官の長は、ISA に基づく権力行使を監督する（ISA157 条、158 条）。
独立警察活動当局（Independent Police Conduct Authority）は、警察に対する苦情を調査し解決を試みる。
いずれも独立しており、議会の官吏の地位にある。議会の推薦に基づき総督により選任され、任期は 5 年である。解任は、任務遂行不能、破産、任務懈怠等を理由としてのみ総
督が行う。
ウ

調査形態
オンブズマンは、いつでも敷地に立ち入り、調査を行い、情報提供又は対象者の支配下にあるものの作成を要求できる（オンブズマン法 19 条、27 条）。
ISA 調査官の長：質問を支援するための証拠取得が可能（ISA176 条）。
独立警察活動当局は、当局の調査に関係があると当局が思料する者に対し、情報提供、
あるいは当該者の占有又は支配下にあるものの作成を要求できる（独立警察活動当局法 24条）。
エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度
オンブズマンは、関係する当局等に意見具申をする権限を有するがその義務はない。年

次報告の公表義務を負う（オンブズマン法 29 条）。
ISA 調査官の長は、所管大臣及び首相に対し、年間の活動報告を行う（ISA222 条）
独立警察活動当局は、関係当局に対する意見・勧告等の権限がある。年次報告の公表義務を負う（独立警察活動当局法 34 条）。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
以下のいずれかに該当する情報プライバシー原則の違反があった場合、プライバシー・

コミッショナーに対する苦情申立てが可能（法 69 条）。

- 199 -

①

関係する個人における損害、損失、傷害等の発生又はそのおそれ②

個人の権利、利益、特権、義務又は利益に対する悪影響又はそのおそれ③

個人の重大な侮辱、尊厳の侵害、感情に対する攻撃の発生又はそのおそれ
また、上記の場合、裁判所に対する損害賠償請求（上限 35 万ドル）も可能。

イ

救済を提供する行政機関・裁判所

プライバシー・コミッショナー及び裁判所。
ウ

外国人の救済の可否
ニュージーランド国民と同様に可。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利

2011 年刑事手続法（Criminal Procedure Act 2011）及び 2016 年高等法院規則（High Court
Rules 2016）において、ニュージーランドの裁判手続における一般的な防御権の定めがある。被告は、2006 年証拠法（Evidence Act 2006）30 条等により証拠として用い得ない違法収集証拠を排除することを求めることができる。
防御に成功した者は、1967 年費用及び刑事事件法（Costs and Criminal Cases Act 1967）に基づき手続費用の償還を受けることができる。
また、ガバメントアクセスや自己の個人情報の利用についてオンブズマン及び／又はプライバシー・コミッショナーに対する異議申立てが可能な場合がある。
V.

データ保護機関の有無及び連絡先

プライバシー・コミッショナー事務局（Office of the Privacy Commissioner）
電話番号：0800 803 909（ニュージーランド国内からのみ接続可能）
メールアドレス：enquiries@privacy.org.nz
住所：PO Box 10 094, Wellington 6143, New Zealand
以下のオンライン問い合わせフォームからも、問い合わせやデータ侵害の通知が可能である。
https://www.privacy.org.nz/about-us/contact/
以上- 200 -

第 20 章 フィリピン（フィリピン共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、政府及び民間部門の情報及びコミュニ

ケーション装置における個々の個人情報の保護とその目的やその他の目的のための国家プ
ライバシー委員会の創設に関する法律（共和国法第 10173 号）（Act Protecting Individual
Personal Information in Information and Communications Systems in the Government and the Private
Sector, Creating for this Purpose a National Privacy Commission, and for Other Purposes） (Republic
Act No.10173)（以下「DPA」という）及び共和国法第 10173 号施行規則（Implementing
Rules and Regulations of Republic Act No.10173）（以下「DPA IRR」という）が存在する。
DPA は 2012 年 12 月 8 日に、DPA IRR は 2016 年 9 月 9 日に施行されている。
なお、主な規制監督庁である国家プライバシー委員会（National Privacy Commission）（以下「NPC」という）が、解釈指針（advisory）、オピニオン（advisory opinion）及び通達（circular）をウェブサイト（https://www.privacy.gov.ph/）上で定期的に公表している。
2.

1.記載の法令に関する基本的事項(1) 適用対象
DPA 及び DPA IRR の適用対象は、以下のとおりである（DPA IRR4 条）。
①

個人データを処理（processing）（※）する自然人又は法人がフィリピンに所在し又はフィリピンで設立された場合②

行為、業務（practice）及び処理がフィリピン国民又はフィリピン居住者の個人データに関連する場合③

個人データの処理がフィリピンで行われる場合④

個人データの行為、業務（practice）及び処理がフィリピンと一定の関係（link）を有する組織によって行われている場合（以下のような場合を含むが、これに限られない）(i)

個人データの処理にフィリピン国内の施設を使用し、又は個人データの処理のために事務所、支店若しくは代理店（agency）を維持している場合(ii) 契約がフィリピンで締結されている場合(iii) フィリピンで設立されていない法人がフィリピン国内に中央管理・統制機能を有している場合(iv) フィリピンに支店、代理店、事務所又は子会社を有しており、当該フィリピンの組織- 201 -

の親会社又は関連会社が個人データにアクセスしている場合(v) 組織がフィリピン国内において事業を行っている場合(vi) 組織が個人データをフィリピン国内において収集又は保持している場合※「処理（processing）」とは、個人データに係るあらゆる作業又は一連の作業をいい、
個人データの取得、記録、編集、保管、更新若しくは変更、修正、参照、使用、統合
又は消去を含むが、これに限られない（DPA3 条(j)、DPA IRR3 条(o)）。
また、DPA 及び DPA IRR は、民間部門だけでなく、公的部門（地方公共団体を含む）に対しても同様に適用される 70。
なお、DPA 及び DPA IRR は、以下の場合には適用されない（DPA4 条、DPA IRR5 条）
71。

①

政府機関の職員に関する情報（現在又は過去に公務員であったことの事実、職位、勤務先の住所、電話番号、等級、給与の幅、職責、政府機関に在職中に作成した書面に表示される氏名）②

政府機関との間の契約に基づき役務の提供を行った者に関する情報（当該役務に関する情報に限り、契約条件及び当該役務の提供を行った者の氏名を含む）③

個人の名前や利益の性質等、政府から個人に対して付与されるライセンス又は許可の付与等の財産的な性質を有する利益に関する情報（ただし、通常の取引の過程で付与される利益又は権利に基づき付与される利益は除く）④

他の法令に従い、報道、芸術又は文学の目的のために処理された個人情報⑤

他の法令等に従い、公共の目的で行われる調査のために処理された個人情報⑥

独立の金融当局を含む、法執行機関又は規制機関による憲法上又は法律上委任された責務を履行するために必要となる情報⑦

銀行その他の金融機関がマネーロンダリングの罪の定義、刑罰の規定とその他の目的に関する法律（共和国法第 9160 号）（Act Defining the Crime of Money Laundering,
Providing Penalties Therefore and For Other Purposes）（Republic Act No. 9160）等を遵守するために必要となる情報⑧

フィリピン国外の居住者から、当該国における法律（当該国の個人情報保護法を含む）に基づき取得した個人情報（フィリピン国民を除く）で、フィリピン国内において処理されるもの70

もっとも、次段落記載のとおり、公的部門の一部については適用除外とされている。また、DPA IRRの Rule VII.(Security of Sensitive Personal Information in Government)は公的部門に対してのみ適用される。

71

もっとも、後記 III.5.(2)のとおり、この場合であっても、個人情報管理者及び個人情報処理者はセキュリティ体制の構築義務を免れない。

- 202 -

(2) 個人情報等の定義
個人情報（personal information）とは、有形にて記録されているか否かにかかわらず、個人の身元（identity）が明白であるか、当該情報を保有する企業によって合理的、かつ、直接的に個人の身元が確認できるあらゆる情報、又は他の情報と組み合わせたときに直接的かつ確実に個人を特定できるあらゆる情報をいう（DPA3 条(g)、DPA IRR3 条(l)）。
個人データ（personal data）とは、センシティブ個人情報（sensitive personal information）
及び秘匿特権の対象となる情報（privileged information）を含む、あらゆる種類の個人情報をいう（DPA IRR3 条(j)）。
なお、センシティブ個人情報（sensitive personal information） 72及び秘匿特権の対象となる情報（privileged information） 73については、通常の個人情報と比較してその処理が制限される 74。

72

73

74

「センシティブ個人情報（sensitive personal information）」とは、以下の情報をいう（DPA3 条(1)、DPA IRR3 条(t)）。
①

個人の権利、民族、結婚歴、年齢、皮膚の色、宗教、思想、所属政党についての情報②

個人の健康、教育、遺伝子、性生活、犯罪又は刑事訴追に関する手続、同手続における処分又は判決についての情報③

社会保障番号、過去又は現在の健康記録、免許又はその拒絶、停止若しくは取消し、及び納税申告書を含む政府機関から特定の個人に対して発行された情報④

行政命令又は国会の行為により指定された情報「秘匿特権の対象となる情報（privileged information）」とは、法廷規則（Rules of Court）及びその他の関連法に基づき、特別扱いされるやりとり（communication）を構成する全ての形態のデータをいう。
．．
センシティブ個人情報及び秘匿特権の対象となる情報の場合、その処理は、以下の場合にのみ認められる（DPA13 条、DPA IRR22 条）。
①

データ主体又は特別扱いの情報のやりとりの当事者が事前に告知され、また特定された適法な目的のために処理の同意を行っている場合②

既存の法律及び規則によって情報の処理が規定されており、当該法律及び規則上同意が要求されていない場合③

データ主体又はその他の者の生命及び健康を保護するために必要な処理であって、データ主体が適法に又は身体的に事前の同意を行うことができない場合④

情報の処理が、公的組織及びその関連団体の適法かつ非営利の目的を達成するために必要であって、事前にデータ主体から同意を取得している場合⑤

医師又は医療機関による医療上の目的のために必要な情報の処理である場合であって、個人情報の適切なレベルの保護が確保されている場合⑥

裁判所の手続における個人若しくは法人の適法な権利及び利益の保護、法的な請求の行使若し
くは防御に必要な個人情報に関する処理である場合、又は憲法若しくは法律上の義務に基づき
政府若しくは公的機関に対して個人情報が提供される場合- 203 -

(3) 地理的適用範囲
前記アのとおり、DPA 及び DPA IRR は、フィリピン国外における個人データの処理等にも適用される（DPA6 条、DPA IRR4 条）。
3.

留意点
現在、DPA の改正法案が国会に提出されているが、制定及び施行時期は未定である。当

該改正では、フィリピン国民及び/又はフィリピン居住者の個人データの処理に関する域外
適用に関する明確な事例の規定、フィリピン国外の個人情報管理者（personal information
controller） 75がフィリピン国内の個人情報処理者（personal information processor） 76に NPCに対するデータ侵害（data breach）の報告を授権することを認める規定等が設けられることが予定されている。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無
フィリピンは、EU の十分性認定を取得しておらず、現在具体的な取得等に係る手続がなされているか不明である。
また、APEC の CBPR システムには 2020 年 3 月 9 日に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
フィリピンは、APEC の CBPR システムに加盟しているため、ここでは、公的機関との関係で、DPA 及び DPA IRR における OECD プライバシーガイドライン 8 原則に対応する事
業者の義務及び本人の権利に関する法令規定について、説明する。

75「個人情報管理者（personal information controller）」とは、個人データの処理を管理し、又は他の者に処理させる個人又は組織（ただし、他の者の指示に従って行う個人又は組織、及び個人の家族、家庭内の事柄に関して個人データを処理する個人を除く）をいう。また、「管理」とは、取得情報の対象又は処理の目的若しくは範囲を決定することをいう（DPA3 条(h)、DPA IRR3 条(m)）。

76「個人情報処理者（personal information processor）」とは、個人情報管理者が個人データの処理を委
託又は指示することのできる個人又は組織をいう（DPA IRR3 条(n)）。

- 204 -

1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人データの処理は、公平かつ適法に行わなければならないとされている（DPA11 条(b)、DPA IRR19 条(b)）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
個人情報の処理に際して常にデータ主体からの同意の取得が必要となる訳ではなく、別途法律により禁止されていない場合に限り、データ主体から同意を取得した場合の他、一定の場合 77に個人情報の処理が認められる（DPA12 条、DPA IRR21 条）。データ主体から同意を取得する場合には、事前に取得しなければならない（DPA IRR19 条(a)(1)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

77

データ主体から同意を取得した場合以外に個人情報の処理が認められるのは、以下の場合である。
①

個人情報の処理が必要であり、かつ、データ主体との契約に関連しているか、又は契約の締結に先立ちデータ主体から要請がある場合②

個人情報管理者が対象となる法的義務の遵守のために必要である場合③

データ主体の生死に関わる重要な利益を保護するために必要である場合④

国家の緊急事態に対応するため、公共の秩序及び安全要件を遵守するため又は公権力の機能を遂行するために必要である場合⑤

個人情報管理者又は個人データが開示された先の第三者によって追求される正当な利益のために必要である場合（ただし、当該利益よりも憲法上保護されているデータ主体の基本的人権・自由が優先する場合を除く）- 205 -

ア

利用目的に関連する限度での取扱いを定めた規定処理される個人データは、処理の目的との関係で適正で、関連性があり、必要な範囲に限定されなければならない（DPA11 条(c)(d)、DPA IRR19 条(b)(4)）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人データは正確でなければならず、告知され、また特定された適法な目的のために必要な場合は、最新の状態に保たれなければならない。不正確又は不完全な個人データは訂
正、補正、破棄されなければならず、また更なる処理は制限されなければならない（DPA11 条(c)、DPA IRR19 条(c)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
目的は、取得前又は取得後実務上可能な限り速やかに決定され、告知されなければならない（DPA11 条(a)、DPA IRR19 条(a)(3)）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人データは、告知され、また特定された適法な目的に矛盾しない方法でのみ処理されなければならない（DPA11 条(a)、DPA IRR19 条(b)(3)）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
NPC の解釈指針上、当該個人データの処理に同意がされた後に、告知された処理の目的に重要な変更があった場合には、データ主体に通知し、異議申立て及び/又は同意の撤回をする機会を与えなければならないとされている（国家プライバシー委員会解釈指針第 202101 号（NPC Advisory No. 2021-01）7 条(a)）。

- 206 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
個人データの第三者に対する開示又は第三者が利用可能な状態に置くことは、「データシェアリング（data sharing）」という形をとる場合に認められる。
データシェアリングは、概要、①前記の個人データの処理が適法に認められる場合（DPA12 条、13 条、国家プライバシー委員会通達第 2020-03 号（NPC Circular No. 2020-03）6 条）、②法律により明示的に認められている場合、③（民間部門において、）データ主体がデータシェアリングに同意し、データシェアリング契約が締結されており、かつ、事前に関係する一定の情報がデータ主体に提供されている場合、④当該データシェアリング
が研究目的であって、対象となる個人データが公表されているものである又はデータ主体から同意を取得している場合、⑤（公共部門において、）データシェアリング契約を締結
している場合に認められる（DPA IRR20 条）。
イあらかじめ特定した利用目的の範囲を超えたその他の利用を制限する規定

前記 3.(1)イのとおり、個人データは、告知され、また特定された適法な目的に矛盾しない方法でのみ処理されなければならない（DPA11 条(a)、DPA IRR19 条(b)(3)）。また、前記
2.(1)アのとおり、処理される個人データは、処理の目的との関係で適正で、関連性があり、必要な範囲に限定されなければならない。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 207 -

5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
個人情報管理者及び個人情報処理者は、個人データを保護するために、合理的かつ適切な、組織的、物理的及び技術的なセキュリティ体制を構築しなければならない（DPA
IRR25 条）。組織的、物理的及び技術的なセキュリティ体制の具体的内容については、
DPA IRR26 条から 28 条までに規定されている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
個人データの処理に関与する個人又は法人その他団体は、処理の性質、範囲、状況、目

的及びデータ主体の権利・自由にもたらされるリスクを考慮して、組織的、物理的、技術的なセキュリティ体制について規定したデータ保護ポリシー（data protection policies）を実施しなければならない（DPA IRR26 条(b)）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
データ主体は、①自己の個人データの処理の状況について通知を受け、②個人データが個人情報管理者の処理システムに入力される前又はそれ以降の実務上可能な時期までに、(i)処理システムに入力される個人データの詳細、(ii)処理の目的、(iii)個人情報管理者又はその代理人の担当者及び連絡先、(iv)データ主体としての権利（アクセスする権利、訂正す
る権利、処理に異議を申し立てる権利及び NPC に不服を申し立てる権利を含む）の存在等の情報について提供を受ける権利を有する（DPA16 条、DPA IRR34 条(a)）。

- 208 -

また、NPC の解釈指針上、データ主体の上記権利に関して、データ主体に対してプライ
バシー通知（privacy notice）を出さなければならないとされている（NPC Advisory No.
2021-01 6 条(c)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、処理対象の個人データの内容、当該データの取得元、当該データの開示

先の名前及び住所等の情報への合理的なアクセスを要求できる権利を有する（DPA IRR34条(c)）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、個人データの不正確さ又は誤りについて異議を唱え、個人情報管理者に対して、その要求が不当又は不合理でない限り、直ちに訂正させる権利を有する（DPA
IRR34 条(d)）。また、データ主体は、個人データが不完全等一定の場合に、個人情報管理者のファイリングシステム 78内の自己の個人データを停止若しくは取り消し、又はブロッ
ク、削除若しくは破壊を指示する権利を有する（DPA IRR34 条(e)）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

NPC の解釈指針上、個人情報管理者は、データ主体の権利の行使を拒否又は制限する場
合、データ主体にその理由を明確かつ十分に伝えなければならないとされている（NPC
Advisory No. 2021-01 14 条）。
データ主体は、当該理由に納得できない場合、NPC に対して不服（complaint）を申し立
てることができる（NPC Advisory No. 2021-01 15 条）。
78「ファイリングシステム（Filing system）」とは、その目的のために与えられた指示に応じて自動的に作動する設備によって情報が処理されてはいないものの、個人又は個人に関する基準を参照する
ことで、特定の個人に関する特定の情報に容易にアクセスできるよう構築されている個人又は組織の情報の集合体をいう（DPA IRR3 条(h)）。

- 209 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
DPA 及び DPA IRR には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。
個人情報管理者は、国内外を問わず、国際的取り決め及び国際的協力に従い、自己の管理又は保管下にある全ての個人データ（処理のために個人情報処理者又は第三者に委託又は移転された情報を含む）について責任を有する（DPA IRR50 条）。
また、NPC の通達上、プライバシー侵害又は個人データ侵害の対象となったデータ主体
は、NPC に対して、DPA 違反の不服を申し立てることができるとされている（国家プライバシー委員会通達第 2021-01 号（NPC Circular No. 2021-01 号）Rule II 1 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、当事務所所属の現地弁護士が把握している限りは存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、当事務所所属の現地弁護士が把握している限りは存在しない。

- 210 -

3.

ガバメントアクセス 79

ガバメントアクセスを根拠付ける法令として、改正刑事訴訟手続規則の規則 126（Rule 126of the Revised Rules of Criminal Procedure）、サイバー犯罪の定義とその予防、捜査、抑止及び 刑 罰 の 規 定 や そ の 他 の 目 的 の た め の 法 律 （ 共 和 国 法 第 10175 号 ） （ Act Defining
Cybercrime, Providing for the Prevention, Investigation, Suppression and the Imposition of Penalties
Therefore and for the Other Purposes）（Republic Act No. 10175）及び共和国法第 10175 号施行
規則（Rules and Regulations Implementing Republic Act No. 10175）、並びにサイバー犯罪令状に関する最高裁判所規則（A.M. No. 17-11-11-03-SC （Supreme Court Rules on Cybercrime
Warrants））があるが、いずれも裁判所の令状審査に基づく必要があり、我が国の制度と比較して、個人データに係る本人の権利利益に重大な影響を及ぼす可能性のある制度とは解されないことから、本報告書には記載しない。
(1) 法的根拠
ア

目的

N/A
イ

実施主体
N/A

ウ

取得される個人データの種類に関する限定の有無・概要
N/Aエ

制限及びその例外に係る規定の有無・概要

N/A
オ

手続規定の有無・概要
N/A(2) 正当な目的の追求
N/A
79

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 211 -

(3) 承認の要求
ア

事前承認及び事後承認、保護措置

N/Aイ

暗号復号強制N/A(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
N/A

イ

データの取扱者に関する制限
N/A

ウ

安全管理措置に関する定めの有無・概要

N/A(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
N/A

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

N/A
ウ

監督機関による監督状況の公表
N/A(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
N/A

- 212 -

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A
ウ

調査形態
N/A

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
N/A

イ

救済を提供する行政機関・裁判所に関する情報
N/A

ウ

外国人の救済の可否
N/Aエ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

N/A
V.

データ保護機関の有無及び連絡先

National Privacy Commission（https://www.privacy.gov.ph/）電話：+632 8234 2228
電子メール：info@privacy.gov.ph
以上- 213 -

第 21 章 ブラジル（ブラジル連邦共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、ブラジル一般データ保護法（Brazilian

General Data Protection Law (Law No. 13,709/2018) ）（以下「LGPD」という。なお、以下、
特段法令名の記載のない条文は全て LGPD の条文を指すものとする）が存在する。当該法
令は 2020 年 9 月 18 日（ただし、行政上の制裁に関する 52～54 条は 2021 年 8 月 1 日）に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
個人データを処理する自然人又は法人に対して、公共部門、民間部門を問わず適用される。地方自治体も適用対象となる。
(2) 個人データの定義
LGPD の適用対象となる「個人データ」とは、識別された、又は識別可能な自然人に関連するあらゆる情報をいう（5 条 1 号）。なお、「個人データ」のデータ主体はブラジルの居住者に限定されていない。
(3) 地理的適用範囲
個人データの処理が以下の要件のいずれかを満たす場合には、設立国や個人データが保管されている国にかかわらず、LGPD が適用される（3 条）。
①

データ処理がブラジル国内で行われる場合②

データ処理がブラジル国内の個人に対する商品やサービスの提供を目的とする場合又はブラジル国内に所在する個人のデータの処理を目的とする場合③

処理の対象となる個人データの収集がブラジル国内で行われた場合- 214 -

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ブラジルは、EU の十分性認定を取得しておらず、また、具体的な取得等に係る手続はな
されていない。
また、APEC の CBPR システムには加盟しておらず、また、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
LGPD には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

個人データの処理は、以下の場合にのみ行うものとする（7 条）。
①

データ主体の同意がある場合②

管理者が法令上の義務を履行するために必要な場合③

行政機関が、LGPD4 章に従って、法律、規則、契約、条約、その他の類似の文書に基づく公共政策の実施に必要なデータの処理及び共有する場合④

研究機関が、可能な限り個人データを匿名化した上で、研究を実施するために処理を行う場合⑤

データ主体が当事者である契約の履行又はデータ主体の要求に応じて契約に関連する事前手続を行うために必要な場合⑥

司法、行政、又は仲裁手続の過程で権利を行使するために必要な場合⑦

データ主体又は第三者の生命又は身体を保護するために必要な場合⑧

医療従事者又は衛生機関が健康保護のために必要とする場合⑨

管理者又は第三者の正当な利益のために必要な場合。ただし、個人情報保護を必要とするデータ主体の基本的な自由及び権利が優越する場合を除く⑩

法令に従って行われる消費者の信用評価等、信用保護のために必要な場合

イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
上記アのとおり、データ主体の同意がある場合は、個人データの処理を行うことができ- 215 -

る場合の一つとして位置付けられている。なお、同意とは、データ主体が、情報提供を受けた上で、自由に与えられた、特定の目的のために自己の個人データを処理することに同意する、明確な意思表示を指す（5 条 12 号）。
データ主体の同意が必要となる場合、データ主体に対しては、明確で、十分かつ見やすい方法で、以下の情報を通知する必要がある（9 条）。
①

特定された処理の目的②

処理の種別及び期間③

管理者の身元④

管理者の連絡先⑤

管理者による共有とその目的に関する情報⑥

処理を実施する処理者の責任⑦

データ主体の権利に関する情報(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での処理を定めた規定
個人データは、データ主体に正当に通知された合法的、具体的かつ明示的な目的のために処理され、かかる目的と両立しない方法で処理を行ってはならない（6 条 1 号）。
目的が達成され、又は意図された特定の目的を達成するためにデータがもはや必要ない、若しくは関連性がないことの証拠がある場合には、個人データの処理を停止するものとする（15 条 1 号）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
データ主体は、処理の目的を達成するために必要な範囲で、正確、明確、適切かつ最新のデータを保証される（6 条 5 号）。

- 216 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
個人データは、データ主体に正当に通知された合法的、具体的かつ明示的な目的のために処理され、かかる目的と両立しない方法で処理を行ってはならない（6 条 1 号）。
また、データ主体の同意が必要となる場合、データ主体に対しては、明確で、十分かつ見やすい方法で、以下の情報を通知する必要がある（9 条）。
①

特定された処理の目的②

処理の種別及び期間③

管理者の身元④

管理者の連絡先⑤

管理者による共有とその目的に関する情報⑥

処理を実施する処理者の責任⑦

データ主体の権利に関する情報

イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
個人データは、データ主体に正当に通知された合法的、具体的かつ明示的な目的のために処理され、かかる目的と両立しない方法で処理を行ってはならない（6 条 1 号）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
管理者は、LGPD9 条 1 号（特定された処理の目的）、2 号、3 号又は 5 号に記載された情報に変更があった場合、データ主体にその変更内容を明確に通知するものとする。同意が必要な事項について、データ主体は、かかる変更に同意できない場合は同意を取り消すことができる（8 条 6 項）。

- 217 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
上記 3.(1)イを参照。

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

上記 3.(1)イを参照。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、個人データを不正アクセス、破壊、損失、変更、伝達、拡散等の偶発的又は違法な事象から保護するため、技術的及び組織的な措置を講じなければならない（6 条 7 号）。また、個人データの処理による損害を回避するための予防措置を講じなければならない（6 条 8 号）。具体的には、管理者及び処理者は、個人デー
タを不正アクセス、不適切又は違法な処理に起因する偶発的な事象又は違法な破壊、損失、変更、伝達、拡散、その他の事象から保護するために、技術的及び組織的な措置を講じなければならない（46 条）。

- 218 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則（Openness Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
個人データの取扱いに関する方針を策定することが奨励されている（50 条 2 項 1 号）。

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
データ主体に対しては、企業秘密及び事業上の秘密を考慮した上で、処理活動及び管理者又は処理者に関する明確かつ正確で容易にアクセスできる情報を提供するものとする（6 条 6 号）。
また、データ主体の同意が必要となる場合、データ主体に対しては、明確で、十分かつ見やすい方法で、以下の情報を通知する必要がある（9 条）。
①

特定された処理の目的②

処理の種別及び期間③

管理者の身元④

管理者の連絡先⑤

管理者による共有とその目的に関する情報⑥

処理を実施する処理者の責任⑦

データ主体の権利に関する情報(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 219 -

7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、管理者に対して、管理者が処理する自身の個人データへのアクセスを求める権利を有する（18 条 2 号）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、管理者に対して、管理者が処理する自身の不完全、不正確、又は古い個

人データの訂正を求める権利を有する（18 条 3 号）。
データ主体は、管理者に対して、管理者が処理する自身の不要、過剰、又は LGPD に準拠して処理されていないデータの匿名化、ブロック、又は消去を求める権利を有する（18 条4 号）。
データ主体は、LGPD16 条に規定する場合を除き、管理者に対して、同意に基づいて管理者が処理する自身の個人データの消去を求める権利を有する（18 条 6 号）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
権利行使に対して速やかに対応することができない場合、管理者は、データ主体に対して、自らが個人データを処理していないこと（可能な場合には個人データを処理している者の名称）、又は権利行使に対応しない法律上及び事実上の根拠のいずれかを通知するものとする（18 条 4 項）
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
LGPD には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。

- 220 -

管理者及び処理者は、個人データ保護に関する規律の遵守を証明することができる効果的な手段を講じ、かかる手段の有効性を証明しなければならない（6 条 10 号）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護

法令又はサイバーセキュリティ関連法においては、2021 年 8 月 30 日規範指示第 5 号（Normative Instruction No. 5 of August 30, 2021）に存在する。それ以外の代表的な法令には、現地法律事務所が把握している限り、存在しない。Normative Instruction No. 5 of August30, 2021 の概要は以下のとおりである。
(1) Normative Instruction No. 5 of August 30, 2021
連邦政府の機関又は事業体が作成又は保管するデータ、メタデータ、情報及び知識で、クラウドサービスに転送されるものは、以下の規定に従い、ブラジル国内で保存しなければならない（18 条）。
①

少なくとも 1 つの更新されたセキュリティコピーをブラジル国内に保管しなければならない。

②

アクセスが制限されていない情報は、適用される法律に従い、更新されたセキュリ
ティコピーをブラジル国外に持つことができる。

③

法律によりアクセスが制限されている情報、17 条 1 項 2 号に規定されていない予備的文書、及びこれらの更新されたセキュリティコピーは、適用される法律に従い、ブラジル国外で処理してはならない。

④

個人データの場合、LGPD 及び関連する他の法律で定められた指針を遵守すること。

ア

適用範囲
クラウドコンピューティング・ソリューション・プロバイダーの所在地にかかわらず、

連邦政府機関が使用するクラウドコンピューティング・ソリューションに適用される。
イ

目的
連邦政府がクラウド・コンピューティング・ソリューションを使用する際のセキュリ- 221 -

ティの確保（1 条）。
ウ

データ主体による権利行使への障害の有無

なし
エ

管轄当局
法律の規定上不明

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法においては、サイバーセキュリティ規則（中央銀行が認可又は規制する金融機関又は決済事業者に適用される 2021 年決議 4,893 号（Resolution No. 4,893/2021）及び 2021 年決議 85 号
（Resolution No. 85/2021）を含む）に存在する。それ以外の代表的な法令には、現地法律事
務所が把握している限り、存在しない。Resolution No. 4,893/2021 及び Resolution No. 85/2021の概要は以下のとおりである。
(1) Resolution No. 4,893/2021 及び Resolution No. 85/2021
中央銀行が認可又は規制する金融機関又は決済事業者がクラウドコンピューティングを
ブラジル国外にある企業に委託する場合、以下の要件を満たした上で、以下の要件を満たすことを文書化する必要がある。
①

中央銀行とサービスが提供される国の監督機関との間で情報交換のための協力協定が存在すること。かかる協定が存在しない場合、サービスに係る契約を締結する 60 日以
上前に、当該委託先企業、提供を受けるサービス、サービスが提供される可能性のある国又は地域を、中央銀行に通知して、認可を求める申請をしなければならない。なお、中央銀行に提供された情報を変更するような契約の変更は、中央銀行の承認を得なければならない。

②

クラウドサービスが金融機関の通常業務や中央銀行の活動を妨げないことを保証すること。かかる保証には、サービスが提供される可能性のある国又は地域の法令が、自ら又は中央銀行がブラジル国外に保存されている関連するデータにアクセスすることを禁止又は阻害しないことの保証も含まれる。

③

サービスが提供され、データが保存・処理される可能性のある国と地域を事前に特定
すること。

④

クラウドサービスを中止又は終了する場合に備えた、事業継続性を保証するための代
替手段が存在すること。

- 222 -

ア

適用範囲
データが収集された国がどこであるかにかかわらず、中央銀行が認可又は規制する金融機関又は決済事業者によるクラウドコンピューティングの委託に適用される。
イ

データ主体による権利行使への障害の有無

なし 80
ウ

管轄当局
中央銀行

3.

ガバメントアクセス 81
ガバメントアクセスを根拠付ける法令としてインターネット法（Law No. 12,965/2014（ ） 、 マ ネ ー ロ ン ダ リ ン グ 法 （ Law No. 9,613/1998 ） 、 犯 罪 組 織 法 （ Law No.
12,850/2013）、通信傍受法（Wiretapping Act）がある 82。これらのうち主要な法令は、目的及び実施主体の広汎性から、インターネット法であると位置付けられる。インターネット法における裁判所の令状なしに行われるガバメントアクセスに関する調査項目別の概要は以下のとおりである。

80

ただし、以下の書類・データにつき、5 年間の保管期間が定められているため、かかる書類・データに個人情報が含まれている場合は、本人からの削除請求権が制約を受けることになる。
・

サイバーセキュリティポリシーに関連する文書

・

連結監督下にある金融コングロマリットごと又は信用組合システムごとに単一のサイバーセ
キュリティポリシーを持つことを決議する、取締役会の議事録（ない場合には執行部会の議事録）

・

セキュリティ事故対応及び行動計画に関する文書

・

セキュリティ事故対応及び行動計画の実施に関する年次報告書

・

データ処理、ストレージ及びクラウドコンピューティングサービスの委託に関する Resolution
4,893/2021 及び/又は Resolution No. 85/2021 に基づく要件（外国に拠点を置く企業へのこれらのサービスの委託に関する要件を含む）への適合性に関する文書

・

データ処理、ストレージ及びクラウドコンピューティングサービスに係る契約書・

サイバーセキュリティポリシー、セキュリティ事故対応及び行動計画、並びにデータ処理、ス
トレージ及びクラウドコンピューティングサービスの委託に関する内部プロセスの効果的な遵守を確保するために実施される監視及び管理の仕組みに関するデータ、記録及び情報

81

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

82

代表的な法令の選定は現地法律事務所が行っている。

- 223 -

(1) 法的根拠
ア

目的

目的は、ガバメントアクセスの根拠となる他の法律の目的に従う（10 条 3 項）が、具体的には、マネーロンダリングの防止や組織犯罪の捜査の目的がこれに該当すると解されて
いる。
イ

実施主体

警察及び州・連邦の検察庁
ウ取得される個人データの種類に関する限定の有無・概要
親子関係、住所及び氏名、婚姻状況、職業等の個人情報（政令 8771 号（Decree No.

8771）11 条 2 項）エ

制限及びその例外に係る規定の有無・概要
アクセス要求を行う当局は、アクセス要求の法的根拠及び理由を明示しなければならない（Decree No. 8771 11 条）。また、包括的なアクセス要求は認められておらず、アクセス要求の対象とするデータ主体及びデータを特定した上でアクセス要求を行わなければならない（Decree No. 8771 11 条 3 項）。
オ

手続規定の有無・概要
上記エを参照。

(2) 正当な目的の追求
上記(1)アを参照。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
アクセスを行うためには、原則として裁判所の令状が必要となるが、法律に別段の定めがある場合には、アクセスを行う権限を有する当局は裁判所の令状なしにアクセスを行う
ことができる（10 条 3 項）。なお、憲法上、通信、電信通信、データ及び電話通信の秘密
は、犯罪捜査又は刑事手続を目的とする法律で定める要件及び方法により（後者の場合は裁判所の令状による）行う場合を除き、侵すことができないとされている（憲法（Brazilian Federal Constitution）5 条 12 号）。

- 224 -

イ

暗号復号強制、保護措置なし(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
インターネット法に特段の定めはないが、保管期間については、以下の LGPD の規律が適用される。
個人データの処理は、以下の場合に停止するものとする（LGPD15 条）。
①

目的が達成され、又は意図された特定の目的を達成するためにデータがもはや必要ない、若しくは関連性がないことの証拠がある場合②

処理期間が満了した場合③

公共の利益を考慮した上で、LGPD8 条 5 項に規定する同意を取り消す権利が行使された場合を含め、データ主体から通知があった場合④

LGPD の規定に違反した場合で、監督当局の命令がある場合
個人データは、技術的制限の範囲内で、処理の終了時に消去されるものとするが、以下の目的のために保管することができる（16 条）。

①

管理者による法令上の義務の履行。

②

可能な限り個人データを匿名化した上で行われる研究機関による調査③

LGPD に定められたデータ処理の要件を満たす範囲内での第三者への移転④

管理者が独占的に使用し、第三者がアクセスできないようにし、データが匿名化される場合

イ

データの取扱者に関する制限
なし 83

ウ

安全管理措置に関する定めの有無・概要
インターネット法に特段の定めはないが、安全管理措置については、LGPD の規律が適用される（LGPD に基づく定めについては、上記 III.5.(1)を参照）。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
なし

83

なお、実務上、アクセスを行う必要のある者にアクセスを限定することが奨励されている。

- 225 -

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告
連邦行政機関の各組織の最高機関は、以下の情報を含むアクセス要求に関する統計報告

書を、毎年ウェブサイト上で公開しなければならない（Decree No. 8771 12 条）。
①

アクセス要求が行われた件数②

アクセス要求の対象となった接続プロバイダ及びアプリケーションプロバイダのリス
ト③

接続プロバイダ及びアプリケーションプロバイダが応諾した要求と拒否した要求の数④

アクセス要求によって影響を受けたユーザーの人数

ウ

監督機関による監督状況の公表
なし(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有無
上記(5)イのとおり、連邦行政機関の各組織の最高機関は、アクセス要求に関する統計報

告書を、毎年ウェブサイト上で公開しなければならないとされている（Decree No. 8771 12条）。これにより、連邦行政機関の各組織の最高機関は、必要に応じてガバメントアクセ
スの実施に対する調査を行うことができる。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
裁判所に対して救済を求めることができる（憲法 5 条 35 号）。また、LGPD への違反があった場合には、ANPD に対する不服申し立てが認められている（LGPD55-J 条）。
イ

救済を提供する行政機関・裁判所に関する情報
上記アのとおり、裁判所と ANPD が救済を提供するが、裁判所は憲法上行政機関に対する独立性を有している（憲法 2 条）。
ウ

外国人の救済の可否
当該外国人の所在にかかわらず可（憲法 5 条）。

エ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

違法に収集された情報を刑事手続において使用されない権利が認められている。

- 226 -

V.

データ保護機関の有無及び連絡先

データ保護機関：Brazilian National Data Protection Authority
Web サイト：https://www.gov.br/anpd/pt-br/canais_atendimento/
メールアドレス：ouvidoria@anpd.gov.br
以上- 227 -

第 22 章 米国（アメリカ合衆国）（連邦）I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在しないが、代表的な個別法として、以下の法令が存在する 84。
・

電子通信プライバシー法（Electronic Communications Privacy Act of 1986（以下、「ECPA」という））・

グラム・リーチ・ブライリー法（Gramm Leach Bliley Act（以下、「GLBA」という））

・

医療保険の携行性と責任に関する法律（Health Insurance Portability and Accounting Act（以下、「HIPAA」という））それぞれ、以下の条項が個人情報の保護に関する条文である。
・

ECPA：Title II、通信保存法（Stored Communications Act（以下、「SCA」という））及びその修正版である海外データ合法的使用明確化法（Clarifying Lawful Overseas Useof Data Act. 18 U.S.C. § 2510, 2701-2713.（以下「CLOUD 法」という））・

GLBA：the Privacy Rule and the Safeguards Rule. 15 U.S.C. §§ 6801-6809, 6821-6827.

・

HIPAA：the Privacy Rule and the Security Rule. 41 U.S.C. §§ 1320d.
いずれも、米国議会で可決された後、大統領が署名することで制定された法律である。

ECPA は 1986 年 10 月 21 日、GLBA は 1999 年 11 月 12 日、HIPAA は 1996 年 8 月 21 日に施行された。
2

1 記載の法令に関する基本的事項(1) 適用対象者
ECPA は、電子メールプロバイダー、電話会社、テキストメッセージングサービス、インターネットベースのメッセージング会社（ソーシャルメディアプラットフォームを含む）等、個人データの電子的保存を行うあらゆる公私の団体（地方自治体も含まれる）に適用される。「電子的保存」とは、電子的な送信に付随する通信の一時的、中間的な保84

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

- 228 -

存、及びバックアップ保護を目的とした電子通信サービスによる当該通信の保存を指す（18 U.S.C. §2511.）。
GLBA は、銀行、保険会社、ローンサービサー、債権回収会社等、金融サービス業に「実質的に従事する（significantly engaged）」金融機関に適用される。公的機関には適用されない（12 C.F.R. 1016.）。
HIPAA は、医療提供者、ヘルスプラン、医療機関のクリアリングハウス、及びそれらの「事業提携者」（対象となる事業体がその業務遂行を支援するために従事する第三者）に適用される（45 C.F.R. § 164.104.）。HIPAA は、公的機関や地方自治体が、HIPAA の「対象となる事業体」として認定されるサービスや電子取引を行う場合にも適用される（45
CFR § 164.501, 164.502.）。
(2) 個人情報の定義
ECPA では、「個人情報」が定義されていない一方で、「電子通信」が保護されている。「電子通信」とは、有線又は電子システムによって全部又は部分的に送信される、あらゆる性質の記号、信号、文章、画像、音声、データ、又は情報の伝達と定義されている。ECPA では、書面及び口頭によるコミュニケーションも保護される。
GLBA では、「非公開個人情報」（Non-Public Personal Information）は、金融サービスの提供を通じて顧客から収集されるあらゆる情報と定義されている（15 U.S.C. § 6809(4)）。
HIPAA では、「保護されるべき健康情報」（Protected Health Information（PHI））は、健康状態、医療の提供、医療費の支払いに関連する情報で、個人に結びつけることが可能なものと定義されている（45 C.F.R. § 160.103. HIPAA）。
(3) 保護の対象者及び地理的適用範囲
ECPA はデータ主体である米国居住者に適用されるが、CLOUD 法が ECPA を改正し、通信場所が米国内であるか否かにかかわらず、クラウドプロバイダーに法律の義務を遵守させる域外適用規定が追加された（18 U.S.C. 2713）。
GLBA は、米国の消費者の情報のみに適用される。ただし、米国以外の金融機関が米国の消費者に商品やサービスを提供する場合は、域外適用される。
HIPAA は米国居住者の PHI に適用されるが、米国外の業務提携先が HIPAA 対象事業者に代わって PHI を取り扱う場合には、域外適用の可能性がある。
3

留意点
ECPA は、政府による電子通信へのアクセス、及び政府による通信へのアクセスから個人を保護するための法的枠組みを構築したものである。

- 229 -

GLBA 及び HIPAA は、米国で最も包括的な分野別の連邦レベルの個人情報保護法と考えられている。これらの法律の対象となる企業は、他国の国内データ保護法の要件を満たす、あるいはそれを上回る厳格な個人情報保護及びセキュリティ要件を遵守しなければならない。
その他の連邦プライバシー／データ保護法としては、「児童オンラインプライバシー保護法」（Children's Online Privacy Protection Act）（13 歳未満の子供から個人情報を収集する
ウェブサイトやオンラインサービスの運営者に要件を課す）、「1974 年プライバシー法」（US Privacy Act of 1974）（米国連邦政府機関による市民及び合法的永住者に関する情報の取扱いに適用される）、「公正信用報告法」（Fair Credit Reporting Act）（信用力や一般的な評判を評価するために日常的に使用される「消費者レポート」の収集及び使用に制限を課す）、｛ケーブル通信政策法」（Cable Communications Policy Act）（加入者データの保護）、「運転者プライバシー保護法」（Driver’s Privacy Protection Act）（自動車省が保有するドライバーに関するデータのプライバシー保護）、「家族教育権とプライバシー法」（Family Educational Rights and Privacy Act）（教育記録の正確さと開示に関する個人の権利の保護）、「電話消費者保護法」（Telephone Consumer Protection Act）（マーケティング目
的を含む、個人の電話回線への商用電話やテキストメッセージの規制）、「動画プライバ
シー保護法」（Video Privacy Protection Act）（オンラインストリーミングサービスを含
む、ビデオのレンタル／販売記録の開示の制限）、「未承諾のポルノグラフィーおよび
マーケティング攻撃に対する規制法」（Controlling the Assault of Non-Solicited Pornography
and Marketing Act（CAN-SPAM 法））（商用電子メールの送信者の規制）等がある。
なお、連邦取引委員会は、「連邦公正取引委員会法」（Federal Trade Commission Act of1914（以下、「FTC 法」という））5 条に基づく執行権限を用いてプライバシー及びセ
キュリティに関する実務運用を規制している。すなわち、FTC 法 5 条(a)において、「不公正な競争方法」（unfair methods of competition）及び「不公正又は欺瞞的な行為又は慣行」（unfair or deceptive acts or practices）が禁止されているところ、FTC は当該条文を企業のプ
ライバシー及びセキュリティデータ保護ポリシーを規制するために用いることがある。
FTC は、FTC 法 5 条に基づき、FTC は、排除命令を出し、民事制裁金を課し、提訴を行う権限を有する。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

米国は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
APEC の CBPR システムには 2012 年 7 月 25 日に加盟した。

- 230 -

III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
上記Ⅱ.のとおり、米国は、APEC の CBPR に加盟しているところ、GLBA は民間事業者
である金融機関に適用される個人情報保護法であり、公的機関には適用されないため、本III.では記載していない。他方、ECPA 及び HIPAA は公的機関に適用される可能性があるため、本 III.においてプライバシー8 原則との対比について記載している。
収集制限の原則（Collection Limitation Principle）

1.

(1) 規定の存否と概要
ECPA 及び HIPAA のうち、HIPAA には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

ECPA 及び HIPAA には、適法かつ公正な手段による取得その他収集の制限を定めた規定が存在しない。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定

HIPAA には、対象となる個人データの収集、使用及び共有に関して特定の通知を行うという要件が存在する。通常、収集前のデータ主体からの明示的な同意は必要ないが、個人
データの共有に関してはデータ主体にオプトアウト権が認められる場合がある。
(2) 当該原則が実質的に及ばない分野等について
N/A
2.

データ内容の原則（Data Quality Principle）
ECPA 及び HIPAA には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
3.

目的明確化の原則（Purpose Specification Principle）
ECPA 及び HIPAA には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。

- 231 -

利用制限の原則（Use Limitation Principle）

4.

(1) 規定の存否と概要
HIPAA 及び ECPA には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
HIPAA は、対象となる事業体に対し、最小限の PHI のみを使用、開示及び要請するために合理的な努力をすることを求めている（45 C.F.R. § 164.514）。
ECPA は、公衆に通信サービスを提供する組織が、電子的に保管されている通信内容を故意に漏えいすることを禁止している（18 U.S.C. §2702）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

HIPAA 及び ECPA には、あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定は存在しない。
(2) 当該原則が実質的に及ばない分野等について
N/A
安全保護の原則（Security Safeguards Principle）

5.

(1) 規定の存否と概要
ECPA 及び HIPAA のうち、HIPAA には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
HIPAA は、適用される事業体及び事業提携者に対し、それらが作成、受領、維持、又は送信する全ての電子 PHI の機密性、完全性、及び可用性を確保することを要求している。
また、対象事業者及び事業提携者は、セキュリティに対して合理的に予想される脅威又は危険から PHI を保護することが求められる。これらの企業は、PHI を合理的に保護することを可能にする、管理的、物理的、技術的、及び組織的な要件を含むセキュリティ対策を採用しなければならない（45 C.F.R. § 164.302-164.314）。

- 232 -

(2) 当該原則が実質的に及ばない分野等について
N/A
公開の原則（Openness Principle）

6.

ECPA 及び HIPAA には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
個人参加の原則（Individual Participation Principle）

7.

(1) 規定の存否と概要
ECPA 及び HIPAA のうち、HIPAA には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定

HIPAA は、個人が、PHI を閲覧したり、PHI のコピーを入手したり、対象となる事業体
や業務提携先が自分について保持している情報にアクセスする権利を規定している（45
C.F.R. § 164.524.）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
HIPAA は、個人が、対象となる事業者に対し、自分の PHI 記録を修正するよう指示する権利を規定している（45 C.F.R. § 164.526.）。
ウ

権利行使ができない場合の理由の通知や異議申立てを定める規定

HIPAA は、限られた例外要件の下でのみ、対象となる事業体が個人による PHI へのアク
セス又は修正に関する要求を拒否することを認めている（45 §C.F.R. §164.524, 164.526）。
対象となる事業体が個人のアクセス要求を拒否する場合、当該事業体は、個人に対し、①拒否の根拠、②認可された医療専門家によって拒否及び対象となる PHI に関する確認を受ける個人の権利、並びに③関連する苦情手続の記載を含む書面によって適時に拒否しなければならない（45 C.F.R. § 164.524）。
対象となる事業体が個人の修正要求を拒否する場合、当該事業体は、個人に対し、①拒否の根拠、②異議申立書を提出する個人の権利、異議申立書の提出方法、又は今後の PHIの開示において被保険者が修正要求及び拒否のコピーを提供することを要求する個人の権利、並びに③個人が苦情を申し立てる方法の記載を含む書面によって適時に拒否しなけれ- 233 -

ばならない（45 C.F.R. § 164.526）。
(2) 当該原則が実質的に及ばない分野等について
N/A
責任の原則（Accountability Principle）

8.

ECPA 及び HIPAA には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限りは存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限りは存在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令としては、以下の法令がある。

・

1978 年 外 国 情 報 監 視 法 （ Foreign Intelligence Surveillance Act of 1978 andAmendments(FISA)）、米国愛国者法（Uniting and Strengthening America by Providing

Appropriate Tools Required to Intercept and Obstruct Terrorism Act of 2001 (USA PATRIOTAct) ）及びその修正合意書
・

米 国 自 由 法 （ Uniting and Strengthening America by Fulfilling Rights and Ensuring
Effective Discipline Over Monitoring Act of 2015 (USA FREEDOM Act)）・

法 執 行 の た め の 通 信 援 助 法 （ Communications Assistance for Law Enforcement Act(CALEA)）- 234 -

銀行秘密法（ Currency and Foreign Transactions Reporting Act of 1970 (Bank Secrecy

・

Act)）
・

連邦政府機関データマイニング報告法（Federal Agency Data Mining Reporting Act）
これらのうち主要な法令は、FISA であると位置付けられる。その理由は、FISA は、米

国外の個人に影響を与えるような米国国家の監視活動の多くを規定しているからである。
FISA の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的

FISA においては、政府がデータにアクセスする目的は明示されていないが、同法の外国情報（Foreign intelligence information）の定義 85と要件から、問題となっている政府のアクセスが国家安全保障に関連するものであることが推測できる。FISA は、米国連邦政府の外国情報監視活動を司法及び議会が監視するために制定された。なお、FISA の「人」の定義には、グループ、団体、協会、企業、外国勢力が含まれている（50 U.S.C. § 1801.）。FISAの 1 つのセクションは、外国情報と国際テロリズムの調査のために政府がビジネス記録にアクセスすることを特に扱っている（50 U.S.C. § 1861.）。
イ

実施主体
FISA に基づく捜査令状の発行を検討するための非公開の法廷である米国外国情報監視裁

判所（FISC）を設立した（50 U.S.C. § 1803.）。
ウ取得される個人データの種類に関する限定の有無・概要
米国外に所在し、外国情報を保有、受信、伝達することが予想される外国人個人のデー

タのみを、当該外国人に対して要求することができる（FISA 702 条）。データのカテゴ
リー自体は限定されていないが、個々の要求は対象を絞らなければならず、個人の電子通信から得られたデータに限定される。
エ

制限及びその例外に係る規定の有無・概要
外国の諜報活動によって収集されたデータの使用に関する主な制限は、米国以外の人物

に対する許可された監視活動の過程で誤って入手した米国市民又は合法的居住者のデータ
85「外国情報」とは、(1)米国人に関する情報であって、米国が以下の(A)、(B)若しくは(C)の事態から保護するために必要なもの((A)外国又は外国の代理人による実際の若しくは潜在的な攻撃、又はその他の重大な敵対行為、(B)外国又は外国の代理人による破壊工作、国際テロリズム、大量破壊兵器の国際的拡散、(C）外国の諜報機関やネットワーク、又は外国の代理人による秘密の諜報活動)、又は、(2)外国の国家又は領域に関する情報であって、米国人に関するものは(A)米国の国防若しくは安全保障、又は(B)米国の外交問題の遂行のために必要なもの。

- 235 -

の使用に関するものである。このデータは、消去しないまでも分離し、外国の諜報活動の一部として使用してはならない（ただし、実際には他の文脈で使用されることもあり得る）（50 U.S.C. § 1802.）。
オ

手続規定の有無・概要
司法省は、FISC に対して、外国の諜報員に対する電子監視を許可する令状を申請する。

対象者が米国人（米国市民、永住外国人、法人）の場合、加重要件が適用される可能性がある（50 U.S.C. § 1804, 1805.）。FISA702 条の最小化義務は、米国市民又は米国内にいる個人のデータにのみ適用される。FISA702 条に基づく監視の認可には、毎年の再認証プロセスが必要となる。
(2) 正当な目的の追求
FISC は、FISA702 条に基づき、司法長官及び国家情報長官から提出された、対象化及び最小化の手順を含む証明書を検討し、承認しなければならない。FISC は、審査後、証明書の承認に影響する理由や制限を説明した意見書を発行する。FISC が承認した手続は米国政府に対して法的拘束力を有する。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

FISC は、終身在職権を持つ独立した裁判官で構成されており、米国の対外情報監視活動を監督し、そのような活動によって個人が適切に対象となっているかどうかを含めて承認しなければならない（50 U.S.C. § 1803.）。監視対象とする理由は、米国政府によって文書化され、米国司法省の独立性を有する情報監視を職務とする弁護士によってさらに検討されなければならず、当該弁護士は、コンプライアンス上の問題があれば、FISC に報告しなければならない（50 U.S.C. § 1804, 1806, 1861.）。
FISA702 条の命令の各実施のためには、政府機関内で何重もの内部監査が行われる。さらに、FISC は FISA702 条の使用について重要な確認を行う。FISC は、「コンプライアン
ス違反の事例は速やかに特定され、不適切に取得された情報や適用される手続きの下で破棄が要求される情報の消去を含む、適切な是正措置が取られる」と述べている。
FISC は、公聴会、証言、書面による陳述、法的分析を通じて、政府機関が FISA702 条の制限を遵守するように実地で対応している。FISC は、手続やその他の実施資料に不遵守がないかを審査する。FISC は、コンプライアンス違反があった場合、それがどのように改善されたかなどの説明を求めることができる。FISC は、拘束力のある是正措置を課すことでコンプライアンスを強制し、政府のデータ取得権限を停止したり、違法に取得されたデータの削除を要求したりすることができる。

- 236 -

さらに、司法省と国家情報長官室は、半年に一度の共同評価と、隔月での国家安全保障局（NSA）による実地調査を行っている。
イ

暗号復号強制、保護措置
この問題は、基準日時点では米国では解決されていない。一定の状況下では、米国政府

は暗号化された個人データの解読を強制することができる。しかし、米国の法律では、民間企業にデータの復号化を明示的に要求しておらず、また、米国の司法制度上は、どのような場合に復号化が認められるかの判断が分かれている。
(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
米国内では、FISA702 条に基づいて取得されたデータは、国家安全保障局（NSA）、国家テロ対策センター（NCTC）、中央情報局（CIA）、連邦捜査局（FBI）が管理するデー
タベースに保存されている。NSA のみが「上位機関」の収集命令に基づき収集されたデータを保存している。現在のところ、米国政府の対外情報データベースから無関係な情報、不正確な情報、古い情報を削除するための明確な義務は存在しない。民間企業に適用される米国の保存義務の多くは、最大保管期間ではなく最小の必要保管期間を規定している。
米国に拠点を置く企業は、公的機関の要請に応じてデータを開示するよう強制されることがあり、米国の公的機関は、企業が知らないうちに、又は遵守しないうちに（輸送中を含む）データにアクセスすることができる。
イ

データの取扱者に関する制限
一旦収集されたデータは、外国の情報とは関係のないものも含め、さまざまな場面で検索及び利用することができる。また、このデータは、他の連邦機関並びに州及び地方自治体の機関と共有されることもある。
ウ

安全管理措置に関する定めの有無・概要

各外国情報データベースはアクセス制御がなされている。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
政府が FISA702 条に基づいて収集した情報を被告に対して使用することを計画している

場合、政府は FISA702 条に基づいて収集された情報であることを被告に通知することが法的に義務付けられている。

- 237 -

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告
米国議会は、FISA702 条の使用及びコンプライアンス違反の全ての事例に関する定期的な報告を受ける。定期的な報告は Privacy and Civil Liberties Oversight Board に対して行われる。機密解除された文書や年次透明性報告書も公開される（50 U.S.C. §§ 1871 to 1874.）。
半年ごとに、米国司法長官は、下院の情報常設特別委員会、上院の情報特別委員会、並びに下院及び上院の司法委員会に対して報告書を提出しなければならない（50 U.S.C. §1871.）。国家情報長官は、特に決定、命令、意見に法律の規定の重要な解釈が含まれている場合、特定の FISC 文書の機密解除を行い、公開しなければならない（一部割愛は可能）（50 U.S.C. § 1872.）。
ウ

監督機関による監督状況の公表
米国裁判所事務局長は、毎年、情報常設特別委員会、上院の情報特別委員会、並びに下院及び上院の司法委員会に報告書を提出しなければならない。この報告書は、インター
ネットで公開されなければならない（50 U.S.C. § 1873.）。
(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
FISA に規定されている。ガバメントアクセスの対象とする理由は、米国政府によって文書化され、米国司法省の独立性を有する情報監視を職務とする弁護士によってさらに検討されなければならず、弁護士はコンプライアンス違反があった場合には FISC に報告しなけ
ればならない。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

FISC、司法省、国家情報長官室
ウ

調査形態
FISA の V 章では、上記(5)のとおり、重要な決定、命令、意見の半年ごとの報告と機密解除を義務付けている。また、V 章は、FISA からの要請を受けた個人や組織が、それらの要 請 に 関 す る 特 定 の 情 報 を 公 に 報 告 す る こ と を 認 め て い る （ 50 U.S.C. § 1871 か ら
1874）。
FISC は、政府機関が FISA702 条の制限を遵守するために、公聴会、証言、書面による声
明、法的分析等を通じ、実践的な役割を果たす。FISC は、手続やその他の実施資料において不遵守がないかを審査する。司法省と国家情報長官室は、半年に一度の合同評価に加え、隔月で NSA の実地調査を行っている。
米国最高裁長官は、地方裁判所の裁判官を FISC のメンバーに指定する（50 U.S.C. §- 238 -

1803.）。
エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度
半期報告書及び年次報告書を作成している。年次報告書は、関連する政府のウェブサイ

トで公開されている（詳細は上記(5)参照）。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
FISA は、国籍を問わず、FISA 監視の対象となり、その通信が違法に使用又は開示された個人が、違反につき責任を負う者に対して損害賠償を求めることを認めている（50
U.S.C. § 1810）。ECPA は、FISA の規定の意図的な違反に対して訴える権利（上記類似の権利）につき規定している（18 U.S.C. § 2511(1)）。一般に、政府の不法なアクセスに対して、米国行政手続法（USAPA）に基づき個人が異議を申し立てることができる（5 U.S.C. §554(a)）。
FISA は、権利を侵害された被害者に対して、実際の損害賠償、懲罰的損害賠償、合理的な弁護士費用及び合理的に発生したその他の調査及び訴訟費用を回収する権利を付与する（50 U.S.C. § 1810）。また、司法省は、1 万ドル以下の刑事罰又は 5 年間の禁固刑を科すことができる。ECPA は、衡平法上の救済又は宣言的救済、実際の損害賠償及び懲罰的損害賠償、並びに適切な弁護士費用及びその他の訴訟費用を規定している。米国政府の省庁がECPA に違反した場合、その省庁は懲戒処分が適切かどうかを判断するための手続を開始
しなければならない（18 U.S.C. § 2520(b),(f)）。ある人物が ECPA の違反行為を行っている、又は行おうとしていると思われる場合、司法長官は違反行為を差し止めるための民事訴訟を提起することができる（18 U.S.C. § 2521）。USAPA に基づく救済措置は、機関及び違反の性質によって異なる。
イ

救済を提供する行政機関・裁判所に関する情報
連邦裁判所は、米国政府の役員又は従業員による ECPA 及び FISA の違反行為を管轄する。それ以外の場合は、被害者が ECPA 又は FISA の違反を犯した者に対して民事訴訟を提起することができる。司法省は、違反者に対して刑事告発を行うことができる。同様に、
ECPA の違反に対しては、刑事訴訟及び民事訴訟の両方の提起が可能である（18 U.S.C. §2511, 2520; 50 U.S.C. § 1809, 1810）。FISA 及び ECPA の違反は、主に連邦裁判所で裁かれる。一般的に、政府役人を訴える原告は、全ての行政的救済措置が尽くされるまで、司法的救済を得ることはできない。
連邦地方裁判所は米国政府の管轄下にあるが、全ての裁判官は ABA Model Code of
Judicial Conduct に基づき、司法の健全性と独立性を維持することを制約しなければならな- 239 -

い。当該 Model Code は行政法判事にも適用される。
ウ

外国人の救済の可否
FISA は、地域の内外にいる外国人が電子監視の対象となった場合、当該外国人が訴訟を提起することを認めている。しかしながら、外国政府及び外国政府の代理人は訴訟を提起することができない（50 U.S.C. § 1810）。ECPA は、米国内で監視された外国人が被害を受けた場合に適用されるが、米国外にいる外国人には訴訟を提起する訴因を与えない（18U.S.C. § 2511）。米国外で被害を受けた外国人は、FISA に基づいて手続を開始する必要がある（50 U.S.C. § 1810.）。USAPA の行政手続は、米国内に所在する人のみが利用できる。
エガバメントアクセスによって取得された情報に基づき訴追された者の権利

米国政府は、ECPA、FISA、USAPA の違反に関する被害者の訴訟の結果に従う義務がある。FISA 及び ECPA はともに、有線又は口頭の通信を傍受するための事前承認の付与を認めている。FISA では、連邦政府職員が外国情報を入手するための電子監視を承認する裁判
所命令を申請することができる。これらの命令は、検事総長の証明により許可される（50
U.S.C. § 1802, 1804.）。これらの申請と命令は、FISC によって管理されている。ECPA に基づき、司法長官は、連邦捜査局又は他の連邦機関による通信の傍受が犯罪行為の証拠を提供する可能性がある場合、又は提供した場合に、連邦判事に通信の傍受を承認する申請を認可することができる（18 U.S.C. § 2516）。
ECPA 及び FISA では、ガバメントアクセスによって取得された情報は、法執行機関が情報へのアクセスを事前に承認した場合、個人に対する訴追に使用することができる。FISA
は、司法長官による事前の承認があった場合に限り、電子監視から取得した情報を刑事訴訟に使用することを認めている（50 U.S.C. § 1806(a)）。政府が監視情報を証拠として提出したり、裁判で情報を開示しようとする場合には、政府は被害者と裁判所に通知しなければならない（50 U.S.C. § 1806(c)）。被害者は、情報が違法に又は事前の許可なく取得されたという理由で、監視から得られた又は派生した証拠の抑制を申し立てることができる（50 U.S.C. § 1806(e)）。ECPA は、通信内容の知識を合法的に得た捜査官や法執行官が、公務を遂行するためにその内容を使用したり、他の役員に開示することを認めている（18
U.S.C. § 2517）。ECPA に基づく被害者は、不法に取得された情報が証拠として提出されたと考える場合、抑制の申立てを行うことができる。USAPA は、政府機関が被害者に対して通知と聴聞の機会を提供することを要求する（5 U.S. § 554）。
個人が救済を求めるための手続は、ECPA と FISA の条文、及び連邦裁判所の連邦民事訴
訟規則によって発表されている。USAPA は個々の政府機関と連携して、行政裁定の手続を規定している。

- 240 -

V.

データ保護機関の有無及び連絡先存在しない。法律は連邦政府機関によって施行され、複数の連邦政府機関が管轄している場合もある。
以上- 241 -

第 23 章 米国（アメリカ合衆国）（イリノイ州）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、代表的な個別法として 86「イリノイ州生体情報プライバシー保護法（Illinois Biometric Information Privacy Act (BIPA). 740 IL
CS 14 et seq.）（以下「BIPA」という）」、及び「個人情報保護法（Personal Information
Privacy Act (PIPA). 815 ILCS 530/1 et seq.）（以下「PIPA」という）」が存在する。いずれも、イリノイ州議会で可決され、イリノイ州知事が署名することによって制定された法律である。BIPA は 2008 年 10 月 3 日、PIPA は 2006 年 1 月 1 日にそれぞれ施行された。
2.

1.記載の法令に関する基本的事項(1) 概要BIPA は、生体認証識別子や生体認証情報を収集する企業に対して、通知と同意の義務を課すとともに、これらの情報を保護し、公開されたリテンションポリシーを維持する義務を課している（740 ILCS 14/15.）。
PIPA は、個人情報を保護するための要件の他、セキュリティ侵害により影響を受ける個
人とイリノイ州司法長官にセキュリティ侵害の通知を行うことを「データ収集者」に義務付 けて いる ため、 主に州 のセ キュ リティ 侵害通 知法 とし て知ら れてい る（ 815 ILCS
530/10.）。
(2) 適用対象者
BIPA

ア

BIPA は、個人、パートナーシップ、会社、有限責任会社、協会、又はその他のグループと定義される全ての「民間団体」に適用される。国や地方自治体には適用されない（740
ILCS 14/10.）。
イ

PIPA

PIPA は、政府機関、公立及び私立大学、株式非公開企業、株式公開企業、金融機関、小86

なお、上記は同州に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

- 242 -

売業者等（ただしこれらに限定されない）、非公開の個人情報を取り扱い、収集し、広め、又はその他の方法で取り扱うあらゆる事業者を含む「データ収集者」に適用される。
地方自治体にも適用される（815 ILCS 530/5.）。
(3) 個人情報の定義
BIPA

ア

BIPA における「生体認証情報」とは、個人を識別するために使用される個人の生体認証
識別子に基づく情報を意味する。「生体認証識別子」とは、網膜又は虹彩のスキャン、指紋、声紋、又は手や顔の形状のスキャンを意味する（740 ILCS 14/10.）。
イ

PIPA

PIPA における「個人情報」とは、以下の①及び②をいう（815 ILCS 530/5.）。
①

個人のファーストネーム、又はファーストネームのイニシャル及びラストネームと、
以下の(i)ないし(vi)の 1 つ以上のデータ要素を組み合わせたものであって、氏名若しくはデータ要素が暗号化若しくは編集されていないか、又は暗号化若しくは編集されているものの、セキュリティ侵害により、暗号化解除若しくは編集解除の鍵、若しくはその他の方法により氏名若しくはデータ要素を権限なしに読み取ることができるようになったもの(i)

社会保障番号(ii) 運転免許証の番号又は州の身分証明書の番号(iii) ①口座番号、クレジットカード番号、デビットカード番号、又は②個人の金融口座へのアクセスを許可するために必要なセキュリティコード、アクセスコード、パスワー
ドと組み合わせた口座番号若しくはクレジットカード番号(iv) 医療情報(v) 健康保険情報(vi) 所有者又はライセンシーが個人を認証するために使用する人体の特徴の測定又は技術的分析から生成された固有の生体認証データ（指紋、網膜又は虹彩画像、その他の固有の身体的特徴又は生体認証データのデジタル表現等）②

ユーザー名又は電子メールアドレスと、オンラインアカウントへのアクセスを許可するパスワード又はセキュリティ質問と回答の組み合わせであって、ユーザー名、電子
メールアドレス、パスワード又はセキュリティ質問と回答のいずれかが暗号化又は編集されていないか、暗号化又は編集されているものの、暗号化解除又は編集解除その他の方法でデータ要素を読み取るための鍵がセキュリティ侵害によって入手されているもの- 243 -

(4) 地理的適用範囲
BIPA

ア

BIPA はイリノイ州内のデータ主体に適用されるが、裁判所は、BIPA はイリノイ州外に適用されるとの判決を下した。
PIPA

イ

PIPA はイリノイ州内のデータ主体に適用され、イリノイ州内のデータ主体の個人情報を保持するイリノイ州外に所在する企業は法律を遵守する必要がある。
3.

留意点
BIPA 及び PIPA は、イリノイ州で最も広く適用される州のプライバシー法であり、イリ

ノイ州に拠点を置いていなくても、イリノイ州の住民から個人情報を収集する可能性のある企業に影響を与える可能性が最も高い。
BIPA

ア

BIPA は、米国で最も厳格な生体認証プライバシー法であり、私人訴訟権が設けられている。これは、個人から生体認証情報を収集するために必要な同意を得られなかった企業に対して、大規模なクラスアクション訴訟を含む、多数の訴訟を引き起こした。BIPA は最もよく知られているイリノイ州のプライバシー法であり、依然として米国内で最も数多く訴訟が提起される際の根拠となっているプライバシー法の 1 つである。
イ

PIPA

PIPA は、データセキュリティ侵害の通知に関して、他の多くの米国の州法と類似しているが、イリノイ州の 500 人を超える住民が影響を受けた場合に法務長官に通知する義務が含まれている点に注意が必要である。司法長官等の規制当局に通知すると、調査やその他の強制措置がとられることがある。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

イリノイ州は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。
また、米国は、APEC の CBPR システムに 2012 年 7 月 25 日に加盟した。

- 244 -

III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
I.に記載した法令のうち BIPA には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
I.に記載した法令には、適法かつ公正な手段による取得その他収集の制限を定めた規定は存在しない。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定

BIPA は、民間団体に対して、生体認証識別子が収集又は保存されることを書面でデータ主体に通知し、収集前に個人の同意を取得することを要求している。民間団体は、上記の手続を行うことなしに、個人又は顧客の生体認証識別子又は生体認証情報を収集、取得、購入、取引を通じて受け取ること、又はその他の方法で取得することはできない（740
ILCS 14/15(b).）。
(2) 当該原則が実質的に及ばない分野等について
N/A
2.

データ内容の原則（Data Quality Principle）
I.に記載した法令には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
I.に記載した法令のうち BIPA には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 245 -

ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定

BIPA は、データ主体に対して、生体認証識別子又は生体認証情報が収集、保存、及び利用 され る特 定の目 的と期 間の 長さ を書面 で通知 する こと を要求 してい る（ 740 ILCS
14/15(b).）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
BIPA は、収集された生体認証識別子の利用を、通知で特定された目的に制限する（740ILCS 14/15(b)(1).）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
BIPA は、データを通知において特定した目的と別の目的で利用する場合は、データ主体に 対す る追 加の通 知、及 びデ ータ 主体か らの追 加の 同意 を要求 してい る（ 740 ILCS
14/15(b)(1).）。
(2) 当該原則が実質的に及ばない分野等について
N/A
利用制限の原則（Use Limitation Principle）

4.

(1) 規定の存否と概要
I.に記載した法令のうち BIPA には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
BIPA は、生体認証識別子又は生体認証情報を保有する企業が、データ主体の同意なしに生体認証識別子又は生体認証情報を開示、再開示、又はその他の方法で広めることを制限している（740 ILCS 14/15.）。ただし、データ主体が生体認証情報を必要とする金融取引を要求又は承認した場合や、州法や連邦法、又は有効な令状や召喚状に基づいて開示が要求された場合はこの限りでない（740 ILCS 14/15(d).）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

BIPA は、生体認証識別子又は生体認証情報を保有する企業が、個人又は顧客の生体認証
識別子又は生体認証情報を販売、リース、取引、又はその他の方法で利益を得ることを制- 246 -

限している（740 ILCS 14/15(c).）。
(2) 当該原則が実質的に及ばない分野等について
N/A
安全保護の原則（Security Safeguards Principle）

5.

(1) 規定の存否と概要
I.に記載した法令には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
BIPA

ア

BIPA は、生体認証識別子及び生体認証情報を保有する組織に対し、全ての生体認証識別
子及び生体認証情報を安全に保管、伝送し、開示や不正アクセスから保護することを義務付けている。BIPA は、業界内の合理的な水準の注意と、他の機密情報及び重要情報の保管、送信、及び保護方法と同等以上の安全対策を求めている（740 ILCS 14/15(e).）。
イ

PIPA

PIPA は、イリノイ州の居住者の個人情報を含む記録を所有、ライセンス供与、維持、又は保存するデータ収集者に対し、それらの記録を不正なアクセス、取得、破壊、使用、変更、又は開示から保護するための合理的なセキュリティ対策を実施し、維持することを要求している（815 ILCS 530/45(a).）。データ収集者が保持するイリノイ州居住者に関する個
人情報の開示を規定する契約書には、情報の開示を受ける者が、これらの記録を不正なア
クセス、取得、破壊、使用、変更、又は開示から保護するための合理的なセキュリティ対策 を実 施、 維持す ること を要 求す る条項 が含ま れて いな ければ ならな い（ 815 ILCS
530/45(b).）。イリノイ州の居住者に関する個人情報を所有、ライセンス供与、又は維持するデータ収集者は、システム・データのセキュリティが侵害がされた場合、その発見又は通知後に居住者に対して無償で通知しなければならない（815 ILCS 530/10(a).）。このような開示に関する具体的な要件は、815 ILCS 530/10 に定められている。
(2) 当該原則が実質的に及ばない分野等について
N/A- 247 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
I.に記載した法令のうち BIPA には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
BIPA には、公開の原則を一般的に具現化した規定があり、企業に対して、生体認証識別

子及び生体認証情報の保持方法に関するポリシーを公開することを義務付けている（740ILCS 14/15(a).）。
具体的には、BIPA は、生体認証識別子又は生体認証情報を保有する民間団体に対し、公開可能なポリシーを作成することを求めている。このポリシーでは、生体認証識別子又は生体認証情報を収集又は取得した当初の目的が達成されたとき、又はデータ主体（個人）が民間団体と最後に交流したときから 3 年以内のいずれか早い時点で、生体認証識別子又は生体認証情報を永久に破棄するための保存スケジュール及びガイドラインを定めなければならない（740 ILCS 14/15(a).）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定

I.に記載した法令には、個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定は存在しない。
(2) 当該原則が実質的に及ばない分野等について
N/A
7.

個人参加の原則（Individual Participation Principle）
I.に記載した法令には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。ただし、BIPA においては、法律に違反した団体に対して個人が利用できる私人による訴訟権が存在する。具体的には、法律上の要件の違反により被害を受けた者が、当該違反者に対して、州の巡回裁判所で訴訟を起こす権利、又は連邦地裁で補助的に請求する権利を規定している（740 ILCS 14/20.）。

- 248 -

8.

責任の原則（Accountability Principle）
I.に記載した法令には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
ただし、米国では、政府による執行と民事訴訟によって企業は説明責任を果たしている。民事訴訟に関しては、BIPA は、勝訴した当事者が、違反ごとに以下の金額を回復することができると規定している。
・

過失により条項に違反した民間企業に対しては 1,000 ドル又は実際の損害のいずれか
大きい方の金額の損害賠償、

・故意又は未必の故意により条項に違反した民間企業に対しては 5,000 ドル又は実際の損害のいずれか大きい方の金額の損害賠償、専門家の証人費用やその他の訴訟費用を含む合理的な弁護士費用、及び州裁判所又は連邦裁判所が適切と判断する差止命令を含むその他の救済措置（640 ILCS 14/20）。

IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは、存在しない。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令は、連邦法の管轄となるため、連邦法の回答書を参照されたい。
V.

データ保護機関の有無及び連絡先存在しない。なお、イリノイ州の司法長官は、州法を一般的に執行する権限とともに州- 249 -

のプライバシー法に関する執行権限を持つが、司法長官は一般的に理解されている「データ保護当局」ではない。
以上- 250 -

第 24 章 米国（アメリカ合衆国）（カリフォルニア州）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、カリフォルニア州消費者プライバシー法（California Consumer Privacy Act）（以下「CCPA」という）が存在する。当該法令は 2020
年 1 月 1 日に施行されている。なお、CCPA は、下記(3)に記載のとおりカリフォルニア州
プライバシー権法（California Privacy Rights Act）（以下「CPRA」という）によって改正された。本書では、この改正法を含め CCPA と呼ぶ。
2.

CCPA に関する基本的事項(1) 適用対象者
CCPA は、カリフォルニア州で事業を行う民間企業で、消費者の個人情報を収集又は処理する民間の営利企業であり、①年間総収益が 2,500 万ドルを超える企業、②年間 5 万件
以上の消費者、世帯又はデバイスの個人情報を購入、受領、販売、共有している企業、③
年 間 収 益 の 50 ％ 以 上 を 消 費 者 の 個 人 情 報 の 販 売 か ら 得 て い る 企 業 に 適 用 さ れ る（1798.140）。CCPA は公的部門には適用されない。
なお、「カリフォルニア州で事業を行う（Doing Business in California）」という用語は、
CCPA では定義されていない。
(2) 個人情報の定義
CCPA においては、「個人情報」とは、特定の消費者又は世帯を識別し、関連し、叙述し、合理的に関連付けることができ、又は直接的に若しくは間接的に合理的にリンクさせることのできる情報をいう。個人情報には、公に利用可能な情報や、非識別された消費者
情報又は消費者情報集合体（aggregate consumer information）は含まれない（1798.140）。
(3) 地理的適用範囲
CCPA は、カリフォルニア州民の個人情報の処理にのみ適用されるが、カリフォルニア
州民の個人情報を直接又は第三者を通じて収集するカリフォルニア州以外の企業にも適用される場合がある。ただし、問題となっている個人情報に関する商業行為のあらゆる側面が完全にカリフォルニア州外で行われている場合は、CCPA は適用されない（1798.145）。

- 251 -

なお、CCPA には、特定の列挙された法律（医療保険の相互運用性及び説明責任に関する法律（Health Insurance Portability and Accountability Act （HIPAA））、カリフォルニア州の医療情報機密法、グラム・リーチ・ブライリー法（Gramm-Leach-Bliley Act（GLBA））
等）の対象となっている個人情報に対する免除規定がある（1798.145）。
3.

留意点
カリフォルニア州プライバシー権法（CPRA）は、2020 年 11 月に可決された住民投票による発案（ballot initiative）により成立し、CCPA を改正し、2023 年 1 月 1 日に発効する。
CPRA は、「センシティブな個人情報」の使用をさらに制限することや、自動的処理の使用を規制すること等、いくつかの方法で既存の消費者保護を拡大している。また、CPRA
は、州のプライバシー規制を実施する機関として、California Privacy Protection Agency（CPPA）を創設した。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

カリフォルニア州の所在する米国は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、米国は、APEC の CBPR システムに 2012 年 7 月に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
CCPA には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
CCPA においては、消費者の個人情報の収集は、情報を収集又は処理する目的を達成するために合理的に必要かつ適切なものでなければならない旨規定されている（1798.100(c)）。また、事業者が消費者の個人情報を収集する場合、その事業者は、収集する情報の類型とその利用目的及び事業者が個人情報を保持する予定の期間を、（収集時又は収集前に）消費者に通知しなければならない旨規定されている（1798.100(a)）。

- 252 -

「適法かつ公正な手段」とは明記されていないが、事業者に対し、収集時の消費者に対する通知とその通知に沿った収集及び処理を求めるものであり、実質的に適法かつ公正な手段による取得その他収集の制限を定めた規定であると考えられる。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
上記アのとおり、CCPA においては、事業者が消費者の個人情報を収集する場合、その事業者は、収集する情報の類型とその利用目的及び事業者が個人情報を保持する予定の期間を、（収集時又は収集前に）消費者に通知しなければならない旨規定されている（1798.100(a)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
CCPA には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
CCPA においては、事業者に対し、消費者の個人情報の収集若しくは処理する目的又は個人情報が収集された状況と適合する別の開示された目的を達成するために合理的に必要かつ適切な方法でのみ、当該情報の利用、保持、共有することを義務付けている（1798.100(c)）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
上記アのとおり、CCPA においては、事業者に対し、消費者の個人情報の収集若しくは処理する目的又は、個人情報が収集された状況と適合する別の開示された目的を達成する
ために合理的に必要かつ適切な方法でのみ、当該情報の利用、保持、共有することを義務付けている（1798.100(c)）。これは、利用目的の達成に必要な範囲内における正確性の確保を直截に規定するものではないが、事業者に対し、消費者の個人情報の収集又は処理する目的を達成するために合理的に必要かつ適切な方法での当該情報の保持を義務付け、かつ、不正確な情報があった場合、消費者に訂正を行う権利を与えており、実質的に利用目的の達成に必要な範囲内における正確性の確保を定めた規定であると整理するものと考えられる。また、CCPA は（CPRA の下で）、不正確な個人情報の訂正を事業者に要求する権- 253 -

利を消費者に与えている（1798.106）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
CCPA には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
CCPA は、事業者に対して、個人情報の収集時又は収集前に、個人情報の類型の利用目

的を消費者に通知しなければならない旨規定されている（1798.100(a)）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
CCPA においては、事業者は、消費者の個人情報の収集若しくは処理する目的又は、個人情報が収集された状況と適合する別の開示された目的を達成するために、合理的に必要かつ適切な方法で、当該情報の収集、利用、保持及び共有をしなければならず、これらの目的と両立しない方法で処理してはならない、と規定されている（1798.100(c)）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
利用目的の変更時における利用目的の特定を直截に定めた規定は無いが、上記 1798.100の規定の結果として、利用目的の変更時には、利用目的の通知や同意が要求される。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
CCPA には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存- 254 -

在する。具体的には、以下のとおりである。
CCPA は、通知義務や他の当事者への開示の制限を通じて、利用制限原則をカバーしている。特に、事業者は、消費者の個人情報の収集若しくは処理する目的又は、個人情報が収集された状況と適合する別の開示された目的を達成するために、合理的に必要かつ適切な方法で、当該情報の収集、利用、保持及び共有をしなければならず、これらの目的と両立しない方法で処理してはならない、と規定されている（1798.100(c)）。なお、CPRA の改正においては、センシティブな個人情報の処理を制限している。
①

消費者は、センシティブな個人情報を収集している事業者に対し、センシティブな
個人情報の利用を必要な範囲に限定するよう指示することができる（1798.121(a)）。

②

事業者は、消費者のセンシティブな個人情報を特定された目的以外で利用又は開示する場合、消費者に通知しなければならず、センシティブな個人情報の処理について同意を得ることを要求される場合がある（1798.121(b)）。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
CCPA には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、CCPA には、消費者の個人情報を収集する企業に対し、不正又は違法なアクセス、破壊、利用、変更、開示から情報を保護するために、情報の性質に応じて適切かつ合理的なセキュリティ手順及び慣行を実装するよう義務付けることで、安全保護の原則を具体化する条項が含まれている（1798.100(e)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 255 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
CCPA には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
CCPA においては、事業者が消費者の個人情報を収集する場合、その事業者は、収集する情報の類型、その利用目的及び事業者が個人情報を保持する予定の期間を、（収集時又は収集前に）消費者に通知しなければならない旨規定されている（1798.100(a)）。すなわ
ち、CCPA は、消費者が容易にアクセスできる方法でプライバシーポリシーを提供することを企業に要求し、記載内容について多くの要件を規定している（1798.130(a)(5)）。また、個人情報を「販売」する事業者は、消費者が自分の個人情報の販売をオプトアウトできるフォームへのリンクを明確かつ目立つ形でインターネットのホームページ上に提供しなければならないと規定している（1798.135）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
CCPA には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
CCPA は、消費者が事業者に対して、事業者が消費者について収集した個人情報のカテ

ゴリーや収集した目的等の開示を要求する権利を有する旨規定している（1798.110）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
CCPA は、消費者が事業者に対して、消費者について収集した個人情報の削除を要求す

る権利を提供している（1798.105）。CPRA の下では、消費者は、事業者に対して自分に関する不正確な個人情報を訂正するよう要求する権利も有する旨規定している（1798.106）。

- 256 -

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

事業者は、消費者の要求に対して、所定の期間内（標準的な要求については 45 日）に回答し、延長が必要な場合や要求を満たすことができない場合には、説明を提供しなければならない旨規定している（1798.130）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
CCPA には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない（ただし、CCPA に違反した組織には、各違反に対して 2,500 ドル以下、又は故意の各違反に対して 7,500 ドル以下の行
政罰が科される可能性がある（1798.155）等の規定はある）。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、現地法律事務所が把握している限りは、存在しない。
3.

ガバメントアクセス 87
ガバメントアクセスを根拠付ける法令については、米国（連邦法）のパートを参照され

87

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 257 -

たい。
V.

データ保護機関の有無及び連絡先

名称：
California Privacy Protection Agency（ただし、2021 年 10 月末現在、CPPA はまだ創設中のため、執行はカリフォルニア州司法省の司法長官室（California Department of Justice’s Office of
the Attorney General）が行っている。）
連絡先：
California Privacy Protection Agency：info@cppa.ca.gov（https://cppa.ca.gov/about_us/contact.html）
以上- 258 -

第 25 章 米国（アメリカ合衆国）（ニューヨーク州）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、代表的な個別法として 88 、ニューヨーク州ハッキング防止及び電子データセキュリティ改善法（New York Stop Hacks andImprove Electronic Data Security Act）（以下「SHIELD 法」という） 89及びニューヨーク州金融 サ ー ビ ス 局 サ イ バ ー セ キ ュ リ テ ィ 規 則 （ New York Department of Financial Services
Cybersecurity Regulation）（以下「NYDFS サイバーセキュリティ規則」という）が存在する。SHIELD 法は 2020 年 3 月 21 日に、NYDFS サイバーセキュリティ規則は 2017 年 3 月 1
日に、それぞれ施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
ア

SHIELD 法
SHIELD 法は、ニューヨーク州の居住者の私的情報（Private information）を含むコン

ピュータ化されたデータを保有又はライセンスする個人又は民間企業に適用される。この
法律は公共部門には適用されない。
イ

NYDFS サイバーセキュリティ規則

NYDFS サイバーセキュリティ規則は、NYDFS の規制又は許認可を受けている銀行、保険会社、その他の金融サービス会社等の企業に適用される。この規則は公共部門には適用されない。
(2) 個人情報の定義
ア

SHIELD 法
SHIELD 法では、「個人情報（personal information）」とは、自然人に関する情報であって、氏名、番号、個人的な特徴（personal mark）又はその他の識別子により、その個人を88

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

89

なお、SHIELD 法は、ニューヨーク州の N.Y. General Business Law を改正する法律である。

- 259 -

特定することができるものを指す。
また、「私的情報（private information）」とは、個人情報と以下の情報との組み合わせを指す。
①

ソーシャルセキュリティナンバー

②

運転免許証番号若しくは非運転者用身分証明書番号③

口座番号若しくはクレジット/デビットカード番号と必要なセキュリティコード、アクセスコード、パスワード若しくは個人の金融口座へのアクセスを許可する他の情報との組み合わせ④（口座番号若しくはクレジット/デビットカード番号が、追加の識別情報、セキュリ
ティコード、アクセスコード若しくはパスワードなしに個人の金融口座へのアクセスに使用される場合）当該口座番号若しくはクレジット/デビットカード番号、及び／又は⑤

生体認証情報対象事業者は、私的情報のセキュリティ、機密性及び完全性を保護するために、合理的な管理的、技術的及び物理的な保護手段を実施し、維持しなければならない。また、小規模事業者は、事業の規模、複雑性、性質、範囲及び収集した個人情報の機密性に応じて適切な保護措置を講じる必要がある。
GLBA、HIPAA、NYDFS サイバーセキュリティ規則又はその他のニューヨーク州のデー
タセキュリティ規則、規制及び法令の適用を既に受けている企業は、遵守義務が免除される（N.Y. Gen. Bus. 899-AA）。
イ

NYDFS サイバーセキュリティ規則
NYDFS サイバーセキュリティ規則は、（「個人情報（personal information）」ではな

く）「非公開情報（nonpublic information）」という用語を使用している。非公開情報は、他の法律で一般的に使用されている「個人情報」よりも広い意味を持っている。非公開情報とは、一般に公開されていない全ての電子情報で、以下のものを指すと定義されている（同規則 500.1）。
①

対象事業者の事業関連情報で、改ざん又は不正な開示、アクセス若しくは使用により、対象事業者の事業、運営又はセキュリティに重大な悪影響を及ぼし得るもの②

個人に関する情報で、氏名、個人の特徴（personal mark）又はその他の識別子と、以下のデータ要素のいずれか 1 つ以上との組み合わせにより、当該個人を特定するために使用することができるもの(i)ソーシャルセキュリティナンバー

(ii) 運転免許証番号若しくは非運転者用身分証明書番号(iii) 口座番号、クレジットカード番号若しくはデビットカード番号(iv) 個人の金融口座へのアクセスを許可するセキュリティコード、アクセスコード若しく
はパスワード、又は- 260 -

(v) 生体情報記録③

年齢又は性別を除く、医療提供者若しくは個人により作成された又は個人から得られた、あらゆる形式又は媒体の以下に関連するあらゆる情報又はデータ(i)

当該個人の家族の構成員の過去、現在若しくは将来の身体的、精神的若しくは行動的な健康又は状態(ii) 個人への医療の提供、又は(iii) 個人への医療の提供に対する支払い(3) 地理的適用範囲
SHIELD 法ア

SHIELD 法は、ニューヨーク州内の居住者の個人情報に限り適用される。ただし、ニューヨーク州の住民の個人情報が流出した場合、ニューヨーク州外の企業は通知を行う義務があるため、その場合、この法律は域外適用される（N.Y. Gen. Bus. § 899-AA）。
NYDFS サイバーセキュリティ規則

イ

NYDFS サイバーセキュリティ規則は、ニューヨーク州外の個人や団体には直接適用されない。（同規則 500.1）
ただし、対象事業者の第三者サービスプロバイダーがデータ漏洩を起こした場合、対象事業者は NYDFS にその事実を通知する必要がある。したがって、管轄外の第三者サービ
スプロバイダーは、間接的に本規制の対象になっているといえる。（同規則 500.17）
3.

留意点
SHIELD 法と NYDFS サイバーセキュリティ規則は、一般的にニューヨーク州で最も厳しいデータ保護法と考えられている。しかし、どちらもプライバシーではなくデータセキュ
リティに焦点を当てていることに注目すべきである。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ニューヨーク州の所在する米国は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、米国は、APEC の CBPR システムに 2012 年 7 月に加盟した。

- 261 -

III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
データ内容の原則（Data Quality Principle）

2.

SHIELD 法と NYDFS サイバーセキュリティ規則には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
3.

目的明確化の原則（Purpose Specification Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
4.

利用制限の原則（Use Limitation Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
SHIELD 法と NYDFS サイバーセキュリティ規則には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
ア

SHIELD 法
SHIELD 法では、ニューヨーク州の居住者の私的情報（private information）を含むコン

ピュータ化されたデータを保有又はライセンスする個人又は企業は、データの廃棄を含
め、情報のセキュリティ、機密性及び完全性を保護するための合理的な保護手段を開発、実施、維持することが求められている。これらの義務には、合理的な管理的、技術的、物- 262 -

理的な保護措置が含まれている。小規模事業者については、事業の規模、複雑性、性質、範囲及び収集した個人情報の機密性に応じた適切な保護措置を必要とする。なお、
GLBA、HIPAA、NYDFS サイバーセキュリティ規則又はその他のニューヨーク州のデータ
セキュリティ規則、規制及び法令の適用を受けている企業は、遵守義務が免除される。
私的情報を含むコンピュータ化されたデータを保有又はライセンスしている個人又は企業は、私的情報が権限無くアクセス若しくは取得された、又はそうなったと合理的に考えられるニューヨーク州の居住者に対して、システムのセキュリティ侵害を発見した又は通知された後に、セキュリティシステムの侵害を開示しなければならない。この開示は、侵害の範囲を特定しシステムの完全性を回復するために必要な法執行や措置の必要性と整合性を取りながら、可能な限り迅速に、不合理な遅延なく行われなければならない（N.Y.
Gen. Bus. 899-AA）。
イ

NYDFS サイバーセキュリティ規則

NYDFS サイバーセキュリティ規則では、対象事業者は、事業運営上又は対象事業者のその他の正当な事業目的のために必要でなくなった非公開情報を安全に廃棄するための方針と手続を実装しなければならない（同規則 500.2）。ただし、そのような情報が法律又は規制によって保持されることが義務付けられている場合、又はその情報の維持のために行おうとしている処分が合理的に実行できない場合には例外が適用される（同規則 500.13）。
対象事業者は、セキュリティ侵害の可能性に備えるため、インシデント対応計画を策定しなければならない（同規則 500.16）。また、対象事業者は、セキュリティ侵害が発生した
場合、NYDFS に通知しなければならない（同規則 500.17）。
(2) 当該原則が実質的に及ばない分野等について
N/A
6.

公開の原則（Openness Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、公開の原則又はこれに対応する事

業者・機関の義務に関する規定が存在しない。
7.

個人参加の原則（Individual Participation Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。

- 263 -

8.

責任の原則（Accountability Principle）
SHIELD 法と NYDFS サイバーセキュリティ規則には、責任の原則又はこれに対応する事

業者・機関の義務に関する規定が存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 90においては、現地法律事務所が把握している限りは存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 91においては、現地法律事務所が把握している限りは存在しない。
3.

ガバメントアクセス 92
ガバメントアクセスを根拠付ける法令については、米国（連邦法）のパートを参照されたい。
V.

データ保護機関の有無及び連絡先
データ保護機関は存在しない。ニューヨーク州の司法長官は、州法を一般的に執行する司法長官の権限と併せて、州の一定のプライバシー法（プライバシーやデータセキュリ
ティに関する消費者保護法を含む）に関する執行権限を持つ場合があるが、司法長官は一般的に理解されている「データ保護当局」とは考えられていない。
以上
90

代表的か否かに関する判断は現地法律事務所が行っている。

91

代表的か否かに関する判断は現地法律事務所が行っている。

92

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 264 -

第 26 章 ベトナム（ベトナム社会主義共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令は存在せず、一般法ないし代表的な個別法として

93

下記①～⑩が存在する。これらの法令は全て施行済であるが、サイバーセキュリティ法はデータ・ローカライゼーション規制の詳細を定める政令が未施行である。
①

民法（Civil Code No. 91/2015/QH13）②

サイバー情報セキュリティ法（Law on Cyberinformation Security No. 86/2015/QH13）③

情報技術法（Law on Information Technology No. 67/2006/QH11）④

サイバーセキュリティ法（Cybersecurity Law No. 24/2018/QH14）⑤

消費者権利保護法（Law on Protection of Consumer's Rights No.59/2010/QH12）⑥

電子取引法（Law on E-Transactions No. 51/2005/QH11）⑦

金融機関法（Law on Credit Institutions No. 47/2010/QH12）⑧

診療治療法（Law on Medical Examination and Treatment No. 40/2009/QH12）⑨電気通信法（Law on Telecommunications No. 41/2009/QH12）⑩

電子商取引に関する政令 52 号（Decree on E-Commerce No. 52/2013/ND-CP）

2.

1.記載の法令に関する基本的事項(1) 適用対象者①

民法：全ての個人及び団体②

サイバー情報セキュリティ法：ベトナムにおいてサイバー情報セキュリティに直接従事又は関与する個人及び団体③

情報技術法：ベトナムにおいて情報技術の利用・開発に従事する個人及び団体④

サイバーセキュリティ法：ベトナムのサイバー空間において電気通信サービス、インターネット上のサービス又は付加価値サービスを提供する国内外の事業者⑤

消費者権利保護法：消費者、ベトナムにおいて商品・サービスを販売・提供する個人
及び団体並びに消費者権利保護活動に関与する個人及び団体⑥

電子取引法：電子取引により取引を行う個人及び団体⑦

金融機関法：金融機関、外国銀行の支店、外国の金融機関の駐在員事務所及び銀行業

93

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

- 265 -

務を行うその他の外国の機関⑧

診療治療法：患者、医療従事者、診療機関及び治療機関⑨

電気通信法：ベトナムにおいて直接電気通信事業を実施する又は当該事業に関与する
国内外の個人及び団体⑩

電子商取引に関する政令 52 号：ベトナムの領土内で電子商取引活動に従事する国内外の個人及び団体(2) 個人情報の定義及び適用範囲
1.に記載した法令において統一された個人情報の定義は存在せず、以下のとおり、各法令がそれぞれ異なる定義を定めている（個人情報という用語が使われていない法令や定義が存在しない法令も存在する）。
①

民法：個人情報の定義は存在しないが、個人の私的生活や秘密に関する情報や個人の通信内容が適用対象とされている。

②

サイバー情報セキュリティ法：個人情報が「特定個人の識別に関する情報」と定義さ
れている。

③

情報技術法：個人情報の定義は存在しないが、同法に基づくインターネットサービス
及 び オ ン ラ イ ン 情 報 の 管 理 、 提 供 及 び 利 用 に 関 す る 政 令 72 号 （ Decree on theManagement, Provision, and Use of Internet Services and Online Information No. 72/2013/NDCP）では、「氏名、年齢、住所、ID 番号、電話番号、E メールアドレス及び法によって定められるその他の情報を含む、個人の識別に関する情報」と定義されている。

④

サイバーセキュリティ法：個人情報の定義は存在しないが、個人情報、サービス利用者に係るデータ及びサービス利用者の作成したデータが適用対象とされている。

⑤

消費者権利保護法：個人情報の定義は存在しないが、消費者情報（定義は存在しない）が適用対象とされている。

⑥

電子取引法：個人情報の定義は存在しない。

⑦

金融機関法：個人情報の定義は存在しない。

⑧

診療治療法：個人情報の定義は存在しないが、診療治療履歴に含まれる患者の健康状
況及びプライバシーに関する情報が適用対象とされている。

⑨

電気通信法：個人情報の定義は存在しないが、氏名、発信者及び受信者の番号、場所、発信時間その他の通信時にユーザーから提供される情報が適用対象とされている。

⑩

電子商取引に関する政令 52 号：個人情報が「氏名、年齢、住所、電話番号、医療情報、口座番号、私的な支払情報及び個人が秘密にしたいと望むその他の情報を含む、
特定個人の識別に寄与する情報」と定義されている。
また、1.に記載した法令は(1)に記載した適用対象に適用されるが、(1)に記載した文言以- 266 -

上に詳細な規定は存在しないため、その地理的適用範囲の詳細は法令文言上明らかではな
い。
3.

留意点

(1) 代表的な法令の選定理由
1.に記載した法令は、近年主に問題となる情報技術を活用した個人情報の処理に広く適用され得る法令及び個人情報の処理が重要な個別の業界に適用される業法である。特に、サイバー情報セキュリティ法及び情報技術法は、事業者の業種を問わず情報技術を活用した個人情報の保護について広く適用され得る一般的な義務を定めているため、本項ではこれらの法令に基づく義務を中心に記載する。
(2) 法令の不明確性及び当局の広い解釈権限
ベトナムの法制度はまだ整備の途上にあり、1.に記載した法令の規定は、法令の定義や文言が不明確なものを多々含んでいるが（2.(2)に記載した個人情報の定義や地理的適用範
囲の不明確性はその一例である）、そのような不明確な点の指針を示すガイドライン等は存在しない。また、ベトナムでは裁判例の蓄積・公開が不十分であり、個人情報保護の分野で先例としての価値のある裁判例は存在しない。このような事情から、1.に記載した法令の文言上不明確な点の解釈は当局（行政機関）の意向次第であり、当局は当該法令の解釈適用において広い裁量を有することになる。
(3) 個人情報保護に関する政令案
ベトナム政府は、個人情報保護について詳細な規定を包括的に定める初めての法令である個人情報保護に関する政令案の検討を進めており（ただし、1.記載の法令に規定された
個人情報関連の規定を全て統合・上書きするものではない）、2021 年 2 月、パブリックコ
メント募集のために草案が公表された。当該政令案は当初パブリックコメントを踏まえて改訂版が公表された上で 2021 年 12 月に施行されると言われていたが、当該改訂版は未だ公表されておらず、その施行時期は不明確である。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ベトナムは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。

- 267 -

また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及びデータ主体の権利に関する法令規定の有無
1.

収集制限の原則(Collection Limitation Principle)(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

N/Aイ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
民法とサイバー情報セキュリティ法及び情報技術法は、個人情報を収集する際には、原則として利用目的等をデータ主体に通知の上同意を取得する必要がある旨定めている（民法 38 条 2 項、サイバー情報セキュリティ法 17 条 1 項(a)、情報技術法 21 条 1 項及び 2 項(a)）。その他、消費者権利保護法、電子取引法及び電子商取引に関する政令 52 号にも関連する規定が存在する。
(2) 当該原則が実質的に及ばない分野等について
N/A
2.

データ内容の原則(Data Quality Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法及び情報技術法は、原則として(法令に基づく場合、当局から要請された場合等を除いて)、デー- 268 -

タ主体の同意を受けた利用目的等の範囲を超えて個人情報を処理してはならない旨定めている（サイバー情報セキュリティ法 17 条 1 項(b)及び(c)、情報技術法 21 条 2 項(b)及び 3項）。その他、消費者権利保護法及び電子商取引に関する政令 52 号にも関連する規定が存在する。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法及び情報技術法は、データ主体の請求に応じて個人情報を訂正する義務を定めており（サイバー
情報セキュリティ法 18 条 2 項(a)、情報技術法 21 条 2 項(d)）、消費者相手の取引等に適用される消費者権利保護法は、個人情報等が不明確であることが判明した場合自ら情報を修
正して正確性等を確保する義務を定めている（同法 6 条 2 項(d)）。その他、電子商取引に関する政令 52 号及び診療治療法にも関連する規定が存在する。
(2) 当該原則が実質的に及ばない分野等について
N/A
3.

目的明確化の原則(Purpose Specification Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
1.(1)イに記載した個人情報を収集する際にはデータ主体に利用目的等を通知の上同意を取得する必要がある旨の規定から、収集時に利用目的の特定が必要であると考えられる。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
2.(1)アに記載したデータ主体の同意を受けた利用目的等の範囲を超えて個人情報を処理してはならない旨の規定から、特定された利用目的の範囲内で利用する必要があると考えられる。
ウ

利用目的の変更時における利用目的の特定を定めた規定
1.(1)イに記載した規定及び 2.(1)アに記載した規定から、利用目的を変更した場合改めて特定した利用目的を通知し同意を取得する必要があると考えられる。

- 269 -

(2) 当該原則が実質的に及ばない分野等について
N/A
4.

利用制限の原則(Use Limitation Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
2.(1)アに記載したデータ主体の同意を受けた利用目的等の範囲を超えて個人情報を処理してはならない旨の規定から、特定された利用目的の範囲を超えて開示又は利用可能な状
態に置くことはできないと考えられる。また、サイバー情報セキュリティ法及び情報技術
法は、データ主体の同意なく個人データを第三者に提供することを原則禁止している（サイバー情報セキュリティ法 17 条 1 項(c)及び情報技術法 22 条 2 項）。
イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
2.(1)アに記載した規定から、特定された利用目的の範囲を超えて利用することはできな

いと考えられる。
(2) 当該原則が実質的に及ばない分野等について
N/A
5.

安全保護の原則(Security Safeguards Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏洩、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。
具体的には、情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリ
ティ法及び情報技術法は、個人情報を保護するために適切な管理的・技術的措置を講じる- 270 -

義務を定めている（サイバー情報セキュリティ法 19 条 1 項、情報技術法 21 条 2 項(c)）。
その他、サイバーセキュリティ法、電子取引法、金融機関法、診療治療法及び電子商取引に関する政令 52 号にも関連する規定が存在する。
(2) 当該原則が実質的に及ばない分野等について
N/A
6.

公開の原則(Openness Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法は、個

人情報を処理及び保護するための措置を決定し公表する義務を定めている（同法 16 条 3項）。電子商取引を行う事業者に適用される電子商取引に関する政令 52 号は、個人情報の利用目的等を定めるプライバシーポリシーを策定及び公表する義務を定めている（同政令69 条 1 項）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
アで述べた電子商取引を行う事業者が公表義務を負うプライバシーポリシーの記載事項

として、個人情報の利用目的、利用範囲、保管期間、当該情報にアクセスできる個人又は団体、当該情報を管理する事業者の情報、ユーザーが当該情報にアクセスして修正するための方法等が定められている（電子商取引に関する政令 52 号 69 条 1 項）。
(2) 当該原則が実質的に及ばない分野等について
N/A- 271 -

7.

個人参加の原則(Individual Participation Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法は、データ主体が自らの個人情報にアクセスすることを事業者に要請する権利を規定している（サイバー情報セキュリティ法 17 条 3 項）。その他、治療診療法にも関連する規定が存在する。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法及び情報技術法は、データ主体が自らの個人情報を訂正又は消去するよう事業者に要請する権利を規定している（サイバー情報セキュリティ法 18 条 1 項及び情報技術法 22 条 1 項）。その他、消費者権利保護法及び電子商取引に関する政令 52 号にも関連する規定が存在する。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
情報技術を用いた個人情報の処理に広く適用されるサイバー情報セキュリティ法は、事業者が技術的理由その他の理由によりイに記載したデータ主体の権利行使の要求に応じることができない場合、当該事業者がデータ主体に対して通知を行う義務を規定している（同法 18 条 2 項(b)）。
(2) 当該原則が実質的に及ばない分野等について
N/A
8.

責任の原則(Accountability Principle)I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。もっとも、遵守を確保するための措置に関する規定は存在しないが、事業者は 1.から 7.に記載した義務を遵守する法的義務を負い、当該義務に違反した場合当局による処分の対象となり得る。

- 272 -

IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護

法令又はサイバーセキュリティ関連法においては、サイバーセキュリティ法に存在する。
また、それ以外の代表的な法令 94として、個人情報の域内保存義務ではなくサーバーの域
内設置義務という形ではあるが、インターネットサービス及びオンライン情報の管理、提供及び利用に関する政令 72 号が存在する。それぞれの概要は以下のとおりである。
(1) サイバーセキュリティ法2019 年 1 月に施行された同法は、「ベトナムのサイバー空間において電気通信サービ
ス、インターネット上のサービス又は付加価値サービスを提供する国内外の事業者が、ベトナムにおいて個人情報、サービス利用者の関係に係るデータ又はサービス利用者の作成したデータの収集、利用、分析又は加工を行う場合、ベトナム政府の定める一定期間中は、それらのデータをベトナムで保管しなければならない。本項に規定する外国事業者はベトナムに支店又は駐在員事務所を設けなければならない」と規定している（同法 26 条 3項）。
当該規定は、オンラインサービスを利用して行われる法令違反行為等のサイバーセキュ
リティを侵害する行為に対するベトナム当局による取り締まりを容易にすることが目的だと考えられる。また、当該規定に関する管轄当局は公安省及び情報通信省である。
もっとも、当該義務の適用対象等の詳細は政令で定めるとされているところ（同法 26 条
4 項）、当該政令は 2021 年 10 月 31 日時点で制定に至っていない。当該政令の草案においては、ローカライゼーション義務が適用されるサービスの内容が具体的に特定されるとともに（ドメインネームサービス、電子商取引サービス、オンラインペイメントサービス、
ソーシャルネットワーキング・コミュニケーションサービス等が規定されていた）、当該サービスがベトナム法違反に利用されている旨当局が事業者に通知したにも拘わらず、当該事業者が対応措置を講じなかった場合、当局による捜査協力要請に協力しなかった場合
又は当局による対応措置を妨害した場合に適用場面が限定されていた。しかし、2021 年の政府のワーキングアジェンダに当該政令は含まれておらず、2021 年 10 月 31 日時点でも当該政令は施行されていない。

94

代表的か否かに関する判断は現地法律事務所が判断している- 273 -

(2) インターネットサービス及びオンライン情報の管理、提供及び利用に関する政令 72号
同政令は、サイバーセキュリティ法が制定される以前から、以下のオンラインサービスを提供する事業者を対象として、「情報通信省が定めるとおりサービス提供に関する顧客の苦情に対応するため及び管轄行政当局による情報の検査、確認、保管及び提供の要求に対応するためのサーバーシステムを少なくとも 1 台ベトナムに設置する」義務を課している（同政令 24 条 2 項、25 条 8 項、28 条 2 項及び 34 条 2 項）。
①

ニュース配信サービス②

ソーシャルネットワーキングサービス③

移動電気通信ネットワークにおける情報コンテンツサービス④

オンラインゲームサービス
当該規定は、個人情報の域内保存を義務付けるものではないが、サーバーに保存された情報に対するベトナム当局の捜査等を容易にすること等が目的だと考えられ、その対象には個人情報も含まれ得る。また、当該規定に関する管轄当局は公安省及び情報通信省である。
なお、上記(1)の義務は詳細を定める政令が未施行で適用対象が不明確かつ政令案のドラ
フトによれば当局の通知があって初めて適用されるものであり、上記(2)の義務はデータの国内保存ではなくサーバーの国内設置を求めるものである。そのため、少なくとも現時点
で公になっている情報によれば、上記(1)及び(2)の義務に係る規定の存在により事業者がデータ主体からの開示又は消去等の請求に対応できなかった事例は存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及び上記 I(1)に記載の法令においては、存在しない。
ただし、現在審議中の個人情報保護に関する政令のパブリックコメント募集段階の案文
では、個人情報の域外移転規制が規定され、移転のための要件の 1 つとして個人情報の元
データの域内保存が定められていた。当該政令が当該案文のまま制定された場合、域外移転の制約による実質的な域内保持義務に該当すると考えられる。

- 274 -

3.

ガバメントアクセス 95
ガバメントアクセスを根拠付ける法令として、I.に記載した法令はそれぞれ関連する規定を有している。また、個人情報に限定されない事業者が保有する情報へのアクセスを広く根拠付ける法令として、国家安全保障法（Law on National Security No. 32/2004/QH11）、刑事訴訟法（Criminal Procedure Code No. 101/2015/QH13）及び監査法（Law on Inspection No.
56/2010/QH12）が存在する。
これらのうち主要な法令は、適用対象の広さ、法令の目的及びガバメントアクセスに関する規定の詳細度に鑑みると、サイバーセキュリティ法、国家安全保障法、刑事訴訟法及び監査法であると位置付けられる（その他の I.に記載した法令は、当局の要請がある場合にはデータ主体の同意無く個人情報を提供できる旨定めているのみのものが多く、その規定内容も詳細ではない）。サイバーセキュリティ法、国家安全保障法、刑事訴訟法及び監
査法の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア目的①

サイバーセキュリティ法：国家の主権・利益・安全又は公の秩序を脅かす目的によるサイバー環境の利用又はサイバー犯罪を防止し取り締まること等（同法 36 条 3 項
3）。当該目的のため、ベトナムのサイバー空間において電気通信サービス、インターネット上のサービス又は付加価値サービスを提供する国内外の事業者は、当局からサイバーセキュリティ侵害の調査のために要請がある場合、ユーザーの情報を提供する義務を負う（同法 26 条 2 項(a)）。

②

国家安全保障法：国家の安全を脅かす活動を取り締まること等（同法 29 条 2 項及び 5項）。当該目的のため、当局は、国家の安全を脅かす活動に関与していると考える根拠がある場合、個人又は団体に対して情報提供を要求することができ、個人又は団体はこれに応じる義務を負う（同法 17 条 4 項及び 5 項、18 条 4 項及び 5 項並びに 24 条
1 項(b)）。

③

刑事訴訟法：国家の利益及び人権を守るため犯罪を捜査すること等（同法 2 条）。当該目的のため、当局は、犯罪に関連すると考える根拠がある場合、個人又は団体に対して情報提供を要求することができ、個人又は団体はこれに応じる義務を負う（同法88 条 1 項及び 192 条 2 項）。

④

監査法：違法行為を発見すること等（同法 5 条）。当該目的のため、監査の対象となった個人又は団体は、監査機関の求めに応じて監査対象事項に関する情報を提供す

95

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務づけられるものについて調査している。

- 275 -

る義務を負う（同法 10 条 2 項）。
イ

実施主体

①

サイバーセキュリティ法：公安省、国防省、情報通信省、政府暗号委員会、関連する
政府機関及び人民委員会②

国家安全保障法：人民警察、人民軍、国境警備隊、海上警備隊③

刑事訴訟法：捜査機関、人民検察院、裁判所④

監査法：政府の監査機関、地方行政区の監査機関、監査実施を委任された機関ウ取得される個人データの種類に関する限定の有無・概要
アに記載した法令には、個人情報についてガバメントアクセスの対象を制限したりアクセス期間を限定したりする規定は存在しない。
エ制限及びその例外に係る規定の有無・概要
アに記載した法令には、個人情報についてガバメントアクセスの対象を制限したりアクセス期間を限定したりする規定は存在しない。
オ

手続規定の有無・概要
刑事訴訟法には捜査機関が捜索・差押え等を実施する場合に遵守する必要がある手続（人民検察院による承認等）が規定されている（同法 107 条、196 条、198 条及び 199条）。
また、監査法には、監査は承認された計画に従って定期的に又は必要に応じて臨時に実施でき（監査法 37 条）、監査決定は、①監査計画、②政府機関の長の要請、③法令違反の可能性を発見した場合又は④汚職等について不服申立て・通報等があった場合に下されると規定されている（同法 38 条）。さらに、決定があった場合、監査決定書は公表され、監査対象者に対して、監査決定日から 10 日以内に監査を実施する旨が通知されなければならないと規定されている（同法 39 条 3 項）。
その他の(1)に記載した法令には特段の手続は規定されておらず、実務的には、ア及び(2)に記載するような法令上の実体的要件を満たしているかを行政機関自身が内部規則に基づき判断し、事業者に対して書面等で情報提供を求めていると考えられる。
(2) 正当な目的の追求①

サイバーセキュリティ法：プライバシーを含む個人の権利・利益の保護は同法の原則の 1 つであり（同法 17 条 1 項）、当該権利利益の侵害は同法違反と解釈され得るが、情報提供要請の必要性とどのように均衡がとられてそれを誰がどのように判断するのか等は規定されていない。

- 276 -

②

国家安全保障法：職務権限を悪用して個人の権利・利益を侵害することは禁止されると規定されているが（同法 13 条 6 項）、情報提供要請の必要性とどのように均衡がとられてそれを誰がどのように判断するのか等は規定されていない。

③

刑事訴訟法：個人の権利・利益保護のために、捜査機関が遵守すべき手続（人民検察院による承認等）が規定されている（同法 107 条、196 条、198 条及び 199 条）。

④

監査法：対象者の通常の業務実施を妨げることは禁止され、違法行為・不当な目的での監査の利用、実施すべき監査範囲と矛盾する監査の実施、監査に関する書類の破棄又は流用が禁止されているが（同法 7 条 2 項、13 条 1 項、2 項及び 5 項）、個人の権利・利益については規定されていない。

(3) 承認の要求
ア

事前承認及び事後承認、保護措置
刑事訴訟法には、捜査機関が実施する一定の捜索・差押え等について、原則として事前に（緊急事態の場合は事後 24 時間以内に）人民検察院による承認が必要だと規定されている（刑事訴訟法 193 条 2 項及び 197 条）。
その他の(1)に記載した法令には、個人情報へのガバメントアクセスについて裁判所等の外部機関による事前又は事後の承認を求める規定は定められていない。そのため、当局自身がその内部規則委等に基づき、(1)ア及び(2)に記載したような実体的要件を満たしているかについて自ら判断することになる。当該内部規則に当該当局内の承認等の手続が定められていることはあり得るが、そのような内部規則は公表されていない。
イ

暗号復号強制、保護措置(1)に記載した法令に個人情報に対する暗号復号を義務付ける規定は存在しない。もっとも、私人には当局の要請に対して広く情報提供する義務が課せられているため、当局が暗号の復号を求めた場合対応する義務を負うと考えられる。なお、(1)に記載した法令ではないが、サイバー情報セキュリティ法は、暗号化製品又はサービスの利用者が当局の要請に応じて暗号鍵に関する必要な情報を提供する義務を規定している（同法 36 条 2 項）。
(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要(1)に記載した法令には、ガバメントアクセスによって取得した個人情報の保管期間を定める規定は存在しない。ただし、当局によって取得又は作成された文書に当該個人情報が記載されている場合、当該文書は保管法（Law on Archives No. 01/2011/QH13）に基づき保管される。保管法に基づく保管期間は文書の種類によって異なっており、最長期間は 70 年間である（同法 17 条 2 項）。

- 277 -

イ

データの取扱者に関する制限(1)に記載した法令には、ガバメントアクセスによって取得した個人情報の取扱者を制限する規定は存在しない。ただし、取扱者はその職務権限の範囲内で当該情報を処理しなければならない。
ウ

安全管理措置に関する定めの有無・概要
サイバーセキュリティ法は、サイバー環境で個人情報を処理する者に対して個人情報等の漏洩等を防ぐための管理上又は技術上の措置を実施する義務を課しており（同法 17 条 2項）、当該義務は行政機関にも適用される。また、(1)に記載した法令ではないが、Ⅲ.5.に記載したサイバー情報セキュリティ法に基づく安全管理措置実施義務は、行政機関にも適用される。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要(1)に記載した法令には、個人情報へのガバメントアクセスの通知を義務付ける規定は存在しない。ただし、刑事訴訟法上、捜査機関は一定の捜索・差押えを実施する場合には対象者に事前に通知を行う必要がある。
イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告(1)に記載した法令には、個人情報へのガバメントアクセスの実施状況について公表又は報告することを義務付ける規定は存在しない。
ウ

監督機関による監督状況の公表(1)に記載した法令には、個人情報へのガバメントアクセスの監督に関する規定や監督状況について公表することを義務付ける規定は存在しない。
(6) 監督・調査・審査の仕組み(1)に記載した法令には、ガバメントアクセスの実施に対する監督・調査・審査の仕組みは規定されていない。また、その他の I.に記載した法令にもそのような仕組みは規定されていない。もっとも、行政機関は法令を遵守してその権限の範囲内で職務を実施する必要があるため、ガバメントアクセスに限らずその職務遂行は上位の行政機関や監査機関の監督の対象となり得る。

- 278 -

(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表(1)に記載した法令には、個人情報へのガバメントアクセスに対する救済制度は規定されていない。ただし、ガバメントアクセスに限らず、行政機関によるプライバシー権侵害等の違法行為に対しては、不服申立法（Law on Complaints No. 02/2011/QH13）に基づいて行政機関に不服申立てをすることができ（同法 1 条）、行政手続法（Law on Administrative
Procedures No. 93/2015/QH13）に基づき訴訟を提起することもできる（同法 5 条）。また、国家賠償責任法（Law on State Compensation Liability No. 10/2017/QH14）において、行政機関の違法行為に対する損害賠償、名誉回復措置等の一般的な救済方法や救済手続が定められているが、行政機関による個人情報の削除、使用禁止等の個人情報に着目した救済手続を定める規定は存在しない。
不服申立法に基づく不服申立てが行政機関によって認められた場合、当該行政機関は当該決定を遵守する義務を負い、行政手続法に基づく訴訟において判決が下された場合、行政機関は当該判決を遵守する義務を負う。また、これらの救済手段は法令によって公表されている。
イ

救済を提供する行政機関・裁判所に関する情報
不服申立法に基づく不服申立ての申立先は違法行為を実施した行政機関と同一だが、当該行政機関と当該行為に関する解決について合意に至らない場合は、当該行政機関を監督する上位行政機関に対して不服申立てをすることができる（同法 7 条 1 項）。
行政手続法に基づく訴訟の提起先は通常の裁判所である。法令上は、裁判官は裁判中他の機関から独立しており、他の機関は裁判官による審理に干渉することはできない（憲法（Constitution）103 条 2 項）。
ウ

外国人の救済の可否
不服申立法に基づく不服申立ては外国人も可能だが、ベトナム所在の外国人に限定される（同法 3 条 1 項）。行政手続法に基づく訴訟は、その所在地を問わず外国人も提起することができる（同法 298 条 2 項）。
エガバメントアクセスによって取得された情報に基づき訴追された者の権利
違法なガバメントアクセスによって取得された個人情報に基づき訴追された際の証拠排除等の、個人情報に着目した特別な救済手段は存在しない。もっとも、データ主体は、刑事訴訟における通常の防御手段として、弁護人を通じて自己の防御に必要な証拠を収集し裁判所に提出することができる。
また、違法なガバメントアクセスによって権利が侵害されたデータ主体には、アで記載- 279 -

した不服申立法に基づく不服申立てや行政手続法に基づく訴訟提起等の手段を通じて、国家賠償責任法上認められた損害賠償等の救済が認められ得る。
V.

データ保護機関の有無及び連絡先
I.に記載した法令に基づく監督及び執行には様々な行政機関が関与し得るが、特に重要な法令であるサイバー情報セキュリティ法、情報技術法及びサイバーセキュリティ法を主に管轄しているのは、公安省及び情報通信省である。その連絡先は下記のとおりであり、
詳細はウェブサイトに掲載されている。なお、現在審議中の個人情報保護に関する政令案
では、新たに個人情報保護委員会が設立されて監督・執行等を担当することが想定されている。
公安省
住所: 44 Yet Kieu Street, Hoan Kiem District, Hanoi
ウェブサイト: www.mps.gov.vn
電話番号: 069.2343647
情報通信省
住所: 18 Nguyen Du Street, Hoan Kiem District, Hanoi
ウェブサイト: www.mic.gov.vn
電話番号: 024.3556.3461
以上- 280 -

第 27 章 香港
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人データ（プライバシー）条例（Personal Data (Privacy) Ordinance）（以下「PDPO」という）が存在する。当該法令は 1996
年 12 月 20 日に施行されている 96。
2.

PDPO に関する基本的事項(1) 適用対象者
PDPO は「データ利用者（data user）」に適用される。この「データ利用者」とは、「個人データに関して、単独若しくは共同で、又は他者とともに、データの収集、保持、処理又は利用を管理する者（person）」をいう（PDPO 2 条 1 項）。「者（person）」には、公的主体を含む旨規定されている（Interpretation and General Clauses Ordinance 3 条）。よって、PDPO は公的部門（地方公共団体を含む）と民間部門の双方を対象としている。
(2) 保護対象の範囲
PDPO の保護の対象となる「個人データ（personal data）」とは、①生存する個人に直接又は間接に関連し、②そこから個人の同一性（identity of individual）を直接又は間接に確認することが現実的に可能であり、③当該データへのアクセス又は処理が現実的に可能な様式の「データ（data）」をいう（PDPO 2 条 1 項)。「データ」とは、全ての「文書（document）」における全ての情報の表象（representation）のうち、個人を識別できるもの（personal identifier）を含むものをいう（PDPO 2 条 1 項）。
また、保護対象となるデータ主体は、国内に所在する者に限定されず、域外のデータ主体も含まれる。
(3) 地理的適用範囲
PDPO では、適用範囲について明確な規定はなされていない。しかし、香港のデータ保護機関である Privacy Commissioner for Personal Data（以下「PCPD」という）の調査権限の96

ただし、PDPO 33 条は、2021 年 10 月 31 日現在未施行。

- 281 -

範囲として、データ利用者による、香港内における又は香港から（in or from Hong Kong）の個人情報の収集、保持、処理又は利用が含まれることを想定している規定（PDPO 39 条
1 項(d)号）があるため、香港外のデータ利用者による香港からの個人情報の収集、保持、処理又は利用も適用範囲であると解されている。
3.

留意点（ご参考）2021 年 10 月 8 日施行の PDPO の改正の概要①

ドキシング行為（他人の個人情報をインターネット上にさらす行為）に対する刑事罰の導入②

香港のデータ保護機関である PCPD のドキシング案件に対する刑事調査及び訴追権限の付与③

ドキシングコンテンツの停止又は制限を要請する PCPD の法的権限の付与（香港外への域外適用あり）II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

香港は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
PDPO には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 282 -

ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

PDPO のデータ保護原則 97の第 1 原則(1)は、何人も以下の要件をすべて満たす場合でな
い限り、個人データを収集してはならないと定め、個人データの収集を原則として禁止
し、一定の例外を満たす場合にのみ個人データの収集を認めることを規定している。
①

データを用いる予定のデータ利用者の活動（activity）又は機能（function）に直接関連する合法的な目的のためにデータを収集すること②（以下③を前提として）データの収集が、その目的にとって必要であり、又はその目的と直接に関連すること③

データがその目的との関係で十分なものであり過剰なものではないこと
また、データ保護原則の第 1 原則(2)は、個人データを収集する場合には、合法的かつ事案の状況に照らし公正な方法によって収集されなければならないと定めている。
イ取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定

PDPO のデータ保護原則の第 1 原則(3)は、データ主体に対しては、以下の各事項が通知されるように、全ての実現可能な手段が講じられなければならない旨を定めている①

データ主体に対し、データが収集される時点かその前の時点において、以下のすべての事項が、明示的又は黙示的に通知されること(ⅰ)

データ主体にとってデータを提供することが義務なのか、任意なのか(ⅱ) データ主体にとってデータを提供することが義務である場合には、データ主体がデー
タを提供しなかった場合にどのような結果が生じるか②

データ主体に対し、以下のすべての事項が、明示的に通知されること(ⅰ)

データが収集される時点かその前の時点において通知すべき事項

・（一般的か又は特定された条件下での）データが使用される目的

・

データの移転先となる者の種類（classes）(ⅱ) データを収集した目的のために最初に利用する時点かその前の時点において通知すべ
き事項
・

データ主体が、（データ利用者が）保有するデータにアクセスすることを要求しデー
タの訂正を要求する権利を有すること

・

データ主体がデータ利用者に対してかかる要求を行う際に対応することとなる個人の氏名又は職位及び住所2013 年 7 月に PCPD が発行したガイダンスノート（「PICS 及び PPS の作成に関するガイダンス」（Guidance on Preparing Personal Information Collection Statement and Privacy Policy
Statement）。以下単に「ガイダンス」という）によれば、上記のデータ保護原則の第 1 原
97

PDPO においては、附表１として、「データ保護原則」（Data Protection Principles）が定められており、PDPO 4 条において、データ利用者は、「本法において、要求又は許可されている場合を除き、データ利用者は、データ保護原則に反する行為又は運用を行ってはならない」と、その遵守が求められている。

- 283 -

則(3)の要請を満たすためには、データ利用者は、データ主体に対して、データを収集する
時点かその前の時点で、個人情報収集ステートメントを提供するべきとされている。
PDPO 自体は、データ保護原則の第 1 原則(3)の通知が書面でなされることまでは要求していないが、ガイダンスは、透明性を確保し、当事者の誤解を避けるために、上記事項については書面で通知することが望ましいと解説しており、かかる要請の下に作成されることになる書面が「個人情報収集ステートメント」（Personal Information Collection Statement）（以下「PICS」という）である。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則(Data Quality Principle)(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定

PDPO のデータ保護原則の第 1 原則(1)は、何人も以下の要件を全て満たす場合でない限
り、個人データを収集してはならないと定め、個人データの収集を原則として禁止し、一定の例外を満たす場合にのみ個人データの収集を認めることを規定している。
①

データを用いる予定のデータ利用者の活動（activity）又は機能（function）に直接関連する合法的な目的のためにデータを収集すること②（以下③を前提として）データの収集が、その目的にとって必要であり、又はその目的と直接に関連すること③

データがその目的との関係で十分なものであり、かつ過剰なものではないこと

イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定

データ保護原則の第 2 原則(1)は、以下の各事項が保障されるように、全ての実現可能な手段が講じられなければならないと定めている。
①

データを利用し、又はデータを利用する可能性のある目的（直接的に関連する目的を含む）を考慮し、個人データが正確であることが保障されなければならない（同原則(1)(a)）。

②

データを利用し、又はデータを利用する可能性のある目的（直接関連する目的を含む）を考慮し、合理的な理由により個人データに誤りがあると考えられる場合には、- 284 -

(ⅰ)当該データの修正その他を問わず、当該理由が当てはまらなくなるまで（unless anduntil）、当該データが当該目的のために利用されないこと、又は、(ⅱ)当該データが削除されるといった、いずれかの措置が講じられなければならない（同原則(1)(b)）。
③(ⅰ)第三者によってデータを利用し、又はデータを利用する可能性のある目的（直接関連する目的を含む）を考慮し、第三者に開示されたデータが、開示された日又はその後の時点において重大な誤りがある場合、及び、(ⅱ)個人データが当該開示の時点で誤りである場合には、可能な限り、以下のすべての措置が講じられなければならない（同原則(1)(c)）。

(A) 当該第三者に対して、データが誤りであると通知すること(B) 当該第三者に対して、当該目的を考慮して、データを修正することのできる特定のデータを提供すること(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定

データ保護原則の第 1 原則(3)は、データ主体に対して、データが収集される時点かその前の時点において（一般的か又は特定された条件下での）データが利用される目的等が明示的に通知されるように、全ての実現可能な手段（all practicable steps）が講じられなければならない旨を定めている（同原則(3)(b)(i)(A)参照）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

データ保護原則の第 3 原則(1)は、個人データは、データ主体の事前の同意なく、「新たな目的」のために利用されてはならないと定めている。なお、データ保護原則の第 3 原則
(4)は、「新たな目的」には、①データを収集した時点において当該データが利用される予定であった目的、②前号①に定める目的に直接関連する目的以外の目的を意味すると定めている。
個人データは、データ主体の事前の同意なく、「新たな目的」のために利用されてはな- 285 -

らないとの定めは、言い換えれば、当初データ主体に通知された、特定された利用目的又は当該利用目的と矛盾しない範囲の目的の範囲内における利用を定めた規定といえる。
ウ

利用目的の変更時における利用目的の特定を定めた規定
データ保護原則の第 3 原則(1)及び第 1 原則(3)より、データが収集される時点かその前の時点においてデータ主体に通知された目的以外の目的のためにデータを利用する場合には、新たな目的について、データ主体の所定の同意が必要となる。よって、データ保護原則の第 3 原則(1)及び第 1 原則(3)の規定から、利用目的変更時において利用目的を特定した上でデータ主体の同意が必要であると解される。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、「あらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定」及び「あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定」双方の規律として、データ保護原則の第 3 原則(1)において、個人データは、データ主体の事前の同意なく、「新たな目的」のために利用されてはならないと定めている。なお、「利用」には、開示やデータの移転も含まれる（PDPO 2 条 1
項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付- 286 -

ける規定）が存在する。具体的には、以下のとおりである。
データ保護原則の第 4 原則(1)は、データ利用者が保有する個人データ（データへのアク
セス又は処理を行うことが現実的とはいえない体裁のものを含む）が、以下の各事項を考慮した上で、権限のない又は偶発的なアクセス、処理、紛失又は利用から保護されるように、すべての実現可能な手段（all practicable steps）が講じられなければならない旨を定めている。
①

データの種類と、権限のない又は偶発的なアクセス、処理、削除又は利用が発生した
場合に起こり得る弊害②

データが物理的に保存される場所③

その他データが保存される対象となる機器に、（自動的な手段であるかどうかを問わず）組み込まれる安全管理措置④

そ の 他 デ ー タ に ア ク セ ス す る 者 が 誠 実 （ integrity） 、 慎 重 （ prudence ） か つ 有 能（competence）であることを保障するための措置⑤

その他データの移転が安全になされることを保障するための措置
上記の「実現可能な」（practicable）とは、合理的に実現可能であることを意味する（PDPO 2 条 1 項）。したがって、データ保護原則の第 4 原則は、データ利用者に、その保有する個人データのセキュリティに関して完全なる保証を要求するものではなく、上記の①から⑤までの事項を考慮した上で、状況に応じた合理的に実現可能な措置を講じることを要求するものである。この点、①により規定される「弊害」に関しては、データ利用者
がデータに関して講じるべき安全対策措置は、データ自体のセンシティビティと、かかるデータへの権限のない又は偶発的なアクセスによる弊害の程度に応じたものである必要がある。
データ保護原則の第 4 原則(2)は、データ利用者が、香港領域内外を問わず、データ利用者に代わって個人データを処理するデータ処理者を活用する場合には、データ利用者は、処理のためにデータ処理者に移転されるデータについて、権限のない又は偶発的なアクセ
ス、処理、削除、損失又は利用がなされないよう契約その他の手段を適用しなければならない旨を定めている。なお、データ保護原則の第 4 原則(3)は、ここでいう「データ処理者」は、データ保護原則の第 2 原則(4)におけるデータ処理者と同じ内容を指す、すなわ
ち、(i)他者に代わって個人データを処理し、(ii)自らの目的のためにデータを処理しない者を意味する旨を定めている。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 287 -

公開の原則（Openness Principle）

6.

(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「個人データの取扱いに関する方針の策定に関する規定」及び「個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定」双方の規律として、データ保護原則の第 5 原則は、個人に対し、以下の各事項が保障されるように、全ての実現可能な手段が講じられなければならないと定めている。
①

個人データに関するデータ利用者のポリシー（policies）及び実務（practices）を確認することができるようにすること②

データ利用者が保有する個人データの種類（kind）を知ることができるようにすること③

データ利用者が個人データを保有し又は利用する主たる目的を知ることができるようにすること
データ保護原則の第 5 原則は、ポリシー又は実務を書面で準備することを要求していな

いが、データの取扱いに関するポリシー及び実務の内容を効率的に伝達し、誤解を避けるためには、「プライバシー・ポリシー・ステイトメント」（Privacy Policy Statement）（以下「PPS」という）といわれる書面を作成することが適切であるとしている。PPS は、個人
データが物理的に収集されるか、オンラインで収集されるか、データの主体から直接収集されるかそうでないかにかかわらず、全ての人々に対して、容易にアクセスできる方法で提供されることが望ましい。また、PPS は、内容、言語及び使用フォントサイズ等を考慮の上、理解がしやすく、（書面の場合には）読みやすい方法で提供されることが望ましい。技術的な又は過度に法律的な文言は理解することが難しい可能性がある 98。
上記のとおり、法律上は、個人データに関するデータ利用者のポリシー及び実務を確認することができることを保障するための手段を講じる義務のみが課されており、PPS の書
面 に よ る 作 成 は 、 法 律 上 の 要 請 で は な い が 、 上 記 「 1. 収 集 制 限 の 原 則 （ Collection
Limitation Principle）」において言及した「PICS 及び PPS の作成に関するガイダンス」では、データ保護原則の第 5 原則を遵守するためには、PPS を書面により作成することが望
ましいとされている。同ガイダンスでは、PPS は、アクセスすることが容易な方法で提供される必要があり、データ利用者が、ウェブサイトを保有する場合には、ホームページ及びウェブサイトの全てのページの上部又は下部に、目立つようにリンクを貼る方法により

98

Stephen Kai-yi Wong and Guobin ZHU, Personal Data (Privacy) Law in Hong Kong A Practical Guide onCompliance, (City University of Hong Kong Press), pp. 176-177.

- 288 -

提供することが推奨されている。
PPS に記載すべき項目について、データ保護原則の第 5 原則は、個人データに関するデータ利用者のポリシー及び実務等を挙げている。ガイダンスでは、「ポリシー」とは、データ利用者が、自身に対して情報を提供した個人のプライバシーを保護することに関する全体的なコミットメントを指し、「実務」とは、データ利用者が有する個人データの種
類及び利用の目的を指すとされている。同原則で規定されている事項に加えて、ガイダンスにおいては、PPS の内容として記載することが適切であるとして推奨される項目が記載されている。すなわち、ガイダンスによれば、通常、PPS の記載事項は、同じくガイダンスにより要求される PICS（上記「1. 収集制限の原則（Collection Limitation Principle）」参照）よりも内容が広範に亘り、PICS の中核となる要素に加え、データ保存方針、データ安
全措置、データ侵害への対応及びウェブサイトにおけるクッキー等のツールの使用等に関連するポリシー及び実務を含む。PPS と PICS の主な違いは、PICS は、データ主体から個
人データを直接収集する場合にデータ利用者がデータ主体に提供するものであるのに対し、PPS は、データ利用者のプライバシーポリシー及び個人データへの対応に関する実務における一般的な文書である点である。
個人データに関するポリシー及び実務を開示するという透明性の原則は、顧客とのビジネスの場面のみならず、雇用者の個人データプライバシー権に関しても重要性が増してきている。例えば、雇用者が勤務場所においてモニタリングを行おうとする際に、従業員の個人データが電話、電子メール、インターネット又はビデオモニタリングを通じて収集される場合に問題となり得る。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、「自己に関する個人データの開示を求める権利を定める規定」、「自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定」及び「権利行使ができない場合の理由の通知や異議申し立てを定める規定」として、データ保護原則の第 6 原則は、データ主体に対して、以下の事項を行うことができる権限を与えている。
①

データ利用者が、自己がデータ主体である個人データを保有しているか否かを確認すること- 289 -

②

以下の全ての条件を満たす場合に、個人データへのアクセスを要求すること(ⅰ)

合理的な時間内であること(ⅱ) （もし必要であれば（if any））過大でない費用を支払うこと(ⅲ) 合理的な方法によること(ⅳ) 理解可能な（intelligible）申請書（a form）によること③

上記（②）に基づく要求が拒絶された場合に理由を開示されること④

上記（③）に基づく拒絶に対して異議を述べること⑤

個人データの訂正を要求すること⑥

上記（⑤）に基づく要求が拒絶された場合に理由を開示されること⑦

上記（⑥）に基づく拒絶に対して異議を述べること
データへのアクセスについては、データ保護原則の第 6 原則のうちの上記①から④までに加え、PDPO の第 5 部（Part 5）が、データ主体によるデータへのアクセス要請の手続及びデータ利用者による対応に関する規定を定めている。すなわち、個人又は個人を代理する関係者（relevant person）は、データ利用者に対し、当該個人がデータ主体となる個人データを保有しているか否かを通知するように求め、データ利用者がデータを保有する場
合には、当該データのコピーを提供するように求めることができる（PDPO 18 条(1)）。これに対して、データ利用者は、原則として、データ主体によるデータへのアクセス要請を受領してから 40 日以内に、当該アクセス要請への対応を行う必要がある（PDPO 19 条
(1)）。データへのアクセス要請に関する PDPO の規定に合理的な理由（excuse）なく違反した場合には、刑事罰（罰金）が課される可能性がある。
また、データ訂正の要請については、データへのアクセス要請に基づき、その写しが要請者に対して提供された個人データについてのみ適用される。データアクセス要請が、データ利用者により適切に拒絶された場合、当該個人データについて、データ訂正要請を行うことはできない。なお、データ利用者は、データ訂正の要請の対象となる自己が保有する個人データが不正確であると考える場合には、原則として、データ訂正の要請を受領してから 40 日以内に、個人データを訂正し、データ訂正の要請者へ訂正後のデータの写しを提供し、訂正から 12 か月以内に当該データが第三者に開示されていた場合には、かかる第三者に対して訂正後のデータの写し及び訂正の理由を記載した書面通知を提供するための全ての実現可能な手段を講じる必要がある（PDPO 23 条(1)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 290 -

8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
PDPO には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、PDPO 4 条において、データ利用者は、「本法において、要求又は許可されている場合を除き、データ利用者は、データ保護原則に反する行為又は運用を行ってはならない」と規定されており、データ利用者は上記７原則の実施について責任を有する。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 99においては、現地法律事務所が把握している限り、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 100においては、現地法律事務所が把握している限り、存在しない。
3.

ガバメントアクセス 101
ガバメントアクセスを根拠付ける法令として香港国家安全維持法（The Law of the99

代表的か否かに関する判断は現地法律事務所が行っている。

100

代表的か否かに関する判断は現地法律事務所が行っている。

101

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 291 -

People’s Republic of China on Safeguarding National Security in the Hong Kong Special
Administrative Region ） （ 以 下 「 NSL 」 と い う ） 及 び 刑 事 訴 訟 法 (Criminal Procedure
Ordinance)がある。本件のガバメントアクセスの定義に近い規定があるという理由から、
NSL について検討を加える。NSL の調査項目別の概要は以下のとおりである。
(1) 法的根拠ア

目的明確に定めた条文は不見当。ガバメントアクセスに関連する条文である NSL 43 条 1 項各号において、香港特別行政区（「香港」政府）警察の国家安全維持部門が国家の安全を害する犯罪事案を処理するときは、以下の措置を講じることができると規定されている。本
件のガバメントアクセスの定義に最も近い措置として、⑦質問への回答及び資料提出要請(NSL43 条 1 項 7 号)が規定されている。
①

犯罪の証拠が残っている可能性のある居所、車両、船舶、航空機及びその他の関係する場所と電子設備を捜査する。

②

国家の安全を害する犯罪行為を実施した疑いのある人員に旅行証の提出を求め、又はその出国を制限する。

③

犯罪に用い又は用いることを意図した財産、犯罪により得た収益等の犯罪に関係する財産を凍結し、制限令、抵当令、没収令及び公有化を申請する。

④

情報の発出者又は関連のサービスプロバイダーに対し、情報の削除又は協力の提供を
要求する。

⑤

外国及び域外の政治的組織、外国及び域外の当局または政治的組織の代理人に対し、資料の提供を要求する。

⑥

行政長官の承認を経て、国家の安全を害する犯罪を実施したことを疑う合理的理由のある人員に対し、通信傍受と秘密監察を行う。

⑦

捜査に関係のある資料を保有し、又は関連のデータを管理・所有していることを疑う
合理的理由のある人員に対し、質問に回答し、資料又はデータを提出するよう求め
る。

イ

実施主体：

(i)

香港警察の国家安全維持部門（NSL 43 条柱書）

(ii) NSL 55 条に規定する事由に該当する場合（①外国又は域外勢⼒の介⼊という複雑な状況に関する事案で、⾹港特別⾏政区による管轄が難しい事案である場合、②香港政府
が NSL を有効に執⾏できない重大な状況にある場合、又は③国家の安全が現実の重⼤- 292 -

な脅威に直⾯している場合）には、駐香港特別行政区国家安全維持公署 102（NSL 55条柱書）
ウ

取得される個人データの種類に関する限定の有無・概要取得される個人データの種類に関する限定は不見当。

エ

制限及びその例外に係る規定の有無・概要(i)

香港警察の国家安全維持部門が管轄する場合は、香港の国家安全維持委員会は、警察の国家安全維持部門等の法執行機関が NSL 43 条 1 項に規定するガバメントアクセスを実施することに対して監督責任を負う（NSL 43 条 7 項）。下記オの手続規定を除き、それ以上の具体的な制限規定は不見当。

(ii) 駐香港特別行政区国家安全維公署が管轄権を有する場合、事案の立件・捜査、審査・起訴、裁判及び刑罰の執行手続には、「中華人民共和国刑事訴訟法」の関連規定が適用される（NSL 57 条 1 項）。中華人民共和国の刑事訴訟法に関しては、第 17 章 IV.
３.（中華人民共和国）を参照されたい。
オ

手続規定の有無・概要
香港警察の国家安全維持部門が管轄する場合 103については、NSL43 条 1 項各号に関する権限の行使の手続に係る実施細則 104が制定されている。ガバメントアクセスの実施可能期間についての規定は不見当。
(2) 正当な目的の追求①

ガバメントアクセスの対象となる者が限定されている（NSL 43 条 1 項 7 号（質問への回答及び資料提出要請）については、捜査に関係のある資料を保有し、又は関連のデータを管理・所有していることが疑われる合理的理由があることを要件としている。）②

ガ バメ ント アク セス の実 施に 際し ては 、裁 判所 （Court of First Instance ） の命 令
（Order）取得の要件やその手続等の実施細則に定める手続を履践することが必要とさ
れている。

102

中国人民政府が NSL に基づき香港に設置した国家安全維持のための機関。

103

駐香港特別行政区国家安全維公署が管轄権を有する場合については、第 17 章 IV. ３.（中華人民共和国）を参照されたい。以下のガバメントアクセスの検討についても、香港政府の国家安全維持部門が管轄する場合のみについて検討する。

104

https://www.elegislation.gov.hk/hk/A406A!en.assist.pdf- 293 -

(3) 承認の要求 105
ア

事前承認及び事後承認、保護措置(a)

事前承認： 裁判所（Court of First Instance）の命令（Order）が必要となる（実施細則
別紙 7 第 2 項、3 項）(b) 事後承認： 関連規定は不見当(c)

保護措置： 関連規定は不見当イ

暗号復号強制、保護措置
裁判所の命令発出に際する要件として、裁判所が命令を発出することが公共の利益（public interest）に合致すること等が定められている（実施細則別紙 7 第 2 項(4)(d)等）。
(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
関連条文は不見当。

イ

データの取扱者に関する制限(i)「取扱い」全般に関する関連条文は不見当。

(ii) 警察官又は司法長官（Secretary of Justice）による書面の授権を受けた者が、取得されたデータの写しの作成又は写真撮影をすることができる旨の規定あり（実施細則別紙
7 第 2 項(8)、第 3 項(13)）。
ウ

安全管理措置に関する定めの有無・概要

関連条文は不見当。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
関連条文は不見当。

105

NSL は施行から日が浅いため、NSL に規定されるガバメントアクセスの実施状況については今後注視が必要となるところ、NSL 43 条 1 項 7 号（質問への回答及び資料提出要請）は、その性質上よく使用されることとなる可能性があると考えられるため、本項、「(4)取得された個人データの取扱いに対する制限」及び「(5)透明性」については、NSL 43 条 1 項 7 号（質問への回答及び資料提出要請）に着目して検討を行う。

- 294 -

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

関連条文は不見当。
ウ

監督機関による監督状況の公表
関連条文は不見当。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称NSL 43 条 2 項により、香港政府の国家安全維持委員会の監督責任が定められている。

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

（ア）

名称

香港政府の国家安全維持委員会（イ）

権限

警察の国家安全維持部門等の法執行機構が NSL 43 条 1 項に規定する措置を講じることについての監督責任を負う（NSL 43 条 2 項）。
（ウ）

独立性

監督機関である国家安全維持委員会のメンバーに、監督対象である警察の国家安全維持部
署責任者が含まれる（NSL 13 条）。
（エ）

長の任命プロセスと身分保障監督機関である国家安全維持委員会の長は、香港政府の行政機関の長である行政長官が務めるものとされている（NSL 13 条）。国家安全維持委員会の長の身分保障の規定は不見
当。
ウ

調査形態
調査形態に関する具体的な規定は不見当。

エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

具体的な関連条文は不見当。

- 295 -

(7) 救済
違法なガバメントアクセスに対する救済制度について関連条文は不見当である。ただし、NSL は効力発生（2020 年 6 月 30 日）からあまり時間が経過しておらず、NSL に規定されるガバメントアクセスにより権利等を侵害された者が裁判所又は行政機関に対してどのような救済を求めることができるのかが（NSL に関して、どのように他の香港法が適用されていくのかを含めて）明確ではない。今後の運用状況を注視する必要があると考えられる。
V.

データ保護機関の有無及び連絡先

データ保護機関：
Office of the Privacy Commissioner for Personal Data, Hong Kong（香港個人資料私隠専員公署）
連絡先：
https://www.pcpd.org.hk/english/contact_us/contact_us.html にて公表
以上

- 296 -

第 28 章 マレーシア
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人情報保護法（Personal Data Protection

Act 2010）（以下「PDPA」という）が存在する。当該法令は 2013 年 11 月 15 日に施行されている。
その他、PDPA の下位規則として、以下のものが存在する。
①

2013 年個人情報保護規則（Personal Data Protection Regulations 2013）②2015 年個人情報保護基準（Personal Data Protection Standard 2015）③2013 年個人情報保護（情報利用者登録）規則（Personal Data Protection (Registration of

Data User) Regulations 2013）2013 年個人情報保護（情報利用者の業種）令（Personal Data Protection (Class of Data④

User) Orders 2013）
なお、後述のとおり、PDPA は公的部門には適用されず、他に公的部門を対象とした個
人情報の保護に関する法令は存在しない。
2.

記載の法令に関する基本的事項(1) 個人情報の定義
PDPA において保護の対象となる「個人情報（personal data）」とは、以下の全てを満たすものをいう。
①

商業的取引（commercial transactions）に関するものであること②

自動的に処理 106される機械・装置により、その全部又は一部が処理又は記録されるものであること③

当該情報が、直接又は間接に、当該情報又は情報利用者 107の保有するその他の情報から識別される人物（data subject）（以下「データ主体」という）に関するものである
こと
ただし、信用調査機関法（Credit Reporting Agencies Act 2010）に基づき信用調査機関が行106処理（processing）とは、個人情報を収集、記録、保持、保存、又は個人情報の操作を行うことを意味し、個人情報の①体系化、適応又は変更、②復旧、参照又は使用、③送信、移転又は頒布その他の方法による開示、又は④整理、統合、訂正、抹消又は破壊することが含まれる（PDPA 4 条）。

107

情報利用者（data user）とは、単独又は共同で個人情報を処理し、又は個人情報をコントロールする者若しくは処理する権限を与える者をいう（PDPA 4 条）。

- 297 -

う信用報告ビジネスの目的で処理される情報は含まれない（PDPA 4 条）。
また、保護の対象となる「個人情報」のデータ主体は、マレーシア国内に所在する者に限定されない。
(2) 適用範囲
PDPA は、①商業的取引に関連する個人情報を処理する者、及び②商業的取引に関連する個人情報に対するコントロールを及ぼす者又は処理の権限を付与する者に適用され（PDPA 2 条 1 項）、連邦政府又は州政府には適用されない（PDPA 3 条 1 項）。また、PDPA は、レクリエーション目的を含む、個人的、家族又は家庭の目的のためだけに行われる、個人による個人情報の処理には適用されない（PDPA 45 条 1 項）。
(3) 地理的適用範囲
PDPA は、以下の場合に適用される（PDPA 2 条 2 項）。
①

適用対象者がマレーシアで設立された者である場合には、当該適用対象者又はその従
業員若しくは従事者によって個人情報が処理される場合②

適用対象者がマレーシアで設立された者でない場合には、マレーシアでのトランジッ
ト以外の目的で、個人情報を処理するためにマレーシアに所在する設備を使用して個
人情報が処理される場合
また、個人情報の処理がマレーシア国外で行われる場合であって、さらにマレーシア国

内で個人情報が処理されることが予定されていない場合には、PDPA は適用されない（PDPA 3 条 2 項）。
3.

留意点2020 年 2 月、PDPA の改正案のパブリックコンサルテーションペーパーが公表されている。改正案には、データ保護責任者（data protection officer）の選任の義務づけ、ブリーチの場合の通知義務、情報利用者に対する民事訴訟の導入、データポータビリティ、プライ
バシー・バイ・デザイン（privacy by design）及び情報処理者の義務などが含まれる。改正案の内容の多くは GDPR の影響を受けたものである。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

マレーシアは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。

- 298 -

また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
PDPA には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

後記 2 のとおり、個人情報の処理は、情報利用者の活動に直接関係する適法な目的のためになされなければならない（PDPA 6 条 3 項(a)）。また、故意又は過失により、情報利用者の同意なく、情報利用者が保有する個人情報を収集若しくは開示すること、又は第三者をして収集若しくは開示させることは不法な個人情報の収集として禁止されているが（PDPA 130 条 1 項）、その他に適法かつ公正な手段による取得その他の収集の制限を明示的に定めた規定は存在しない。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
情報利用者は、データ主体から個人情報の処理について同意を得なければ、個人情報を処理することができない（PDPA 6 条 1 項）。また、センシティブ個人情報の場合には、データ主体から明示的な同意を得なければ、個人情報を処理することができない（PDPA
40 条 1 項(a)）。
また、情報利用者は、データ主体に対して、以下の事項を書面により通知しなければならない（PDPA 7 条 1 項）。後記 3 も参照。
①

データ主体の個人情報が処理されていること

②

処理の目的

③

個人情報の取得源④

データ主体がその個人情報にアクセスし訂正を求める権利があること及び情報利用者への連絡方法⑤

個人情報の移転先の種類⑥

個人情報の処理の制限のための選択肢及び手段⑦

データ主体による個人情報の提供が義務であるか任意であるか⑧

データ主体に個人情報を提供する義務がある場合、提供しない場合の帰結- 299 -

この通知は、マレー語及び英語でなされる必要がある（PDPA 7 条 3 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
PDPA には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人情報の処理は、以下の要件を全て満たす場合に認められる（PDPA 6 条 3 項）。
情報利用者の活動に直接関係する適法な目的のためになされること（PDPA 6 条 3 項

①

(a)）
②

個人情報の処理が当該目的のために必要であるか又は直接関係していること（PDPA 6
条 3 項(b)）③

個人情報が当該目的との関係で十分であるが過剰でないこと（PDPA 6 条 3 項(c)）

イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
情報利用者は、その目的を考慮して、個人情報が正確で、完全で、誤解を招くことな

く、また最新の状態であるように合理的な措置をとらなければならない（PDPA 11 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
PDPA には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 300 -

ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定

前記 1 のとおり、情報利用者は、データ主体に対し、処理の目的を通知しなければならないが（PDPA 7 条 1 項）、かかる通知は、①

情報利用者がデータ主体に個人情報を提供することを最初に求めるとき②

データ主体の個人情報を最初に収集するとき③

情報利用者が収集した目的以外の目的のために個人情報を利用したり、個人情報を第三者に提供したりする場合にはその前に、できる限り速やかに行わなければならない（PDPA 7 条 2 項）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を明示的に定めた規定は存在しない。もっとも、前記 2 のとおり、個人情報の処理が目的のために必要であるか又は直接関係していなければならないとされており（PDPA 6 条 3 項(b)）、情報利用者は、データ主体に対し、処理の目的を通知しなければならない（PDPA 7 条 1 項）
ことをふまえると、個人情報の処理は、特定された利用目的の範囲内に限られると解釈できる。後記 4 のとおり、個人情報の第三者への開示については、特定された利用目的の範囲内に限られる（PDPA 8 条）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
前記 1 のとおり、情報利用者は、データ主体に対し、処理の目的を通知しなければならないが（PDPA 7 条 1 項）、情報利用者が収集した目的以外の目的のために個人情報を利用する場合にはその前に、できる限り速やかに行わなければならない（PDPA 7 条 2 項(c)(i)）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
PDPA には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 301 -アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
情報利用者は、データ主体の同意がなければ、①個人情報の収集時に開示した目的又はそれに直結する目的以外の目的で、個人情報を第三者に開示することはできず、②PDPA 7
条 1 項に基づく通知に記載された個人情報の移転先以外の者に開示することはできない（PDPA 8 条）。
イあらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

前記 3(1)イを参照。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
PDPA には、安全保護の原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
情報利用者は、個人情報を処理する際、個人情報の紛失、不正利用、改変、権限のない又は偶発的なアクセスや開示、変更又は破壊を防ぐ実践的な措置を講じる必要がある（PDPA 9 条 1 項）。
また、情報利用者のために情報処理者（data processor） 108が個人情報の処理を行う場合にも、情報利用者は、個人情報の紛失、不正利用、改変、権限のない又は偶発的なアクセ
スや開示、変更又は破壊を防ぐ実践的な措置を講じる必要がある（PDPA 9 条 2 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

108

情報処理者（data processor）とは、情報利用者のためだけに個人情報を処理し、いかなる自己の目的のためにも情報の処理を行わない者（情報利用者の従業員を除く）をいう（PDPA 4 条）。

- 302 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
PDPA には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
PDPA 上、個人情報の取扱いに関する方針の策定を情報利用者に義務付ける規定は存在しない。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定

前記 1 のとおり、情報利用者は、データ主体に対し、処理の目的を通知しなければならない（PDPA 7 条 1 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
PDPA には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。データ主体は、情報利用者に保有されている自己の個人情報にアクセスする権利が与えられており、その情報が不正確、不完全、誤解を招くものである、又は最新のもの
でない場合には、当該情報を訂正する権利が与えられる（PDPA 12 条）。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、情報利用者により個人情報が処理されているか否かについて情報を求める権利を有する（PDPA 30 条）。情報利用者は、所定の場合には、かかる求めを拒否することができる（PDPA 32 条 1 項）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、PDPA 30 条の規定に基づき開示された個人情報が不正確、不完全、誤解- 303 -

を招くものである、又は最新のものでない場合には、当該情報を訂正するよう求める権利を有する（PDPA 34 条）。情報利用者は、所定の場合には、かかる求めを拒否することができる（PDPA 36 条 1 項）。
また、データ主体が自己に関する個人データの消去を求める権利を有する旨を端的に示した規定は存在しないものの、データ主体は、情報利用者に対して書面により通知することによって、その個人情報が処理されることについての同意を撤回することができる（PDPA 38 条）。個人情報の「処理」とは、個人情報の収集、記録、保持、保存又は個人情報の操作を行うことを意味するため、データ主体は、個人情報の処理についての同意を撤回することにより、自己に関する個人情報の消去を求めることができる場合があると考えられる。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

情報利用者は、PDPA 30 条に基づく権利（情報利用者により個人情報が処理されているか否かについて情報を求める権利）行使を認めない場合には、データ主体から申請を受領してから 21 日以内に書面によりその旨及び理由を通知しなければならない（PDPA 33条）。
情報利用者が PDPA 34 条に基づく権利（情報を訂正するよう求める権利）行使を認めない場合には、データ主体から申請を受領してから 21 日以内に書面によりその旨及び理由を通知しなければならない（PDPA 37 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
PDPA に記載した法令には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、当事務所所属の現地弁護士が把握している限り、存在しない。

- 304 -

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令においては、当事務所所属の現地弁護士が把握している限り、存在しない（ただし、PDPA には個人データの域外移転規制自体は存在する）。
3.

ガバメントアクセス
ガバメントアクセスを根拠付ける法令として刑事訴訟法（Criminal Procedure Code）及び2001 年反マネー・ロンダリング、反テロ金融及び犯罪収益法（Anti-money Laundering, Antiterrorism Financing and Proceeds of Unlawful Activities Act 2001）がある。産業セクターを問わず適用されるという意味においては、刑事訴訟法が代表的な法令として位置付けられる。
刑事訴訟法の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的
刑事訴訟法では、捜査機関に対して文書又は情報を提出することが義務付けられる場合があるが、かかる文書又は情報に個人情報が含まれる場合があり得る。
例えば、裁判所又は警察官が、捜査、審理、裁判又はその他の刑事訴訟法に基づく手続のために、裁判所又は警察官に対する書類の提出（production）が必要又は望ましいと考えるときは、当該書類の開示を求めるため、当該裁判所は召喚状（summon）を、警察官は書面による命令を発することができるとされている（刑事訴訟法 51 条）。そして、警察官が、捜査権限を有する犯罪の捜査に書類の提出が必要であり、かつ、刑事訴訟法 51 条に基づく召喚状又は命令の名宛人又は発出される可能性のある者がこれに従わない又は従わないと信じるに足りる理由がある場合には、当該警察官は、いかなる場所においても、当該書類を捜索し又は捜索させることができると規定している（刑事訴訟法 116 条）。このよ
うな捜索は、令状（search warrant）を得て行われる場合もあるが、所定の階級以上の警察官が、令状の入手が遅れることにより捜索が妨害される（frustrated）可能性があると信じることに合理的な根拠を有する場合には、令状なく実施することが可能である（刑事訴訟法 116A 条）。
また、警察官は、刑事訴訟法に基づく捜索を行うに際して、コンピュータに保存されているか否かを問わず、コンピュータ化されたデータにアクセスすることができる（刑事訴訟法 116B 条）。

- 305 -

イ

実施主体
警察官。

ウ

取得される個人データの種類に関する限定の有無・概要
特に限定されていない。

エ

制限及びその例外に係る規定の有無・概要
特に規定されていない。前記のとおり、刑事訴訟法 51 条に基づく書類の提出の場合には、捜査、審理、裁判又はその他の刑事訴訟法に基づく手続のために必要又は望ましいものであることが必要である。
オ

手続規定の有無・概要
前記のとおり、刑事訴訟法 51 条に基づく書類の提出の場合には、裁判所は召喚状を、警察官は書面による命令を発することが必要である。
(2) 正当な目的の追求
明示的な規定は存在しない。前記(1)のとおり、刑事訴訟法 51 条に基づく書類の提出の場
合には、捜査、審理、裁判又はその他の刑事訴訟法に基づく手続のために必要又は望ましいものであることが必要である。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置

特に規定されていない。
イ

暗号復号強制、保護措置
明示的な規定は存在しない。

(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
明示的な規定は存在しない。

イ

データの取扱者に関する制限
明示的な規定は存在しない。

- 306 -

ウ

安全管理措置に関する定めの有無・概要

明示的な規定は存在しない。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
明示的な規定は存在しない。

イガバメントアクセスの実施状況の公表・公的機関に対する報告

明示的な規定は存在しない。
ウ

監督機関による監督状況の公表
明示的な規定は存在しない。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称かかる法令は存在しない。

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障
N/A

ウ

調査形態

N/A
エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
一般的に、公的機関による違法な行政上の決定、行為、不作為は、裁判所による司法審

査の対象となる。

- 307 -

イ

救済を提供する行政機関・裁判所に関する情報
裁判所は行政機関からの独立が保障されている。

ウ

外国人の救済の可否
外国人が裁判所に対して救済を求めることを否定する法令上の規定は存在しない。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利
個人情報に関する特別な規定はなく、ガバメントアクセスによって取得された情報を証拠として採用することができるかは一般的な証拠法に従って判断されることになる。
V.

データ保護機関の有無及び連絡先
商業的取引における個人情報の処理についての監督機関として、通信マルチメディア省の個人情報保護局（Department of Personal Data Protection）が存在する。
また、PDPA により定められた権限を行使するため、通信マルチメディア大臣がコミッ
ショナー（Personal Data Protection Commissioner）を任命する。
これらの機関のコンタクト先はいずれも以下のとおりである。
電話： +603-8000 8000（+603-8911 [7900/direct number]）（https://www.pdp.gov.my/jpdpv2/contact-us/full-directory/?lang=en）
ファクシミリ： 03-8911 7959
電子メール： aduan@pdp.gov.my以上- 308 -

第 29 章 ミャンマー（ミャンマー連邦共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
ミャンマーにおいては、2021 年 2 月 1 日に国軍が国家緊急事態を宣言しているところ、

憲法上、適法な国家緊急事態宣言がなされた場合には、国会は機能停止し（憲法 418 条(a)）、立法権を含む三権の全てが国軍総司令官に集中すると規定されている（憲法 419条）。2021 年 2 月 1 日以降の法制定は、the State Administration Council（SAC）の名の下に行われている。
また、ミャンマーにおいては、個人情報の保護に関する包括的な法令は存在せず、代表的な個別法 109として電子取引法（Electric Transactions Law）が存在する。当該法令は 2004
年 4 月 30 日に成立し、改正法が 2021 年 2 月 15 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
電子取引法 4 条(m)において、同法を遵守する義務主体である「個人情報の取扱い及び保管の責任者（Person responsible for the management of personal information）」を「存在する法
律及び本法律の規定に基づいて個人情報を収集し、保管し、利用する権限を与えられた政府の部局又は政府機関により指定された人及びそのスタッフ（a person and its staffs assignedby the government department or organization authorized to collect, store and use the personal
information under any existing law or any provisions contained in this law）」と規定しているが、その意味は必ずしも明確ではなく、民間部門に適用があるのか、また、地方公共団体に適用されるかどうかは不明である。
(2) 個人情報の定義及び適用範囲
電子取引法において、「個人情報」とは、個人の身元を確認でき又は確認することができた情報を指す（電子取引法 2 条(l)）。また、対象となる情報は、商業的・非商業的、国内外を問わず、全ての取引に関する電子記録及び電子データメッセージ、並びに情報の交換及び保管に適用される、と規定されている（電子取引法 4 条(a)）。加えて、電子取引法

109

なお、上記は同国に存在する個別法のうち代表的なもののみを列挙したものであり、個別法を網羅的に列挙したものではない。

- 309 -

は、電子取引技術を利用し、ミャンマー国内、ミャンマー国内からミャンマー国外、又はミャンマー国外からミャンマー国内において、電子取引法の規定に反する行為を行った者に適用されると規定されている（電子取引法 4 条(b)）。
3.

留意点(1) 罰則規定
電子取引法 38 条 b は、法改正により新設された条文であるところ、「個人情報を、当該個人の同意無く、取得し、開示し、利用し、破壊し、修正し、拡散し又は送信した者は、1 年から 3 年の自由刑若しくは 500 万チャットを超えない罰金又はその両方が科される」と定める。
(2) 電子取引法以外の法律
電子取引法の他、ミャンマーにおいて個人情報保護に関する条文を比較的多く含むという意味において、代表的な法律及び該当条文は以下のとおり。
①

憲法（Constitution of the Republic of the Union of Myanmar）357 条：国家は、この憲法の規定に従う法律の下で、住居、財産、通信その他のコミュニケーションのプライバ
シーと安全を保護するものとする。

②

刑法（Penal Code）509 条一部抜粋：女性のプライバシーを侵害した者には 1 年を超えない自由刑若しくは罰金又はその両方を科す。

③

プライバシー・セキュリティ保護法（The Law Protecting the Privacy and Security of
Citizens）：全ての市民が、憲法に従い、プライバシー及びセキュリティの保護を受ける権利を有する（3 条）。

④

金融機関法（Financial Institutions Law）81 条(a)：銀行は、顧客の口座、記録及び取引に関する情報について秘密を保持しなければならない。

⑤

中央銀行法（Central Bank of Myanmar Law）100 条：中央銀行の取締役、職員又は代理人は、法律の許可なしに、職務の遂行に際して知った個人の取引、身元、収入額又は収入源、利益、損失又は支出に関連する情報を開示又は公表及び他者が知り得る状況に置いてはならない。

⑥

電気通信法（Telecommunications Law）17 条：ライセンス事業者は、電気通信サービスを通じて送受信される情報やコンテンツ及び個々のユーザーの秘密個人情報を安全に保管し、既存の法律で許可される場合を除き、無関係の人物に開示したり通知した
りしてはならない。

- 310 -

II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ミャンマーは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）
電子取引法には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
データ内容の原則（Data Quality Principle）

2.

(1) 規定の存否と概要
電子取引法には、データ内容の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱を定めた規定
電子取引法 27 条 a は、法改正により新設された条文であるところ、その(3)は、個人情報の取扱い及び保管の責任者は、「個人情報を収集目的に沿わない目的で利用してはならない」と定める。当該規定は、個人情報の取扱い及び保管の責任者に対して、利用目的に関連する限度での取扱いを定めた規定と考えられる。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定

N/A
ウ

利用目的の変更時における利用目的の特定を定めた規定
N/A- 311 -

(2) 当該原則が実質的に及ばない分野等について
N/A
3.

目的明確化の原則（Purpose Specification Principle）
電子取引法には、目的明確化の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
電子取引法には、利用制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
電子取引法 27 条 a は、法改正により新設された条文であるところ、その(2)は、個人情報の取扱い及び保管の責任者は、「(2)個人情報をいかなる個人又は団体に対しても、本人の同意又は法律の規定なく開示、通知、配布、発送、修正、破壊、複製又は証拠として提出してはいけない」と規定する。当該規定は、個人情報の取扱い及び保管の責任者に対して、データ主体の同意がある場合又は法令に基づく場合を除き、収集した個人情報の利用制限を課す規定と考えられる。
(2) 当該原則が実質的に及ばない分野等について
N/A
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
電子取引法には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義
務付ける規定）が存在する。具体的には、以下のとおりである。
電子取引法 27 条 a は、法改正により新設された条文であるところ、その(1)及び(4)は、個人情報の取扱い及び保管の責任者は、「(1)法に従い、情報の種類や保護の度合いに応じて個人情報を体系的に保持し、保護しなければならない」、「(4)情報の収集から一定の期間経過後に体系的に個人情報を破棄しなければならない」と規定する。当該規定は、個人- 312 -

情報が漏えい等されず、安全に保護されるための規定と考えられる。
(2) 当該原則が実質的に及ばない分野等について
N/A
6.

公開の原則（Openness Principle）
電子取引法には、公開の原則又はこれに対応する事業者・機関の義務に関する規定が存

在しない。
7.

個人参加の原則（Individual Participation Principle）
電子取引法には、個人参加の原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。
8.

責任の原則（Accountability Principle）
電子取引法には、責任の原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. 域内での保有・保管義務及びガバメントアクセス
1.

データ・ローカライゼーション規制①個人情報の保護に関する法令又はサイバー・

セキュリティに関する法令における域内での保有・保管義務
前記 I.で記載した代表的な法律に限定して調査した限りにおいて、個人情報・個人デー
タを域内で保有・保管することを義務付ける規定は存在しない。なお、ミャンマーにおいては、2021 年 2 月中旬頃に SAC によりサイバー・セキュリティ保護法が制定されるとの情報が広まったが、回答書作成時点（2021 年 10 月 21 日）では、サイバー・セキュリティ保護法が制定されたとの情報には接していない。
2.

データ・ローカライゼーション規制②個人情報の保護に関する法令又はサイバー・

セキュリティに関する法令における域外移転の制約による実質的な域内保持義務
前記 I.で記載した代表的な法律に限定して調査した限りにおいて、個人情報・個人デー
タの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定- 313 -

は、存在しない。
3.

ガバメントアクセス(1) 法的根拠
ガバメントアクセスを根拠付ける法令として、刑事手続法（Code of Criminal Procedure）
がある。同法 94 条 1 項は、裁判所又は警察署の担当オフィサーは、書類又は他の物（otherthing）の提供が捜査、質問、裁判又は刑事手続法における他の手続に必要又は求められると自らが考えた場合はいつでも、当該書類又は物を所有している又は所有していると考えられる者に対し、召喚状又は命令書を発行し、かつ、出廷して当該物を提出するか、召喚状又は命令書に記載された時間及び場所において当該物を提出することを要求することができると定めている。
当該規定により、「書類又は他の物」として個人データの保有者から個人データを取得できると考えられることから、当該法令は、「ガバメントアクセス」を根拠付ける法令に該当すると考えられる。
更に、以下 4 点について補足する。
ア

電気通信法
電気通信法 75 条は、「連邦政府は、必要に応じ、市民の基本的権利に影響を与えることなく、関連する組織に対し、国家の保障及び法律の執行に害を及ぼす情報及び電気通信を入手できるようにするため、関連する組織に指示することができる」と定める。本条に定める「情報」に個人データが含まれるかは条文上明確ではないが、本条に基づき、「関連する組織」は、ガバメントアクセスを有すると評価される可能性がある。
イ

憲法上の国家緊急事態宣言

I.1.(1)のとおり、適法な国家緊急事態宣言の発令中は憲法 419 条に基づき国軍司令官が三権を行使することができ、かつ、憲法 420 条により、国軍司令官は必要に応じて国民の基本的権利に関する法律を制限又は停止することができるとされる。
ウ

区・村落に関する行政法
SAC により 2021 年 2 月 12 日に改正された区・村落に関する行政法（The Ward or Village-

Tract Administration Law）3 条(g)によれば、区・村落の行政官は、区・村落の外からの宿泊者に関する情報を入手し、当該宿泊を許可し、宿泊名簿を調査し又は宿泊名簿に載っていない宿泊者に対して処置を講じる権限を持つと規定される。いかなる情報が具体的に調査されるかは法律上不明確であるが、氏名等、一定の個人に関する情報が含まれると考えら- 314 -

れる。したがって、本条に基づき区・村落の行政官はガバメントアクセスを有すると評価される可能性がある。
エ

プライバシー・セキュリティ保護法

従前はプライバシー・セキュリティ保護法 8 条において、「既存の法律に従って発行された命令、許可若しくは令状、又は連合大統領若しくは連合レベルの政府機関からの許可がない限り、（中略）b.市民のプライバシーと安全を乱したり、尊厳に影響を与えるような方法で、市民を監視し、スパイし、調査してはいけない（中略）、d.いかなる者も電気通信事業者に個人の電話又は電子通信データを要求し、又は取得してはならない、e.いかなる者も他人の私信、封筒、小包、荷物を開封し、捜索し、押収し又は破壊してはならな
い（以下略）」との規定があったが、SAC による 2021 年 2 月 14 日の法改正により、同 8条の効力が停止されている。
(2) 正当な目的の追求
IV.3(1)に記載した法令に限定して調査した限り、正当な目的を追求する規定は、存在しない。
(3) 承認の要求
IV.3(1)に記載のとおり、刑事手続法 94 条(1)においては、裁判所又は警察所の担当オフィ
サーが書類又は物の提出を求める場合は、召喚状又は命令書の発行が必要となる。その他には、IV.3(1)に記載した法令に限定して調査した限り、承認を要求する規定は、存在しない。
(4) 取得された個人データの取扱いに対する制限
IV.3(1)に記載した法令に限定して調査した限り、取得された個人データの取扱いを制限する規定は、存在しない。
(5) 透明性IV.3(1)に記載した法令に限定して調査した限り、取得された個人データの透明性を規律する規定は、存在しない。

- 315 -

(6) 監督・調査・審査の仕組み
IV.3(1)に記載した法令に限定して調査した限り、ガバメントアクセスの実施に対し、法令遵守を確保するための監督・調査・審査の仕組みを規律する規定は、存在しない。
(7) 救済IV.3(1)に記載した法令に限定して調査した限り、違法なガバメントアクセスによりプライバシーの権利やその他の権利、自由を侵害された者に対してとりわけ救済を保障する規定は不見当であるが、行政機関を被告として民事訴訟を提起することは考えられる。
V.

データ保護機関の有無及び連絡先
国のデータ保護機関は特に存在しない。
以上- 316 -

第 30 章 メキシコ（メキシコ合衆国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、公的部門に適用される義務対象者が保有する個人データの保護に関する一般法（the General Law on Protection of Personal Data held by
Obliged Subjects）（以下「PSO」という）と、私的部門に適用される私人が保有する個人
データの保護に関する連邦法（the Federal Law on Protection of Personal Data Held by Private
Parties）（以下「PP」という）が存在する。また、PP に関して Guidelines of the Privacy
Notice (Lineamientos del Aviso de Privacidad)（以下「ガイドライン」という）が公表されている。PSO は 2017 年 1 月 27 日、PP は 2010 年 7 月 6 日、ガイドラインは 2013 年 1 月 17 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用対象者
PSO の適用対象者は公的部門であり、連邦レベル、州レベル、自治体レベルにおける、行政、立法、司法の各部門の当局、団体、機関、自治組織、政党、信託、公的資金等が適用対象者に含まれる。
PP の適用対象者は私的部門であり、民間部門の全ての個人及び法人が適用対象者に含まれる。ただし、信用調査会社及び専ら個人的な使用のみを目的として個人データを取得・処理する者は適用対象者から除かれる。
(2) 個人データの定義
個人情報保護法の適用対象となる「個人データ」とは、識別され又は識別可能な個人に関連するあらゆる情報をいう（PSO3 条 IX 号、PP3 条 V 号）。
(3) データ主体の範囲
メキシコ国籍の有無やメキシコ国内に所在するか否かを問わず、個人情報保護法による保護を受けるデータ主体となり得る。

- 317 -

(4) 地理的適用範囲
以下のいずれかに該当する場合には、PSO 又は PP の適用が認められる。
①

メキシコに所在するデータ管理者の拠点の活動における個人データの処理②

メキシコに所在するデータ管理者に代わってデータ処理者が行う個人データの処理（処理者の所在地を問わない）③

メキシコに所在しないが、契約又は国際法に基づきメキシコ法の適用を受けるデータ
管理者による個人データの処理④

メキシコに所在しないデータ管理者が、メキシコに所在する記録媒体（media）を利用して行う個人データの処理（処理を伴わず、専ら通信の目的でのみメキシコに所在する記録媒体（media）を利用する場合を除く）

3.

留意点
現時点で成立するか否かは不透明であるが、2020 年 3 月 18 日、メキシコ国外から個人

データの全体的若しくは部分的な処理を行い、又は関連会社や第三者と連携して直接的若
しくは間接的にメキシコ国内で処理を行う外国人又は国民を、適用対象者に追加する法案が議会に提出された。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となりうる情報の有無

メキシコは、EU の十分性認定を取得しておらず、メキシコ国内で取得に向けた法改正の動きがある他には、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには 2013 年 1 月に加盟した。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則（Collection Limitation Principle）(1) 規定の存否と概要
PSO には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 318 -

ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
データ管理者による個人データの処理は、適用される規則により与えられた権限又は帰属に従うものとする（PSO（以下、III.において特段法令名の記載のない条文は全て PSO の条文とする。）17 条）。データ管理者は、データ主体の利益及びプライバシーに対する合理的な期待の保護を優先し、詐欺的又は不正な手段によって個人データを取得及び処理してはならない（19 条）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
22 条に規定されている例外事由を除き、データ管理者は、個人データの処理について

データ主体の同意を取得しなければならない（20 条）。この同意は、以下の全ての要件を満たさなければならない。
①

任意性：データ主体の意思表示に影響を与えるような誤り、悪意、暴力又は詐欺がな
いこと②

特定性：処理を正当化する、具体的、合法的、明示的かつ正当な目的に言及されていること③

情報提供：データ主体が、個人データの処理に先立って、プライバシーに関する通知を認識していること明示的な同意の他に、黙示的な同意も認められている。データ主体の意思が口頭、書面、電子的・光学的手段、明確なサイン、又はその他の技術によって表明された場合には、明示的な同意が認められる。データ主体にプライバシーに関する通知を提供したにもかかわらず、データ主体が同意を表明しない場合には、黙示的な同意が認められる。センシティブ個人データを処理する場合、データ管理者は、22 条に規定されている場合を除き、データ主体の直筆の署名、電子署名、又はその他の認証機構を用いて、書面による明
示的な同意を得なければならない（21 条）。
データ管理者は、以下の場合、個人データの処理についてデータ主体の同意を得る義務を負わない（22 条）。
①

法律に規定されている場合②

データ管理者の権限の行使のためにデータ管理者間で個人データを移転する場合で、移転の目的が個人データの処理の目的に適合又は類似している場合③

裁判所の命令又は権限のある当局による決定若しくは命令がある場合④

権限のある機関においてデータ主体の権利を立証又は防御する場合⑤

データ主体とデータ管理者との間の法的関係から生じる権利の行使又は義務の履行のために個人データが必要な場合⑥

個人の身体又は財産に危害を加える可能性のある緊急事態が発生した場合⑦

予防、診断、医療の提供のための治療を実施するために個人データが必要な場合⑧

個人データが一般に公開されている情報源に含まれている場合⑨

仮名化を行った場合- 319 -

⑩

データ主体が、関連する法令に基づき行方不明として届出を受けた人物である場合(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則（Data Quality Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、以下のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
管理者は、収集した目的に対して適切かつ関連性があり、厳密に必要とされる個人デー

タのみを処理するものとする（25 条）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
データ管理者は、保有する個人データを精密、完全、正確かつ最新の状態に保ち、当該データの真実性が損なわれないようにするために、必要な措置を講じなければならない。
なお、個人データがデータ主体から直接提供された場合、データ主体が個人データの品質が保持されていないことを主張・証明するまでは、個人データの品質が保持されていると推定される（23 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則（Purpose Specification Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、以下のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
データ管理者が行う個人データの処理は、適用される規定に基づく役割に関連した、特- 320 -

定の、明示的、合法的かつ正当な目的によって正当化されなければならない。ただし、データ管理者は、法律に基づく権限を有し、かつ（データ主体が行方不明として報告された人物である場合を除き）データ主体の同意がある場合には、PSO その他の適用法令の条件の下で、プライバシーポリシーに定められた目的以外の目的で個人データを処理することができる（18 条）。
なお、「特定の」、「明示的」、「合法的」、「正当な」の各要件については、以下のように解されている（PSO の一般ガイドライン 9 条）。
「特定の」：個人データの処理が、誤解や異なる解釈を生じさせず、データ主体に不確実性、疑念、混乱を生じさせることなく、特定又は決定された目的の達成に役立つこと「明示的」：目的が明確に表現され、プライバシーポリシーで開示されていること「合法的」：個人データの処理の目的が、データ管理者の役割又は権限に基づき、メキシ
コ法及び適用される国際法の規定に準拠していこと「正当な」：個人データの処理の目的が、PSO22 条に規定された例外事由に該当する場合
を除き、データ主体の同意を得ていること
当初とは異なる目的で個人データを処理する場合、データ管理者は以下の点を考慮しなければならない（PSO の一般ガイドライン 10 条）。
①

データ主体との関係に基づく、データ主体のプライバシーに対する合理的な期待②

個人データの性質③

異なる目的での個人データの処理がデータ主体に生じさせる結果④

異なる目的での個人データの処理が PSO 及び PSO の一般ガイドラインを遵守することを確保するための措置

イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

上記アを参照。
ウ

利用目的の変更時における利用目的の特定を定めた規定
上記アを参照。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 321 -

4.

利用制限の原則（Use Limitation Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
上記 2.(1)アを参照。

イ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定

上記 2.(1)アを参照。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則（Security Safeguards Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
データ管理者は、個人データの保護のために、組織的、物理的、技術的なセキュリティ対策を確立し、維持しなければならず、損害、損失、改ざん、破壊、又は不正な使用・ア
クセス・処理から個人データを保護するとともに、その機密性、完全性、可用性を確保しなければならない（31 条、33 条）。
個人データの処理に関するセキュリティ対策に関連する活動は、文書化し、管理システ
ムに組み込むものとする（34 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 322 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
データ管理者が作成する包括版のプライバシーノーティスは、少なくとも以下の情報を含むものとする（26 条、28 条）。
①

データ管理者の住所②

処理の対象となる個人データ（センシティブデータについては特定して示す）③

データ管理者が処理を行う法的根拠④

取得する個人データの処理の目的（データ主体の同意が必要なものを区別して示す）⑤

データ主体が権利を行使するために利用できる仕組み、手段及び手続⑥

透明性担当組織の住所⑦

データ管理者がデータ主体にプライバシーノーティスの変更を伝達する手段

イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
データ管理者は、データ主体が十分な情報を得た上で判断できるように、プライバシー

ノーティスを通じて、個人データを対象とする処理の存在及びその主な特性をデータ主体に通知しなければならない（26 条）。
プライバシーノーティスは、簡易版と包括版の 2 つの様式でデータ主体に提供されるものとする（27 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。
具体的には、以下のとおりである。

- 323 -

ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、自身の個人データにアクセスし、その処理の一般的な条件に関する情報にアクセスする権利を有する（43 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、自身の個人データが不正確、不完全、又は最新でないことが判明した場

合、その修正又は訂正を要求する権利、及び個人データの削除を要求する権利を有する（43 条）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定

データ管理者がデータ主体の要求に応じない場合 110、又はデータ主体の権利を実行しない場合、データ主体は当局に異議を申し立てることができる（56 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）(1) 規定の存否と概要
PSO には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在する。具体的には、以下のとおりである。
データ管理者は、説明責任の原則を遵守するために、少なくとも以下の活動を実施する
ものとする（30 条）。
①

個人データ保護のためのプログラム及びポリシーの実施のための資源配分②

データ管理者の組織内で必須かつ強制力のある個人データ保護のための方針及びプログラムの策定③

個人データの保護に関する義務及びその他の義務について、職員に対する研修及びアップデートプログラムの実施④

個人データ保護方針及びプログラムの定期的な見直し⑤

個人データ保護方針の遵守を確認するための内部又は外部の監督・監視システムの確

110

ただし、データ主体又はその代理人が本人であることを証明できない場合や、司法上又は行政上の措置の妨げとなるおそれがある場合、法律上の義務を履行するために必要な場合（機密保持義務を負う場合等）等には、そもそもデータ主体は本文ア及びイに記載する権利を行使することができな
い（55 条）。

- 324 -

立⑥

データ主体からの質問や苦情を受け付け、対応するための手順の確立⑦

個人データの処理を伴う公共政策、プログラム、サービス、システム、プラット
フォーム、電子アプリケーション又はその他の技術の、個人データの処理に従った設計、開発及び実施⑧

個人データの処理を伴う公共政策、プログラム、サービス、システム、プラット
フォーム、電子アプリケーション又はその他の技術が、PSO 及び適用されるその他の義務を初期設定で遵守できるようにすることの確保(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
IV. 域内での保有・保管等の義務及びガバメントアクセス
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 111においては、現地法律事務所が把握している限りは、存在しない。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令 112においては、現地法律事務所が把握している限りは、存在しない。
3.

ガバメントアクセス 113
ガバメントアクセスを根拠付ける法令として国家安全保障法（National Security Law）、

刑事訴訟法（National Code of Criminal Proceedings）、誘拐犯罪の防止及び処罰に関する一
111

代表的か否かに関する判断は現地法律事務所が行っている。

112

代表的か否かに関する判断は現地法律事務所が行っている。

113

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 325 -

般法（General Law to Prevent and Punish Kidnapping Crimes）、人身取引犯罪の防止・処罰・撲滅及び被害者の保護・支援に関する一般法（General Law to Prevent, Punish and Eradicate
Crimes on Human Trafficking and for the Protection and Assistance to the Victims of these crimes）、
組織犯罪対策連邦法（Federal Law against Organized Crime）、不正に設立された事業の防止及び識別のための連邦法（Federal Law for the Prevention and Identification of Illicitly Founded
Operations）並びに国家警備隊法（National Guard Law）がある 114。これらのうち主要な法令は、目的の一般性及びガバメントアクセスの実施主体の広汎性から、国家安全保障法であると位置付けられる。国家安全保障法の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的

国家安全保障イ

実施主体
実施主体を網羅するリストは存在しないが、官報の記載により、財務省、公安省、通信・運輸省、内務省、海軍省、国防省及び外務省が指定されており、国家安全保障法 34 条
により国家情報センターも実施主体として認定されている。
ウ

取得される個人データの種類に関する限定の有無・概要
国家安全保障法上は特段の関連規定は存在しない。もっとも、PSO を遵守する必要はある。
エ

制限及びその例外に係る規定の有無・概要

国家安全保障法上は特段の関連規定は存在しない。もっとも、PSO を遵守する必要はある。
オ

手続規定の有無・概要
国家安全保障法上は特段の関連規定は存在しない。もっとも、メキシコ憲法 16 条は「何人も、個人及びその家族の住居、書類、又は所持品に干渉することはできない。ただし、適用される法令の規定と手続の法的原因を明確にした管轄当局の書面による命令がある場
合はこの限りでない。」と規定しており、その結果、個人データを含む情報へのアクセスを求める当局の要求は、権限のある当局により発行された書面に基づき、要求を正当化する理由及び要求を行う権限を付与する関連する法令の規定を提示した上で行う必要がある
とされる。
114

代表的な法令の選定は現地法律事務所が行っている。

- 326 -

(2) 正当な目的の追求
国家安全保障法の適用がある場合であっても、PSO に設けられている目的明確化の原則
や利用制限の原則に関する規定（上記 III.3.及び 4.を参照）を遵守しなければならない。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
情報収集を行う場合には、手続の法的原因を説明した命令書を提供しなければならない。また、私的通信の傍受を行う場合は、連邦裁判所に認可を求めなければならない。
イ

暗号復号強制、保護措置なし(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
個人データが、プライバシーポリシーに記載され、適用される規定に従った目的を達成するために必要でなくなった場合、適切な場合は事前にブロッキングを行い、保存期間が経過し次第、削除しなければならない。なお、個人データの保存期間は、当該処理を正当化した目的を達成するために必要な期間を超えてはならず、適用される規定を遵守し、行政、会計、財務、法律及び歴史の観点を考慮したものでなければらない（PSO 23 条）。
イ

データの取扱者に関する制限なし

ウ

安全管理措置に関する定めの有無・概要

上記 III.5.(1)を参照。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
なし

イガバメントアクセスの実施状況の公表・公的機関に対する報告
最高裁判所長官は、年末に連邦司法府の活動状況（関連当局が連邦管轄裁判所に対して- 327 -

行った私的通信介入要求の数及びリアルタイムの位置情報要求の数を含む）を報告しなけ
ればならない（連邦司法機関組織法（the Organic Law of the Federal Judicial Branch）14条）。
ウ

監督機関による監督状況の公表
データ保護当局の委員長は、その年次活動について上院に報告しなければならない（透明 性 及 び 情 報 へ の ア ク セ ス に 関 す る 一 般 法 （ the General Transparency and Access to
information Law）41 条(X)）。
(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称

PSO
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

National Institute for Access to Information, Transparency and Personal Data Protection（データ保護当局）
独立した機関であり、法執行機関及び国家安全保障当局を含む全ての連邦当局による個人データの処理（データ開示権及びデータアクセス権の行使を含む）を監督する責任を有する（メキシコ憲法（the Mexican Constitution）6 条 A VIII 及び PSO1 条）。
7 人の委員によって構成されており、上院が、関係者との事前協議と、異なる議会グ
ループの提案により、法律で定められた手順に従い、空席に応じて、会期中に出席した上院議員の 3 分の 2 の投票で委員を任命する。大統領は、10 営業日以内に任命に反対することができる。大統領が 10 営業日以内に任命に反対しない場合は、上院で任命された人物が長官の職に就く。大統領が任命に反対した場合、上院は空席を埋めるための新たな提案を行う。この提案を承認するには、出席している上院議員の 5 分の 3 の投票が必要である。
この 2 回目の任命が大統領により反対された場合、上院は、出席上院議員の 5 分の 3 の承認を得て、空席を埋める委員を確定的に任命する。委員の任期は 7 年間である。委員は、メキシコ憲法 4 条の規定に基づいてのみ罷免され、政治裁判を受ける。委員長は、委員の無記名投票により選出される。委員長の任期は 3 年間であり、さらに 3 年間再選される可能性がある。
ウ

調査形態
データ主体からの請求があった場合、又は PSO を含む適用される法令に違反して個人データにアクセスし又は処理した疑いがあると判断した場合、職権により違反した当局を起訴することができる（PSO 147 条等）。

- 328 -

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

上記(5)ウを参照。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
法執行機関や国家安全保障機関を含む当局が自身の個人データを不法に取得又は処理したと思料するデータ主体は、データ保護当局の事務所において、又は電子的手段で、デー
タ保護当局に申し立てを行うことができる（PSO 147 条等）。
また、データ主体は、法執行機関または国家安全保障当局による自身のデータの不法な取得又は使用に対して、民事裁判所で損害賠償を求めることができる（PSO 165 条、民法（the Federal Civil Code）1910 条、国の財政的責任に関する連邦法（the Federal Law ofFinancial Liability of the State）1 条等）。
イ

救済を提供する行政機関・裁判所に関する情報
上記アを参照。

ウ

外国人の救済の可否
当該外国人の所在にかかわらず可。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利
被告人の権利の一つとして、捜査記録へのアクセスが認められている（刑事訴訟法 113条）。
V.

データ保護機関の有無及び連絡先

National Institute for Access to Information, Transparency and Personal Data Protection
住所：Insurgentes Sur No. 3211 Col. Insurgentes Cuicuilco, Alcaldía Coyoacán, C.P. 04530.
電話番号：5004 2400
Web サイト：https://home.inai.org.mx/
以上- 329 -

第 31 章 ラオス（ラオス人民民主共和国）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、電子データ保護法（Law on the Protectionof Electronic Data （No.25/NA, 12 May 2017））（以下「LPED」という）が存在しており、その下位規則として技術通信省(Ministry of Technology and Communication)が制定した電子データ保護法の施行に関するガイドライン（Guidelines on the Implementation of the Law on
Electronic Data Protection (No.2126/MoPTC, 8 August 2018)）（以下「LPED ガイドライン」という）が存在する。LPED は 2017 年 10 月 21 日に施行され、LPED ガイドラインは 2018 年
8 月 8 日に発行されている。
2.

1.記載の法令に関する基本的事項
LPED 及び LPED ガイドラインは、民間及び公的機関の区別なく適用される。また、

LPED において、適用対象はラオス国内に所在し、又はラオス国内で活動している国内外の個人、法人又は組織（LPED6 条）とされている。データ管理者（収集された情報の管理者）がラオスに所在すれば、データ主体がラオスに所在するか否かにかかわらず、LPED及び LPED ガイドラインの規定は適用されると解される。同法で保護対象とされている情報は、①一般データ（general data）と②特定データ（specific data）の 2 種類であり、それぞれ下記のように定義される。
①

一般データ：個人、法人又は組織に関する一般的なデータを意味する（LPED9 条）ものであり、氏名、役職、住所、電話番号、電子メールアドレス等の個人情報と組織
データ、一般統計、技術論文等の非個人情報が含まれる（LPED ガイドライン 2 条(2)）。また、一般データは、データの出所が明記されている場合に限り、自由に収集、利用及び開示することができる（LPED9 条）。

②

特定データ：一般データ以外のものであって、政府当局の操業及び運営に関するデー
タ（official data）又は個人、法人若しくは組織に関する電子データ（personal data）（LPED10 条、3 条 11 項、12 項）を意味するものであり、顧客データ、財務データ、
個人履歴、健康記録、人種、宗教、プロジェクトデータ、予算データ、公的秘密等が含まれる（LPED ガイドライン 2 条(3)）が、同ガイドラインにて列挙されているもの
以外に、特定データに該当するものがあるかを確認するための指針は存在しない。特定データは、関連するデータ主体の許可なき収集、利用及び開示が制限されている。

- 330 -

ただ、上記①及び②の区分にもかかわらず、LPED の条文上は、①又は②のいずれに区分されるか明確でない、個人情報（personal data）との用語が用いられ、①又は②のいずれに言及しているかが明確でない箇所が多数見られる。実務上は、保守的に解釈し、単に個人情報とのみ言及されている条文の規制については、上記に記載した一般データの処理の原則（データの出所が明記されている場合に限り、自由に収集、利用及び開示することができる）は適用されないものとし、個人情報に関する規制として定められている当該条文上の規制が適用されることを前提とした対応がとられることがあるようである。そのため、以下では特段の言及がない限り、個人情報とは①及び②を含むものであり、LPED9 条及び 10 条の規制とは独立して、個人情報に関する各条文の規制がかかるとの前提で記載を
行う。
3.

留意点
LPED 及び LPED ガイドライン以外に個人情報について規定した法令として、サイバー犯罪防止法（Law on Resistance and Prevention of Cybercrime(No.61/NA, 15 July 2015)）、商業
銀行法（Law on Commercial Banks(No.56/NA, 7 December 2018)）、金融サービスユーザーの保護に関する規則（Decree on Protection of Financial Service Users(No.225/Gov, 6 April 2020)）
等が存在する。ただし、LPED 及び LPED ガイドラインは、事業者の業種を問わず個人情報の保護について広く適用され得る一般的な義務を定めているため、本書ではこれらの法令に基づく義務を中心に記載する。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ラオスは、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はなされていない。
また、APEC の CBPR システムには加盟しておらず、また具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則(Collection Limitation Principle)(1) 規定の存否と概要
LPED には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存- 331 -

在する。具体的には、以下のとおりである。
ア

適法かつ公正な手段による取得その他収集の制限を定めた規定
個人情報の取得、処理、移転には、データ主体からの同意が必要とされる（LPED12条、16 条及び 17 条）ところ、同意取得にあたっては、欺瞞的な手段やデータ主体がデー
タ収集の目的や詳細を誤認するような方法を用いてはならないとされる（LPED12 条）。
イ

取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
上記アのとおり、データ主体からの同意取得が必要とされ、また、個人情報収集時に①

収集目的、②収集する個人情報の詳細、③データ管理者、及び④データ主体の権利について通知しなければならない（LPED12 条、27 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則(Data Quality Principle)(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。ただし、上記 1(1)イのとおり、個人情報収集時に、収集目的等を通知したうえで、
データ主体から同意を取得することからすれば、実務上、取得された個人情報は、同意取得時に通知した収集目的に関連した取扱いがなされるのが原則となる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
3.

目的明確化の原則(Purpose Specification Principle)(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。

- 332 -

ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
データ管理者は、データ主体に対し、個人情報の収集時に、①収集目的、②収集する個

人情報の詳細、③データ管理者、及び④データ主体の権利について通知しなければならな
い（LPED12 条）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在しない。ただし、上記 1(1)イのとおり、個人情報収集時に、収集目的等を通知したうえで、
データ主体から同意を取得することからすれば、実務上、特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用が義務付けられており、当該範囲を逸脱した目的での使用は、同意なきものとして、LPED12 条に違反すると考えられる。
ウ

利用目的の変更時における利用目的の特定を定めた規定
個人情報の利用目的を変更された場合には、データ主体に対してその旨を通知し、同意を取得する必要がある（LPED12 条、16 条、33 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則(Use Limitation Principle)(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
N/Aイ

あらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
データ管理者は、収集した個人情報につき、当初の目的を達成した場合には、当該個人情報を削除しなければならない（LPED20 条、29 条）。

- 333 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則(Security Safeguards Principle)(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、以下のとおりである。
①

データ保存：データ管理者はデータの保存を安全に行わなければならず、そのために、以下の義務が定められている（LPED14 条)。



データ管理者が定めた形式又は契約に従い、データを有効に保存、保管する必要がある

電子データに変更が生じた場合、本人はデータ管理者が保管しているデータが変更及び更新されるよう通知をしなければならない



保管は契約によって行われなければならない②

データ保護措置：データ管理者は、データのセキュリティレベルランキングを決定す
る、データ保全対策を実施する（下記参照）、データアクセスセキュリティ対策を実施する（下記参照）、安全なデータパスワードの実装と利用(下記参照）を行う、デー
タ侵害に対応するといった措置をとる必要がある（LPED21 条）。

③

データ保全対策：データ管理者は以下の措置を遵守しなければならない（LPED23条）。



特定のデータセキュリティ管理を担当する作業ユニット又は従業員を設置する



データ収集・利用システム、データセキュリティマネジメントシステム等の構築を行う

データの規模に応じたデータ保護システムを備える



削除又は破棄されたデータの再検査を可能にするシステムを備える



紙、光、磁気その他の方法により記録し、かつ、データの保管上適切な保全措置を講ずる

年 1 回以上のデータシステムリスクの点検・評価を行い、発見された問題を解決し、データシステムの安全性の向上を行う



データ管理システムへのアクセスを検査し、データへの侵入、ウイルス、その他のリ
スクから保護する措置を用いる

データセキュリティ管理機関その他の関係機関から認定された、調査、確認のレポー- 334 -

トを受領した、又は重大な影響をもたらし若しくはもたらすおそれのある事態を発生させた場合には、直ちに当該緊急事態を解決する


権限のない個人によるデータのアクセス、使用、配布、コピー、変更及び根絶を防止する責任の下で、データを保護する④

データ管理者は、本人がデータに安全にアクセスできるように、データアクセスセ
キュリティ対策を講じなければならない。データ管理者は、本人が安全かつタイム
リーにデータの検査、監視、使用及び調査を行う促進をしなければならない（LPED24 条）。安全なデータアクセスを維持するには、アクセスに関する権利内
容、手続及び方法を決定し、システムへのアクセスと終了の詳細な記録を維持するな
どの措置が含まれる（LPED ガイドライン 2 条(16)）⑤

安全なデータパスワードの利用：財務、銀行、投資、会計等の「重要な電子データ」
をコンピュータシステムを通じて譲渡する際、データ管理者は、安全なデータパス
ワードを利用しなければならず、無権限者による重要な電子データのアクセス、使用、流布、移転、破棄を防止するために当局が承認した電子証明書を取得しなければならない（LPED25 条）。同条は、「重要な電子データ」の例として上記 4 つ（財務、銀行、投資、会計データ）のみを挙げている⑥

データ侵害への対応：データ侵害が発生した場合、データ管理者は以下の対応をとらなければならない（LPED26 条）



データ管理者は、個人、法人、組織等から、社会不安を生じさせる又は生じさせるおそれのあるデータ侵害があったとの通知を受けた際には、LPED に基づく予防・対応
措置（データ侵害の緊急調査・分析・解決、状況の適時な是正等）を行わなければならない

データ管理者は、侵害されたデータの内容（侵害の日付、時間、場所、形式、容量等）、証拠並びに侵害の影響及び背景に関する情報を収集し、解決策を見出すために、当局（技術通信省）と調整をしなければならない。データ管理者が解決できない
場合、データ管理者は、技術通信省の下にあるサイバー犯罪防止・闘争センター（Cyber Crime Prevention and Combating Centre）に通知し、対応を調整しなければならない。サイバー犯罪防止・戦闘センターは、データ管理者のデータ安全管理部門及び関連する国際・国内部門と連携し、速やかにデータ侵害を解決するものとする(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 335 -

6.

公開の原則（Openness Principle）(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
N/A
個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識でイきる方法による提供に関する規定
データ管理者は、個人データ収集時に①収集目的、②収集する個人情報の詳細、③デー
タ管理者、及び④データ主体の権利について通知しなければならない（LPED12 条、27
条）
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
7.

個人参加の原則（Individual Participation Principle）(1) 規定の存否と概要
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、以下のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
本人は個人情報の開示を要求する権利を有し、それをデータ管理者及び技術通信省に要請することができる（LPED27 条）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
本人は個人情報の修正、利用停止、更新及び削除を求める権利を有し、それをデータ管理者及び技術通信省に要請することができる（LPED19 条、27 条）。データ管理者は本人からの要請があった場合には、収集した個人情報を削除する必要がある（LPED20 条、29条）。

- 336 -

ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
データ管理者は技術的要因等により、本人の権利行使の要求に対応することでができな

い場合には、本人にその旨通知しなければならない（LPED19 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則（Accountability Principle）
LPED には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）が存在しない。
IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令及びサイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限り、存在しない 115。
2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報の保護に関する法令、サイバーセキュリティに関する法令、及びそれ以外の代表的な法令には、現地法律事務所が把握している限り、存在しない。

115

現地法律事務所が把握しているものとして、ラオス銀行（Bank of Lao PDR）IT 部局の非公開の内部規則において、個人情報、銀行取引情報等の銀行情報をラオス域内で保存しなければならないとするものがある。ただし、非公開の内部規則であり個別分野にのみ適用される規則であることから、本書では詳述しない。

- 337 -

3.

ガバメントアクセス 116
ガバメントアクセスを根拠付ける法令として①LPED16 条、LPED ガイドライン II.9 条 117

及び②サイバー犯罪の加害者に対する罰金についての決定（Decision on Fines for Perpetratorsof Cybercrimes （No. 3623/MoPTC, 11 December 2017））（以下「サイバー犯罪決定」という）4 条 118がある。①及び②の調査項目別の概要は以下のとおりである。
(1) 法的根拠
ア

目的①

LPED 及び LPED ガイドライン：法令上は明示されていないが、国家安全保障及び法執行のためであると考えられる②

サイバー犯罪決定：刑事訴追における証拠とするため

イ

実施主体

①

LPED 及び LPED ガイドライン：権限を有する管轄当局と規定されるのみで、具体的には指定されていない②

サイバー犯罪決定：警察が実施主体となるウ取得される個人データの種類に関する限定の有無・概要①

LPED 及び LPED ガイドライン：N/A②

サイバー犯罪決定：サイバー犯罪決定は、ラオス国内で情報の取扱いを行っている又は電子機器を管理している法人、団体に対してのみ適用される（同決定 4 条）エ

制限及びその例外に係る規定の有無・概要

N/A
オ

手続規定の有無・概要①

LPED 及び LPED ガイドライン：個人情報の開示を要請する当局は、データ管理者に対して開示要請書を送付する必要がある。ただし、それ以上に詳細な手続の内容は規116

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務づけられるものについて調査している。

117

データ管理者が第三者に対して個人情報を提供する場合、原則としてデータ主体からの同意取得等が必要になるところ、政府当局からの要請により、データ管理者が当局に個人情報を提供する場合には、例外的に、データ主体の同意が不要とされている。

118

警察当局から要請があった場合に、要請を受けた法人又は個人（上記(1)ウを参照）は、刑事訴追における証拠として、要請のあった資料を提供する必要がある。

- 338 -

定されていない②

サイバー犯罪決定：警察は刑事訴追の証拠とするために、上記ウの法人、団体又はその関係者に対して資料の開示を調整する命令書を発出する。命令書を受領した者は、命令書に記載のある所定の期間内に、警察に対して当該資料を提出する必要がある（同決定 7 条）(2) 正当な目的の追求①及び②のいずれについても、バランステストその他の制約は存在しない。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置①

LPED 及び LPED ガイドライン：LPED16 条に基づき、個人情報の開示を要請する当局

は、データ管理者に対して開示要請書をデータ管理者に送付する必要があるが、事前承認
及び事後承認は必要とされていない②

サイバー犯罪決定：N/Aイ

暗号復号強制、保護措置
N/A(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要①

LPED 及び LPED ガイドライン：ガバメントアクセスに限定した規定は置かれていな
いが、データ管理者一般に適用される規定の適用がされると考えられる。この場合、個人情報の 保管は、収集の目的に 応じて、必要な期間で のみされる必要があ る（LPED15 条）。ただし、必要な期間の詳細等は定められていない。

②

サイバー犯罪決定：N/A

イ

データの取扱者に関する制限
N/A

ウ

安全管理措置に関する定めの有無・概要①

LPED 及び LPED ガイドライン：ガバメントアクセスに限定した規定は置かれていな
いが、データ管理者一般に適用される規定の適用がされると考えられる。この場合、
上記 III6(1)の安全管理措置に関する義務を当局も負うこととなる。

- 339 -

②

サイバー犯罪決定：N/A(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要①

LPED 及び LPED ガイドライン：規定は存在しない。なお、LPED ガイドラインには、
電話にて他人を欺罔し、金銭を詐取し、他人に損害を生じさせたという詐欺事案において、当局が実行行為者の電話記録をデータ管理者に請求する際には、データ管理者
は当該実行行為者に対して開示を行うという通知をせずに、当局に対して通話記録の開示を行う必要があるとの記載がある②

サイバー犯罪決定：N/A

イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告

N/A
ウ

監督機関による監督状況の公表
N/A(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称
N/A

イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障

N/A
ウ

調査形態
N/A

エ

監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度

N/A- 340 -

(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
LPED 及び LPED ガイドライン：公務員、軍人又は警察官が、LPED に違反し、違法な①

ガバメントアクセスを行い、当該行為が刑事犯罪に該当しない場合、懲戒の対象となる(LPED51 条)②

サイバー犯罪決定：N/A

イ

救済を提供する行政機関・裁判所に関する情報
N/A

ウ

外国人の救済の可否
N/Aエ

ガバメントアクセスによって取得された情報に基づき訴追された者の権利

N/A
V.

データ保護機関の有無及び連絡先
技術通信省の IT 部門及び同省下の Lao Computer Agency Response Team が、個人情報保護関係の対応を行っている。連絡先は以下のとおりである。
①

技術通信省の IT 部門
電話番号：021 254 508 又は 021 316 563②

Lao Computer Agency Response Team
電話番号：021 254 508 又は 030 5764 222
以上- 341 -

第 31 章 ロシア（ロシア連邦）
I.

個人情報の保護に関する法制度

1.

個人情報の保護に関する法制度の有無
個人情報の保護に関する包括的な法令として、個人データに関する 2006 年 7 月 27 日の連邦法第 152-FZ 号（Federal law No. 152-FZ “On personal data” dated 27 July 2006）（以下「法」という）が存在する。当該法令は 2006 年 7 月 27 日に施行されている。
2.

1.記載の法令に関する基本的事項(1) 適用範囲（適用対象者・地理的適用範囲）
法は、民間（法人及び個人）及び公（連邦、地域及び地方の当局）の管理者のいずれにも適用される。
地理的適用範囲としては、原則としてロシア国内に所在する者にのみ適用されるが、ロシア連邦の領域及びロシア国民を標的とする外国の管理者（例えば、ロシアに関連するドメイン名を用い、又はウェブサイトのロシア語版を有する者）にも適用されると解されている。他の適用基準としては、①ウェブサイト上でロシアルーブルによる支払いが可能
か、②ウェブサイト上で締結される契約の履行がロシア国内において可能か、③ウェブサ
イトに関連するロシア語の広告が存在するか、④ウェブサイト所有者のロシア市場において事業を行う意思を明確に示すその他の事情が存在するかがある。
(2) 個人データの定義
個人データとは、識別され又は識別可能な自然人に直接又は間接に関連するあらゆる情報をいう（法 3 条）。当該自然人について、法文上、データローカライゼーション規制（後記 IV.参照）を除き、国籍による区別はない。
3.

留意点
2021 年 7 月 1 日の連邦法第 236-FZ 号は、以下の基準のいずれかを充足する外国事業者に対し、ロシア国内における支店又は子会社の開設、及びロシアのデータ保護当局への登録を義務付けている。
①

1 日当たり 50 万人以上のロシアのユーザーが閲覧するウェブサイトの所有者であっ- 342 -

て、以下のいずれかに該当するもの(i)

インターネットリソース（ウェブサイト、アプリ、その他オンラインの情報源をいう）に記載された情報がロシア語又はロシア連邦の構成国の言語等で記載されていること(ii) インターネットリソースがロシアの消費者を対象とする広告を掲載していること(iii) 当該外国事業者がロシアのユーザーの情報を処理していること(iv) 当該外国事業者がロシアの個人又は法人から資金を受領していること②

以下のいずれかの類型の仲介事業者であるもの(i)

特にロシアのユーザーが訪問するインターネットリソースのホスティングをするホス
ティング事業者(ii) ロシアのユーザーを対象とする広告をホスティングするように設計されたインター
ネットリソースの管理者(iii) ロシアからのユーザーを含むユーザー間のメッセージの交換機能を提供するインター
ネットリソースの管理者
また、ロシアは 2018 年に、個人データの自動化された処理に係る個人の保護に関する欧州評議会条約第 108 号の改正議定書に署名しているが未批准であり、これに適合するためのデータ保護法令の改正が行われる可能性がある。
II.

当該外国の個人情報の保護に関する制度についての「一定の指標」となり得る情報の有無

ロシア連邦は、EU の十分性認定を取得しておらず、また具体的な取得等に係る手続はな
されていない。
また、APEC の CBPR システムには加盟しておらず、具体的な加盟等に係る手続はなされていない。
III. OECD プライバシーガイドライン 8 原則に対応する事業者の義務及び本人の権利に関する法令規定の有無
1.

収集制限の原則(Collection Limitation Principle)(1) 規定の存否と概要
I.に記載した法令には、収集制限の原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。

- 343 -

ア

適法かつ公正な手段による取得その他収集の制限を定めた規定

個人データの処理は、適法かつ公正に行わなければならない（法 5 条 1 項）。個人デー
タの処理の適法性の根拠は下記のとおりである（法 6 条 1 項）。
①

データ主体の同意②

ロシア連邦が締約国である国際条約若しくは法令に定められた目的の達成、又はロシ
ア連邦の法令に定める機能、権力若しくは管理者の義務の行使及び履行③

憲法、民事、行政又は刑事裁判手続及び仲裁手続への個人の参加④

ロシア連邦の執行に関する法令に従って作成された裁判所その他の機関の証書の執行⑤

連邦の執行機関、国家の予算外ファンド、ロシア連邦を構成する国家組織の執行機
関、地方政府機関、国家及び市町村のサービスの提供に関与する組織の機能の権力行
使⑥

データ主体が受益者又は保証人である契約の履行、あるいはデータ主体の発案による契約又はデータ主体が受益者若しくは保証人である契約の締結⑦

データ主体の生命、健康その他重要な利益を保護するために必要な場合であって、データ主体の同意を得ることができないとき⑧

管理者若しくは第三者の権利及び法的利益の行使、又は社会的に重要な目的の達成（データ主体の権利及び自由を侵害しない場合に限る）⑨

報道記者の職業活動、メディアの適法な活動、又は科学、文学その他の創作的活動（データ主体の権利及び自由を侵害しない場合に限る）⑩

統計その他の調査の目的⑪

データ主体による公開⑫

連邦の法令に基づき、公表又は義務的開示の対象となる個人データの処理
商品若しくは役務の販売促進、又は政治的キャンペーンを目的とした個人データの処理については、データ主体の個別かつ明示的な同意が必要とされている。事業者が当該同意について証明しない限り、当該処理はかかる同意に基づかないものと推定される（法 15条）。
イ取得に際してのデータ主体への通知又はデータ主体からの同意取得を定めた規定
データ主体の同意は、自由意思に基づき、自発的で、個別的で、情報提供に基づき、かつ誠実なものでなければならない（法 9 条）。同意の形式については原則として制約は存在しないが、人種・国籍等のセンシティブ個人データの処理、バイオメトリック情報である個人データの処理、非安全国への個人データの移転（後述）、管理者による個人データの公表等、一定の場合には、データ主体の同意は書面でなければならない。
データ主体以外から個人データを取得した場合には、管理者はデータ主体に対し処理について通知しなければならない（法 18 条 3 項）。
管理者が他人に対してデータ処理を委託する場合、管理者は事前にデータ主体から委託についての同意を取得しなければならない（法 6 条 3 項）。

- 344 -

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
2.

データ内容の原則(Data Quality Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。
ア

利用目的に関連する限度での取扱いを定めた規定
個人データの処理は、特定の、事前に定められた、正当な目的のためにのみ行い得る（法 5 条 2 項）。
処理の目的が相互に矛盾する個人データを含むデータベースを組み合わせてはならない（法 5 条 3 項）。
処理の目的は、処理の対象となる個人データの種類に応じて定められなければならない（法 5 条 4 項）。
処理の対象となる個人データの内容及び範囲は、定められた処理の目的と適合したもの
でなければならない（法 5 条 5 項）。
処理の対象となる個人データは、定められた処理の目的に照らして過剰に多くてはならない（法 5 条 5 項）。
イ

利用目的の達成に必要な範囲内における正確性の確保を定めた規定
個人データの正確性、十分性、及び該当する場合には利用目的との関連性が確保されなければならない（法 5 条 6 項）。
管理者は、不完全又は不正確なデータを削除又は明確化するために必要な措置を講じ、又は当該措置が講じられることを確保しなければならない（法 5 条 6 項）。この義務は、
不完全又は不正確な個人データの訂正を求めるデータ主体の権利に対応している。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 345 -

3.

目的明確化の原則(Purpose Specification Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。
ア

取得時又はそれより前の個人データの利用目的の特定を定めた規定
個人データの処理は、特定の、事前に定められた、正当な目的のためにのみ行い得る（法 5 条 2 項）。
データ主体の書面による同意が必要な場合、当該書面には許容された処理についての特定の目的が記載される（法 9 条 4 項）。
イ

特定された利用目的又は当該利用目的と矛盾しない目的の範囲内における利用を定めた規定

法 5 条 2 項から 6 項まで（上記 2.参照）。
ウ

利用目的の変更時における利用目的の特定を定めた規定
上記アと同じ。

(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
4.

利用制限の原則(Use Limitation Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。
アあらかじめ特定した利用目的の範囲を超えて開示すること又は利用可能な状態に置くことを制限する規定
個人データへのアクセスを有する事業者その他の者は、データ主体の同意なく当該デー

タを第三者に開示し又は流通させてはならない（法 7 条）。
個人データを公表する場合には、データ主体の明確かつ他と区別された同意が必要である（法 10.1 条）。当該同意には、公表の対象として同意したデータの一覧及びデータ主体- 346 -

が希望するその後の処理の条件又は制限の一覧を記載する必要がある（法 10.1 条 1 項、9項）。当該同意が公表を許容するものかが判然としない場合、管理者は当該データの公表行うことができない（法 10.1 条 4 項）。当該同意はいつでも撤回できる（法 10.1 条 14項）。
情報提供目的で個人データの公開情報ソース（住所録等）を作成することができるが、データ主体の書面同意が必要である（法 8 条）。
イあらかじめ特定した利用目的の範囲を超えてその他の利用を制限する規定
データ処理の目的に必要である期間を超えて、データ主体を識別可能な形式でデータを保存してはならない。ただし、連邦法又はデータ主体が当事者、受益者若しくは保証人である契約により特定の期間データを保存することが義務付けられている場合はこの限りでない（法 5 条 7 項）。
処理の対象となる個人データは、その処理の目的が達成され、又は必要でなくなった場
合には、消去又は匿名化されなければならない（法 5 条 7 項）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
5.

安全保護の原則(Security Safeguards Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（漏えい、滅失、毀損、不正アクセス、不正利用等のリスクに対する合理的な安全保護措置を義務付ける規定）が存在する。具体的には、下記のとおりである。
個人データへのアクセスを有する管理者その他の者は、連邦法上別段の定めのない限
り、データ主体の同意なく当該データを第三者に開示し又は流通させてはならない（法 7条）。
個人データの処理に当たり、管理者は、無権限アクセス、偶発的アクセス、破壊、改変、ブロック、複製、提供、頒布その他違法な活動から個人データを保護するために必要な法的、組織的及び技術的措置を講じなければならない（法 19 条）。
個人データの安全管理のため、管理者は特に以下の措置を講じなければならない。
①

個人データの権限を有しない処理の場合に生ずる脅威及び損害の程度の特定（法 19 条
(2)(1)）②

権限を有するロシア当局の認証を受けた情報セキュリティ機器を利用し、個人データを保存する機器の記録を取ること（法 19 条(2)(3)）- 347 -

③

個人データに対するアクセスに関するルールを定めること（法 19 条(2)(8)）(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
6.

公開の原則(Openness Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。
ア

個人データの取扱いに関する方針の策定に関する規定
管理者は、個人データ処理の方針（データの一覧、データ処理の目的等を含む）を示

し、及び個人データ保護法令の違反を予防及び検知するための手続きを定める文書を策定しなければならない（法 18.1 条 1 項）。管理者は、データ処理に従事する従業員に当該文書を熟知させなければならない（法 18.1 条(1)(6)）。
イ

個人データの存在と性質、主な利用目的、管理者の identity や所在地を容易に認識できる方法による提供に関する規定
管理者は、自己の個人データ処理の方針を公表し又は無制限のアクセスを提供しなければならない（法 18.1 条 2 項）。処理がインターネット上で行われる場合、当該方針は処理が行われるのと同じウェブサイト上で公表されなければならない（法 18.1 条 2 項）。
管理者は、個人データの処理を開始する前に、データ管理者の公開登録簿への登録を目的として、管理者の名称、処理の目的、データ及びデータ主体の種類、処理の法的根拠、データ保護の手段、データ保護責任者に関する情報、データ処理の開始日・期間・終了事
由、越境移転、個人データのデータベースの所在地等を、ロシアのデータ保護当局に通知しなければならない（法 22 条）。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。

- 348 -

7.

個人参加の原則(Individual Participation Principle)(1) 規定の存否と概要
I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定が存在する。具体的には、下記のとおりである。
ア

自己に関する個人データの開示を求める権利を定める規定
データ主体は、自己に関する個人データについて、管理者が取り扱う個人データ及びその取得方法等に関する情報を当該管理者から取得する権利を有している（法 14 条 7 項）。
イ

自己に関する個人データの消去、訂正、完全化又は変更を求める権利を定める規定
データ主体は、自己に関する個人データが不完全、最新でない、不正確、違法に取得された又は利用目的のために必要でない場合、当該個人データの完全化、修正、ブロック又は削除を管理者に求める権利を有する（法 14 条 1 項）。管理者は、不正確性についてデー
タ主体から通知を受けた場合、7 営業日以内に必要な修正を行い、データ主体に対し当該修正について通知しなければならず、また、当該個人データの移転先の第三者に通知する
合理的努力をしなければならない（法 20 条 3 項）。
ウ

権利行使ができない場合の理由の通知や異議申し立てを定める規定
管理者は、データ主体が要求する情報を閲覧可能な形式で提供しなければならない（法14 条 2 項、20 条）。情報提供をしない旨の決定は書面により、理由を付して行わなければならない。
管理者が法に違反して、その他データ主体の権利を侵害する態様で個人データを処理しているとデータ主体が思料する場合、データ主体はロシアのデータ保護当局又は裁判所を通じて管理者の作為又は不作為に異議を申し立てることができる（法 17 条）。
当該違反又は侵害の是正とは別に、データ主体は損害賠償（非財産的損害を含む）を請求することができる。
(2) 当該原則が実質的に及ばない分野等について
個別法の規定により当該原則が実質的に及ばない分野等は存在しない。
8.

責任の原則(Accountability Principle)I.に記載した法令には、当該原則又はこれに対応する事業者・機関の義務に関する規定（上記 7 原則の遵守を確保するための措置に関する規定）は存在しない。

- 349 -

ただし、管理者やその処理者が法に違反した場合の管理者の責任に関する定めが存在す
る（法 24 条、6 条 5 項）。
IV. その他本人の権利利益に重大な影響を及ぼすおそれのある制度の有無
1.

データ・ローカライゼーション規制 ①域内での保有・保管義務
個人情報・個人データを域内で保有・保管することを義務付ける規定は、個人情報保護

法令又はサイバーセキュリティ関連法においては、法に存在する。また、それ以外の代表的な法令 119として、通信に関する 2003 年 7 月 7 日の連邦法第 126-FZ 号（Federal law No.
126-FZ “On communications” dated 7 July 2003）、並びに情報、情報技術及び情報保護に関する 2006 年 7 月 27 日の連邦法第 149-FZ 号（Federal law No. 149-FZ “On information, information
technology and information protection” dated 27 July 2006）に存在する。それ以外の代表的な法令には、現地法律事務所が把握している限りは、存在しない。それぞれの概要は下記のとおりである。
(1) 法
ア概要
法に基づくデータ・ローカライゼーション規制の目的は、国家利益の保護及びインター

ネットを通じた国家統制の強化が目的であると考えられる。所管機関はデータ保護機関（ロスコムナゾール。V.参照）である。
管理者は、ロシア国民の個人データの記録、体系化、蓄積、保存、更新、修正及び回復
をロシア国内に所在するデータベースを用いて行わなければならない（法 18 条 5 項）。
この規制は、データがロシア国民に関係する限り、ロシア国外から移転を受けたデータについても適用される（法 18 条(5)）。この規制は、データがロシア国民に関係する限り、ロシア国外から移転を受けたデータについても適用されるが、複製の上、法 12 条の定めに従いロシア国外に移転することは許容される。
イ

例外規定
以下の目的のために個人データが処理される場合は例外である（法 18 条 5 項）。

①

再入国に係る国際条約の履行②

司法行政及び司法上の行為の執行③

国家又は地域の役務の提供④

ジャーナリストの職業上の活動、及び／若しくはマスメディアの正当な活動の実施、

119

代表的か否かに関する判断は現地法律事務所が行っている。

- 350 -

又は科学的、文学的その他の創作的目的（ただし、当該処理がデータ主体の権利及び正当な利益を侵害しない場合に限る）(2) 通信に関する 2003 年 7 月 7 日の連邦法第 126-FZ 号及び情報、情報技術及び情報保護に関する 2006 年 7 月 27 日の連邦法第 149-FZ 号
これらの法に基づくデータ・ローカライゼーション規制の目的は、国家利益の保護及びインターネットを通じた国家統制の強化が目的であると考えられる。所管機関は連邦セキュリティサービス（Federal Security Service）である。
ロシア国内の通信及びインターネットサービス提供業者は、ユーザ（国籍を問わない）の通信に関する以下の情報を以下の期間ロシア国内に保存する義務を負う（通信に関する2003 年 7 月 7 日の連邦法第 126-FZ 号 64 条 1 項、情報、情報技術及び情報保護に関する2006 年 7 月 27 日の連邦法第 149-FZ 号 10.1 条 3 項）。したがって、以下の情報について、
データ主体の消去請求が認められない場合がある。
①

音声情報（sound information）、文字、画像、動画その他のメッセージの送受信、配信
及び／又は処理に関する情報：各行為から 3 年間②

文字及び音声によるメッセージ、音声情報（sound information）、画像、音声、動画その他のメッセージ：その処理から 6 か月間

2.

データ・ローカライゼーション規制 ②域外移転の制約による実質的な域内保持義務
個人情報・個人データの域外移転を制約することにより実質的に域内で保有・保管することを義務付ける規定は、個人情報保護法令又はサイバーセキュリティ関連法においては、現地法律事務所が把握している限り、存在しない。なお、法において個人データの域外移転規制の定めはあるものの（法 12 条）、域外移転を行うにあたって当局の承認等は必要とされず、実質的な域内保持を義務づけるものではない。
それ以外の代表的な法令 120として、国家秘密に関する連邦法第 5485-1 号（Federal law
No. 5485-1 “On state secret” dated 21 July 1993）並びに裁判官の国家的保護、法執行及び監督官に関する連邦法第 45-FZ 号（Federal law No. 45-FZ “On state protection of judges, law
enforcement and supervisory officials”）に存在する。
国家秘密に関するデータは、ロシア政府による別段の判断のない限り、原則としてロシ
ア国外に移転することができない（国家秘密に関する連邦法第 5485-1 号 18 条）。
ロシアの裁判官、検察官、捜査官その他公務員の個人データについては、当該公務員が所属する国家組織がその伝達、開示又は移転を制限することができる（裁判官の国家的保護、法執行及び監督官に関する連邦法第 45-FZ 号 9 条）。
120

代表的か否かに関する判断は現地法律事務所が行っている。

- 351 -

3.

ガバメントアクセス 121
ガバメントアクセスを根拠付ける法令として、以下がある。これらの法令は、権限を有する国家機関による個人データへのアクセスを可能とするものであるから、ガバメントア
クセスに関する主要な法令と考えられる。各法令の調査項目別の概要は下記のとおりである。
警察に関する 2011 年 2 月 7 日の連邦法第 3-FZ 号（Federal law No. 3-FZ “On the police”

・

dated 7 February 2011）・

ロシア連邦捜査委員会に関する 2010 年 12 月 28 日の連邦法第 403-FZ 号（Federal law
No. 403-FZ “On the Investigative Committee of the Russian Federation” dated 28 December
2010）

・

連邦保安庁に関する 1995 年 4 月 3 日の連邦法第 40-FZ 号（Federal law No. 40-FZ “On
the Federal Security Service” dated 3 April 1995）

・

ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第 2202-1 号（Federal law No.
2202-1 “On the Prosecutor’s Office of the Russian Federation” dated 17 January 1992）

・

捜査活動に関する 1995 年 8 月 12 日の連邦法第 144-FZ 号（Federal law No. 144-FZ “Onoperational investigative activities” dated 12 August 1995）

・

執行手続に関する 2007 年 10 月 2 日の連邦法第 229-FZ 号（Federal law No. 229-FZ “On
enforcement proceedings” dated 2 October 2007）

・

犯罪収益の合法化（ロンダリング）及びテロリズムの資金調達の防止に関する 2001 年
8 月 7 日の連邦法第 115-FZ 号（Federal law No. 115-FZ “On countering legalisation,(laundering) of proceeds from crime and financing of terrorism” dated 7 August 2001）

・

ロシア連邦租税法典（1998 年 7 月 31 日の連邦法第 146-FZ 号）（Federal law No. 146FZ “The Tax Code of the Russian Federation (Part one)” dated 31 July 1998）(1) 法的根拠
ア

目的

各法令によって異なる。例えば下記のとおりである。
①

刑事又は行政犯罪の捜査、及び事実確認（警察に関する 2011 年 2 月 7 日の連邦法第 3FZ 号 13 条(1)(4)、ロシア連邦捜査委員会に関する 2010 年 12 月 28 日の連邦法第 403FZ 号 7 条(1)(3)）②

国家安全保障の確保（連邦保安庁に関する 1995 年 4 月 3 日の連邦法第 40-FZ 号 1 条及121

刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、民間事業者の保有する個人データに対して政府が行うアクセスであって、法令上、民間事業者が政府に個人データを提供することを義務付けられるものについて調査している。

- 352 -

び 13 条(m)）
訴追に関する監督権限の行使（ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法③

第 2202-1 号 4 条(2.1)及び 22 条(1)）④

人及び財産の生命、健康、権利及び自由の保護、並びに社会及び国家の刑事犯罪からの安全の確保を目的とした、権限の範囲内における捜査活動（捜査活動に関する 1995
年 8 月 12 日の連邦法第 144-FZ 号 1 条、2 条、6 条、7 条、13 条、15 条(1)）⑤

連邦執行機関による執行手続（執行手続に関する 2007 年 10 月 2 日の連邦法第 229-FZ
号 64 条(2)）⑥

犯罪収益の合法化（ロンダリング）、テロリズムの資金調達及び大量破壊兵器の拡散のための資金調達の防止（犯罪収益の合法化（ロンダリング）及びテロリズムの資金調達の防止に関する 2001 年 8 月 7 日の連邦法第 115-FZ 号 6.1 条(6)）⑦

税務調査その他租税の確保に関する措置（ロシア連邦租税法典 93 条、93.1 条、93.2
条、101 条(6)、105.17 条(7)、105.29 条(3)）

イ

実施主体

①

警察（警察に関する 2011 年 2 月 7 日の連邦法第 3-FZ 号 13 条(1)(4)）②

連邦捜査委員会（ロシア連邦捜査委員会に関する 2010 年 12 月 28 日の連邦法第 403FZ 号 7 条(1)(3)）③

連邦保安庁（連邦保安庁に関する 1995 年 4 月 3 日の連邦法第 40-FZ 号 1 条及び 13 条(m)）④

検察庁（ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第 2202-1 号 4 条(2.1)及び 22 条(1)）⑤

捜査当局（捜査活動に関する 1995 年 8 月 12 日の連邦法第 144-FZ 号 1 条、2 条、6 条、7 条、13 条、15 条(1)）⑥

連邦執行機関（執行手続に関する 2007 年 10 月 2 日の連邦法第 229-FZ 号 64 条(2)）⑦

連邦税務庁、連邦財務監視庁（ロシア連邦租税法典 93 条、93.1 条、93.2 条、101 条(6)、105.17 条(7)、105.29 条(3)）

ウ

取得される個人データの種類に関する限定の有無・概要
存在しない。

エ

制限及びその例外に係る規定の有無・概要
上記ア記載の実施主体は、原則として許可等を得る必要はない。ただし、データ主体による通信サービスの利用に関する情報の取得には裁判所の決定が必要であり（通信に関する 2003 年 7 月 7 日の連邦法 64 条(1.1)、情報、情報技術及び情法保護に関する 2006 年 7 月
27 日の連邦法第 149-FZ 号 10.1 条(3.1)、ロシア連邦憲法 23 条(2)）、医療上の秘密の取得には裁判所の決定又は捜査機関の要請が必要である（ロシア連邦市民の健康保護に関する- 353 -

2011 年 11 月 21 日の連邦法第 323-FZ 号 13 条(3)）。
オ

手続規定の有無・概要
存在しない。

(2) 正当な目的の追求
ガバメントアクセスの対象を法令上定めのある目的の達成に必要な限度に限定する規定は存在しない。ただし、ロシア連邦憲法は、法に基づく公権力の行使や人権・自由の尊重等に関する基本的な定めを有する（17 条、23 条及び 24 条）。
(3) 承認の要求
ア

事前承認及び事後承認、保護措置
通信の秘密、電話での会話、郵便、電報その他の通信に関する情報の国家機関に対する開示には、事前の裁判所の決定が必要（捜査活動に関する 1995 年 8 月 12 日の連邦法第 144FZ 号 8 条、9 条、連邦保安庁に関する 1995 年 4 月 3 日の連邦法第 40-FZ 号 9 条、9.1 条）。
保護措置は存在しない。
イ

暗号復号強制、保護措置
ユーザに対して暗号化を可能としているインターネットサービス提供業者は、連邦保安庁に対し復号化に必要な情報を提供しなければならない（情報技術及び情法保護に関する2006 年 7 月 27 日の連邦法第 149-FZ 号 10.1 条(4.1)）。
(4) 取得された個人データの取扱いに対する制限
ア

保管期間の定めの有無・概要
原則として存在しない。ただし、捜査活動で取得した個人データや刑事手続に関する個

人データは、一定の保管期間の定めがある（捜査活動に関する 1995 年 8 月 12 日の連邦法
第 144-FZ 号 5 条等）。
イ

データの取扱者に関する制限
正当な権限を有する者に限定される（警察に関する 2011 年 2 月 7 日の連邦法第 3-FZ 号 8条(1)、15 条(5)(3)、27 条(1)(8)、捜査活動に関する 1995 年 8 月 12 日の連邦法第 144-FZ 号 3条、14 条(5)、12.1 条、ロシア連邦捜査委員会に関する 2010 年 12 月 28 日の連邦法第 403FZ 号 5 条(2)(2)、30 条(2)(5)等）。

- 354 -

ウ

安全管理措置に関する定めの有無・概要
国家機関は、個人データの秘密性及び安全性を確保し、そのために必要な組織的及び技

術的措置を講ずる必要がある（法 7 条、19 条）。
(5) 透明性ア

ガバメントアクセスの事実の通知義務の有無・概要
データ主体に対する通知は不可（捜査活動に関する 1995 年 8 月 12 日の連邦法第 144-FZ

号 12.1 条、刑事手続法典 161 条）。
イ

ガバメントアクセスの実施状況の公表・公的機関に対する報告存在しない。
ウ

監督機関による監督状況の公表
存在しない。

(6) 監督・調査・審査の仕組み
ア

ガバメントアクセスの実施に対する監督・調査・審査の仕組みを規定する法令の有
無・名称包括的な法令は存在しないが、ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第2202-1 号 29 条、刑事手続法典 37 条その他刑事手続に関する法令が関連する規定を有する。例えば、ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第 2202-1 号 29 条は、人権の尊重、捜査の適法性、捜査機関の判断、予備的捜査における確認、裁判前の捜査の適法性等が監督の対象となる旨を定めている。また、刑事手続法典 37 条は、初動捜査（予備的捜査における確認）及び裁判前の捜査を行う機関の活動を検察官が監督する旨を定めている。警察に関する 2011 年 2 月 7 日の連邦法第 3-FZ 号 52 条、ロシア連邦捜査委員会に関する 2010 年 12 月 28 日の連邦法第 403-FZ 号 5 条及び 21 条、連邦保安庁に関する 1995
年 4 月 3 日の連邦法第 40-FZ 号 6 条及び 24 条も、各機関の活動に対する検察官の監督を定めている。
イ

監督機関の名称・権限・独立性・長の任命プロセスと身分保障
予備的捜査及び捜査に関する監督について、検察庁。検察庁は連邦、地域及び市町村の当局から独立している（ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第 2202-1 号
4 条(2)）。
国家の情報システムにおける個人データの処理の場合の安全管理について連邦保安庁及び連邦技術及び輸出管理庁（法 19 条 8 項）。

- 355 -

ウ

調査形態
現地調査、非現地調査（文書及び回答書の徴収）、及び取調べの形態が存在する（ロシア連邦検察庁に関する 1992 年 1 月 17 日の連邦法第 2202-1 号 22 条(1)）。
エ監督メカニズムの実効性を評価する仕組み・監督機関による公表の制度存在しない。
(7) 救済ア

違法なガバメントアクセスに対する救済制度の有無・救済の内容・訴訟の結果を遵守する法的義務・救済手続の公表
以下の救済手段が定められている（捜査活動に関する 1995 年 8 月 12 日の連邦法第 144-

FZ 号 5 条、連邦保安庁に関する 1995 年 4 月 3 日の連邦法第 40-FZ 号 6 条）。
①

権利及び正当な利益の回復

②

損害賠償

③

その他侵害に対する責任の履行

イ

救済を提供する行政機関・裁判所①

上級行政機関

②

検察庁

③

裁判所

ウ

外国人の救済の可否
ロシア国民と同様に可（ロシア連邦憲法 62 条(3)）。

エガバメントアクセスによって取得された情報に基づき訴追された者の権利
違法な捜査等に対する一般的な刑事手続法上の防御権は確保されているが、それを超える権利は存在しない。
V.

データ保護機関の有無及び連絡先

通信、情報技術及びマスメディアの監視に関する連邦サービス（ロスコムナゾール、Роскомнадзор）
住所：7 Kitaygorodsky pr., bld 2, 109992 Moscow, Russia
電話番号：+7 495 983-33-93
FAX：+7 495 587-44-68- 356 -

ウェブサイト：https://rkn.gov.ru/
メールアドレス：rsoc_in@rkn.gov.ru
以上- 357 -