個人情報保護・データ保護規制 各国法アップデート
2023 年 7 月 5 日号

個人情報保護・データ保護規制ニューズレター
執筆者：

E-mailE-mailE-mailE-mailE-mailE-mailE-mail

岩瀬 ひとみ
菊地 浩之
河合 優子
村田 知信

五十嵐 チカ松本 絢子
菅 悠人

本ニューズレターでは、2023 年 4 月から 6 月までの世界各国の個人情報保護・データ保護規制の主なアップデートをご紹介する。

1.

日本



個人情報保護委員会は、2023 年 3 月「個人情報の保護に関する法律に係る EU 及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」の改正版を公表した。EU 又は英国域内から十分性認定に基づき提供を受けた個人情報を加工して得られた仮名加工情報の取扱いについて、規律が追加されている。

個人情報保護委員会は、2023 年 3 月「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表した。顔識別機能付きカメラシステムにおいて顔画像及び顔特徴データが用いられる場合を念頭に置き、肖像権・プライバシー権に関する留意点や個人情報保護法上の留意点を検討しているほか、事業者の自主的な取組として考えられる事項や施設内での掲示案等も示している。

2023 年 5 月、いわゆる次世代医療基盤法（医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律）の改正法が成立した。仮名加工医療情報の利活用の仕組みが創設される等、利活用の更なる促進のための改正が含まれており、2024 年前半の施行が見込まれる。



総務省と個人情報保護委員会は、2023 年 5 月、「電気通信事業における個人情報保護等の保護に関するガイドライン」の改正版及び「電気通信事業における個人情報等の保護に関するガイドラインの解説」の改正版を公表した。6 月 16 日に施行された外部送信規律等に対応する改正である。同ガイドライン解説及び意見募集結果については、当事務所個人情報保護・データ保護規制ニューズレター2023 年 5 月 23 日号を参照されたい。



厚生労働省は、2023 年 5 月、「医療情報システムの安全管理に関するガイドライン 第 6.0 版」を公表した。概説編、経営管理編、企画管理編及びシステム運用編に分けられ、各編で想定する読者に求められる遵守事項及びその考え方を示すとともに、Q&A 等において現状で選択可能な具体的な技術にも言及するなど、構成の大幅な見直しが行われた。クラウドサービ
スの特徴を踏まえたリスクや対策の考え方の整理や、ゼロトラスト思考に則した対策の考え方、サイバー攻撃を含む非常時に対する具体的な対応について整理がなされている。

2.

中国



GB/T 22081-2016「情報技術・セキュリティ技術・情報セキュリティコントロール実施ガイドライン」を基に改正を行い、GB/T
22081-2016 を代替する「情報安全技術・情報安全コントロール」に関する基準（本基準）の意見募集が本年 5 月 9 日まで実施された。本基準は、実施ガイドラインを含む、情報セキュリティ管理の共通参考集を提供する。本基準は、a) GB/T 22080に基づく情報セキュリティ管理システム（ISMS）の実施、b) 国際的に認められたベストプラクティスに基づく情報セキュリティⒸ Nishimura & Asahi 2023
- 1 -

管理の実施、c) 独自の情報セキュリティ管理ガイドラインの作成を調整するために適用される。
今回の改正の主な内容は、既存のコントロール項目の再構築、掲載されているセキュリティコントロール項目数の削減、ベストプラクティスを反映できないコントロール項目の一部を削除することである。既存のセキュリティコントロール項目数の削減と、脅威インテリジェンス、クラウドサービス利用のための情報セキュリティ、データ漏洩防止など、11 の新しいコントロール項目の追加により、セキュリティコントロール項目数は 114 から 93 に削減された。
「個人情報保護法」第 38 条における「個人情報保護認証制度の確立」の要求に対応し、個人情報の越境取扱に関する安全要件を明確化するために、情報安全技術・個人情報越境伝送認証要求（本要求）が制定され、意見募集が本年 5 月 15 日まで実施された。本要求は、個人情報取扱事業者が個人情報を国境を越えて提供する際の基本原則と要求事項を規定する。
個人情報取扱事業者による個人情報の越境提供について、認証機関による個人情報保護の認証に適用されるほか、主管部門、第三者評価機関等による監督、管理、評価にも利用することができる。本要求の全体構成は、範囲、規範性引用文書
1、用語と定義、略語、基本原則、基本要件（法的拘束力のある合意、組織管理、個人情報越境取扱の規則、個人情報保護の影響評価を含む）、個人情報主体の権利と利益の保護（個人情報主体の権利、個人情報取扱事業者と海外の受信者の責任・義務を含む）の 7 部構成である。

高等学校、科学研究機構、医療衛生機構、企業等が科学技術倫理審査管理の責任主体であることを明確に定める科学技術倫理審査弁法（本弁法）の意見募集が本年 5 月 3 日まで実施された。本弁法では、生命科学、医学、人工知能などの科学技術活動を行う機関で、研究内容が科学技術倫理に抵触するおそれのある領域を含む場合には、科学技術倫理（審査）委員会を設置しなければならないとされている。また、人間を研究参加者とする①テスト、②調査、③観察的研究並びに④
人間の遺伝子、ヒトの胚、人間の生物サンプル及び個人情報の使用を含む 4 種類の科学技術活動に関して、当該活動を実施する前に、科学技術倫理審査を実施することが必要であることを規定している。人間を研究参加者とする科学技術活動においては、生物材料の収集、保管、使用が適法であること、個人情報や生物特徴情報などの情報処理を個人情報保護に関する規定に適合させることが必要となる。

生成型人工知能サービス管理弁法（意見募集稿）が公表され、本年 5 月 10 日まで意見募集が実施された。本弁法は、中国の領域内における公衆へのサービス提供のための生成型人工知能製品の研究開発及び利用について適用され、イデオロギー、知的財産権、情報セキュリティ、公平な競争などに関する制限が主に規定されている。また、本弁法は適用範囲、生成型人工知能プロバイダーの定義及び責任なども規定している。本弁法は、プロバイダーに対してデータセキュリティ、個人情報保護、アルゴリズム設計、コンプライアンスなどの義務を設定し、そして相応の行政処罰を規定し、「サイバーセキュリティ法、「世論属性や社会動員力を持つインターネット情報サービスのセキュリティ評価規定」、「インターネット情報サービスのアルゴリズム推奨管理規則」、「インターネット情報サービス深度生成管理規定」などの規範からなるアルゴリズム管理規範の枠組みと緊密につながり、生成型人工知能サービスに対する全方位、多次元規制を構成する。

2023 年 6 月 1 日施行の｢個人情報越境標準契約弁法 2｣に合わせて、5 月 30 日に｢個人情報越境標準契約届出ガイドライン(第一版)｣が公布され、施行された。同ガイドラインによれば、個人情報取扱者は、標準契約の効力発生日から 10 日営業日以内に所在地の省レベルのインターネット情報弁公室に対し、以下の書類の電子版を添付の上、以下の書類を提出して届出を行う必要がある。
① 標準契約(原本)② ｢個人情報保護影響評価報告書｣(原本)③ 誓約書(原本)④ 担当者への授権書(原本)⑤ 担当者の身分証明書(写し)⑥ 申請者の統一社会信用コード証明書(写し)⑦ 法定代表者の身分証明書(写し)1

本基準に引用されることによって本基準の条項となる文書

2

個人情報越境標準契約弁法の概要は当事務所個人情報保護・データ保護規制/アフリカニューズレター(2023 年 3 月 24 日号)を参照されたい。

Ⓒ Nishimura & Asahi 2023
- 2 -

なお、①～④の書類については同ガイドラインの別紙 2～5 で雛型が提供されており、また、⑤～⑦の書類については写しに申請者の社印を押印することが求められている。
インターネット情報弁公室は、上記書類の受領後、15 営業日以内に書類の審査を完了させ、個人情報取扱者に届出結果を通知することになっている。
2023 年 5 月 26 日、｢サイバーセキュリティ標準実践ガイドライン-ネットワークデータセキュリティリスク評価実施手引き｣が制定された。同手引きでは、ネットワークデータセキュリティリスク評価の方針、作業プロセス及び評価内容が示され、データ処理者や第三者機構がリスク評価を実施する際に使用されるほか、関連主管庁が検査と評価を実施する際の参考としても使用される。データセキュリティリスクの評価プロセスは、主に以下の 5 つの段階から構成される。
① 評価準備段階･･･評価対象の決定、評価範囲の決定、評価チームの編成、事前準備の実施、評価計画の制定を行う。
② 情報調査段階･･･データ処理者、業務・情報システム、データ資産、データ処理活動、セキュリティ保護措置について調査する。
③ リスク識別段階･･･評価対象ごとにデータセキュリティ管理、データ処理活動、データセキュリティ技術、個人情報保護の観点から、様々な評価方法を通じて、データセキュリティリスクと危険性を識別する。
④ 総合分析段階･･･リスク識別により判明した課題リストに基づき、リスク分析、リスク評価を行い、最終的に是正意見を提出する。
⑤ 評価総括段階･･･評価報告書を作成し、リスクに対応する。

3.

香港



2023 年 5 月 22 日、PCPD(香港の個人情報保護委員会)は、フィリピンの国家プライバシー委員会との間で、MoU(基本合意)を同日付で締結したことを公表した。同 MoU では、潜在的又は進行中の調査若しくはその他の法執行措置に関する情報の共有、国境を越えた個人データ事件又は違反に関する共同調査での相互支援、現在及び将来のデータ保護問題に関する研修並びに教育での協力について規定している。

4.

台湾



台湾立法院（国会）は、2023 年 5 月 16 日に、個人情報保護法の改正草案を最終可決し、同月 31 日付けで当該法改正が公布された。台湾個人情報保護法においては、これまで個人情報の管理について独立した監督機関が特に定められてこなかったが、改正法においては、1 条の 1 が新設され、個人情報保護委員会が新たに設置されることが定められている。また、
近年、非公務機関が保有する個人情報の漏えい事件が頻発しているため、改正法においては、個人情報ファイルに係る適切な安全保護措置を講じなかった場合、又は各事業分野の中央主務機関による個人情報ファイルに係る安全保護計画等の策定の求めに従わなかった場合の罰則が強化されている。同法 1 条の 1 における独立した監督機関の設置に関する規定の施行日は、今後、行政院により発表される。

5.

欧州



英国政府は、2023 年 3 月 29 日、AI に関する白書を公表した。同白書は、安全性、透明性、公平性、アカウンタビリティ・ガバナンス、及び可争性・救済の 5 つの原則の概要を示している。プレスリリースによれば、1 年以内に各産業セクターにおける上記原則の実施方法に関する実務的なガイダンスが公表される。

EDPB は、2023 年 4 月 13 日、ChatGPT について、各国のデータ保護当局が実施し得るエンフォースメントに関する協力促進及び情報交換のためのタスクフォースを発足させることを決定した。

EDPB は、2023 年 4 月 17 日、パブリック・コンサルテーションを経て、管理者又は処理者の主監督機関を特定するためのガイドラインの改訂版を公表した。同ガイドラインは、主監督機関の特定に関する要件、及び特定に必要なステップを明確化している。改訂版においては、共同管理者の文脈における主監督機関の特定方法についてのアップデート等が記載されている。

Ⓒ Nishimura & Asahi 2023
- 3 -EDPB は、同日、パブリック・コンサルテーションを経て、データ主体の権利(アクセス権)についてのガイドラインの改訂版を公表した。アクセス権についての近時の欧州司法裁判所の判決内容の反映等がなされている。

EDPB は、2023 年 4 月 19 日、NGO の NOYB による、Google Analytics といったアナリティクスツールに関する申立てに対応して結成されたタスクフォースが作成したレポートを公表した。同レポートは、アナリティクスツールの利用に伴う越境移転の際の補完的措置や、分析ツールを利用する場合のウェブサイト運営者の義務等に関する見解が示されている。

6.

米国



以下の各州において包括的な個人情報保護法が成立した（各州法の施行日（予定）は以下のとおり。）。これで全米の 11 の州において包括的な個人情報保護法が成立したことになる。
・ フロリダ州（2023 年 6 月 6 日成立、2024 年 7 月 1 日施行）
・ テキサス州（2023 年 6 月 18 日成立、2024 年 7 月 1 日施行）
・ モンタナ州（2023 年 5 月 19 日成立、2024 年 10 月 1 日施行）
・ テネシー州（2023 年 5 月 11 日成立、2025 年 7 月 1 日施行）
・ インディアナ州（2023 年 5 月 1 日成立、2026 年 1 月 1 日施行）
各州における包括的な個人情報保護法制定の現状については、当事務所個人情報保護・データ保護規制ニューズレター(2023 年 5 月 10 日号)を参照されたい。



また、ワシントン州においては、米国州法としては初めてとなる、ヘルスデータ（health data）についての包括的なプライバシー法（My Health My Data Act）が 2023 年 4 月 27 日に成立した（小規模事業者を除き、同法に基づく執行は基本的に2024 年 3 月 31 日から開始されるものとみられる。）。さらに、これに続いて、ネバダ州においてもヘルスデータの取扱いについての包括的な州法が成立しており（2024 年 3 月 31 日施行）、またコネチカット州においても同様の州法が議会を通過している（成立すれば、一部の規定を除いて 2023 年 7 月 1 日施行予定）。

7.

ベトナム



2023 年 4 月 17 日 、ベトナム初 めての包 括 的 な個 人 情 報 保 護 法 令 である個 人 情 報 保 護 に関 する政 令 が制 定 された。同 政 令 は個 人 情 報 を処 理 している全 ての事 業 者 に適 用 されるデータ処 理 影 響 評 価 実 施 義 務 ・ 評 価 書 類の当 局 提 出 義 務 等 の様 々な義 務 を規 定 しているため、対 象 となる事 業 者 は法 令 対 応 作 業 が必 要 となる。また、同 政 令 の施 行 日 は 2023 年 7 月 1 日 である。同 政 令 に関 する詳 細 は当 事 務 所 アジア/個人情報保護・データ保護規制ニューズレター(2023 年 4 月 21 日号)を参照されたい。

2023 年 4 月 17 日 に制 定 された個 人 情 報 保 護 に関 する政 令 やデータローカライゼーション義 務 を定 めるサイ
バーセキュリティ法 の施 行 規 則 を定 める政 令 に違 反 した場 合 の罰 則 等 を定 める政 令 の草 案 が公 表 され、同 年 6月 20 日 までパブリックコメントが募 集 されていた。同 草 案 に関 する詳 細 は当 事 務 所 アジア/個人情報保護・データ保護規制ニューズレター(2023 年 6 月 6 日号)を参照されたい。

8.

ブラジル



2023 年 2 月 27 日、ブラジルのデータ保護当局(ANPD)は、個人情報保護法(LGPD)に違反した場合の影響評価(Dosimetry)及び行政制裁に関する規則(RDASA)を公表し、ANPD による金銭的・非金銭的行政制裁(警告、罰金、違反に関連する個人データのブロック・削除、データ処理に関する活動の全部又は一部の禁止等)の基準及びパラメータを定めた。
行政制裁を科す際に考慮される基準及びパラメータとして、違反行為や影響を受ける個人の権利の重大性及び性質、違反者の誠実さ(good faith)、当該違反行為により得られた又は企図された利益、経済状態、再発可能性、損害の程度、損害最小化のための内部手続やガバナンスポリシー等の導入、是正措置、違反の深刻さと制裁の強さのバランス等が考慮されることとされた。

Ⓒ Nishimura & Asahi 2023
- 4 -2023 年 5 月 2 日､ブラジルのデータ保護当局（ANPD）は、個人データを含むセキュリティインシデントの報告に関する基準案を公表し、意見募集が 5 月 31 日まで行われた。本基準案には、セキュリティインシデント、セキュリティ対策、セキュリティインシデント調査手順等が定義されており、セキュリティインシデントの報告基準、ANPD 及びデータ主体への報告手順、及び当該インシデントの記録保持要件が詳細に記載されている｡さらに、データ主体に対してリスクや損害を与える可能性があるが、データ管理者からデータ主体に報告されていないセキュリティインシデントの存在を確認するために ANPD が実施する可能性がある調査の手順についても明確化されている。

9.

アルゼンチン2023 年 4 月 5 日、アルゼンチンのデータ保護当局(AAIP)は、新しい個人データ保護法案を含む 2022 年のマネジメントレポートを公表した。本新法案の内容は 2022 年 11 月に公表したものと概ね一致しているが、信用情報の公開に関する条項が新設され、特にアルゼンチン共和国中央銀行は、その権限の範囲内で、金銭的な義務の遵守又は不遵守に関して信用機関から提供された情報を、包括的かつ透明性のある方法で公開することとされている。



2023 年 4 月 17 日、アルゼンチンは、ベニスで開催された「プライバシー2023 シンポジウム」において、個人情報の保護に関する条約第 108+号を批准した 23 番目の国となった。同条約は、個人データを処理するに当たって起こりうる個人データの悪用から個人のプライバシーを守ることを目的としており、条約発効のためには 2023 年 10 月 11 日までに 38 か国による批准が必要とされている。

10. コスタリカ
2023 年 3 月 10 日、データ保護法に関する法案がコスタリカ立法議会に提出された。本法案は、人種、民族、政治的主張、宗教的･哲学的信念、労働組合への加入有無等の機密性の高い個人情報の処理や、遺伝子、生体認証、健康、性生活情報の処理を禁止することを目的としている。本法案により、アクセス権、修正権、削除権、データポータビリティ権、オプトアウト権等のデータ主体の権利が導入され、また、正確性、正当性、公平性、透明性、比例性、説明責任、安全性、機密性等のデータ処理の原則が概説されている。さらに、様々な制裁及び是正措置を含む、罰則に関する新たな枠組みが規定されている。

11. オーストラリア
2023 年 2 月 16 日、連邦法務省は、Privacy Act の見直しに関するレポートを公表した。この見直しは、2 年ごとに行われている。本レポートでは、Privacy Act の改正について 116 件の提案がなされており、①Privacy Act の適用とその範囲、②Privacy Act における保護の内容、及び③Privacy Act の執行が主要なテーマとされている。本レポートに対する意見募集は2023 年 3 月 31 日まで行われた。

12. カナダ2023 年 2 月 28 日、Privacy Commissioner は、オンラインでの採用活動における個人情報の取扱いに関する Privacy Act
Bulletin を公表した。これは、2020 年 2 月に公表されたオンラインでの採用面接における個人情報の取扱いに関する
Privacy Act Bulletin に続くものであり、第三者が提供するプラットフォームを利用する場合における注意点を解説している。
具体的には、個人情報に係るリスクを最小限にするために当該個人情報を保有する期間と範囲を限定することや、従業員の教育を行うことなどを求めている。

2023 年 2 月、ブリティッシュコロンビア州の Office of the Information and Privacy Commissioner (OPIC)は、ブリティッシュコロンビア州で事業を行う民間企業向けの、個人情報の漏洩事故が発生した場合における対処法に関するガイドラインを公表した。本ガイドラインでは、個人情報の漏洩が発生した場合には、以下の 4 つの手順で対応するべきことが示されている。

Ⓒ Nishimura & Asahi 2023
- 5 -

①
事故の拡大を防止するための応急処置を行うこと②
事故の影響を評価すること③
本人及び OPIC 等への通知を行うこと④
事故の原因を分析し、再発防止策を検討すること
また、本ガイドラインには、漏洩事故への対処の手順のほか、個人情報の漏洩事故が発生した場合に OPIC への報告の必要性を判断するため及び個人情報の漏洩事故への対処を評価するためのチェックシートが含まれている。
2023 年 2 月、ケベック州の Commission d’accès à l’information（CAI）は、健康及び社会的サービス情報に関する法律に係る改正法案 (いわゆる“Bill 3”)に関する意見をケベック州議会に提出した。ケベック州では医療関連の個人情報の取扱いについて特別な規制をする州法は定められていないが、本法案はかかる個人情報に対する規制を新たに定めるものである。これに対する今回の CAI の意見には 21 の提案が含まれており、例えば、情報収集時にさらなる情報提供義務を課すことや、利害関係者及び研究者との医療情報の共有に関する規制の再検討などが含まれている。

13. イスラエル
イスラエルの司法省がプライバシー保護規則(欧州経済領域(EEA)からイスラエルへ移転された情報に関する命令)の草案を公表し意見公募手続に付したことは、当事務所個人情報保護・データ保護規制ニューズレター(2023 年 3 月 7 日号)で紹介したが、2023 年 5 月 7 日、同規則が公布された。同規則は対象データの種類に応じ、以下の三段階に分けて施行予定である。①2023 年 5 月 7 日以降に EEA からイスラエルのデータベースへと受領したデータ〔2023 年 8 月 7 日施行〕、②2023
年 5 月 7 日より前に EEA からイスラエルのデータベースへと受領したデータ〔2024 年 5 月 7 日施行〕、③EEA から受領したデータを保有するイスラエルのデータベース内に存在する、当該データ以外のデータ〔2025 年 1 月 1 日施行〕

14. 南アフリカ
南アフリカの情報規制当局(Information Regulator)は、2023 年 5 月 7 日、情報アクセス促進法に基づいて、全ての公的機関及び民間機関の情報責任者(Information Officer)に対し、同年 6 月 30 日までに年次報告書(Annual Report)を提出することを要請する旨のプレス声明を発表した(南アフリカ情報規制当局ウェブサイト)。南アフリカの情報促進法の概要については、当事務所個人情報保護・データ保護規制/アフリカニューズレター(2021 年 8 月 27 日号)を参照されたい。

15. ナイジェリアナイジェリアでは、従前、国家情報技術開発庁が制定したデータ保護規則等の規則レベルで個人情報保護が図られてきた(当事務所アフリカニューズレター(2020 年 12 月 18 日号))が、2023 年 6 月 12 日、大統領が 2022 年データ保護法案(Nigeria Data Protection Bill)に署名し、同日付で法案の内容がそのまま同国初の「データ保護法」として成立した。同法は、概ね国際的なデータ保護法の潮流に沿った内容を定めており、新たにデータ保護委員会(Nigeria Data ProtectionCommission)が設置されている。
当事務所では、クライアントの皆様のビジネスニーズに即応すべく、弁護士等が各分野で時宜にかなったトピックを解説したニューズレターを執筆し、随時発行しております。N&A ニューズレター購読をご希望の方は N&A ニューズレター 配信申込・変更フォームよりお手続きをお願いいたします。
また、バックナンバーはこちらに掲載しておりますので、あわせてご覧ください。
本ニューズレターはリーガルアドバイスを目的とするものではなく、個別の案件については当該案件の個別の状況に応じ、日本法または現地法弁護士の適切なアドバイスを求めていただく必要があります。また、本稿に記載の見解は執筆担当者の個人的見解であり、当事務所または当事務所のクライアントの見解ではありません。
西村あさひ法律事務所 広報室 E-mailⒸ Nishimura & Asahi 2023
- 6 -