NEWSLETTER
個人情報保護・データ保護規制 各国法アップデート
個人情報保護・データ保護規制ニューズレター

2023 年 9 月 12 日号

執筆者:
岩瀬 ひとみ五十嵐 チカh.iwase@nishimura.com

c.igarashi@nishimura.com

菊地 浩之

松本 絢子

h.kikuchi@nishimura.com

a.matsumoto@nishimura.com

河合 優子

菅 悠人

y.kawai@nishimura.com

y.suga@nishimura.com

村田 知信
to.murata@nishimura.com

本ニューズレターでは、各国の個人情報保護・データ保護規制の主なアップデートのうち、2023 年 7 月及び 8 月のものを中心にご紹介する。

1. 欧州


欧州データ保護評議会（EDPB）は、2023 年 7 月 18 日、欧州委員会が 2023 年 7 月 10 日に EU から米国への個人データの越境移転のための Data Privacy Framework（DPF）に対する十分性認定を採択したことを受けて、米国への個人データの移転に関するインフォメーションノートを公表した。同イン
フォメーションノートでは、①DPF リストに登録されている米国の組織に対しては、DPF に依拠して、SCC 締結等の措置を要することなく個人データを移転することができること（但し、同十分性認定はGDPR の域外適用を受ける EU 域外に所在する拠点から DPF リストに登録されている米国の組織への個人データの移転には適用されない）、②DPF リストに登録されていない米国の組織への個人データの移転であっても、GDPR46 条に基づく適切な保護措置の実効性を評価する際には同十分性認定における欧州委員会の評価を考慮すべきこと、③EU のデータ主体は、DPF に基づき異議申立てを行う際にはまずは移転先の米国の組織に対して申立てをすべきこと、④国家安全保障の分野における救済メカニズムの利用方法、並びに⑤同十分性認定の見直しの時期（初回は施行日から 1 年後）及び手続について記載されている。



また、欧州データ保護評議会（EDPB）は、同日に、日本が 2019 年に取得した十分性認定に対する初回のレビューに関する声明も採択した。同声明では、十分性認定に関する個人情報保護法の改正点を中心に評価がなされ、「保有個人データ」の定義の修正や、本人の利用停止等の権利の修正、個人データ漏えいの当局報告・本人通知義務の導入及びその通知要件について肯定的に評価している。他方で、同声
明は、従業員の個人情報が対象となる場合のように事業者とデータ主体との力関係に不均衡がある場合に、同意に依拠して個人情報を移転すべきではないとの見解を示し、欧州委員会に対し、次回の十分性認定の審査の際にこの点を考慮するよう求めている。

Ⓒ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023
-1-

2. 米国2023 年 7 月 14 日、カリフォルニア州の司法長官（Attorney General）は、州内の大規模事業者に対して、従業員や就職希望者の個人情報に関してカリフォルニア州消費者プライバシー法（California
Consumer Privacy Act of 2018。以下、「CCPA」という。
）を遵守しているかどうかについての情報を求める質問状を送付し、調査を実施することを発表した。CCPA における人事関連データについての適用除外は、カリフォルニア州プライバシー権法（California Privacy Rights Act of 2020）による CCPAの改正が施行された 2023 年 1 月 1 日に失効しており、CCPA の対象となる企業には、個人情報保護の実務に関する通知を提供し、データ主体からの権利行使に対応することなどの義務が課されている。



2023 年 7 月 18 日、オレゴン州においてオレゴン州消費者プライバシー法（Oregon Consumer PrivacyAct）が成立した（2024 年 7 月 1 日施行）
。また、2023 年 6 月 30 日、デラウェア州においても、デラウェア州個人データ保護法（the Delaware Personal Data Privacy Act）が議会を通過している（2024年 1 月 1 日以前に成立した場合、2025 年 1 月 1 日施行予定。2024 年 1 月 1 日以降に成立した場合、2026 年 1 月 1 日施行予定）。これらは、いずれも他の州法と同様に、事業者等に対し、プライバシー通知義務や個人データの限定的な処理義務等の様々な義務を規定している。

2023 年 7 月 26 日、米国証券取引委員会（SEC）は、公開企業及び外国民間発行体（FPI）に対し、重要なサイバーセキュリティ・インシデントの迅速な開示と、サイバーセキュリティのリスク管理及び方針・手続の定期的な開示を義務付ける SEC 最終規則を発表した。これは、2011 年の CF 開示ガイダン
スと 2018 年の SEC サイバーセキュリティガイダンスを発展させたものである。

3. 中国


2023 年 7 月 3 日、「中華人民共和国ネット安全法」に基づき、「ネットワーク重要設備及びネットワークセキュリティ専用製品リスト」の調整に関する公告が公布・施行された。本リストに記載された設備及び製品については、資格を具備する機関の安全認証に合格するか、安全検査測定が要求に適合した場合に限り、これらを販売又は提供することができる。

2023 年 7 月 24 日、中国人民銀行が国務院の関連業務計画及び「中華人民共和国データ安全法」第 6 条の要求を実行するための「中国人民銀行業務分野におけるデータ安全管理弁法」の意見募集稿が公布され、8 月 24 日までパブコメが実施された。本法では、中国人民銀行業務分野におけるデータ安全コンプライアンス要求を明確化・細分化し、同分野におけるデータ安全管理制度の空白域を埋め、データ処理者による中国人民銀行業務分野におけるデータ処理活動 を指導するものである。

2023 年 8 月 3 日から 9 月 2 日まで、国家インターネット情報弁公室は、「個人情報コンプライアンス監査管理弁法（意見募集稿）」の意見募集を実施した。本弁法は個人情報保護のコンプライアンス監査活動を指導し、規範を提示し、個人情報処理活動のコンプライアンスレベルを向上させ、個人情報の権益を保護することを目的とする。本弁法は計 16 条からなり、主に以下の内容を含む。
①

100 万人以上の個人情報を扱う事業者は少なくとも 1 年に 1 度、100 万人未満の個人情報を扱う事業者は少なくとも 2 年に 1 度は個人情報保護コンプライアンスに関する監査を実施する必要があⒸ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023
-2-

る。
②

個人情報保護責任部門（中国国家機関）は、その職務を遂行する過程において、個人情報処理活動においてより高いリスクがあると認めた場合、又は個人情報セキュリティインシデントが発生したと認めた場合、個人情報処理事業者に対し、その個人情報処理活動に関する遵守監査の実施を専門機関に委託するよう要求することができる。

③

個人情報保護遵守監査を実施する専門機関は、独立性と客観性を維持しなければならず、同一の被監査者に対して、連続して 3 回以上個人情報保護遵守監査を実施してはならない。

本弁法の附属書の別紙は詳細に監査上の参考となるポイントを列挙し、個人情報保護の基本的な遵守義務を広く示している。企業はこのポイントを基に監査を行うだけでなく、関連する要求に基づき個人情報保護の日常の検査や不足点の補完も行うことができる。
2023 年 8 月 9 日から 10 月 9 日まで、機微な個人情報の定義方法及び取扱いの安全基準を明確に規定した「情報安全技術 機微な個人情報の処理に関するセキュリティ規定」の意見募集が実施されている。
本規定の適用範囲は、機微な個人情報の取扱い活動、監督部門、第三者評価機関が個人情報取扱者の敏感な個人情報取扱い活動に対して行う監督、管理、評価を含む。機微な個人情報には、生物認証、宗教の信仰、特定の身分、医療健康、金融口座、移動履歴、14 歳未満の未成年者の個人情報などが含まれ、これらの機微な個人情報の取扱いには特別な安全基準が提案され、機微な個人情報の分類に関して詳細化が行われている。特に「収集の必要性、安全保護、情報の匿名化ルール、通知と同意」の側面での規定が強調されている。

2023 年 8 月 25 日から 10 月 24 日まで、全国情報安全標準化技術委員会は、国家標準「情報安全技術大規模インターネット企業内の個人情報保護監督機関設置規定（意見募集稿）」の意見募集を実施している。本規定は、大規模インターネット企業における社内の個人情報保護監督機関の設立及び運営に関する要件を明確に規定しており、監督機関の設置、職務、業務規則、及びその成員の要件も規定している。本規定は、大規模インターネット企業が個人情報保護監督機関を設立し、運営する際の基準として適用されるほか、監督、検査、評価などの参考としても利用できる。本規定は、「個人情報保護法」第五十八条における大規模インターネット企業への「主に外部メンバーから構成される独立機関の設立」の要件に関する具体的な基準を提供するものである。

2023 年 8 月 8 日から 9 月 7 日まで、国家ネットワーク情報局は「顔認識技術の適用に関する安全管理規定（試行）（意見募集稿）」の意見募集を実施した。本規定により、公共の場所に画像収集や個人の身元認識装置を設置する際、公共の安全を維持するための必要性を明確にし、国の関連規定に従い、目立つ表示を設置することが求められる。公共の場所で画像収集や個人の身元認識装置を設置・使用・運用・保守する組織や事業者は、取得した個人の画像や身元認識情報の秘密保持の義務を負い、違法に漏洩させたり、外部に提供することはできない。本規定は、顔認識技術の適用における法的管理と倫理的管理の融合を強調し、上位の法的基準との連携や制度的な整合性を重視している。特に、顔認識技術の利用における目的性や必要性などの要件が強調されている。

Ⓒ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023-3-

4. 香港2023 年 8 月 25 日、PCPD（香港の個人情報保護委員会）は、他国 1の個人情報保護機関と共にソーシャ
ルメディア・プラットフォームに対するデータスクレイピング及びプライバシー保護に関する共同宣言を発表した。当該共同宣言では、公にアクセスできる個人情報であっても、ほとんどの法域でデータ保護及びプライバシー保護法の対象となること、ソーシャルメディア企業及び一般にアクセス可能な個人データを保有するウェブサイト運営者は、彼らのプラットフォーム上の個人情報を、不法なデータスクレイピングから保護するためのデータ保護及びプライバシー法上の義務を有していること、個人情報を収集する大量のデータスクレイピングは多くの法域で報告義務のあるデータ漏洩に該当しうることを宣言している。同宣言では、ソーシャルメディアプラットフォーム及び公にアクセス可能な個人データをホストしているウェブサイト運営者に対し、データスクレイピングによるプライバシーリスクを軽減するため技術的・手続的な多層的管理として以下を含む対策を実施することを推奨している。


データスクレイピング行為から保護するための統制措置を特定し、実施するためのチーム及び/又は特定の役割を指定すること



自動スクレイピングプログラム及びデータスクレイピングをレビューし、そのような活動を停止するための措置を講じること

他のアカウントとのエンゲージメントが異常に高いアカウントを監視し、疑わしいアカウントをブロックすること

プラットフォームに対する悪意のある行為者やその他の不正行為者によるセキュリティリスクや脅威を継続的に監視すること

5. 台湾


台湾政府の経済部は、台湾個人情報保護法 27 条 3 項に基づき、2023 年 8 月 1 日付経商字第11204722130 号命令をもって、「総合商品小売業者による個人情報ファイル安全保護計画実施弁法」を公布・施行した。本弁法によれば、非特定専売方式で多種のシリーズ商品の小売に従事し、会社、又は商業設立等の登記を完了し、かつ払込済資本額が 1,000 万台湾ドル以上に達し、かつ会員を募集している又は取引相手の個人情報を取得することができる業者 2は、施行日である 2023 年 8 月 1 日から 6 か月以内に本弁法に従い個人情報ファイルに係る安全保護計画、及び業務終了後の個人情報の取扱方法を制定しなければならない（本弁法 21 条）。また、これらの業者は個人情報ファイル安全保護措置を取る
ため、下記各項目に対応する体制を整えなければならない。

1



管理担当者等の配置



個人情報処理、利用状況の定期点検



個人情報に係るリスク分析及び管理

個人情報の窃取、改ざん、毀損、滅失又は漏えい事故の予防、通報及び対応

個人情報の収集、処理及び利用に係る内部管理手続

アルゼンチン、オーストラリア、カナダ、コロンビア、ジャージー、メキシコ、モロッコ、ニュージーランド、ノルウェー、スイス、
イギリス

2

例えば、百貨店、量販店、コンビニエンスストア、日用品チェーン店などである。なお、許認可を受けるべき業者又は専門管理法令の規制を受ける業者は、この限りではない。

Ⓒ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023
-4-

越境移転の制限の確認、当事者への告知、及び監督



個人情報ファイル安全保護に関する安全管理及び人員管理

周知・啓発活動及び教育訓練



個人情報を保存する設備の安全管理

個人情報の安全性に関する監査

使用記録及び処理に係る証拠等の保存

個人情報の安全保護に係る全般的な継続的改善

6. インド

2023 年 8 月 11 日、議会に提出されていたデジタル個人データ保護法（Digital Personal DataProtection Bill, 2023）が法律として制定された。施行日は現時点では未定である。インドでは、2019
年 12 月 11 日に個人データ保護法案（the Personal Data Protection Bill）が提出されていたが、当該法案は 2022 年 8 月 3 日に撤回され、その代わりとして、2022 年 11 月 18 日に 2022 年デジタル個人情報保護法案が提出され、いくつかの改訂を加えられた上で同法の制定に至っている。なお、同法では、政府が通達で特定した国を除くすべての国や地域に、個人データを移転することが可能とされている。

7. ベトナム

2023 年 6 月 20 日、消費者保護法の新法が公布された。新法では、適用範囲、消費者の権利義務、消費者情報の保護（特に、消費者情報を取り扱う企業の責任）、消費者保護事件に関する紛争解等、幅広いトピックに関して規定の修正及び補足がなされている。新法は 2024 年 7 月 1 日に施行予定である。



2023 年 7 月 17 日、インターネットとそのサービスの利用に関する政令 72 号（Decree 72/2013/NDCP on use of internet and its service）の改正案が、パブリックコメントのために公表された。当該改正案には、従前の法令と同様の個人情報に関する規定が含まれている。2023 年 10 月までに最終案が政府に提出される予定である。

8. タイ


2023 年 7 月 12 日から 26 日にかけて、個人情報保護委員会により、データ保護責任者（DPO）の任命に関する政令草案がパブリックコメントに付された。当該草案は、個人情報保護法で定められているDPO の選任が義務付けられる場合に関して、特に①個人データ又はシステムの定期的な監視が必要な処理活動、及び②大規模な個人データ（large-scale personal data）が含まれる処理活動に該当するかどうかの基準を定めていた。

2023 年 8 月 17 日、個人情報保護法の適用免除を受ける組織等に関する政令が成立した。当該政令では、公共の利益のために一定の当局が管理者に対して個人情報の提供を要請した場合に、管理者の義務を一部免除する旨が規定されている。当該政令は、公布日から 150 日後の 2024 年 1 月 14 日に完全施Ⓒ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023-5-

行される予定である。

9. インドネシア
2023 年 8 月 30 日、個人情報保護法の施行規則案がパブリックコメントのために公表された。当該規則案には、管理者及び処理者の権利義務やデータ保管規制、自動意思決定への異議申し立て等のデータ主体の権利、ペナルティ、紛争解決等が規定されている。特に、管理者の義務に関しては、越境移転や情報開示制限、処理の法的根拠、安全管理措置の実施、データ保護影響評価（DPIA）の実施、プライバシー原則の遵守等の詳細な規定が含まれている。パブリックコメントは 2023 年 9 月 14 日まで募集されている。

2023 年 6 月 23 日には、情報通信部門の個人情報保護専門分野におけるインドネシア国家業務能力基準（the Indonesian National Work Competency Standards：SKKNI）が公表された。SKKNI は、データ保護責任者（DPO）の資格要件として、DPO の知識や技能、勤務態度に関する能力の測定に用いられるとされている。

10. シンガポール


個人情報保護委員会は、パブリックコメント募集のために、（1）2023 年 7 月 18 日から 8 月 31 日にかけて、意思決定や勧告、予測を行うために利用される AI システムを開発、展開するための個人情報の収集·利用に関するガイドライン草案を公開した。また、（2）同年 7 月 19 日から 8 月 31 日にかけて、子どもの個人情報に関する個人情報保護法（PDPA）の適用に関するガイドライン草案も公開した。

11. アラブ首長国連邦（ドバイ）アラブ首長国連邦（UAE）では、各首長国のフリーゾーンでのデータ保護法制定が先行後、連邦レベルで初めてデータ保護法が制定されたことは、2022 年 1 月 20 日号及び 2022 年 1 月 26 日号の中東ニューズレターで紹介した。ドバイ首長国のフリーゾーンである Dubai International Finance Centre（DIFC）では、2020 年に GDPR 等国際的な水準を踏まえたデータ保護法が施行されたことは、2020
年 6 月 26 日号の個人情報保護・データ保護規則ニューズレターで紹介したとおりだが、データ保護法の細則にあたるデータ保護規則において、規定の明確化、説明責任及び透明性の向上、危険性を包含する AI 等の規制などの観点による規定の新設を含む改正が 2023 年 9 月 1 日より施行されている。

12. ブラジル2023 年 5 月 12 日、ブラジルの上院は、人工知能（AI）システムの規制に関する法案（2023 年法案第2338 号）の審議を行うことを発表した。同法案はブラジルにおける AI システムの提供に関する規則を制定し、当該 AI システムの運用によって影響を受ける個人に対して認められる権利を確立し、違反に対する罰則及び監督機関に関する規定を設けている。具体的には、例えば人物の特定、医療診断、重要インフラの管理や労働者の評価等に使用される AI システムには高いリスクがあるとみなされ、アルゴリズⒸ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023
-6-

ムの影響評価等が義務付けられているほか、AI システムの使用方法にも一定の制限が設けられている。
また、個人に対して、AI システムによる意思決定に対して異議を申し立てる権利や、AI システムの機能に関する情報を得る権利等が与えられなければならないとし、AI システムが利用される際には、関係する個人に対して情報提供を義務付けることで透明性を確保しなければならないとしている。
2023 年 5 月 24 日、ブラジルのデータ保護当局（ANPD）は、児童及び青少年の個人データの処理が可能 と な る 法 的 根 拠 に 関 し て 、 個 人 情 報 保 護 法 （ LGPD ） の 解 釈 を 標 準 化 す る こ と を 目 的 と し たStatement を発表した。同 Statement によれば、児童及び青少年の個人データの処理は、当該児童及び青少年の最善の利益が優先される限りにおいて、LGPD の第 7 条及び第 11 条に規定されているいずれかの法的根拠に基づいて行うことができるとされ、必ずしも「同意」を法的根拠としなければならないものではないとの解釈が明確化された。なお、12 歳未満の児童の個人データの処理において、その法的根拠が「同意」である場合は、少なくとも一人の親又は保護者から同意を得る必要があるとされている。

2023 年 4 月、ブラジルのデータ保護当局（ANPD）は、製薬業界における個人データの利用に関する一連の調査結果を明らかにする意見書を公表した。同意見書においては、ロイヤリティプログラムや割引等の場面で、製薬業界においてセンシティブとなり得るデータが大量に収集され、様々な代理店に開示されている点に焦点が当られているほか、同業界の特定の代理店において、潜在的なコンプライアンス上の欠陥が存在することも指摘されており、ANPD としてのいくつかの重要な立場が示されている。

13. チリ

2023 年 5 月 8 日、チリの下院は、個人データの処理及び保護を規定し、個人データ保護機関を設置する法案がチリ下院を通過し、今後チリ上院で 3 度目の憲法審査が行われることを公表した。同法案においては、様々な用語が新たに定義され、データ主体の権利、データプロテクション・バイ・デザイン及びバイ・デフォルト、技術的及び組織的なセキュリティ対策の採用、セキュリティ対策違反の報告義
務、第三者又は代理業者を介したデータ移転及び処理等が規定されている。

14. アルゼンチン
2023 年 6 月 30 日、アルゼンチンのデータ保護当局（AAIP）は、国家の行政機関である National
Executive Power（PEN）が下院議会に個人情報保護法案を提出したことを公表した。同法案は、データ主体の権利を拡大し、技術革新、経済発展、及び個人情報の保護に対する権利を調和させる枠組みを構築するために、個人情報の保護に関する法律第 25,326 号を改正・更新することを目的としており、個人情報保護における治外法権の原則、適法性・公平性・透明性の原則、目的の特定、データの最小化、青少年の個人情報の保護、説明責任の原則等の重要な規定の導入を予定している。

15. ニュージーランド
2023 年 6 月 7 日、個人情報保護委員会（OPC）は、声明を公表し、企業規模の大小を問わずすべてのⒸ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023
-7-

企業が、保有する情報を保護するために、2 要素認証（2FA）を導入するように奨励した。同声明は、2要素認証は、個人情報をデジタルで保有または共有する中小企業や組織に期待される最小限のシステムであり、サイバー関連のプライバシー侵害を起こした中小企業で、少なくとも 2 要素認証を導入していない場合、プライバシー法違反とみなされることが予想されると指摘されている。
2023 年 5 月 25 日、OPC は、政府機関による生成 AI の使用に関する期待に関するガイドラインを公表した（6 月 15 日更新）。本ガイドラインでは、生成型ＡＩに関連して生じる個人情報保護の観点におけるリスクとして、生成型ＡＩで使用されるトレーニングデータに機密データが使用されることに関連するリスク、生成型ＡＩを使用する際に入力する情報の機密性が生成型ＡＩツールの提供者によって保持又は開示されるリスク、生成型ＡＩツールの重大なエラーにより、偏見や差別が生まれるリスクなどを指摘している。生成型ＡＩを使用する際の注意点としては、必要性と比例性の原則からその使用の是非を判断すること、また使用する場合には、個人情報保護の観点からリスクを分析するとともに、生成型ＡＩの使用を自らの顧客に対して開示すること、生成型ＡＩの出力結果を使用する際には必ず人間がその内容を検証すること、生成型ＡＩによって個人情報が収集または開示されていないことを確認すること、などを挙げている。また、生成 AI 機能の実装を検討している場合、上級管理職が、生成型 AI を実装することのリスクと、リスクを軽減するための代替策の有無について考慮した上で、当該機能の実装について承認をしなければならないことを指摘している。
当事務所では、クライアントの皆様のビジネスニーズに即応すべく、弁護士等が各分野で時宜にかなったトピックを解説したニューズレ
ターを執筆し、随時発行しております。N&A ニューズレター購読をご希望の方は N&A ニューズレター 配信申込・変更フォームよりお手続きをお願いいたします。
また、バックナンバーはこちらに掲載しておりますので、あわせてご覧ください。
本ニューズレターはリーガルアドバイスを目的とするものではなく、個別の案件については当該案件の個別の状況に応じ、日本法または現地法弁護士の適切なアドバイスを求めていただく必要があります。また、本稿に記載の見解は執筆担当者の個人的見解であり、当事務所または当事務所のクライアントの見解ではありません。
西村あさひ法律事務所・外国法共同事業 広報室 newsletter@nishimura.comⒸ Nishimura & Asahi (Gaikokuho Kyodo Jigyo) 2023-8-