個人情報の保護に関する制度の調査を実施した国・地域一覧（2022 年 5 月 30 日時点での情報であり、随時更新する場合があります。）

以下の国・地域については個人情報保護委員会サイトに掲載されている内容をご紹介しております。
（外部サイトへ移動します。
）

アメリカ合衆国（連邦、イリノイ州、カリフォルニア州、ニューヨーク州）

アラブ首長国連邦（連邦、ADGM、DHC、DIFC）

イスラエル

インド

インドネシア共和国

ウクライナ

オーストラリア連邦

カタール国

カナダ

カンボジア王国

コスタリカ共和国

シンガポール共和国

スイス連邦

タイ王国

大韓民国

台湾

中華人民共和国

チュニジア共和国

トルコ共和国ニュージーランド

パナマ共和国

フィリピン共和国

ブラジル連邦共和国

ベトナム社会主義共和国

ペルー共和国

南アフリカ共和国

香港

マレーシア

ミャンマー連邦共和国

メキシコ合衆国

モロッコ王国

モンゴル国

ラオス人民民主共和国

ロシア連邦

以下の国・地域についてはトヨタが調査をした結果をご紹介しております。

アルゼンチン共和国
エジプト・アラブ共和国
カザフスタン共和国
コロンビア共和国
サウジアラビア王国
スリランカ民主社会主義共和国
チリ共和国
バーレーン王国
パキスタン・イスラム共和国

アルゼンチン共和国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

個人データ保護法（Personal Data Protection Act, Act No. 25.326 of 2000）-

URL ： http://www.jus.gob.ar/media/3201023/personal_data_protection_act25326.pdf-

施行状況：2000 年施行-

対象機関：公的部門及び民間部門-

対象情報：特定の又は特定可能な自然人又は法人に関する情報

個人情報の保護に関する制度

EU の十分性認定：ありについての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

十分性認定を取得しているため、省略

イン 8 原則に対応する事業者の義務又は本人の権利その他本人の権利利益に重大■な影響を及ぼす可能性のある個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－

制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－- 3 -

エジプト・アラブ共和国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

データ保護法（Law No.151 of the Year 2020 on the Personal Data Protection Law）-

URL ：英訳のリンクなし-

施行状況：2020 年 10 月 16 日施行-

対象機関：公的部門（但し、国家安全保障当局（National Security Authorities）1は除く。
）及び民間部門-

対象情報：当該データ及び、氏名、声、写真、識別番号、オンライン識別子のような識別子、又は、当該自然人の心理的、医学的、経済的、文化的又は社会的な同一性を示すデータを参照することによって、直接的又は間接的に、識別される自然人又は識別可能な自然人に関する情報個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報1OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則上記法令に規定されている。

③

目的明確化の原則

上記法令に規定されている。

国家安全保障当局（National Security Authorities）とは、大統領府（the Presidency）、国防省（the Ministry of Defence）、内務省（the Ministry of Interior）、総合情報庁（the General Intelligence Agency）及び行政管理局（the Administrative Control Authority）を意味する（データ保護法 1 条）
。

- 4 -

その他本人の権利利益に重大④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に一部規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

上記法令に規定されている。

■

な影響を及ぼす可能性のある個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの① データ保護法
管理者又は処理者に対し、国家安全保障当局（National Security Authorities）から要求があった場合における当該当局への個人データへのアクセス権の付与を義務付けている。
② 刑事訴訟法
検察官に対して、裁判所の許可なく個人データを含む情報の捜索・押収・監視を行う権限が与えられている。
③ 通信法
通信の運営者やサービスプロバイダーに対し、法律で保護された私生活を害さない範囲で、軍隊及び国家安全保障機関（National Security Entities）2が法定の権限を行使できるように、個人デー- 5 -タへのアクセスを可能とする通信に関するあらゆる技術的能力の提供を義務付けている。
④ 総合諜報法
個人や民間団体に対し、対象となるデータの性質にかかわらず、総合諜報機関の長官が求めるデータの提供やデータへのアクセスを拒んではならないことを義務付けている。
⑤ 消費者保護法
上記の刑事訴訟法と同様に、検察官及びその代理人に対し、犯罪に関するものであることが強く疑われるデータの閲覧を要求する権利を認めている。

2

現地カウンセルの回答によれば、通信法において、国家安全保障機関（National Security Entities）は、大統領府（thePresidency）、国防省（the Ministry of Defense）、内務省（the Ministry of Interior）、総合情報庁（the General Intelligence Agency）、行政管理局（the Administrative Control Authority）、国家安全保障機構（National Security Authority）と定義づけられている。

- 6 -カザフスタン共和国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

個人データ保護法（the Law of the Republic of Kazakhstan of 21 May 2013 No. 94-V on Personal
Data and its Protection）-

URL：英訳のリンクなし-

施行状況：2013 年 11 月 26 日施行-

対象機関：公的部門及び民間部門-

対象情報：電子的、紙又はその他の物理的媒体に記録された、識別された又は識別可能なデータ主体に関する情報

個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則

上記法令に規定されている。

③

目的明確化の原則

上記法令に規定されている。

④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に一部規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

上記法令に規定されている。

その他本人の権利利益に重大■

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの- 7 -な影響を及ぼす可能性のある制度① 個人データ保護法-

個人データをカザフスタン共和国の領域内にあるデータベースに保存することを義務付け。

② 通信法及び同規則-

電気通信事業者に対し、加入者に関するサービス情報を、カザフスタン共和国の領域内にあるデータベースに保存することを義務付け。海外に所在するカザフスタン共和国国民である加入者に通信サービスを提供する場合を除き、加入者に関するサービス情報及び集計データをカザフスタン共和国の領域外に移転することを禁止。

■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－- 8 -

コロンビア共和国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

データ保護法（Statutory Law No. 1581 of 2012）-

URL：英訳のリンクなし-

施行状況：2012 年 10 月 17 日施行-

対象機関：公的部門及び民間部門-

対象情報：特定された又は特定可能な 1 人以上の自然人に関連する又は関連する可能性のあるあらゆる情報

個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則

上記法令に一部規定されている。

③

目的明確化の原則

上記法令に規定されている。

④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

上記法令に規定されている。

その他本人の権利利益に重大な影響を及ぼす可能性のある■

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
－

制度
■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの① the Law 1098 of 2006 及び the Law 971 of 2005-

政府は、緊急事態において、刑事法執行目的で企業が保有する個人データにアクセスすることができる場合がある。例えば、未成年者が関与する事件に関する場合、又は、行方不明者の捜索に関する場合は、緊急事態に該当すると考えられる。

- 10 -

サウジアラビア王国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

個人データ保護法（Personal Data Protection Law）（以下「PDPL」という。）-

URL ： 英訳のリンクなし-

施行状況：2023 年 3 月 17 日施行予定-

対象機関：公的部門及び民間部門-

対象情報：氏名、個人識別番号、住所、連絡先、免許証番号、記録、個人所有物、銀行口座番号、クレジットカード番号、個人の写真若しくは動画その他の個人的性質を持つデータを含む、個人の識別につながる、又は直接若しくは間接に個人を識別可能にする一切のデータ（出典や形態を問わない。
）

個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則

上記法令に規定されている。

③

目的明確化の原則

上記法令に規定されている。

④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

上記法令に規定されている。

- 11 -

その他本人の権利利益に重大■な影響を及ぼす可能性のある

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
テロリズムとその資金調達の犯罪撲滅規則（The Rules of Combating Crimes of Terrorism and itsFinancing）及びマネーロンダリング防止規則（Anti-Money Laundering Regulation）により、金融機関、指定非金融業者又は非営利団体に対して、監督当局又は検察への情報提供等を義務付けている。
電 気 通 信 規 則 （ The Telecommunications Rules ） 及 び 及 び そ の 細 則 （ Bylaws of theTelecommunications Rules）により、電気通信分野の事業者に対し、電気通信規則の規制当局である通信情報技術委員会（CITC：Communications and Information Technology Commission）による捜索・押収を妨げないことを義務付けている。

- 12 -

スリランカ民主社会主義共和国
個人情報の保護に関する制度

包括的な法令は存在しない。個別の分野に適用される法令のうち代表的なものとして、以下の法令が存在すの有無る。
■

電子取引法（Electronic Transaction Act No 19 of 2006）-

URL：https://nca.gov.lk/files/ETA-E.pdf-

施行状況：2006 年 5 月成立、2017 年 11 月改正法施行-

対象機関：公的部門及び民間部門-

概要：電子商取引に関する基本法。同法において「個人情報」の定義は存在しないが、電子的な形式で行われるあらゆる「データ」又は「通信」に適用されると考えられる。

なお、2022 年 3 月 9 日、個人情報保護に関する包括的法律である Act to Provide for the Regulation ofProcessing of Personal Data (2019)が成立した3。同法には、データ管理者及び処理者の義務やデータ主体の権利等の基本原則が定められている4。
個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則該当する規定は不見当である。の義務又は本人の権利②

データ内容の原則該当する規定は不見当である。

3

https://www.dataguidance.com/news/sri-lanka-parliament-passes-personal-data-protection

4

https://www.parliament.lk/uploads/acts/gbills/english/6242.pdf- 13 -

その他本人の権利利益に重大③

目的明確化の原則該当する規定は不見当である。

④

利用制限の原則該当する規定は不見当である。

⑤

安全保護の原則該当する規定は不見当である。

⑥

公開の原則該当する規定は不見当である。

⑦

個人参加の原則該当する規定は不見当である。

⑧

責任の原則該当する規定は不見当である。

■

な影響を及ぼす可能性のある個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの① マネーロンダリング防止法- ある財産が違法行為から生じたことを知っている又はそう信じるにつき理由がある者に対して、スリランカ金融情報機構（FIU SL）にその情報をできる限り早く開示することを義務付け。
② テロ防止（臨時）法- 本法に基づき権限を与えられた警察当局は、違法行為に関連する又は関連する合理的な疑いのある文書や物品を押収することができる。

- 14 -

チリ共和国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

私生活の保護に関する法律（Law 19,628 on the Protection of Private Life）（以下「データ保護法」という。）-

URL： https://www.bcn.cl/leychile/navegar?idNorma=141599-

施行状況：1999 年 8 月 28 日施行-

対象機関：公的部門及び民間部門-

対象情報：識別され又は識別可能な自然人に関するあらゆる情報

個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則

上記法令に一部規定されている。

③

目的明確化の原則

上記法令に規定されている。

④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に一部規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

該当する規定は不見当である。

その他本人の権利利益に重大な影響を及ぼす可能性のある■

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
－

制度
■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－- 16 -

バーレーン王国
個人情報の保護に関する制度

包括的な法令として、以下の法令が存在する。の有無■

個人データの保護に関する法律（Law No. (30) of 2018 with Respect to Personal Data

Protection Law）（以下「個人データ保護法」という。）-

URL ： http://www.pdp.gov.bh/en/regulations.html-

施行状況：2018 年 7 月 12 日施行-

対象機関：公的部門及び民間部門-

対象情報：識別された個人、又は直接若しくは間接に（特に、個人識別番号、外見・生理学的・精神的・文化的・経済的描写・社会的アイデンティティーのうち 1 つ以上の項目を通じて）識別可能となる個人に関する一切の情報（形式を問わない。
）

個人情報の保護に関する制度

EU の十分性認定：なし

についての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則

上記法令に規定されている。の義務又は本人の権利②

データ内容の原則

上記法令に規定されている。

③

目的明確化の原則

上記法令に一部規定されている。

④

利用制限の原則

上記法令に規定されている。

⑤

安全保護の原則

上記法令に規定されている。

⑥

公開の原則

上記法令に一部規定されている。

⑦

個人参加の原則

上記法令に規定されている。

⑧

責任の原則

上記法令に該当する規定は不見当である。

その他本人の権利利益に重大■な影響を及ぼす可能性のある

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
Resolution No. 8 of 2009 promulgating the Lawful Access Regulation
国家安全保障又は国際安全保障に関わる機関が通話内容や電気通信ネットワークを通じて送信される関連情報へアクセスできるよう、電気通信規制庁の認可を受けた電気通信事業者に対して、電気通信機器等の技術資源の提供を義務付けている。

- 18 -

パキスタン・イスラム共和国
個人情報の保護に関する制度

包括的な法令は存在しない。個人情報の処理に関する規定を含む法令のうち代表的なものとして、以下の法の有無令が存在する。
■

電子犯罪防止法（Prevention of Electronic Crimes Act, 2016）（以下「電子犯罪防止法」という。）-

施行状況：2016 年 8 月 19 日-

対象機関：パキスタン国民及びパキスタンに所在する個人-

対象情報：電子犯罪防止法には、個人情報の処理に関する規定が存在するが、「個人情報」に関する定義規定は存在しない。

※

なお、包括的な法令については、個人データ保護法案（Personal Data Protection Bill, 2021）が、今後議会に提出されることが見込まれている。

個人情報の保護に関する制度

EU の十分性認定：なしについての指標となり得る情

APEC の CBPR システム：なし

報OECD プライバシーガイドラ

OECD プライバシーガイドライン 8 原則に対応する事業者の義務又は本人の権利については、以下のとおり。

イン 8 原則に対応する事業者①

収集制限の原則該当する規定は不見当である。の義務又は本人の権利②

データ内容の原則該当する規定は不見当である。

③

目的明確化の原則該当する規定は不見当である。

④

利用制限の原則該当する規定は不見当である。

⑤

安全保護の原則該当する規定は不見当である。

⑥

公開の原則該当する規定は不見当である。

⑦

個人参加の原則該当する規定は不見当である。

⑧

責任の原則該当する規定は不見当である。

その他本人の権利利益に重大■な影響を及ぼす可能性のある

個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの－制度■

事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの① 電子犯罪防止法-

情報システムに関する犯罪の捜査等のため、捜査機関による個人情報を含む情報システムへのアクセスを認める。

以上- 20 -