2019 年 11 月

ASOCIO のデータプライバシーに関するポリシーガイダンス(仮約):―アジア・オセアニア地域における個人データへのアクセス信頼性を向上し、プライバシーを保護するためにー

本文書の目的
本文書の目的は、個人データへの信頼できるアクセスを可能する一方でプライバシー保護を強化するという現在提案されているアプローチについて、ASOCIO メンバーおよびその他の利害関係者に問題点とポリシーに関するガイダンスを提供することにあります。ASOCIO メンバーによるポリシー策定の背景資料として、また政府関係者や政策インフルエンサーとの議論に活用して下さい。

免責事項
ASOCIO のポリシーガイダンスには一般的な情報のみが含まれており、特定の国の法制度や個々の状況向けのアドバイスとなるものではありません。ASOCIO は、本ガイダンスに記載示された情報に基づいて行われた行為、または本ガイダンスに依拠した結果として生じた損失に対して責任を負いません。

概要
人のプライバシーは、個人として、職業人として、または社会的に識別可能な形でデータ化がなされており、容易に悪用され我々に被害を及ぼす危険性があります。ですから、保護の必要があります。
特にデジタルの世界では、信頼性を確立し、効率的かつ効果的なやりとりを行うためにこのデータの多くを他の人（例：健康/医療、銀行/金融、税/社会保障）と共有する必要が常にあります。このようなデータを共有する人は、データ保護の必要性を尊重し、プライバシーを保護することが期待されています。
上記のプライバシーに関する協定は、保護と共有のバランスをとるものです。企業、政府、個人はすべてこの協定を尊重することが求められ、規制は協定を具体化し、プライバシーと信頼のバランスを反映するものでなければなりません。
データが国境を越えて送信される場合にはこれらの問題はさらに大きくなります。ASOCIO の本文書は、特に地域内外での協力とコラボレーションを可能にし、維持するためのポリシーガイダンスを提供
1

するものです。
ASOCIO のアプローチは、下記の 3 つの原則に基づいて、ヨーロッパ（GDPR を通じて）、日本（APPI）、および APEC 内（CBPR）で採択された「優良」実施方法を反映しています。
1. リスクベース

保護要件を規模、データのタイプ/重要性、および転送頻度に関連付けること。
2. 説明責任

重複、遅延、または断片化を回避するために、（GDPR および CBPR で具体化されているように）既存あるいは/計画中のデータガバナンスについての相互認識および相互運用性を確保すること。
3. 包括性

データ保護の専門家、企業、立法者、消費者グループとの間での透明な協議を頻繁に実施すること。これにより消費者の信頼を高め、コンプライアンスコストを削減し、法的複雑さを最小限に抑えます。
ASOCIO は、すべてのプライバシーおよびデータ保護の利害関係者に対し、上記原則に基づいたアプローチを検討して採用すること、およびすでに開発されあるいは運用されている優れたモデルおよびフレームワークを活用するよう要請します。このアプローチの採用により、更に安全で保護されたデータフローが促進され、結果、地域の経済成長と地域全体の緊密な協力が実現します。

ASOCIO について
ASOCIO(アジア・オセアニア・コンピューティング産業機構: Asian-Oceanic ComputingIndustry Organization)は、アジア・オセアニア地域の経済を代表する IT 業界団体です。
ASOCIO は、メンバー間の関係と取引を促進、奨励、助長し、この地域のコンピューティング業界を発展させることを目的に、1984 年に設立されました。
現在、ASOCIO にはオーストラリア、バングラデシュ、ブータン、ブルネイ、カンボジア、香港、インド、インドネシア、日本、韓国、ラオス、マカオ、マレーシア、モンゴル、ミャンマー、ネパール、ニュージーランド、パキスタン、フィリピン、シンガポール、スリランカ、台湾、タイ、ベトナムの 24 か国の団体が加入しています。ASOCIO は 10,000 を超える ICT 企業がメンバーであり、アジア・オセアニアでの総売上は約3,500 億米ドルにのぼります。
ASOCIO は、ポリシータスクフォース（ASOCIO PTF）を設立して、地域全体の「デジタル」関連の問題に対する共通の理解を促進しています。ASOCIO-PTF の目的は、APEC、ASEAN、および南アジア経済の政策立案者を対象として、産業部門に影響を与える主要な問題について、ICT ビ
2

ジネスの声を共同で調査、開発、明確化、調整することです。本文書は ASOCIO がかかる目的追求のため作成公開するシリーズの最初のものです。

対象者（本ガイダンスの想定読者）
このガイダンスは、政策立案者、消費者、ビジネスパートナー、すべての ASOCIO メンバー協会および企業に広く配布され、プライバシー保護の問題に対する意識を高め、データ保護の重要性に対する ASOCIO の考え方を伝えます。

データのプライバシー、アクセス、信頼：問題
個人として、職業人として、または社会的に人を識別する情報、関連する社会的および商業的活動、さらには私たちが伝えた私的思考さえも含まれている個人データは、容易に悪用され我々に被害を及ぼす危険性があります。その一方で、日常の仕事に従事し、社会の他の人々と関わるためには、個人データの多くを共有する必要があります。個人データにより、自分自身を識別し、信頼を確立し、現代のネットワーク化されたデジタル世界に参加するのです。
個人データを保護する必要性は相当前から認識されていました。実際、欧州連合では、データ保護は基本的な権利として定義されています。他の国や地域もこれに倣っており、重要な課題は、信頼性を促進し、社会的および商業的に活用するために必要なアクセスと共有をサポートするバランスの取れた方法でデータを保護することです。

ASOCIO のアプローチ
タスクフォースによる ASOCIO の最初の共同努力は、特にアジア・オセアニア地域に焦点を当てて、各国の国内規制や国境を越えた移転ルールを含むプライバシー保護ポリシーの断片化(fragmentation)解消を目指すものです。
ASOCIO は、この取り組みを通じて、ICT 業界内のデジタルエコノミー全般、特にアジア太平洋地域のビジネスパートナー、消費者、社会的経済的交流への「信頼」を強化するために、プライバシー保護ルールのより高い一貫性と理解を求めています。プライバシー保護ルールの一貫性と理解を深めることで、次世代の経済と社会の基本的なリソースである個人データへのアクセスと共有が強化されます（たとえば、日本の「社会 5. 0」ビジョンを参照）。ASOCIO メンバーは、このことを地域全体のビジネスの中心として認識し、プライバシーを維持しながら、より信頼できる個人データへのアクセスを強化する一貫したルールを理解し、採用するよう政策立案者に促すものとします。
3

ASOCIO は、ASEAN、APEC などの地域協定を通じて、および進行中の貿易協議を通じて、アジア・オセアニア地域全体のすべての政府に対し、個人データへの信頼できるアクセスを強化する効果的かつ一貫した統治ルールを策定実施することを求めています。
ASOCIO 地域のデジタルエコノミーにとって、共通アプローチを通じて、実効性があり、かつ広く認識されている個人データのガバナンスを行うことは不可欠です。また、地域がグローバルな経済的および社会的意義をもって成長することも同様に重要です。ASOCIO に代表されるような個人データ専用のデータガバナンスに関する独自の共通の理解を確立および促進し、個人データを使用する ICT /デジタル部門における地域全体の「信頼」を継続的に改善する必要があります。
そのために、ASOCIO は、このガイダンスに記載するプライバシー保護に関する 3 つの主要原則に基づくアプローチを推奨しています。すなわち、ASOCIO は下記のプライバシー保護を推奨しています。
1.

リスクベース2.

説明責任ベース

3.

包括的背景1980 年の OECD プライバシーガイドライン策定から 30 年後の 2010 年以降、多くの国で新世代の個人データ保護法が出現または発展しています。現在、本ガイドラインは、国境を越えたデータフローと説明責任に基づくデータガバナンスに関する議論を含め、OECD 内で第２回審査手続を受けているところです。
プライバシー保護ポリシーにおける世界断片化（global fragmentation）は、デジタルエコノミーにリンクしているすべての利害関係者にとって共通の関心事です。断片化は、グローバル/地域貿易の機会、ならびに社会的および経済的な協力と協力の機会を損ないます。
ASOCIO の ICT 関連メンバーシップは、アジア・オセアニア地域の「デジタルイネーブラービジネス」を示しています。本文書で ASOCIO は以下を求めています。


最初に、プライバシー保護および信頼の強化に関する国および地域の政策関係者の意識を高めることの重要性を強調すること。



その後、より深い理解を促進し、共通の見解を開発すること。そして



最後に、地域全体のパートナーとの統一ポリシーおよび規制に関する推奨事項を推進するこ4

と。
経済のデジタル変革における「信頼」の中心的な意義を強調することは重要です。地域内および世界の貿易、協力、協業のため、信頼は域内域外を問わず重要です。
政策決定の議論では、デジタル変革経済における「信頼」を促進する上で個人データへのアクセスを強化するとともに、データ保護とプライバシーの役割と相互依存性を認識しなければなりません。
ASOCIO は、「デジタルイネーブラービジネス」セクターの重要性を提唱し、セクターの「信頼」を促進するために国境を越えて域内で協力することを求めています。プライバシーの効果的なガバナンスと個
人データの安全な処理を可能にする強力で一貫したプロセスの重要性を ASOCIO のすべてのメンバーが理解する必要があります。
ASOCIO は、プライバシー保護におけるその立場をアジア・オセアニア地域のビジネスパートナー、消費者、および政策立案者との間で明確かつ強力に推進します。
ASOCIO とそのメンバーは、プライバシー保護に焦点を当て、APEC、OECD、およびその他の組織と協力して国境を越えた協力の調整を促進し、達成してゆきます。
これらの期待に効果的に対応するため、ASOCIO はすべての ASOCIO メンバー、パートナー、および政策立案者とこのガイダンスをオープンかつ広く共有し、提案された原則とアプローチの採用を促進してゆきます。

ASOCIO からの提案:
ASOCIO は、信頼を高めるため、3 つの重要なプライバシー原則に基づいたシンプルなアプローチを提案しています。

1.

リスクベースのプライバシー保護

現実には、個人データを「完全に」保護することはできません。データ処理には予測不可能性と不確実性が常に存在します。したがって、リスクベースのアプローチなしに「常に完全な」データ保護を継続的に追求することは、企業、消費者、経済、および社会全般への相応な利益なしに、データガバナンスへの過剰かつ不均衡な負担を強いることになります。

5

実効性のあるリスクベースのアプローチでは、規模の問題を考慮する必要があります。たとえば、個人データの中小処理業者はデータ処理量が少ないため、取引先のニーズに対して最適化されたガバナンス戦略を持っていればよいわけですが、個人データの大規模処理業者では事情が異なってきます。
政策立案者は、ビジネス向けに最適化されたリソースが事業スケールに基づいて実際のリスクに比例するよう、データ保持タイプ/感応性、規模、および頻度に基づくリスク評価における「合理的な努力」を認識する必要があります。
これらのリスク評価では、既存の安全な国境を越えたデータ転送の取り決めでの多くの成功例に照らし、長期的に全体的なリスクが低いことへの強力な証拠として反映させる必要があります。
ASOCIO は、個人データの国境を越えた転送の効率的かつ効果的なリスク評価を可能にするために、データ転送トランザクションの両側でのデータ処理プロセスの透明性を推奨しています。このリスクベースのアプローチの良い例が、個人データの国境を越えた転送が認められる場合について下記の 3つの条件が定められている欧州連合の一般データ保護規則（GDPR）です。


データ主体の同意がある場合。または



適切なデータ保護がなされていることの相互認識がある地域/国の間の転送である場合。または



指定されたモデル契約条項に基づいて移転が行われる場合。

日本の個人情報保護法（APPI）には、個人データの国境を越えた転送に関する 3 つの類似した条件があり、データによる共有と価値創造を改善するための国境を越えたコラボレーションを強化および促進する条件として APEC CBPR（国境を越えたプライバシールール）などの世界的に認められた認証制度との相互承認も重視されています。日本、シンガポール、韓国、オーストラリア、チャイニーズ・タイペイ、フィリピンを含む ASOCIO 地域の 9 つの APEC 経済圏は、2019 年末までに CBPRに加盟する予定です。
「リスク」は単にデータ主体に関係するものではありません。ASOCIO メンバー企業は、個人データの公正かつ適切な保護を検討し、実施することにより、自身のリスクを軽減することもできます（かつ、すべきです）。企業全体のデータガバナンスの重要な要素としてデータプライバシーの「良いものではあるが完全ではない」リスク管理を確立および維持することの利点は、コストとバランスが取れることです。
ASOCIO は、プライバシー保護に対するリスクベースのアプローチと並んで、地域の政策立案者が既存のルール（EU の GDPR や日本の APPI）と整合するリスクベースの国境を越えた移転について明確かつ透明なルールを確立または保証しあるいは地域内の「優良実施規範」とすることを推奨しま
6

す。

2. 説明責任ベースのプライバシー保護「説明責任」は、プライバシールールの世界の断片化に対処するための重要なブリッジングコンセプトです。EU の GDPR にもこの概念が組み込まれています。
ASOCIO 地域を見ると、APEC CBPR 制度も「説明責任」に基づいており、各経済圏の「説明責任」がこれにより認証プロセスを調整しています。その場合、データの説明責任ベースのアプローチにより、政府の直接規制に代わる方法が可能になります。ルールと法律を定義する代わりに、データ管理者とデータ処理業者が、従業員、ビジネスパートナー、消費者、社会全体の間で共有する明確な文書形式でそれぞれの「説明責任」を定義します。
シンガポール、日本、韓国、オーストラリア、チャイニーズ・タイペイは、非 ASOCIO（ただし APEC）経済圏である米国、メキシコ、カナダとともにすでに CBPR スキームに参加しています。APEC データ保護サブグループ（DPS）は、南アジアの経済などの非 APEC 経済への CBPR 制度の拡大を計画しています。 ASOCIO メンバーは、その所属企業および政府とともに、この DPS 拡大プログラムに参加するべきです。
EU / GDPR で期待される認証メカニズムとの相互運用性も、CBPR 推進の優先事項です。
ASOCIO は、APEC モデルが採用され、他の地域内の規制制度が出現するにしたがって、一貫した説明責任の原則に基づく説明責任チェックリスト共通項目を採用することにより、プライバシー保護枠組の断片化がさら減るものと期待しています。
ASOCIO とそのメンバーおよびパートナー内でこれをさらに促進するために、提案された一貫性のある説明責任に協力して取り組む機会を作成し、実践する必要があります。これには、証拠に基づいた研究、教材、セミナー、ピアレビュー、仮想フォーラムなどが含まれます。これらを活用して中小企業を含む ASOCIO 企業間で経験と知識を共有することにより、説明責任の精神と考え方を効果的に高めることができます。

3. 信頼のための包括的なプライバシー保護
個人データへの政府のアクセスは、市民のニーズを満たすための最小限の要件に制限する必要があります。個人データの公共部門によるガバナンス自体は、民主主義の原則と市場ベースのプロセスを使用して実施することになります。
7

プライバシー保護は、多数の関係者によるアプローチに依存しています。 ASOCIO は、各経済圏の団体、消費者、特に当該地域の中小企業との協力を行います。中でも APEC のデジタルエコノミー運営グループとそのデータ保護サブグループは、CBPR プログラムの中心です。
ASOCIO 内および他の国際公共政策諮問グループとの協力による包括的なアプローチが必要であり、データ保護の専門家との頻繁でオープンな協議が重要になります。
同様に、消費者の信頼を高めることも不可欠です。消費者は個人データの共有と処理について懸念を持っている一方で、さまざまな社会的および商業的理由で、デジタル世界に積極的かつオープンに参加しています。黙示的または明示的な信頼がその裏付けであり、信頼は相互の要件です。したがって、信頼を促進および強化するための政府および企業のイニシアチブは継続的に実施されなければなりません。 ASOCIO および ASOCIO メンバーにはそれが可能です。これらのイニシアチブを実施することの利点はよく知られています。強力なブランド効果の作成、コンプライアンスおよび法的要件のコストの削減/最適化です。
消費者の信頼の強化は、アジア・オセアニア地域の包括的かつ自由なデータフローを促進します。それは国および地域の経済成長に不可欠な成長をもたらし、より広い範囲の国のデジタルエコシステムを可能にする、より開かれた、公正で市場ベースのデジタルエコノミーを促進します。ASOCIO は、APEC、ASEAN、FOIP（自由で開かれたインド太平洋戦略）などの自由なデータフローの議論を支援してゆきます。

結論
デジタルエコノミーの新しいビジネスを発展させるには、プライバシー保護に対する（「完璧」ではないものの）公正ですぐれた知識と適切なガバナンスが不可欠です。したがって、ASOCIO のすべての利害関係者、政府、および政策立案者は、信頼を高め、アクセスを強化するために、データ保護へのアプローチでリスクベース、説明責任ベース、および包括的原則を検討および採用することが求められます。
優れたモデルと枠組はすでに存在します。そのいくつかは実際に施行中です。地域におけるこれらのモデル/枠組の共同開発は、アジア・オセアニアの自由なデータフロー圏創設の重要な機会を提供し、ますであり、重要な国および地域の経済成長と、社会のあらゆるレベルでの緊密な協力に資するものです。
すべての ASOCIO メンバーおよび関係者が、ASOCIO を通じて、APEC デジタルエコノミー運営グル
8ープなどの利害関係者/オブザーバーグループに組織に参加することによって、これらの成果を実現するために必要な会話に参加するよう招待し、奨励します。
Acknowledgement は訳省略

9