国際データプライバシー法：ガイド

近年、データプライバシーへの取り組みが急速に広がり、EUのGeneral Data Protection Regulation (GDPR)やCalifornia Consumer Privacy Act (CCPA)が先導しています。これは、世界中の消費者が、自分のデータがどのように収集・保存・処理・販売されるのかに関して権利を得るとともに、データセキュリティの不十分な運用によってデータ侵害（個人を識別できる情報（PII）を含む）につながった場合に、企業の責任を追及するための手段もさらに増えているということです。

EUを対象とするGDPRと、カリフォルニアを対象とするCCPAがあることで、これらの地域に住んでいない人は、データプライバシーに関する規制によって自分が守られるのか疑問に思うかもしれません。答えは「状況による」です。米国のすべての州、またはすべての国にデータプライバシー規制があるわけではありません。

しかし、楽観できる点もたくさんあります。 Gartner は、2024年までに最新のプライバシー規制が消費者データの大半をカバーするようになると予測しています。ただし同じレポートでは、10%未満の企業しかプライバシーを競争上の優位性としてうまく活用できないとも予測されています。多くの企業が考えているのとは反対に、新しいプライバシー規制は ビジネスを後押しする存在であって、敵ではありません。これらは、ビジネスプロセスを最適化し、データ管理を改善し、コスト効率を実現するのに役立つからです。

データの流れがますますグローバル化するにつれ、企業は国際 データ・プライバシー法について十分に理解する必要があります。そうしないと、高額な罰金やその他の制裁を科される可能性があります。さらに、消費者に本来提供されるべきデータ保護を行えず、顧客を惹きつけ、維持する力を損なってしまいます。

このガイドを読んで、世界各国のデータ・プライバシー法について詳しく学び、遵守を確実にするためにそれらの要件をどのように満たすべきかを確認してください。

データ・プライバシー法と規制

データ・プライバシー法が一般的にどのように機能するのかを理解できたところで、ここでは世界で最も重要なデータ・プライバシー法の要約を紹介します。

欧州連合（EU）：一般データ保護規則（GDPR）

The GDPR は世界で最も厳しいセキュリティに関する法律です。2018年5月25日に施行され、欧州連合（EU）居住者に関するデータを収集または処理する、世界中のあらゆる企業に対して義務を課します。

GDPRに基づく主な原則、義務、および権利は以下のとおりです。

• データ最小化 — 企業は、ユーザーから必要以上の個人データを収集してはなりません。
• 完全性と機密性（セキュリティ） — 企業は、個人データを不法または無権限による処理から守るとともに、偶発的な損害、紛失、または破壊からも保護しなければなりません。
• 説明責任 — 企業は、個人データがどのように取り扱われるかを文書化し、その情報に実際にアクセスする必要がある人にのみデータアクセスを制限しなければなりません。
• データへのアクセス — 企業は、データ主体から個人データの写しの提供を求める要請を受けた場合、1か月以内に対応しなければなりません。
• 情報を訂正する権利 — データ主体は、個人データが不正確な場合に、企業にその個人データを訂正させる権利を有します。
• 削除する権利 — データ主体には、個人データの削除を求める権限もあります。
• 自動化された処理に関する制限 — GDPRは、データ主体が、自分に重大な影響を及ぼし得る自動化された意思決定の対象とならない権利を保障しています。
• データポータビリティ — データ主体には、他のサービス提供者へ簡単に切り替える権利があります。

GDPR違反に対する 罰金 は非常に高額です。比較的軽微な違反では、最大1,000万ユーロ、または前期の財務年度における会社の世界年間売上高の2%のいずれか高い方の罰金となる場合があります。より深刻な違反では、最大2,000万ユーロ、または前期の財務年度における会社の世界年間売上高の4%のいずれか高い方の罰金となる場合があります。

米国：カリフォルニア州消費者プライバシー法（CCPA）およびカリフォルニア州プライバシー権利法（CPRA）

EUとは異なり、米国にはGDPRのような包括的なプライバシー法はありません。とはいえ、さまざまな州（カリフォルニアを含む）が、市民の個人情報を保護するためにデータプライバシーに関する法律や規制を制定しています。これには、CCPAとその前身であるCPRAが含まれます。

CCPA は2018年に制定され、企業が消費者について収集する個人データに関して、カリフォルニアの消費者により大きなコントロールを与えます。2023年1月1日以降、CPRA により改正されています。

CPRAは、次の要件を満たす企業に適用されます：

• 年間の総収益が2,500万ドルを超えていること
• 少なくとも10万人のカリフォルニア州在住者の個人データを共有、購入、または販売していること
• 年収の50％以上を、個人データの販売または共有によって得ていること

GDPRと同様に、CPRAは消費者に次の権利を与えます：

• 誰が個人情報を収集しているのか、それがどのように使用され、誰に開示または共有されるのかを把握すること
• 個人データの使用を制限すること
• 個人データを削除または訂正すること

同様に、企業に対して次のことを求めています。

• 個人データがどのように収集され、どのように処理されるかを消費者に知らせること
• 合法的に開示された目的のため、かつ関連する範囲に限って個人データを収集する
• 消費者が個人情報を削除し、取得し、訂正し、共有できるようにする

CPRAの要件に従わなかった企業は、故意の違反1件につき最大7,500ドル、意図しない違反1件につき最大2,500ドルの罰金を科される可能性があります。

カナダ：個人情報保護および電子文書法（PIPEDA）

カナダの連邦プライバシー法である PIPEDA は2000年に制定されました。商業活動の中で個人データを使用・収集・開示するカナダの民間部門の組織に適用されます。

• PIPEDAは、商業活動 を、リース、物々交換、または会員・寄付者・募金リストの販売を含む、商業的性格のあるあらゆる取引、行為、または行動として定義しています。
• PIPEDAのもとでは、個人情報 には、識別可能な個人に関する、記録の有無にかかわらず、主観的または事実に基づくあらゆる情報が含まれます。これには年齢、収入、氏名、血液型、従業員ファイル、意見、ならびに懲戒処分が含まれます。

企業はPIPEDAに準拠するために、10の公正な情報原則 に従わなければなりません：

• 説明責任 — 組織は、10の公正な情報原則すべてを遵守し、自社のPIPEDA準拠のための担当者を任命するとともに、個人情報の取り扱いに関する実務と方針を策定・実施しなければなりません。
• 目的の特定 — 企業は、個人情報を収集する目的を特定し、文書化しなければならず、顧客に対して個人情報が必要な理由を説明しなければなりません。
• 同意 — 企業は、個人情報を収集する前に、必ず各人の同意を得る必要があります。
• データ収集の制限 — 組織は、正当で特定された目的を果たすために必要な情報のみを収集できます。
• 使用・開示・保管の制限 — 企業は、収集時に明示された目的のためにのみ個人データを使用または開示することができます。
• 正確性 — 企業は、個人に関する意思決定を行う場合や第三者に情報を開示する場合に、不正確なデータを使用する可能性を最小限にしなければなりません。
• 保護措置 — 組織は、個人データの機微度に応じて個人データを保護し、盗難、紛失、ならびに不正なアクセス、コピー、開示、改変または使用からすべての個人データを保護しなければなりません。
• オープンさ — 企業は、明確で理解しやすく、すぐに利用できる詳細な個人情報管理の実践を持たなければなりません。
• 個人によるアクセス — 個人には、企業が自分について保有している個人データにアクセスする権利があります。
• コンプライアンスへの異議申し立ての権利 — 個人には、企業が公正な情報原則に従っているかどうかに異議を申し立てる権利があります。

組織は、違反ごとに最大 100,000 カナダドルの罰金を科される可能性があります。

ブラジル：一般データ保護法（LGPD）

ブラジルの LGPD はEUの GDPR を強く参考にしており、GDPR および CCPA に続いて世界最大規模のデータプライバシー規制です。その主な目的は、業界ごとに設定されていることが多い 40 種類ものさまざまな規制を統一し、国内に存在する多種多様なデータプライバシー規制の数の多さによって生じる矛盾や衝突を解決することです。

この規制は、ブラジル国内でデータを処理する組織、ブラジルで収集された個人データを処理する組織、またはブラジルで商品やサービスを提供しながら個人データを処理する組織に適用されます。GDPR および CCPA と同様に、LGPD の影響を受けるために企業がブラジルに本社を置く必要はありません。

LGPD の下では、個人データが適用される本人は holder とみなされ、holder は自らの個人データに関して多くの権利を得ます。これには、以下が含まれます（ただしこれに限定されません）：

• 自分の個人データへのアクセス
• 古くなっている、またはその他の理由で不正確な個人データの訂正
• LGPDに準拠していない、または保有者（データ主体）の同意なしに処理された個人データの削除、または匿名化
• 過去に与えた同意を取り消すことができること
• 自分のデータがどのように使用され、誰とそのデータが共有されるのかに関する情報

LGPD第18条は、本規定におけるデータ保有者（データ主体）のすべての権利をカバーしており、追加の条文では不適合と判断された者に対する罰金やその他の罰則について扱っています。

新興のデータプライバシー法とグローバルな影響

上記の法律に加えて、次の新興のデータプライバシー法にも注目してください。

インド：個人データ保護法案（PDPB）

この 法案 はまだ草案の段階ですが、データプライバシー規制における現在のゴールドスタンダードである GDPR をモデルにしているため、議論する価値があります。成立すれば、PDPB はインドで収集、開示、または処理された個人データを取り扱う組織に適用されるため、GDPR と同様に国際的な影響があります。

PDPB の対象範囲は GDPR ともよく似ています。消費者は、自分のデータへのアクセス、訂正、削除の権利に加えて、 忘れられる権利 と、組織間におけるデータポータビリティを得られます。

ただし、ある組織が GDPR に備えているからといって、必ずしも PDPB にも対応できているとは限りません。2 つの規制には適用範囲にわずかな違いがあり、PDPB はまだ最終確定されていません。規制の具体的な内容は必ず変更される見込みであり、インドとのつながりがある組織は、その動向を注視しておく必要があります。

その他の注目すべきデータプライバシー法

その他にも、言及しておきたいデータ保護に関する法律として、次のようなものがあります：

• オーストラリアの Privacy Act 1988
• 中国の個人情報保護法（PIPL）
• 南アフリカの Protection of Personal Information Act (POPIA)
• たとえば、米国の業界別の法律：
• Health Insurance Portability and Accountability Act (HIPAA)
• Gramm–Leach–Bliley Act (GLBA)
• Sarbanes–Oxley Act (SOX)
• 連邦情報セキュリティ管理法（FISMA）（2002年）
• 児童オンラインプライバシー保護法（COPPA）

フレームワーク

データプライバシーに関する法令への準拠を組織が達成するのに役立つフレームワークもあります。例：

• 米国国立標準技術研究所（NIST）の Privacy Framework は、企業がプライバシー上のリスクを見つけ、管理するのを支援する自発的なツールです。
• アジア太平洋経済協力（Asia-Pacific Economic Cooperation, APEC）の 越境プライバシールール（Cross-Border Privacy Rules, CBPR）は、プライバシー法の施行における地域協力のための枠組みを作ります。
• ISO/IEC 27001 は、情報セキュリティマネジメントシステム（ISMS）のための世界で最もよく知られた標準です。

Netwrixがデータ・プライバシー関連法令への準拠を支援する方法

適用されるグローバルなデータ・プライバシー関連法令の遵守は、高額な罰金、評判の毀損、訴訟、その他のコストを回避するために非常に重要です。遵守を達成し、維持し、そして証明するための最も費用対効果の高い方法の一つは、Netwrix Compliance Audit Solution を導入することです。信頼性が高く、強力で直感的なこのソリューションにより、監査準備に伴うストレスと時間を最小限に抑え、コンプライアンス監査の際に質問へ迅速に回答できるようになります。次のことができます：

• 規制対象データがどこにあるかを特定し、そのデータへのアクセスを厳格に制御します。
• 強固な パスワードポリシーを適用する。
• 脅威を初期段階で検出します。
• 安全なシステム設定を確立し、維持します。
• 監査担当者が読みやすい証拠を作成します。

Netwrix の Compliance Audit Solution が貴社にどのように役立つのか、詳しく知りたいですか？本日、1対1のデモ をリクエストしてください。

よくある質問

プライバシー法を持つ国はどれくらいありますか？

「United Nations Conference on Trade and Development (UNCTAD)」によると、194か国中137か国がデータのプライバシーに関する法律を導入しています。全体では、プライバシー規制を持つ国が71%、法案（草案）がある国が9%、そして法律がない国が15%です。

多くの国でプライバシー法が整備され、情報の流れがますますグローバル化しているため、企業はこれらの法律を確実に遵守するための方針を策定する必要があります。そうしないと、高額な罰金を科されるだけでなく、評判（レピュテーション）にも損害を受ける可能性があります。

データのプライバシーに関する国際法はありますか？

はい。欧州連合（EU）の一般データ保護規則（GDPR）は、EU居住者の情報を処理または保存するあらゆる組織に影響を及ぼす国際的なプライバシー法です。

国際的な適用があるその他の州・連邦・地域のデータプライバシー法には、カリフォルニア州の消費者プライバシー法（CPRA）、中国の個人情報保護法（PIPL）、およびオーストラリアのプライバシー法（Privacy Act 1988）があります。

主要なグローバルなデータプライバシー法は何ですか？

主要な世界のプライバシー法には次のようなものがあります。

• 欧州連合の一般データ保護規則（GDPR）
• ブラジルの一般データ保護法
• 中国の個人情報保護法（PIPL）
• カリフォルニア州消費者プライバシー法（CPRA）
• オーストラリアのプライバシー法1988年

世界にはデータプライバシーに関する法律が全部で何件ありますか？

少なくとも 17 の国と地域では、GDPR に類似したグローバルなデータプライバシー法がすでに存在するか、または審議・準備中です。そのため、GDPR、PIPL、およびその他のグローバルなデータプライバシー規制への準拠に向けて、自社の準備を始めるべきです。

プライバシーに関する法律の原則は何ですか？

一見すると違いがあるように見えても、すべてのプライバシー関連法は同じ原則に基づいています。これらには以下が含まれます：

• 同意 — 企業は、個人の情報を保存または共有する前に、個人から十分に説明された同意（インフォームド・コンセント）を取得しなければなりません。同意により、個人は自分の個人データをコントロールできます。
• 目的の制限 — 組織は、特定かつ正当な目的のためにのみ個人データを使用しなければなりません。これにより、データ主体のデータに対して行うことが、データ主体に伝えた内容と一致することが保証されます。
• データ最小化 — 企業は、必要な個人データのみを収集・保管できます。これにより、侵害が発生した場合の影響を小さくできます。
• 個人の権利 — 組織は、データ主体に対して、個人データに関する権利を付与しなければなりません。これには、アクセス（閲覧）、訂正、消去を求める権利が含まれます。