2023.10.25

インドネシア【インドネシア】森・濱田松本法律事務所 アジアニュース／第96回「 個人情報保護法施行規則草案について」

【インドネシア】森・濱田松本法律事務所 アジアニュース／第96回「 個人情報保護法施行規則草案について」

◇インドネシア

2022年10月17日に施行されたインドネシアの個人情報保護法は、インドネシアにおける個人情報保護に関する包括的な枠組みを規定しています。その詳細は施行規則等で定められるものとされており、また、同法にて求められる体制を構築するまで、施行日から2年間の猶予期間（「経過措置期間」）が与えられています。
今般、インドネシア政府は、2023年8月31日、個人情報保護法の施行に関する政府規則の草案（「本草案」）を公表しました。
本草案は10章、245条からなり、個人情報保護委員会、個人情報処理に関する規則、個人情報保護責任者（DPO）、情報保護影響評価（DPIA）、個人情報の国外移転、制裁等に関する事項を幅広くカバーしています。
本草案の内容は今後変更される可能性もありますが、本レターでは、重要と思われる点に絞ってポイントを紹介します。
 
(1) 個人情報保護法の適用範囲について
 
個人情報保護法上、インドネシア国内において法的行為を行う者に対して同法の適用があるとされているのみならず、国外の者の行為についても、それにより、インドネシア国内において法的効果が生じる場合や国外のインドネシア国籍のデータ主体に法的効果が生じる場合については適用があるとされています。

個人情報保護法に定める「法的効果が生じる場合」は不明瞭な規定であり、同法の域外適用については広く解釈される余地があることから、一定の明確化が期待されているところですが、本草案では特段そのような規定は設けられていません。
 
(2) 特定個人情報に関する新たな規定
 
個人情報保護法上、特定個人情報とは、個人の健康に関する情報、生体情報、遺伝子情報、犯罪歴、子供に関する情報、財産に関する情報及びそのほか法令で定められる情報と定義されています。同法上、特定個人情報を処理する場合には、情報保護影響評価（DPIA）の実施が必要であり、また、一定の場合には、個人情報保護責任者（DPO）の設置が義務付けられます。

本草案では、省庁又はその他の機関が、個人情報保護委員会と連携の上、データ主体に対する差別的行為、有形又は無形の損失、その他法令に違反する影響等をもたらすなどのデータ主体に重大な影響を及ぼす可能性のある情報について、特定個人情報と決定することができる旨規定されています。

このように、本草案上は、特定個人情報に含まれるための基準が不明確であり、その判断も当局の裁量に委ねられていることから、特定個人情報の範囲が広範となる可能性があります。
 
(3) 国外移転
 
個人情報保護法上、個人情報の国外移転については、①情報の移転先国における個人情報保護の水準がインドネシアと同等以上である場合に認められるとされています。また、上記の条件が満たされない場合であっても、②法的拘束力を持った適切な個人情報保護体制が確保されている場合にも認められるとされています。さらに、②の条件すら満たされない場合であっても、③データ主体から同意があった場合にも認められるとされています。

本草案においても、上記の構造は維持されていますが、③データ主体からの同意を根拠とする個人情報の国外移転については、本草案において、以下の条件が追加されており、これら全ての条件を満たす必要があるものとされています。
 
(a) 反復的な移転ではないこと
(b) 移転対象となる個人情報のデータ主体が限定的であること
(c) 情報移転が条件達成のために必要であり、当該条件がデータ主体の利益等を侵害するものではないこと
(d) 個人情報管理者がリスク評価を行い、適切な保護措置を講じていること
(e) 個人情報管理者が個人情報保護委員会及びデータ主体に対して、当該個人情報の移転により得られる正当な利益を通知していること
 
また、本草案では、個人情報の国外移転に際しては、その根拠が上記①から③のいずれであるかに拘わらず、個人情報管理者は、常に個人情報移転に関するリスク評価を行うものとされています。これは、欧州GDPRと比しても、個人情報管理者にとっては厳しい制約となりうる可能性があります。
 
(4) 個人情報処理の根拠としての正当な利益
 
個人情報保護法上、個人情報の処理は、法に定める根拠が存在する場合に限り行うことができるものとされています。個人情報保護法上においては、当該根拠の一つとして、個人情報処理の目的及び必要性並びに情報管理者の利益とデータ主体の権利とのバランスを考慮し、正当な利益があるといえる場合が規定されています。

本草案においても、正当な利益に基づく処理を定めていますが、その詳細に関するガイダンスや具体例は特段示されていません。
 
(5) 最後に
 
個人情報保護法に規定されている経過措置期間の満了まで約1年となっており、多くの企業等が対応へ向けた準備を開始されているものと思われます。現時点では、個人情報保護法において求められる体制の理解は重要ですが、具体的な準備については、本草案の動向含め、今後施行される予定の各種施行規則の内容がより重要となりますので、それらの動向について引き続き注視が必要です。
 
本記事掲載URL
20231020-115639.pdf (mhmjapan.com)

（直近記事）
○第93回【シンガポール】「外国会社の株主名簿等の登録義務の一部免除」
○第94回【タイ】「取引競争委員会におけるリニエンシー制度の法制化の検討」
○第95回【シンガポール】「 AIシステムの開発・導入等における個人情報の利用に関するガイドライン案の公表」

前のページへ戻る