データプライバシーとは？
データプライバシーとは、個人情報やデータを、不正なアクセス・利用・開示・破壊から保護することを指します。個人データが、適用されるデータ保護法と規制に従って収集・処理・利用されることを確保することを含みます。
個人データには、氏名、住所、生年月日、メールアドレス、電話番号、その他の識別情報など、識別された、または識別可能な個人に関するあらゆる情報が含まれます。こうしたデータは、サービスの提供、製品のマーケティング、研究の実施のために、組織によって収集されることがしばしばあります。
データプライバシーとデータセキュリティは、デジタル時代の重要な課題です。収集・処理・共有される個人データが増えるにつれ、世界各国の政府は個人情報の保護を確保するため、こうしたデータの利用を規制する措置を講じてきました。
世界には、データプライバシーを規律するいくつかの法律があり、国や地域ごとに独自の規制があります。この記事では、それらの法律、類似点と相違点、重要性、そして遵守の方法を紹介します。
なぜデータプライバシーが重要なのか？
データプライバシーが不可欠なのは、個人の同意なしに個人情報がアクセス・利用・開示されることから個人を守るからです。個人情報とは、氏名、住所、電話番号、メールアドレス、金融情報、オンライン上の活動など、個人を識別するために使える情報すべてを指します。
データプライバシーの重要性は、次のようなさまざまな観点から見えてきます。
-
個人の権利の保護：データプライバシーは、プライバシー、自律、自己決定に対する個人の権利を守るのに役立ちます。個人が自分の個人情報の利用・共有をコントロールでき、不正なアクセスや利用を防ぐ助けになります。
-
なりすまし被害の防止：個人情報はなりすまし（身元の盗用）に使われることがあり、犯罪者がデータを使って個人になりすまし、金融情報その他の機微な情報にアクセスします。データプライバシーは、不正な者が利用できる個人情報の量を制限することで、これを防ぐ助けになります。
-
信頼の構築：データプライバシーは個人と組織の間の信頼を築きます。個人情報が責任を持って扱われていると個人が信頼すれば、組織に情報を共有しやすくなり、よりパーソナライズされた効果的なサービスにつながります。
-
規制の遵守：多くの国や業界には、組織に個人情報の保護を求める規制があります。これらの規制への準拠は、処分を避け、良好な評判を保つために不可欠です。
-
知的財産の保護：データプライバシーは、著作権・特許・営業秘密の侵害に使われうる機微なデータへのアクセスを制限することで、知的財産も保護します。
まとめると、データプライバシーは、個人の権利を守り、なりすましを防ぎ、信頼を築き、規制の遵守を確保し、知的財産を保護するため重要です。個人も組織も、個人情報を保護し、安全なデータ環境を保つための措置を講じることが不可欠です。
データプライバシーを規律する法律には何があるか？
世界には、データプライバシーを規律するいくつかの法律があり、国や地域ごとに独自の規制があります。主要なデータプライバシー法をいくつか紹介します。
- 一般データ保護規則（GDPR）
一般データ保護規則（GDPR）は、個人データの処理を規律する欧州連合（EU）の法律です。2018年5月に施行され、すべてのEU加盟国に適用されます。GDPRは個人に自分の個人データのコントロールを与え、このデータを処理する組織に対し、保護と個人の権利の尊重を求めます。
GDPRは、組織の所在地にかかわらず、EUの個人の個人データを処理するすべての組織に適用されます。個人データの処理の前に個人から同意を得ること、そしてデータがどのように使われるかの情報を個人に提供することを組織に求めます。GDPRはまた、不正なアクセス・開示・悪用から個人データを守るために、適切なセキュリティ対策を実施することも求めます。
- カリフォルニア州消費者プライバシー法（CCPA）
カリフォルニア州消費者プライバシー法（CCPA）は、しばしば米国版のGDPRと呼ばれます。CCPAは、個人情報の収集・処理・共有を規律するカリフォルニア州法です。2020年1月に施行され、カリフォルニア州で事業を行う、またはカリフォルニア州住民の個人情報を収集するすべての事業者に適用されます。CCPAは個人に対し、どの個人情報が収集されているかを知る権利、個人情報の削除を求める権利、個人情報の販売をオプトアウトする権利を与えます。
CCPAは、カリフォルニア州住民の個人情報を収集し、一定の基準を満たすすべての事業者に適用されます。基準には、年間売上高が2,500万ドル以上であること、または5万人以上のカリフォルニア州住民・世帯・端末の個人情報を収集していることが含まれます。
- 個人情報保護法（PIPL）
中国個人情報保護法（PIPL）（英語）は、GDPRとCCPAの中国版と呼ばれます。個人情報の処理を規律する中国の法律です。2021年8月に可決され、2021年11月1日に施行されました。PIPLは、海外の組織を含め、中国で個人情報を処理するすべての組織に適用されます。
PIPLは個人に自分の個人データのコントロールを与え、このデータを処理する組織に対し、保護と個人の権利の尊重を求めます。個人データの処理の前に個人から同意を得ること、そしてデータがどのように使われるかの情報を個人に提供することを組織に求めます。PIPLはまた、不正なアクセス・開示・悪用から個人データを守るために、適切なセキュリティ対策を実施することも求めます。
- 個人データ保護法（PDPA）
PDPAは、シンガポールにおける個人データの収集・利用・開示を規律するデータプライバシー法です。シンガポール国外の組織を含め、同国の個人の個人データを処理するすべての組織に適用されます。
- プライバシー法（Privacy Act）
プライバシー法は、オーストラリアの政府機関による個人情報の取り扱いを規律するデータプライバシー法です。政府機関が収集・保有する個人情報に適用されますが、民間部門の組織には適用されません。
- 一般データ保護法（LGPD）
LGPDは、ブラジルにおける個人データの処理を規律するデータプライバシー法です。ブラジル国外の組織を含め、同国の個人の個人データを処理するすべての組織に適用されます。
これらは世界のデータプライバシー法のほんの数例です。いずれも個人の個人データのプライバシーを守ることを目的とします。いずれも、個人データの処理の前に個人から同意を得ること、そしてこのデータを守るために適切なセキュリティ対策を実施することを組織に求めます。
これらの法律の主な違いは、その適用範囲です。たとえばGDPRは、個人データの収集・処理の前に個人から明示的な同意を得ることを求めますが、PIPLは、機微な個人情報の処理の前に個人から事前の同意を得ることを求めます。さらにPIPLは、大量の個人情報を処理する場合にデータ保護責任者（DPO）の任命を組織に求めますが、GDPRは、一定の種類の個人データを処理する場合、または公的機関である場合にDPOの任命を求めます。
もう一つの違いは、不遵守に対する処分です。たとえばGDPRは、最大2,000万ユーロ、または企業の全世界の年間売上高の4%のいずれか高い方の制裁金を科すことができます。CCPAは1件の違反につき最大USD 7,500の制裁金を認め、PIPLは最大5,000万人民元、または企業の年間売上高の5%の制裁金を科すことができます。
個人も組織も、自分に適用されるデータプライバシー法を理解し、これらの規制に準拠するための措置を講じることが不可欠です。データプライバシー法に準拠しないと、多額の制裁金と組織の評判への損害につながることがあります。
データ処理補遺（DPA）とは？
データプライバシーとデータ処理補遺（DPA）は同じではありません。データプライバシーとは、個人情報やデータを、不正なアクセス・利用・開示・破壊から保護することを指します。個人データが、適用されるデータ保護法と規制に従って収集・処理・利用されることを確保することを含みます。
一方、データ処理補遺（DPA）とは、データ管理者（コントローラー）に代わってデータ処理者が個人データを処理する際の条件を定める法的契約です。DPAは、個人データの処理におけるデータ処理者の責任を明確にし、データ処理者が適用されるデータ保護法と規制に準拠することを確保します。
言い換えれば、データプライバシーは個人データの保護を包含するより広い概念であり、DPAは、個人データの処理に関する具体的な条件を定めることで、組織がデータプライバシー規制に準拠するのを助ける法的な手段です。
DPAはデータプライバシーそのものではありませんが、データプライバシー法への準拠を保つうえで不可欠な道具です。DPAを締結することで、データ管理者はデータ処理者に自らと同じデータ保護の基準を課すことができ、データ処理者は、個人データを守るための適切な技術的・組織的措置を実施したことを示せます。
中国との協働を円滑に
データプライバシーと、各国・各地域の法令への準拠の方法について、理解が深まれば幸いです。貴社のテックツール、サイト、オンライン上の存在を中国へ持ち込みたいなら、当社がお手伝いします。
21YunBoxは中国向けの主要なWebホスティングプラットフォームです。同じワークフローのまま、貴社のテックを中国で動くようにします。
21YBを始めるにはアカウントを取得（英語）するか、貴社のビジネスが中国で成功する方法を知るにはお問い合わせ（英語）ください。ご相談は英語で承ります。