こんにちは！
3連休も終わりですが、今週は温かくなりそうですね

今日は、多くの個人情報担当が、情報古くなっているけどどうしよう？と頭を悩ませている問題をとりあげてみたいと思います。

⚫︎法の求めvs運用の悩み

悩みの構造はこんな感じです。

①法令の求め
越境移転を行う場合、個人情報保護法上、外国制度の通知・公表等が必要
　↓
②企業の運用実態
多くの企業は、自力で調査は難しいと感じており、移転国の制度の通知に個人情報保護委員会の調査を利用している
　↓
③頼みの綱の個人情報保護委員会の調査
一方、個人情報保護委員会は2022年の公開以降、更新がなされておらず、特にアジア圏の情報が古くなっている
　↓
④企業の悩み…
古くなり、情報の間違いを認知したとして、
個人情報保護委員会のリンクを外すべきか？　外したとして自社で今後も更新し続けられるのか？
うーん…という悩みです😩

では、①から④を具体的にみていきましょう

①法|越境移転時のルール

「外国における個人情報の保護に関する制度」

令和2年の個人情報保護法改正で、
外国にある第三者(委託や外国SaaS利用含む)に個人データを提供する場合、本人への情報提供の充実が追加されました。

その情報提供項目のひとつが、
外国の個人情報保護制度です。

具体的は(手書き)3️⃣の十分性認定国に移転する場合をのぞき、

1️⃣の本人の同意、2️⃣の基準適合整備(契約等で整備)いずれの場合も、(常にか求めに応じての差はあれど)本人に、移転する外国の個人情報の保護の制度の情報提供が必要となります。

1️⃣本人の同意で越境移転を適法化する場合

個人情報保護委員会の説明では、「外国における個人情報の保護に関する制度」の情報の提供として、以下の①から④の観点をふまえる必要があるとしています。

この点、令和2年改正時のガイドラインパブコメでは、多くの事業者から、事業者単独で外国の調査を行うことは限界があるため、国等の機関で調査して情報を公開してほしいという悲痛な要望が多数上がっていました。

この中で、個人情報保護委員会は、あくまで事業者の責任で確認すべきとしながらも、公式HPの令和2年個人情報保護法改正まとめページの中に調査結果のPDFを公開、後に、外国制度のコーナーを設けhtmlページを常設しました。(後述)

では、越境移転で「同意」としない場合は、必要ないかというとそうではありません。

2️⃣基準適合体制で越境移転を適法化する場合

一見、必要な情報が違うように見えますが、2ポツ目の「移転先の所在国における適正な取扱いの実施に影響を及ぼすおそれのある制度」は、例の説明を読むと、1️⃣の「外国における個人情報の保護に関する制度」とほぼ同義です。

従って、1️⃣の場合はプラポリや規約等に明示、2️⃣は求めに応じて回答と、伝え方に差はあれど、調べておかなければならないのは変わらず、
かつ、年に1回程度又はそれ以上の頻度で確認する必要があるといえます。

②個人情報保護委員会公表の外国制度

個人情報保護法委員会の公式HP上では、こちらに掲載されており、正式には諸外国・地域の法制度というタイトルです。

下のように、EU(EEA)は、同じ経済圏でGDPRが適用、米国やアラブ首長国連邦は州や地域で異なる法令が適用され、「国」ごとの法令ではないため、「地域」という表現を併用していると思われます。

③企業の運用実態

多くの事業者は、このHPを参考にしたり、自社のHPから個人情報保護委員会のページにリンクを行い、利用して公表を行っているのが実情です。

④企業の悩み

企業の運用上の悩みは、令和2年改正後、約3年の間、内容の更新がされていないと思われること。
特に、この2〜3年で急速に法制化が進んだアジア地域の法令が反映されていないことです。

例えば、事業者がこの個人情報保護委員会のページのリンクを張り、お客さま等個人に、移転国の制度の説明をしている場合、
個人情報保護委員会のページには包括的な法令はない。と断言して書いてある。でも、実際には、法令は施行されている。。というような国が見つかりつつあるのです。

事業者としては、上述のように、個情委が年に1回程度又はそれ以上の頻度で事業者に確認を求める以上、個情委側のHPの更新も最低年に1回はあるだろう、と希望的観測をもっていたのですが…)

では、具体的には、どこの国に大きな差異が生じているでしょうか？

まずはアジアと米国に絞ってざっと調べてみました。

⚫︎差異のサマリ

アジア圏

アジアのうち、一部の国をざっと確認したところ、この3年でほとんどの国に改正・下位規則制定の動きがあり、包括的な法令がなかった国も新法令が制定されています。

具体的には、個人情報保護委員会の調査時点で、包括的な法令がなかった国、インド、インドネシア、ベトナム等について、注意が必要ではないかと思います。

• 🇮🇳インド: なし→新法令施行待ち

• 🇮🇩インドネシア:なし→新法令2024施行
  

• 🇻🇳ベトナム:なし→2023施行

• 🇦🇺オーストラリア:あり→改正の動き

• 🇸🇬シンガポール:あり→2022改正

• 🇹🇭タイ:2022施行予定→施行済

• 🇹🇼台湾:あり→改正の動き

• 🇨🇳中国:あり→2023越境移転下位規則施行

米国

個人情報保護委員会の記載は、以下4法域のみですが、

• 連邦法

• イリノイ州

• カリフォルニア州

• ニューヨーク州

実際には、下のように、多くの州で法令の制定・施行が進みつつあり、上記3州以外でも注意が必要です。

⚫︎解決の方向性

前述の個人情報保護委員会のパブコメ返しでは、外国制度は各事業者が調べるものが、基本スタンスですが、大企業はコストをかけられるとしても、個人情報保護法は中小企業や任意団体にも適用される法律。

また、個々の事業者で調べて差異があるものでもありません。信頼のおける機関が調べたものを、活用することが合理的ではないかという考え方は自然な気がしますよね。

決してこの考え方が的外れではない証拠に、世界的な動きも始まっており、これらの動向を確認しながら、対処方法を整理してみます。

Big Picture

具体的には、2023年、G7デジタル技術・大臣会合のDFFT(データ・フリーフロー・ウィズ・トラスト)の具体化検討の中でも議論が始まっています。

すなわち、
・世界的にも各国の越境移転規制の複雑さが、国際間のデータ流通の障害となり、デジタル経済の発展を阻害しているという各国の共通認識
・認識を共にする国が中立的な組織IAPのプロジェクトの一つとして、「各国の越境移転規制のデータベースを作り、透明化、効率化」をはかろうという動きです。

IAPの立ち上げが今年2024年からということもあり、成果物が出て、かつそれが日本語訳されるまでには早くて1年、おそらく2〜3年はかかるのではないか？と推測しますが、期待感をもって見守りたい動きです。

足元の日本での改善

では、それまでの間、どうあるべきか？

この課題感を官庁出向ご経験もある弁護士さんにご意見を伺ってみたところ、「予算」問題が影響していそうなことをふまえ、改善案①のように、継続的に予算がつく、個人情報保護委員会直属の研究機関を設けるというアイデアをあげて下さいました。

改善案① 官庁の配下に定期的に調査を行う機能を設置

確かに、経済産業省にしても、総務省にしても、配下に調査研究機関があります。個人情報の分野は、デジタル広告、AI、PETs等のテクノロジーの進化に影響を受け、AI・競争法などの分野は特に諸外国の動向もふまえ、政策を決定します。

事業者としては、組織体〜省庁ごとの研究機関にこだわりはなく、all Japanとして信頼おける調査が年に1回以上、継続的に公表されることが希望ですが、確かにこうした手当てができれば、新技術・諸外国の調査が持続可能なかたちで行えそうです。

改善案② 中立団体　or 草の根

体制として①が望ましいものの、他の国においても、必ずしも国が万全な情報提供を行っているわけでもなさそうです。

では、海外ではどうしているか？
(推測も含みますが)IAPPのような団体が、企業や会員からの会費を原資に、調査結果を公表したり、One Trustのようなプライバシーマネジメント支援システム(SaaS)を提供する会社が、提供する海外の個人情報保護法令の配信サービスを利用することが、その例として推測されます。

日本においては、
日本語圏という事情、アジア圏の情報ニーズが欧米より大きいという事情もあり、大手弁護士事務所の各国法令updateのニューズレターを確認したり、IIJ社の法令調査有償サービスを購入している企業が多いように思います。

関連ビジネスが活発になることはよきこととしても、より広い層に簡潔に必要情報を届けるという点では、日本国内でも、IAPPのような情報提供を行う団体があり、そうした団体を支えるエコシステムを作ることが望ましいのかも？と最近考えます。
(設立趣旨としては、前の記事でとりあげた日本DPO協会なども受け皿の候補になりうるのかもしれません)

差異の可視化

TOBEの実現には時間がかかります。
なので、もやもやしていても始まらないので、まずひとりでできること、として、気がついた国の差異の可視化をまずアジア地域から始めようと連休中に思いつきました(笑)

といっても、ひとりではリソースや言語の壁もあり、世界中の一次情報源にあたることは現実的でなく、持続可能性がありません。
よって、IAPP等の団体の調査や日本の法律事務・JETRO等の2次情報から、大きな差異を可視化することを主とし、このnote上で、まずは1年間更新し続けてみようかな？と思います。

2次情報、かつ個人が片手間にやる整理では、実務において信頼をもって利用者に提供できるものにはなりません。
でも、「国」が法令のアップデートを数年間公表していないからといって、何もしないよりは、より諸外国の制度の実情の把握にはつながり、自分の勉強にもなるかなと思うためです。

追記2024/2/25 やってみました↓

ところで、利用者は外国制度を気にしているか？

正直なところ、個人的な葛藤として、そもそも、利用者は外国制度の内容を気にしているか？という点は、悩ましく、この規範そのものの認知度はそう高くない印象もあります。

一方、NRIのITナビゲーター2024年版調査によれば、越境移転が気になる人、気になる国というのは確かに存在しており、その懸念は制度的なリスクに限らず、その他国民感情の部分もあるように見えます(例:制度的なリスクは低い韓国など) 。
法令通りに対応しても、リスクがないわけではない点に留意が必要と感じています。

個人情報保護法制における外国制度は、その変化の激しさもあいまって、建前と本音が複雑に絡み合ったテーマ、なんですよね…

でも…

連休のおかげで、年末からもやもや考えていたことを吐き出し、スッキリ！(笑)

ここにこんな素敵な情報源があるよ！
こんなふうにしたらいいんじゃない？
この地域調べてみたいなど、ご意見などありましたら、Xまでコメントくださいませ🌟

数年後、IAPが素敵なデータベースを公開→日本語翻訳の運用が確立するのを夢見つつ…
半径1mでまずもがいていけたらな、と思います😊

ではまた！

おまけ:今日のDALLE-3(ボツにしたバージョン)