インドデジタル個人情報保護法がついに成立

カテゴリー： ASEAN・中国・インド, 会計・法務

連載： ONE ASIA LAWYERS - ASIAビジネス法務

公開日 2023.11.09

インドにはこれまで個人情報保護に関する包括的な規制がありませんでしたが、ついに2023年8月、デジタル個人情報保護法（Digital Personal Data Protection Act, 2023）が成立しました。本稿執筆時点では未施行ですが、政府の通知をもって全部または一部の規定が発効します。

同法が施行されると、現行IT法に比べて企業が遵守すべき明示的な義務が拡大する上、例えば通知義務は、施行前に同意を得た個人情報の処理にも遡及適用されるなど、企業の実務に与える影響は少なくありません。同法における主な規定は次のとおりです。

適用対象

同法は、「デジタル形式の個人情報」または「非デジタル形式で収集され、それがデジタル化された個人情報」を適用対象としており、また、域外適用もされます。すなわち、インド国外でデジタル個人情報を処理する場合であっても、インド国内のデータ主体に対する商品・サービス提供に関連する処理であれば、同法の適用となります。

本人への通知・同意取得

個人情報は、①本人の同意を得た場合、または、②特定の正当な目的のため（certain legitimate uses）にのみ処理が認められます（第4条）。

①の「本人の同意取得」について、企業は、同意取得時に際し、(i)個人情報・処理目的、(ii)同意撤回の権利行使方法、(iii)規制当局への苦情申立て方法を明記した通知を行う義務があります。さらに、同法施行前に取得した個人情報についても、合理的に実行可能な限り早急に、同法に基づく同様の通知を行う必要があります（第5条）。

現行IT法では機密性の高い個人情報に該当しない限り、同意取得は明文上の義務はなかったため、規制の強化となっています。

ただし、緊急医療対応や企業の雇用目的など、②「特定の正当な目的」がある場合に限り、本人の明示的な同意を得ることなくその個人情報を処理できるとされています（第7条）。

国外移転・データローカライゼーション

通知・同意取得といった通常の個人情報の処理と同じプロセスで国外に移転ができます。ただし、国外移転に関し、政府が何等かの制限を設けることができる規定（第16条第1項）であるため、例えば国や業界、企業規模などに応じて国外移転の可否や義務を規定する通達が追加される可能性があります。

データローカライゼーションに関しては、同法上に規定はないものの、現行IT法の「通達」に基づき、企業は使用する全システムのログを、180日間インド国内に保管する義務があり、この国内保管義務は現時点では併存するものと見られます。また、金融や保険など、業界固有のより厳格な国外移転規制も同様に存続することとなります。

企業（データ管理者）の義務

企業は、個人情報保護措置を講じる必要があります。具体的には、以下などが含まれます（第8条）。

☑　漏洩防止セキュリティ措置
☑　データ漏洩時の規制当局および本人への通知
☑　本人による同意撤回時・目的終了時の情報削除
☑　情報保護担当者（Data Protection Officer）の配置・周知
☑　苦情処理制度の整備

なお、例えばデータ漏洩防止のセキュリティ対策不履行に対しては最大２５億ルピーの罰金が規定され、その罰金額も注目されています。

今後の見通し

報道によると、同法に基づく規則案が近く発表され、2024年9月までに完全施行される予定であると報じられています。同法はインドでビジネスを行う企業の実務に影響が及ぶため、引き続き注視することが求められます。