第6回:違反企業の実名公開でレピュテーションリスクも!?シンガポールの個人情報保護法2019/03/11Tweet1.はじめに前回のベトナムに続き、本連載の第2回は、ASEAN各国の中ではシンガポールと同じく英米法諸国の1つであるマレーシアの個人情報保護法の概要及び最新動向について説明させていただきます。2010※1が施行されました。処理を行うためには原則として個人情報の主体の同意が必要となっています。2010(以下「PDPA」)が成立し、2013年11月15日に施行されました。PDPAの関連法規として以下があります。subject)に直接または間接的に関連するものと規定されています(PDPA第4条)。保険業に関連するいかなる事項も含むとされているため(但し、クレジットレポーティングビジネスは含まない)(PDPA第4条)、企業が行う事業活動で取得する個人情報は基本的にPDPAにおける「個人情報」に該当すると考えられます。個人情報の「処理(processing)」とは、個人情報を収集・記録・保存することまたは個人情報に対して何らかの作業をすることとされており(PDPA第4条)、企業において個人情報を取り扱う行為は基本的に「処理」とみなされると考えられます。本法は民間のみに適用されるもので、連邦政府または州政府には適用されません。マレーシアの国外で個人情報を処理する者にも、マレーシア国内でさらに個人情報の処理が予定されていない限り適用されません(PDPA第3条)。(2)個人情報保護の7原則PDPAの適用対象者は、個人情報保護について、下記の7つの原則を遵守しなければなりません(PDPA第5条)。Principle):情報使用者は、個人情報を処理する場合、原則として情報主体から同意を得なければならない。data)」を取得する際には、情報主体から「明示的」な同意を取得することが必要となる。Principle):情報使用者は、情報主体に対し、個人情報の処理について書面による通知をしなければならない。招くもの、又はアップデートを要するものである場合には、訂正することができる。Principle):情報使用者は、個人情報収集時に開示した目的又はそれに直結する目的以外の目的(「その他の目的」)のために個人情報を第三者に開示する場合には、原則として情報主体から同意を得なければならない。Principle):情報使用者は、個人情報の紛失や不正使用などを防止するため、個人情報の保管場所に注意を払うことなどによって具体的な措置をとらなければならない。Principle):個人情報は、目的達成のために不要となった場合には、破棄されなければならない。Principle):情報使用者は、個人情報が正確かつ完全で、誤解を招かないものであり、また常に最新のものであるように、合理的な措置をとらなければならない。原則として、情報使用者は、大臣(Minister)が通知により指定した場所でない限り、マレーシア国外に情報主体の個人情報を送信することはできません。大臣が指定する場所とは、基本的には本法と同様の法律がある国となります。例外として、情報主体が同意した場合であれば、情報使用者及び情報主体間の契約の履行に情報の国外送信が必要な場合などに、大臣が指定する場所でなくても、マレーシア国外へ個人情報を送信することができるとされています(PDPA第129条)。2017の原案※10が作成されています。本規則は個人情報の国外移転が許可される国/地域を定めるもので、原案では日本を含む23の国/地域がリストアップされています。現時点では大臣の承認を得ていないようですが、承認されれば、情報使用者は情報主体の同意の取得等、PDPAの規定に関わらず、許可された国・地域への個人情報の国外移転が可能になります。Userとして特定されている者は、Commissionerに登録しなければなりません(PDPA第15条)。サービス、不動産、公共サービス等が含まれています。登録証書は更新が必要であり、PDPAに違反した場合や登録証書における条件の遵守を怠った場合には登録が取り消される可能性があります。確立を目的としたもので、組織内で個人情報漏洩が起きた場合に、情報使用者は関連当局及び当事者に対して通知する義務を負うことになります。本諮問書では個人情報漏洩通知に含めるべき内容が検討されており、個人情報漏洩の詳細、漏洩に対する措置、通知先及び通知期限だけでなく、組織が行ってきた個人情報保護に関する研修等の詳細も通知内容に挙げられています。Commissionerは、情報使用者に発行される登録証書に条件を付す形で個人情報漏洩通知の義務を課すことを提案しているため、Commissionerへの登録が不要な業種に該当する情報使用者に対してはこの義務が課せられるのかどうか等不明瞭な部分も多く残った内容となっています。※11:http://www.pdp.gov.my/images/pdf_folder/PCP-1-2018-DBN-Ver2.pdf(6)罰則7つの原則のいずれかに違反した情報使用者には、300,000リンギット以下の罰金もしくは2年以下の懲役またはその両方が科せられます(PDPA第5条2項)。登録が要求されるにもかかわらず、登録証明書の発行を受けずに個人情報を処理した者には、500,000リンギット以下の罰金もしくは3年以下の懲役またはその両方が科せられます(PDPA第16条4項)。※12:https://globalcompliancenews.com/malaysia-enforcement-personal-data-protection-20171101/3.個人情報保護に関する最新動向PDPAの導入にも関わらず、2017年10月には、マレーシアの携帯電話加入者4600万人もの顧客情報が漏洩するという大規模な個人情報漏洩が起きました※13。この漏洩は、マレーシアの人口のほぼ全体を巻き込んだと考えられ、アジアでも最大級の顧客情報漏洩として報道されました。上述の通りPDPAは商業目的での個人情報使用のみを規制するものであり、オンライン・プライバシー等の問題に関する条項は規定されていません。オンライン化が進む中、オンライン上で急速に増加する個人情報を保護するため、既存の個人情報保護法を強化することが必要となっています。PDPAでは、情報漏洩があった場合の情報使用者による当局への通知の義務は規定されていません。上述の通り、マレーシアでも情報漏洩時の政府当局への通知義務を含めるため政府が取り組み出しており、早ければ2019年の中旬には法律の改正があるとも報道されています。2010※14(以下「WPA」)によって、汚職・不正行為の通報者を法的に保護しています。不正行為の抑制を目的としたこの法律では、通報者および通報内容についていかなる者に対しても開示してはならない旨、定められています(WPA第8条1項)。この条項に違反した場合、50,000リンギット以下の罰金もしくは10年以下の懲役またはその双方が科せられます(WPA第8条4項)。※14:http://www.bheuu.gov.my/pdf/Akta/Act%20711.pdf5.おわりにマレーシアにおける個人情報保護法は他国の法律や規制と比較して遅れをとっている部分があり、特にオンライン化が進む世界で個人情報を保護するための法律や規制の制定が必要となっています。結果の公表等、今後の動向に注目が集まっています。Lawyersは、ASEAN地域に特化した法律事務所であり、ASEANにおいてシームレスな法務アドバイザリー業務を日系企業に特化して行っております。ついて現地に根付いた最適なサービスを提供しております。ミャンマー事務所にて執務を行い、現在は主にマレーシア案件を担当。マレーシアを中心にクロスボーダーM&Aをはじめアジア法務全般のアドバイスを提供している。コンプライアンス・紛争発生時の対応等の法務コンサルティングを執り行う。