外国制度（コスタリカ共和国）

コスタリカ共和国

pdf版はこちら (PDF : 855KB)リンク先PDFファイルを別ウィンドウで開きます

個人情報の保護に関する制度の有無

包括的な法令として、以下の法令が存在する。

  • 個人情報の処理に関する人の保護に関する法律（Law on the Protection of Persons Regarding the Processing of their Personal Data No. 8968 of 2011）（以下「個人情報保護法」という。）
    • URL：http://www.pgrweb.go.cr/scij/Busqueda/Normativa/Normas/nrm_texto_completo.aspx?param1=NRTC＆nValor1=1＆nValor2=70975＆nValor3=85989
    • 施行状況：2011年9月5日施行※1
    • 対象機関：公的部門（地方自治体を含む。）及び民間部門 （ただし、金融機関は除く。）
    • 対象情報：「個人データ」（特定された又は特定可能な個人に関するあらゆるデータ（個人情報保護法第3条（b）））及び「センシティブデータ」（人種的起源、政治的見解、宗教的又は精神的信念、経済状態、生物医学的又は遺伝学的情報、性的指向等を含む個人に密接した情報（個人情報保護法第3条（e））））
  • 行政命令（Executive Decree No. 37554-JP of 30 October 2012 Regulating Law No. 8968, as amended by Decree No. 40008-JP of 2013）（以下「行政命令」という。）
    • URL：http://www.pgrweb.go.cr/scij/Busqueda/Normativa/Normas/nrm_texto_completo.aspx?nValor1=1＆nValor2=74352/
    • 施行状況：2013年3月5日発効、2016年12月6日改正
    • 対象機関：公的部門（地方自治体を含む。）及び民間部門（ただし、金融機関は除く。）
    • 対象情報：「個人データ」（特定された又は特定可能な個人に関するあらゆるデータ（個人情報保護法第3条（b）））及び「センシティブデータ」（人種的起源、政治的見解、宗教的又は精神的信念、経済状態、生物医学的又は遺伝学的情報、性的指向等を含む個人に密接した情報（個人情報保護法第3条（e）））

個人情報の保護に関する制度についての指標となり得る情報

  • EU の十分性認定※2：なし
  • APEC の CBPR システム※3：なし

OECD プライバシーガイドライン８原則※4に対応する事業者等の義務又は本人の権利

APECのCBPRシステム参加エコノミーである場合、民間部門については外国にある第三者に対する個人データの提供に伴うリスクについての本人の予測可能性は一定程度担保されると考えられるため、本項目に係る情報提供は必ずしも行う必要がない。

OECDプライバシーガイドライン８原則に対応する事業者等の義務又は本人の権利については、以下のとおり。

  • ① 収集制限の原則：個人情報保護法に規定されている。
  • ② データ内容の原則：個人情報保護法に規定されている。
  • ③ 目的明確化の原則：個人情報保護法に規定されている。
  • ④ 利用制限の原則：個人情報保護法に規定されている。
  • ⑤ 安全保護の原則：個人情報保護法に規定されている。
  • ⑥ 公開の原則：個人情報保護法に規定されている。
  • ⑦ 個人参加の原則：個人情報保護法に一部規定されている。
  • ⑧ 責任の原則：個人情報保護法に規定されている。

その他本人の権利利益に重大な影響を及ぼす可能性のある制度

  • 個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの

    －

  • 事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの

    －

【留意すべき事項】

  • 個人情報の保護に関する法律（平成15年法律第57号）（以下「個人情報保護法」という。）第28条第2項の趣旨には、外国にある第三者に対する個人データの提供に伴うリスクについて、本人の予測可能性を高めるという点のほか、外国にある第三者に対して個人データを提供する事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点が含まれる。また、事業者が同項に基づいて本人に対して提供すべき情報の具体的内容は、個別の事案に応じて異なり得る。したがって、外国における個人情報の保護に関する制度の確認は、外国にある第三者に対して個人データを提供する事業者の責任において行うべきものであり、当委員会が提供する上記参考情報は、あくまで補助的なものとして参照する必要がある。

  • 当委員会が提供する上記参考情報は、当委員会が2021年度に行った「外国における個人情報の保護に関する制度等の追加調査」の結果に基づくものであり、あくまで当該調査を実施した2022年2月15日時点における情報に基づくものである。当該時点以降、外国において個人情報の保護に関する制度が改正されること等により、外国にある第三者に対して個人データを提供する事業者が本人に対して提供すべき情報の内容にも変更が生じている可能性がある。

  • 当委員会が提供する上記参考情報は、当委員会が2021年度に行った「外国における個人情報の保護に関する制度等の追加調査」の結果に基づくものであるところ、当該調査は、以下の観点から調査対象の法令を限定して行ったものであり、必ずしも網羅的なものではない。外国にある第三者に対して個人データを提供する事業者は、上記参考情報以外にも関連する情報を保有している場合には、個人情報保護法第28条第2項及び個人情報の保護に関する法律施行規則（平成28年個人情報保護委員会規則第3号）第17条第2項に基づき、当該情報も本人に対して提供する必要がある。

    • 以下の法令については、上記調査に係る委託先事業者又は再委託先事業者が代表的なものとして挙げた法令を調査対象としていること
      • 個人情報の保護に関する包括的な法令を有しない外国における個別の分野に適用される個人情報の保護に関する法令
      • 個人情報の域内保存義務に係る制度に関する法令
      • 事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令
    • - 事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令については、刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、事業者の保有する個人情報に対して外国政府がアクセスを行う制度であって、当該法令上、事業者が外国政府に個人情報を提供することが義務付けられているものを調査対象としていること
  • ※1　 個人情報保護法を改正する法律が、2021年2月12日に特許商標公報で発布され、2022年2月15日時点において議会で審議中である。
  • ※2　 EUの十分性認定を取得した国又は地域は、当委員会が我が国と同等の保護水準にあると認められる個人情報の保護に関する制度を有する外国等として指定しているEU（EU加盟国及び欧州経済領域の一部であるアイスランド、ノルウェー、リヒテンシュタイン）の個人情報の保護に関する制度であるGDPR又はその前身のデータ保護指令に基づき、欧州委員会が十分なデータ保護の水準を有していると認められる旨の決定を行っている国又は地域であることから、概ね我が国と同等の個人情報の保護が期待できる。このような意味において、EUの十分性認定を取得した国又は地域であることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。
  • ※3　APECのCBPRシステム参加の前提として、APECのプライバシーフレームワークに準拠した法令を有していること、及びCBPR認証を受けた事業者やアカウンタビリティエージェントにおいて解決できない苦情・問題が生じた場合に執行機関が調査・是正する権限を有していること等が規定されていることから、我が国と同じくAPECのCBPRシステムに参加しているエコノミーにおいては、APECのプライバシーフレームワークに準拠した法令と当該法令を執行する執行機関を有していると考えられるため、個人情報の保護について概ね我が国と同等の保護が期待できる。このような意味において、APECのCBPRシステム参加エコノミーであることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。なお、APECのCBPRシステムの対象は、民間部門である。
  • ※4　OECDプライバシーガイドライン８原則は、OECD加盟国はもとより国際的な個人情報保護への取組において参照される基本原則としての役割を果たし、各国が個人情報保護制度を整備するにあたっては、事実上の世界標準として用いられている。

（令和4年1月25日更新）