インドネシア共和国
個人情報の保護に関する制度の有無
包括的な法令は存在しない。個別の分野に適用される法令のうち代表的なものとして、以下の法令が存在する。
- 電子情報及び電子取引に関する2008年法律第11号(Law No. 11 of 2008 on Electronic Information and Transaction)(以下「2008年法」という。) ※ 2008年法の変更に関する2016年法律第19号(Law No. 19 of 2016 on the amendment of Law No. 11 of 2008)(以下「2016年法」という。)により改正されている
- 電子システム及び電子取引の実施に関する2019年政令第71号(Government Regulation No. 71 of 2019 on the Administration of Electronic Systems and Transactions)(以下「2019年政令」という。)
- 電子システムにおける個人情報に関する2016年通信情報省規則第20号(Minister of Communications and Informatics Regulation No. 20 of 2016 on the Protection of Personal Data in an Electronic System)(以下「2016年規則」という。)
- 民間電子システム運営者に関する2020年通信情報省規則第5号(Minister of Communications and Informatics Regulation No. 5 of 2020 on Private Electronic System Operators)(以下「2020年規則」という。)
- 2020年規則を改正する2021年通信情報省規則第10号(Minister of Communications and Informatics Regulation No. 10 of 2021)(以下「2021年規則」という。)
- URL(2008年法):https://jdih.kominfo.go.id/produk_hukum/unduh/id/167/t/undangundang+nomor+11+tahun+2008+tanggal+21+april++2008
- URL(2016年法):https://jdih.kominfo.go.id/produk_hukum/unduh/id/555/t/undangundang+nomor+19+tahun+2016+tanggal+25+november+2016
- URL(2019年政令):https://jdih.kominfo.go.id/produk_hukum/unduh/id/695/t/peraturan+pemerintah+nomor+71+tahun+2019+tanggal+10+oktober+2019
- URL(2016年規則):https://jdih.kominfo.go.id/produk_hukum/unduh/id/553/t/peraturan+menteri+komunikasi+dan+informatika+nomor+20+tahun+2016+tanggal+1+desember+2016
- URL(2020年規則):https://jdih.kominfo.go.id/produk_hukum/unduh/id/759/t/peraturan+menteri+komunikasi+dan+informatika+nomor+5+tahun+2020
- URL(2021年規則):https://jdih.kominfo.go.id/produk_hukum/unduh/id/774/t/peraturan+menteri+komunikasi+dan+informatika+nomor+10+tahun+2021
- 施行状況(2016年法による改正後の2008年法):2018年4月21日施行
- 施行状況(2019年政令):2019年10月10日施行
- 施行状況(2016年規則):2016年12月1日施行
- 施行状況(2020年規則):2020年11月24日施行
- 施行状況(2021年規則):2021年5月21日施行
- 対象機関:公的部門及び民間部門の電子システム運営者
- 対象情報:電子システムを通じたものか否かに関わらず、単独又は他の情報と共同して、直接又は間接的に個人を識別できる情報
個人情報の保護に関する制度についての指標となり得る情報
OECD プライバシーガイドライン8原則※3に対応する事業者等の義務又は本人の権利
OECDプライバシーガイドライン8原則に対応する事業者等の義務又は本人の権利については、以下のとおり。
- マル1 収集制限の原則:上記法令に一部規定されている。
- マル2 データ内容の原則:上記法令に一部規定されている。
- マル3 目的明確化の原則:上記法令に一部規定されている。
- マル4 利用制限の原則:該当する規定は不見当である。
- マル5 安全保護の原則:上記法令に一部規定されている。
- マル6 公開の原則:上記法令に一部規定されている。
- マル7 個人参加の原則:上記法令に一部規定されている。
- マル8 責任の原則:上記法令に一部規定されている。
その他本人の権利利益に重大な影響を及ぼす可能性のある制度
- 個人情報の域内保存義務に係る制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
-
- 事業者に対し政府の情報収集活動への協力義務を課す制度であって、本人の権利利益に重大な影響を及ぼす可能性のあるもの
- マル1 2016年規則、2019年政令及び2020年規則
- 政府は、行政監督目的又は刑事法執行目的で、電子システム運営者に対し、電子情報等へのアクセスを求めることができる場合がある。
- 上記の各法令に基づく民間事業者が保有する個人情報へのアクセスに関しては、例えば、以下の点に関する規定が存在しない。
- アクセスの実施に関する透明性の確保
- アクセスの実施について法令順守を確保するための監督、調査及び審査の仕組み
- マル1 2016年規則、2019年政令及び2020年規則
- 情報技術法
- 中央政府等は、インドの主権及び一体性、国防、州の安全保障、諸外国との友好関係、公序良俗、及びこれらに関係する認識可能な犯罪の実行の防止又は捜査のため、情報の提供等を求めることができる。
- 同法に基づく民間事業者が保有する個人情報へのアクセスに関しては、例えば、以下の点に関する規定が存在しない。
- アクセスの実施に関する制限及び手続
- アクセスの実施に関する独立した機関からの承認
- 取得された情報の取扱いの制限・安全管理
- アクセスの実施に関する透明性の確保
- アクセスの実施について法令順守を確保するための監督、調査及び審査の仕組み
- 違法なアクセスにより権利等を侵害された場合の救済
【留意すべき事項】
-
個人情報の保護に関する法律(平成15年法律第57号)(以下「個人情報保護法」という。)第28条第2項の趣旨には、外国にある第三者に対する個人データの提供に伴うリスクについて、本人の予測可能性を高めるという点のほか、外国にある第三者に対して個人データを提供する事業者においても、従前以上に、提供先の外国にある第三者における事業環境等を認識することを促すという点が含まれる。また、事業者が同項に基づいて本人に対して提供すべき情報の具体的内容は、個別の事案に応じて異なり得る。したがって、外国における個人情報の保護に関する制度の確認は、外国にある第三者に対して個人データを提供する事業者の責任において行うべきものであり、当委員会が提供する上記参考情報は、あくまで補助的なものとして参照する必要がある。
-
当委員会が提供する上記参考情報は、当委員会が2021年度に行った「外国における個人情報の保護に関する制度等の追加調査」の結果に基づくものであり、あくまで当該調査を実施した2022年2月15日時点における情報に基づくものである。当該時点以降、外国において個人情報の保護に関する制度が改正されること等により、外国にある第三者に対して個人データを提供する事業者が本人に対して提供すべき情報の内容にも変更が生じている可能性がある。
-
当委員会が提供する上記参考情報は、当委員会が2021年度に行った「外国における個人情報の保護に関する制度等の追加調査」の結果に基づくものであるところ、当該調査は、以下の観点から調査対象の法令を限定して行ったものであり、必ずしも網羅的なものではない。外国にある第三者に対して個人データを提供する事業者は、上記参考情報以外にも関連する情報を保有している場合には、個人情報保護法第28条第2項及び個人情報の保護に関する法律施行規則(平成28年個人情報保護委員会規則第3号)第17条第2項に基づき、当該情報も本人に対して提供する必要がある。
- 以下の法令については、上記調査に係る委託先事業者又は再委託先事業者が代表的なものとして挙げた法令を調査対象としていること
- 個人情報の保護に関する包括的な法令を有しない外国における個別の分野に適用される個人情報の保護に関する法令
- 個人情報の域内保存義務に係る制度に関する法令
- 事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令
- - 事業者に対し政府の情報収集活動への協力義務を課す制度に関する法令については、刑事法執行目的又は国家安全保障目的の双方又は一方の目的で、事業者の保有する個人情報に対して外国政府がアクセスを行う制度であって、当該法令上、事業者が外国政府に個人情報を提供することが義務付けられているものを調査対象としていること
- 以下の法令については、上記調査に係る委託先事業者又は再委託先事業者が代表的なものとして挙げた法令を調査対象としていること
- ※1 EUの十分性認定を取得した国又は地域は、当委員会が我が国と同等の保護水準にあると認められる個人情報の保護に関する制度を有する外国等として指定しているEU(EU加盟国及び欧州経済領域の一部であるアイスランド、ノルウェー、リヒテンシュタイン)の個人情報の保護に関する制度であるGDPR又はその前身のデータ保護指令に基づき、欧州委員会が十分なデータ保護の水準を有していると認められる旨の決定を行っている国又は地域であることから、概ね我が国と同等の個人情報の保護が期待できる。このような意味において、EUの十分性認定を取得した国又は地域であることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。
- ※2 APECのCBPRシステム参加の前提として、APECのプライバシーフレームワークに準拠した法令を有していること、及びCBPR認証を受けた事業者やアカウンタビリティエージェントにおいて解決できない苦情・問題が生じた場合に執行機関が調査・是正する権限を有していること等が規定されていることから、我が国と同じくAPECのCBPRシステムに参加しているエコノミーにおいては、APECのプライバシーフレームワークに準拠した法令と当該法令を執行する執行機関を有していると考えられるため、個人情報の保護について概ね我が国と同等の保護が期待できる。このような意味において、APECのCBPRシステム参加エコノミーであることは、「個人情報の保護に関する制度についての指標となり得る情報」に該当する。なお、APECのCBPRシステムの対象は、民間部門である。
- ※3 OECDプライバシーガイドライン8原則は、OECD加盟国はもとより国際的な個人情報保護への取組において参照される基本原則としての役割を果たし、各国が個人情報保護制度を整備するにあたっては、事実上の世界標準として用いられている。
(令和4年1月25日更新)