タイ王国のサイバーセキュリティ法および個人情報保護法が国民立法議会で可決(その１)

タイ、ベトナム、ミャンマーに拠点を持つローファーム(有限責任会社)Law Plus Ltdが標記レポート(サイバーセキュリティ法と個人情報庇護法)を出した。

　特に、個人情報保護法をフォローすべく筆者はNorton Rose Fulbright LLP のブログ・サイト”Overview of Thailand Draft Personal Data Protection Act ”やBaker Mackenzieのブログ”The First Thailand Personal Data Protection Act Has Been Passe”で本件を読んでいたが、東南アジアの地元の法律事務所の解説も読んでおきたい気持ちがあり、保留していた。

　今回のブログは、東南アジアの法律事務所のレポート、１）Law Plusの記事および2)Tilleke & Gibbins International Ltd (注1)の記事を仮訳し、3)極端に重複しない程度でNorton Rose Fulbright LLPのブログとBaker Mackenzieのブログの要旨を仮訳し、併せて4)タイ政府の公式サイトから同法の内容のポイントとなる点を概観しておく。

　言うまでもなく、タイの保護法案の内容は、他のアジア諸国と同様にEU「一般データ保護規則(以下”GDPR”)」等の影響を大きく受けていることは、本ブログを読んで理解できよう。

　なお、今回引用するローファームのレポートは執筆時期の関係で内容的に若干齟齬がある。後日、最終的なレポート等で確認されたい。

　最後に追加するが、タイのサイバーセキュリティ法（「CSA」）については、第1-1項で簡単に言及するが、詳しくはBaker Mckenzieのブログ「Thailand: Cybersecurity Bill Revised and Reissued in November 2018」を参照されたい。

　今回は2回に分けて掲載する。

１-1．Law Plus Ltdのブログ「タイ王国のサイバーセキュリティ法および個人情報保護法が国民立法議会で可決」(2019年3月11日発刊)の仮訳

　2019年2月28日、タイ王国の立法機関である国民立法議会（NationalLegislativeAssembly：NLA）は、タイのサイバーセキュリティ法（以下、「CSA」という）および個人情報保護法（以下、「PDPA」という）を可決した。それらは、その承認のために国王に提出され、後に発行された日の翌日から施行される前に、官報で発表される。ただし、第2、3、5、6および7章と節は除く。PDPAの95条と96条は、発行日から1年の猶予期間の後に施行される。

　原則として、CSAは公共および民間の両方のデータベースをカバーするサイバースペースにおける国家安全保障の確保を目的としているが、PDPAは、データ管理者を含む他の当事者による個人データの収集、使用または開示に先立ちデータ主体からの明確な「同意」を求める。

　CSAの下で、首相を議長、国防大臣を第一副議長およびデジタル経済社会大臣（「 MDES 」）を第二副議長としてとして、「国家サイバーセキュリティ会議（ NCSC ）」が設置される。

　CSAの最も重要な規定は、NCSC事務局およびNCSC事務総長の以下の権限に関連するものである。

① 情報を収集し、状況を分析し、国家のサイバーセキュリティに対するサイバーセキュリティの脅威としての影響を評価する。

② 不正行為に対して責任を負うことなく、情報や文書を提供するように人に命じ、財産や事業所に入ることによって情報を収集する。

③ コンピュータまたはコンピュータシステムの所有者または所有者または使用者に、コンピュータまたはコンピュータシステムにアクセスする権限を含む何らかの行為を行うかどうかを指示することにより、重要なサイバーセキュリティの脅威を防止、処理、軽減する。

④ 危険なサイバーセキュリティの脅威を防止し、処理し、施設に侵入し、情報にアクセスし、コンピュータプログラムをコピーし、コンピュータまたはコンピュータシステムをテストするか、または重要なサイバーセキュリティの脅威に関連すると疑われるコンピュータまたはコンピュータシステムを奪取する事前の裁判所命令を下す。

　一方、PDPAは、タイ王国「消費者法(CUSTOMS ACT B.E. 2560 (2017)」に基づくプライバシーの権利に準拠したデータ保護を管理する最初の特定の法律である。PDPAの遵守を規制するために、個人情報保護委員会（Personal Data Protection Commission： PDPC ）が設立される。そこでは欧州連合の「一般データ保護規則2016/679（ GDPR ）」からの多くの原則、例えば域外適用性がPDPAに採用され、適応されている。

　PDPAのいくつかの重要な規定は、以下のとおりである。

① 特定の方法での個人データの収集、処理、および使用に関する同意要件（特定の例外がある場合）

②データ主体の権利およびデータ管理者またはデータ処理者の義務

③ 第三国への個人データの転送に対する制限

④法律の域外への効果

⑤ 責任の制限なしにタイに現地代理人を任命するために個人データを収集、使用または開示するタイ国外のデータ管理者に対する要求

　PDPAの施行までの1年間の猶予期間中に、いくつかの実装規則がPDPCによって起草され、発布行されよう。一般の人々はそのような規則を起草することに参加する機会があるであろう。

　CSAとPDPAが官報に掲載されたら、読者に向けニュースレターの今後の号で内容を更新する。

１－２　Tilleke & Gibbins International Ltdのブログ「最終検討段階でのタイの個人情報保護法草案」　(2019年1月22日発刊)の仮訳

　2018年12月に首相府(Council of State )によって承認されたタイの個人情報保護法（PDPA）の草案は、現在、国民立法議会（NationalLegislativeAssembly：NLA）の審議中であり、NLAは、詳細を検討するための特別委員会を任命する予定である。同委員会が法草案を承認すると、NLAは彼らの意見を検討し、最終的な承認を出し、それを国王に提示して法律に調印する。

　草案は2019年以内に予想される施行になる前に政府公報に出版されるであろう。一般的にはほとんどの法律は政府官報に出版されてから180日後に施行される。

　現在のPDPA草案のハイライトは次のとおりである。

① タイ国以外の企業への遵守効果：海外のデータ管理者および処理者は、タイのデータ主体に商品またはサービスを提供したり、タイ国内で発生した行動を監視したりする場合、PDPAの適用対象となる可能性がある。そのような海外のデータ管理者および処理者はまた現地の代理人(駐在員事務所等)を任命し、PDPAを遵守しなければならない。この概念はEUのGDPRが実質的に採用されている。

②個人データの定義：「個人データ」の定義は、以前の草案、すなわち直接的または間接的にその人の識別を可能にするが、特に死亡者のデータを除外することができる人に関するデータから変更されていない。個人データには、ビジネス情報（役職、住所、および連絡先の詳細）は含まれていない。

③ データ主体の定義：この定義は前回の審問以来、完全に削除されている。「データ主体」の解釈は、各条ごとに異なる。

④ 同意を求める：同意の要求は明確でなければならず、データ主体をだましたり誤解を招くようであってはならない。その性質上不可能な場合を除き、同意は書面または電子的手段で行わなければならない。重大な利益、合法的な利益、公益、および契約上の義務の履行を含むなど、いくつかの状況では同意を免除することができる。

⑤未成年者に対する保護者の同意：PDPA草案では、10歳未満のデータ主体に対する親の同意、および10歳以上の未成年者に対する特定の状況における親の同意が依然として必要である。

⑥ 機密性の高い個人データの意義：労働組合関連データ、遺伝的データ、バイオメトリックデータなど機密性の高い個人データの扱いは前回の草案と変わっていない。

⑦ 第三国への移転：適切な保護レベルを持たない（一般的に厳しく禁止されている）第三国への個人データの移転に関する要件と免除の条件は変更されていない。免除できるは次のとおりである。

ⅰ) 適用法に従って個人データを移転すること。

ⅱ) 第三国が適切なレベルのデータ保護を欠いていることを知らされたデータ主体からの同意を得たとき。

ⅲ)データ主体が当事者である契約を遵守すること、または契約を結ぶ前にデータ主体の要求に従うことが必要である。

ⅳ) データ主体と他の主体との間の合意に従ってデータ主体の利益のために移転すること。

ⅴ) その時点でデータ主体の同意が得られなかった場合、データ主体、または他の人の生命、身体、または健康への損害を防止または中断するため。

ⅵ)実質的な公共の利益目的のために必要なとき。

⑧ データ主体のポータビリテイの権利： PDPAは依然としてデータ主体にデータのポータビリテイの権利を与える。

⑨データ保護責任者(オフィサー)：個人データ保護によって指定されたように、個人データを大規模に所有しているために、個人データの収集、使用、または転送が定期的に個人データまたはシステムの監視を要求する場合、コミッション、またはその中心的な活動が、機密の個人データの収集、使用、または転送に関連する場合、データ管理者およびデータ処理者はデータ保護担当者(オフィサー)を任命する。

⑩ 民事罰：民事責任規定は変わっていない。裁判所は、実際の損害の2倍の額の懲罰的損害賠償を命じることができる。

⑪ 行政罰：行政罰金は、前回の草案と同様に、100万バーツ(約353万円)から500万バーツ(約1760万円)の範囲である。

2－1　Baker Mckenzie のブログ「タイの立法議会、データ保護法を可決」 (2019年3月9日発刊)の仮訳

　タイ王国の個人情報保護法(PDPA)は、2019年2月28日に国民立法議会によって最終的に承認された。この法律は国王の承認とその後の官報への掲載のために提出される予定である。

　約20年間に及ぶ数々の試みの後（最後の挙げた下記の一連のクライアントへの警告を参照いただきたい）、タイの個人情報保護法がついに承認され、2019年2月28日に国民立法議会によって承認された。DPAは国王の承認とその後の官報への掲載のために提出される。

　このPDPAは、タイ王国における個人情報保護の展望を変える。タイ憲法はプライバシーの権利を支持しているが、タイはこれまでデータ保護全般を統括するいかなる連結法も持っていなかった。電気通信、医療、銀行、信用調査機関など、特定の事業部門には特定の法律しかなかった。PDPAは、タイで一般に情報保護を管理する最初の連結法となる。

　 PDPAには、企業が認識すべきいくつかの重要なポイントがある。すなわち、タイ以外の域外適用可能性、データ主体への通知要件、同意要件、未成年者の同意、個人データの収集、使用、開示、および国境を越えたデータ移転である。機密データの明示的な同意要求とそれに関連する免除条件、データ主体の権利、セキュリティ対策、データ漏洩とその通知、処理活動の記録、タイ国内に確立されていない管理人または処理者の代理人の選任、データ保護責任者(オフィサー：DPO）同一事業グループ内での移転に対する国境を越えた移転要件の免除、規定された刑事上(注2)および行政上の罰則、ならびに民事責任に対する実際の懲罰的損害賠償等である。

　PDPAはEU一般データ保護規則（GDPR）からさまざまな概念を引き出しているが、PDPAはタイの観点から開発された概念も反映している。GDPRへの準拠は、必ずしもPDPAへの準拠を意味するわけではない。したがって、企業はPDPAおよびGDPRに完全に準拠するためには、慎重な検討が不可欠である。

　PDPAの最終版はまだ官報で公表されていないが（このクライアントからのアラートの発表日現在）、近々正式に発表される予定であり、官報に掲載された後、各事業体はPDPAの遵守に備えるための移行期間を持つことになる。 PDPAはタイ国内外のほとんどの事業体に適用されるため（例外はない）、すべての事業体は、個人データ関連の活動（顧客データ、サプライヤー・データ、従業員データ、請求および支払い文書など）の見直しを開始してほしい。 PDPAが施行されたら、データマッピング、個人データ関連文書の作成、およびPDPAを完全に遵守するためのその他の必要な企業内手順等の策定が必要となる。

＊タイ王国の情報保護法案に関するこれまでのBamer mckenzie の情報提供リスト

日付およびタイトル

① 2018年9月公聴会のために発行された新しい個人データ保護法案 - GDPRに続く大幅な変更

② 2018年4月新ドラフト；タイ個人データ保護法案 - 領土外適用性の導入

③ 2018年1月更新：タイの個人情報保護法案に関する公聴会、新しい規定を含む

④ 2015年7月タイにおける個人情報保護法案の最新動向

⑤ 2015年1月デジタルエコノミーイニシアティブの下での法案の起草

２－２ Norton Rose Fulbright LLPのブログ「タイの個人情報保護法草案の概要」(2018年8月6日発刊)の仮訳

　アジア各国のデータ保護法は、引き続き導入され更新されている。とりわけ東南アジアにおける最新の立法動向の一つはタイである。

　2018年5月22日、タイの内閣は原則として、タイで最初の個人情報保護法（以下、「法草案」という）の改訂された草案を承認した。この草案法は、現在「国家立法議会」で審議中である。

　タイには現在、データ保護を規制する特定の法律がない。2014年に首相府が最初に法草案を発表した。法草案は数回の改定を経ており、本ブログは最近承認された法草案の概要を概説することを目的とする。

　法草案は、世界のデータ保護法、特にEU「一般データ保護規則(以下「GDPR」という)」に共通する多くの概念と義務等を複製、取り込むように改訂された。以下でこれらの主要な義務のいくつかを強調して説明する。

(1) 重要な項目の定義

　法草案には、他国のデータ保護法に似たいくつかの重要な定義がある。

① 「個人データ」は、生きている個人を直接的または間接的に識別できる情報として広く定義されている。

② 「データ管理者」とは、個人データの収集、使用または開示について決定を下す権限を持つ人物（自然人および法人）である。

③ 「データ処理者」とは、データ管理者の指示に従って個人データを収集、使用または開示する者（自然人および法人）である。

(2) 個人データ保護のタイ国外への適用

　法草案は、タイにあるかどうかにかかわらず、タイの個人から収集した個人データを収集、使用または開示する（それらの個人がタイ国民であるかどうかにかかわらず）データ管理者とデータ処理者の両方を規制する。これは、タイ国外の団体・組織は法草案の適用を受ける可能性があることを意味する。

(3) 一般的な保護原則である「同意」原則

　規定された例外のいずれかが適用されない限り、個人データの収集、使用または開示の前またはその時点で、書面または電子的手段を介してデータ主体から特定の「同意」が必要である。データ主体は、同意を取り消すことに関する法律または契約の下での制限がない限り、いつでも自分の同意を取り消すことができる。

******************************************************************************:

(注1) Tilleke & Gibbins International Ltd法律事務所は、Cambodia, Indonesia, Laos, Myanmar, Thailand, Vietnamに事務所を置く。

(注2) 筆者は、刑事罰の具体的内容の確認はできなかった。タイ王国の政府官報でも未確認であり、法律の原文で「行政罰」と「刑罰」の定義・内容を確認した段階で本ブログを修正したい。

*************************************************************

最新の海外法制、プライバシー保護、セキュリティ強化のガイダンス

このブログを検索