同意に頼らない:7つの適法根拠の使い分け
PDPAの適法根拠は、同意、契約の履行、法的義務、生命に関する重大な利益、公的任務、正当な利益、歴史的研究等です。給与支払、請求書発行、社会保険の届出のように契約履行や法的義務で説明できる処理に同意を取ると、いつでも撤回され得る不安定な状態を自ら作ることになります。
機微情報(健康、宗教、犯罪歴、生体情報、労働組合員であること)は原則として明示的同意が必要で、例外は狭く解されます。指紋打刻機はタイで申告が多い典型例です。生体情報は機微情報であり、雇用関係下の同意は任意性が疑われるため、代替の打刻手段を必ず併設します。
越境移転:本社へのデータ還流に根拠は要ります
国外への移転は、移転先が十分な保護水準を有すること、または拘束的企業準則や標準契約条項などの適切な保護措置を講じること、あるいは同意・契約上の必要といった例外に該当することが必要です。タイ子会社の人事・顧客データを日本のサーバへ送る行為は典型的な越境移転であり、社内慣行ではなく文書上の根拠が求められます。
実務上早いのは、グループ内でデータ移転契約を締結し、プライバシー通知に移転先の類型・所在国・目的を明記する方法です。クラウド事業者の所在地も棚卸しの対象です。CRMやメールサーバが国外にあることを見落としている例は少なくありません。
揃えるべき6文書と1つの役割
処理活動記録(RoPA)、対外プライバシー通知、社内データ保護規程、データ主体からの請求への対応手順、漏えい対応手順、委託先との個人データ取扱契約(DPA)。当局の立入りで最初に求められるのはこの6点で、欠けていると合理的な注意を尽くしたとは主張しにくくなります。
中核的業務が大規模かつ系統的な監視を伴う場合、機微情報を大規模に扱う場合、公的機関である場合はDPOの設置が必要です。DPOは外部委託が可能で、連絡先を委員会に届け出ます。中小規模のタイ子会社では、兼任より外部DPOのほうが独立性要件を満たしやすい傾向があります。
漏えい報告と本人請求:二つの期限管理
漏えいが個人の権利自由へのリスクを伴う場合、覚知から72時間以内に委員会へ報告します。高リスクの場合は本人への通知も必要です。72時間は週末を含めて進行するため、事後に協議を始めるのではなく、当番体制と判定フローを事前に用意します。
本人にはアクセス、訂正、消去、処理の制限、ポータビリティ、異議の各権利があり、通常30日以内の対応が求められます。当所では標準回答文と本人確認手順を整備し、なりすましへの誤交付という二次的な違反を防ぎます。
よくあるご質問
- タイに法人がない日本企業にもPDPAは適用されますか。
- 適用されます。タイ国内の個人に商品・サービスを提供する場合や、タイ国内での行動を監視する場合は域外適用の対象となり、タイ国内代表者の指定も求められます。越境ECやアプリ事業者が見落としやすい点です。
- 従業員が同意を撤回したら、処理を止める必要がありますか。
- 同意はいつでも撤回できますが、給与・税務・社会保険のように契約履行や法的義務を根拠とする処理は撤回によって停止しません。だからこそ、何でも同意に依拠しない設計が実務的です。
- 防犯カメラや入退室記録も個人情報ですか。
- 該当します。個人を識別できる映像は個人情報であり、顔認証は機微情報です。要件を満たす掲示、保存期間の設定、閲覧権限の限定が必要で、保存期間が長すぎる運用は指摘されやすい不備です。