ASEANにおける個人情報管理とシンガポールの実情
長島・大野・常松法律事務所
弁護士 長谷川 良 和
今年で個人情報保護法の全面施行から10年を迎える日本では、第三者機関としての個人情報保護委員会の新設を含む同法改正案が本年3月10日に閣議決定され、現在、今国会での成立が目指されている。国外に目を向けると、ASEANでも近年、個人情報保護に向けた動きが見られ、フィリピン、マレーシアなどに続き、昨年7月には、シンガポールでも主要な個人情報保護ルールが施行されるに至っている。
とりわけ、シンガポールは、アジアの地域統括機能を持つ日系企業も多く、また情報のハブとして存在感を増していることもあって、頻繁に飛び交う個人情報を適切に管理することが日系企業にとっても重要な責務となっている。既に情報保護責任者の選任、個人情報保護規則や対外的なポリシーの作成、国外への情報移動に係る手当その他一定の措置を講じている企業が多い印象であるが、未だ十分に手が回らず、中には個人情報保護委員会から指摘を受ける事例もあるようである。
そこで、以下では、日本の現行の個人情報保護法との比較において、シンガポールの個人情報保護ルールの幾つかの特徴を改めて簡単に紹介し、個人情報保護体制の維持・構築に向けた契機としたい。
1 規制対象者
シンガポールで個人情報の取得、使用、開示に関する活動を行う限り、シンガポールでは、個人情報保護法の規制対象事業者には、全ての法人等が含まれ、規模の大小や法人の設立地、シンガポール国内の事業所の有無を問わない。個人情報の保有件数やデータベース化の如何を問わない点で、日本の個人情報取扱事業者より規制対象者が広くなっている。
２ 保護対象となる個人情報
シンガポールで保護される個人情報は、それ自体で、又はその事業者が合理的に利用できる他の情報と相俟って、特定可能な個人に関する情報をいう。もっとも、事業上の連絡先情報、具体的には個人名、役職名、事業上の電話・FAX番号・住所・メールアドレス、個人に関する他の類似情報で、専ら私的目的で個人が提供したものでないもの等、一定の情報は保護対象から除外されており、日本とは異なる形で、事業者による個人情報の取得、使用及び開示の必要性とのバランスが図られている。
３ 情報保護責任者の選任義務
日本と異なり、シンガポールの事業者は、個人情報保護法の規定の遵守を確保するため、情報保護責任者を最低1名選任し、所定の連絡先を公表する必要がある。
４ アクセスに関する義務
また、シンガポールでは、個人から要求があった場合、事業者は、原則として速やかにその保有・管理する個人情報と過去1年の使用・開示履歴を提供しなければならない。
５ 国外への情報移動
事業者は、シンガポールの個人情報保護法と同等の保護水準を確保するために所定の条件に従う場合を除き、シンガポール国外への個人情報の移動を原則として禁止される。