インドネシアの個人情報保護法

インドネシアにおける個人情報の保護は、デジタル技術の発展に伴い、その重要性が一層高まっている。2022年には、同国初の包括的な個人情報保護法が制定され、個人データの取得、処理、保存、共有に関する規制が導入された。これにより、事業者は当該規制を遵守する必要がある。本稿では、同法の主な規制内容について概説する。

個人情報の定義

個人情報保護法2022年第27号（以下「PDP法」という）は、2022年10月17日に公布され、2年間の猶予期間を経て、2024年10月17日に全面施行された。PDP法第4条では、個人情報を「一般個人情報」と「特定個人情報」の2種類に分類して規定している（図表1）。

データ管理者とデータ処理者

PDP法では、個人データを取り扱う主体を「データ管理者」と「データ処理者」に区分している。
データ管理者とは、個人データの処理に関する目的を定め、その管理権限を行使する個人、公的機関、国際機関などを指す。データ管理者には、以下のような義務が課されている。
（a） 個人データ主体からの同意を証明すること（PDP法第25条）
（b） すべての個人データ処理活動を記録すること（同第31条）
（c） 個人データの安全性を保護・確保すること（同第36～38条）
（d） 個人データ処理の合法性、目的、妥当性を伝えること（同第20条、第21条） など

一方、データ処理者は、データ管理者に代わって個人データの処理を行う個人、企業、公的機関、国際機関などであり、自らまたは共同でその処理に関与する者を含む（PDP法第1条）。
データ処理者は、管理者の指示に従って個人データを処理しなければならず、他の処理者に処理を委託する場合には、管理者から書面による承諾を得る必要がある（同第51条）。

データ保護責任者（DPO）の選任

PDP法第53条では、以下のいずれかに該当する場合、データ保護責任者（DPO）の選任が義務付けられている。
① 公共事業のために個人データの処理を行う場合
② データ処理の過程において、大量のデータに対する構造的かつ体系的な監視が必要な場合
③ データ処理の中核的活動が、大量の特定個人データ及び/又は犯罪行為に関する個人データの処理に関連する場合

なお、「大量のデータ」に該当するか否かの基準や定義については、現時点で法令上明確に規定されていない。
DPOの選任基準については、2023年8月31日付のPDP法に関する政令案（以下「政令案」という）において、専門性、法律知識、個人データ保護の実務経験、職務遂行能力に基づいて任命されるとされている。ただし、これらの要件に関する具体的な定義や基準は、PDP法上には明記されていない。また、政令案の下では、DPOは社内人材からも社外の第三者からも任命可能とされている。

個人データ保護の罰則

PDP法では、違反者に対して行政制裁と刑事罰の2種類の制裁が規定されている。
行政制裁については、PDP法第57条において図表2の措置が定められている。
一方、刑事罰については、PDP法第67条から第73条において、禁止行為を行った個人または法人に対して、図表3のような制裁が規定されている。また、付加刑として、犯罪行為によって得た利益及び/又は資産の没収、損害賠償の支払いなども科される可能性がある。

インドネシア国外への個人データの移転

データ管理者が個人データをインドネシア国外へ移転する場合、以下のいずれかの要件を満たす必要がある（PDP法第56条）。
① 移転先の国が、インドネシアと同等以上の個人データ保護水準を有していることを確認すること
② 移転先との間で、適切かつ拘束力のある個人データ保護措置が確保されていることを確認すること
③ 個人データ主体から明確な同意を得ること

なお、上記③に基づく移転については、2023年8月31日付の政令案において、以下の条件をすべて満たす必要があるとされている。
（a） 移転が反復的でないこと
（b） 移転対象となるデータ主体が少数に限定されていること
（c） 移転が、データ主体の権利や自由を損なわない目的のために必要であること
（d） データ管理者がリスク評価を実施し、適切な保護措置を講じていること
（e） データ管理者が、個人データ保護機関（Lembaga PDP）およびデータ主体に対して、移転の実施とその移転により得られる正当な利益について通知していること

PDP法政令案

前述のとおり、PDP法の下位規則に関しては、2023年8月31日に政令案が策定されているが、現時点では公布には至っていない。政令案は全245条・10章で構成されており、本稿で紹介した内容にも関連するかたちで、広範囲にわたる詳細な規定が盛り込まれている。今後は、本政令案の動向も含めて、施行される規則の重要性が一層高まることから、PDP法の細則に関しては、引き続きこれらの動向を静観する必要がある。