個人情報保護法（APPI）とは何で、外国企業にも適用されますか。

個人情報保護法は日本のデータ保護法で、個人情報保護委員会（PPC）が執行します。個人情報を取り扱うあらゆる事業者に適用され、域外にも及びます。日本にいる個人に物品・役務を提供することに関連してその個人データを取り扱う外国企業は、日本に拠点があるかどうかを問わず対象となります。事業を行うための登録はありませんが、データを扱った瞬間に生じる義務があります。

個人情報保護法はGDPRと同じですか。

同一ではなく、近い親戚です。ともに個人データの取扱いを規律し、個人に権利を与え、越境移転を制限し、漏えいへの対応を求め、EUと日本は互いに十分な保護水準にあると認めており、これがEUと日本のデータのやり取りを容易にしています。しかし個人情報保護法は独自の定義、同意・通知のルール、手続を持つため、GDPR対応は強力な出発点であっても代替にはなりません。GDPR対応が個人情報保護法対応に等しいと考えるのは、よくある危うい近道です。

個人情報保護法の漏えい報告義務とは何ですか。

2022年の改正以降、一定の漏えい等は個人情報保護委員会への報告と本人への通知が必要です。報告は形式ではなく現実の運用上の義務で、PPCは年間およそ7,000件の漏えい報告を受け、本人への通知も同程度の件数があります。日本の個人データを扱う外国企業は、いつ日本で報告が必要になるかを判別し、求められる期間内に動けるインシデント対応の体制を要します。

個人データを日本国外へ移転するルールはどうなっていますか。

越境移転は制限されます。外国にある第三者に個人データを提供するには、原則として、所定の情報に基づく本人の同意、移転先が十分な体制を備えていると認められること、あるいは提供先が適合的な体制を整備していること、のいずれかが必要です。十分性ではなく同意や提供先の体制に依拠する場合は、追加の情報提供と継続的な確認の義務が伴います。日本のユーザーのデータを海外のサーバーや関連会社に流すグローバル企業にとって、これは最も運用上重要な部分の一つです。

個人情報保護法を執行するのは誰で、罰則はどうなっていますか。

個人情報保護委員会（PPC）が執行し、報告徴収、立入検査、指導・命令の権限を持ちます。PPCの命令に従わないことや一定の違反は罰則につながりえて、正式な制裁を超えて、データの取扱いを重んじる市場での評判上の露出も現実です。PPCは活動を強めており、かつて執行が緩かったからと個人情報保護法を低リスクとみなすのは時代遅れです。

外国企業は個人情報保護法上、日本に代表者を置く必要がありますか。

日本に拠点を持たず個人情報保護法の対象となる外国事業者は、PPCと本人に対して到達可能で説明責任を果たせることが期待され、国内の代表者や連絡先を置くことが、多くの企業がその期待に応え、権利行使への対応や規制当局とのやり取りを扱う実務的な方法です。正確な要件は個別に確認すべきですが、域外適用に国内の説明責任の期待が伴わないかのように振る舞うのは誤りです。

外国企業のための個人情報保護法（APPI）対応：日本のデータ保護法

日本のデータ保護法は、日本にいる人の個人データを扱う外国企業に、ここに拠点があるかどうかを問わず及びます。 取得すべき免許も、事業を行うための登録もなく、まさにそれゆえに見落とされやすいのです。そして義務は、日本法人を設立したときではなく、データを扱った瞬間に生じます。

日本にユーザーを持つグローバルなデジタル事業、SaaS、EC、アプリにとって、個人情報保護法（APPI）は生きた遵守義務です。しばしば日本企業だけの問題と誤解され、あるいは既存のGDPR対応で足りると想定されます。どちらの想定も誤りで、どちらもよくあるものです。

本稿では、何が適用の引き金になるのか、外国企業が最もつまずく二つの義務、すなわち漏えい報告と越境移転、GDPRとの関係、そしてデータ政策がどこで政策の問題になるかを整理します。規制当局は個人情報保護委員会（PPC）です。

何が適用の引き金か：域外への到達

個人情報保護法は個人情報を取り扱うあらゆる事業者に適用され、決定的なことに域外にも適用されます。日本にいる個人の個人データを、その個人への物品・役務の提供に関連して取り扱う外国企業は、日本に拠点があるかどうかを問わず、この法律の対象となります。

これが外国企業の見落とす引き金です。日本の子会社、事務所、日本語のマーケティングすら必要なく、必要なのは、日本にいる人にサービスを提供する一環としてそのデータを扱っていることです。日本にユーザー、顧客、アプリのインストールを持つ米国や欧州の企業は、通常の場合、対象範囲の内側にあります。そして問いを迫る登録の段階がないため、多くの企業はそれを意識的に問うことがなく、何かがうまくいかなくなって初めて義務に気づきます。

GDPRに似ているが、GDPRではない

個人情報保護法を最も手早く誤る方法は、GDPR対応でそれが果たされると想定することです。

二つの法律は真の親戚です。ともに個人データの取扱いを規律し、個人に権利を与え、国際移転を制限し、漏えいへの対応を求めます。そしてその関係は正式に認められています。EUと日本は互いに十分な保護水準にあると認め、これがEUと日本のデータの流れを円滑にします。成熟したGDPR対応は強力な出発点です。

しかし個人情報保護法は独自の定義、同意・通知のルール、手続を持ち、それらは運用上重要な具体で GDPR と分かれます。同意のあり方、必要な通知、データの類型の扱い、漏えいの報告のされ方。GDPR対応を個人情報保護法に写像するのは形式ではなく実際の作業であり、等しいと想定することは、まさに執行と評判のリスクがある箇所に穴を残す近道です。

外国企業がつまずく二つの義務

この法律の二つの部分が、外国企業の運用上の露出の大半を生みます。

漏えい報告

2022年の改正以降、一定のデータ漏えいはPPCへの報告と本人への通知が必要です。これは紙の形式ではありません。PPCは年間およそ7,000件の漏えい報告を受け、本人への通知も同程度の件数があり、この義務が実務でいかに日常的に生じるかを示しています。

外国企業にとって、この義務はその背後のインシデント対応の体制次第です。あるインシデントが日本で特に報告対象になるかを判別し、PPCが求めるものを整え、求められる期間内に動ける体制が要ります。期間は寛大ではありません。日本の支流を持たないグローバルなインシデント対応の手順は、他を処理している間に日本の義務を取りこぼします。

越境移転

日本の個人データを国外へ移すことは制限されます。外国にある第三者に個人データを提供するには、原則として、所定の情報に基づく本人の同意、十分な体制があると認められる移転先、あるいは適合的な体制を整備した提供先、のいずれかが必要です。十分性ではなく同意や提供先の体制に依拠する場合は、さらに情報提供と継続的な確認の義務が伴います。

グローバル企業にとって、これは最も重要な部分の一つです。現代のサービスの通常の構成、すなわち日本のユーザーのデータが海外のクラウド基盤、分析、グループ関連会社に流れることは、まさに移転ルールが規律する型だからです。移転の根拠を正しく設定し、それが求める確認を維持することは、一度きりの承認ではなく、データが実際にどう動くかに組み込まれた恒常的な義務です。

執行はもはや緩くない

個人情報保護法を執行の緩い制度として記憶に頼る企業は、時代遅れの像で動いています。PPCは報告徴収、立入検査、指導・命令の権限を持ち、着実に活動を強めてきました。命令への不遵守や一定の違反は罰則を招きえて、データの取扱いを重んじる市場では評判上の露出が正式な制裁を上回りうるものです。流れの方向は、多くの法域と同じく、執行の強化であって緩和ではありません。

これが政策の問題になるとき

遵守の構築は法務・運用の作業で、プライバシーの弁護士が扱います。政策の問題は上流と周縁にあります。

データ保護のルールは静的ではなく、グローバル事業に最も関わる領域、すなわち越境移転の仕組み、新しいデータ類型や技術の扱い、個人情報保護法と業種別ルールやデータの経済安全保障措置との相互作用は、PPCの政策と定期的な改正を通じて継続的に発展しています。データがどう動けるか、新しい処理類型がどう扱われるかに依存するモデルを持つ企業は、それらのルールがどう進化するかに正当な利害を持ち、PPCとより広い政策過程がそれを決める場です。ルールを超えて、データガバナンスはますます日本の経済安全保障・デジタル政策と交わり、それはまさにパブリックアフェアーズの領域です。枠組みがどう発展するかに関与すること、現状に遵守するだけでないことが、データの流れが中核である企業にとっての戦略の側面です。

データ政策が自社の日本事業にとって重要な場合は、お問い合わせよりご相談ください。

計画の立て方

日本にいる人のデータを扱うなら対象と想定する。 域外に及び、問いを迫る登録の段階はありません。
GDPRの読み替えではなく個人情報保護法固有の評価を行う。 親戚であって等価ではなく、穴は具体にあります。
インシデント対応に日本の支流を持たせる。 PPCと本人への漏えい報告は現実の、期限のある義務です。
越境移転の根拠を正しく設定し維持する。 グローバルなサービスでは最も頻度の高い露出で、恒常的な義務です。
データの流れが中核なら枠組みに関与する。 移転ルールと新技術の扱いは動いており、政策段階が声を届ける場です。

パブリックアフェアーズにとっての意味

データ保護はコンプライアンスの機能に見え、確立したモデルを持つ企業についてはおおむねそうです。しかし個人情報保護法は日本の急速に発展するデジタル・経済安全保障政策の内側にあり、データがどう扱われ、とりわけどう国境を越えて移せるかを決めるルールは書かれ、見直されています。それらのルールに日本事業が依存する企業にとって、遵守は関与しうる政策の下流にあり、データと経済安全保障の交点は、後方の事務ではなく一次的な戦略課題になりつつあります。遵守義務がどこで終わり政策の問いがどこで始まるかを見極めることが、データ保護をコストセンターから管理された戦略ポジションに変えます。

ジェミニ・グループは、グローバルなテクノロジー・データ企業に対し、個人情報保護法の戦略、PPCとのエンゲージメント、そして日本におけるデータ・デジタル・経済安全保障政策の交点を助言します。データに関するご相談はお問い合わせより承ります。

関連記事：デジタル庁解説は日本のデジタルガバナンスを駆動する機関を、市場参入の規制マッピング・チェックリストはデジタル参入者のより広い遵守の全体像を扱っています。