個人情報保護法に関するインドネシア憲法裁判所判決

1. 事案①（個人情報保護法の適用除外となる「家事的活動」の範囲）

　個人情報保護法上、同法は「個人的又は家事的活動における、個人による個人データの取扱いに対して適用されない」と規定されている（2条2項）。この適用除外に関して、事案①の原告（原告①）は以下のような主張を行った。

• Eコマースの分野等では、個人による小規模な在宅ビジネスが盛んに行われており、小規模在宅事業者は（消費者等の）個人データを取り扱う（代金決済の場面等）。
• このような個人データの取扱いが個人情報保護の規制対象外であるとすると、個人データ漏洩等のデータ侵害が生じた場合にも小規模在宅事業者は責任を負わないなど、個人データが十分保護されない懸念がある。
• 個人情報保護法2条2項の定める適用除外について、その範囲は明確性を欠いており、インドネシア憲法の定める「法的安定性」の権利に反して違憲である。

• Eコマースの分野等では、個人による小規模な在宅ビジネスが盛んに行われており、小規模在宅事業者は（消費者等の）個人データを取り扱う（代金決済の場面等）。
• このような個人データの取扱いが個人情報保護の規制対象外であるとすると、個人データ漏洩等のデータ侵害が生じた場合にも小規模在宅事業者は責任を負わないなど、個人データが十分保護されない懸念がある。
• 個人情報保護法2条2項の定める適用除外について、その範囲は明確性を欠いており、インドネシア憲法の定める「法的安定性」の権利に反して違憲である。

　これに対して、憲法裁判所は以下のように判示し、個人情報保護法2条2項はインドネシア憲法に違反しないとして、原告①の申立てを棄却した。

• 個人情報保護は、個人の人権保護の一つに含まれる。
• 技術の進歩によって、本人（データ主体）の同意なく、個人データを容易に収集、移転することが可能であるため、個人情報保護に関する規制は個人の権利を保護する上で重要である。
• 「個人的又は家事的活動における、個人による個人データの取扱い」について個人情報保護法の適用が除外されるのは、それがプライベートかつ非商業的（ノン・コマーシャル）な個人データの取扱いであるためである。
• 家庭で行われるEコマース事業に係る個人データの取扱いについては、個人情報保護法の適用は除外されない。

• 個人情報保護は、個人の人権保護の一つに含まれる。
• 技術の進歩によって、本人（データ主体）の同意なく、個人データを容易に収集、移転することが可能であるため、個人情報保護に関する規制は個人の権利を保護する上で重要である。
• 「個人的又は家事的活動における、個人による個人データの取扱い」について個人情報保護法の適用が除外されるのは、それがプライベートかつ非商業的（ノン・コマーシャル）な個人データの取扱いであるためである。
• 家庭で行われるEコマース事業に係る個人データの取扱いについては、個人情報保護法の適用は除外されない。

　したがって、Eコマース事業をはじめ営利を目的とする場合は、家庭内でごく小規模に行われる個人データの取扱いであっても、個人情報保護法の適用は免れず、当該個人データを取り扱う者は、データ処理者の各種義務（例えば、本人の同意取得義務や、個人データの安全保護義務など）を遵守する必要があると解される。

2. 事案②（本人の権利が制限される場合）

　個人情報保護法上、本人（データ主体）には各種の権利が認められているが、(1)個人データの取扱いの終了、消去及び破棄を求める権利や、(2)個人データの取扱いに係る同意を撤回する権利など、一部の権利は「国の防衛及び安全保障」のために制限され得る（15条1項a号）。

　かかる本人の権利の制限について、事案②の原告（原告②）は、個人情報保護法には「国の防衛及び安全保障」の定義や説明が設けられておらず、明確性を欠いているとして、事案①と同様、インドネシア憲法上の法的安定性の権利が侵害されていると主張した。

　これに対して、憲法裁判所は以下のように述べ、個人情報保護法15条1項a号はインドネシア憲法に違反しないと判示し、原告②の申立てを棄却した。

• 個人情報保護法上、本人の権利が制限される事由として「国の防衛及び安全保障」の他、以下の場合が規定されているが、これら5つの例外事由は相互に結びついて適用される。
• • (i) 法令の執行等に関する手続
  • (ii) 国の行政に関連する公共の利益
  • (iii) 国の行政に関連する、金融サービス部門の監督や金融システムの安定性等
  • (iv) 統計及び科学的調査
• 個人情報保護に関しては、（社会全体の）公共の利益が広く考慮される必要がある。これは、公共の利益が個人情報保護法の原則の一つとされていること（3条c号）にも合致する。

• 個人情報保護法上、本人の権利が制限される事由として「国の防衛及び安全保障」の他、以下の場合が規定されているが、これら5つの例外事由は相互に結びついて適用される。
• • (i) 法令の執行等に関する手続
  • (ii) 国の行政に関連する公共の利益
  • (iii) 国の行政に関連する、金融サービス部門の監督や金融システムの安定性等
  • (iv) 統計及び科学的調査
• 個人情報保護に関しては、（社会全体の）公共の利益が広く考慮される必要がある。これは、公共の利益が個人情報保護法の原則の一つとされていること（3条c号）にも合致する。

　この点、国の防衛や安全保障に関する具体的な法令としては、(i)テロリストの撲滅に関する法律代行政令、(ii)国家防衛法、(iii)国家防衛のための天然資源の管理に関する法律などが該当すると解されている。

3. 施行規則に関して

　現在、個人情報保護法の施行規則や関連法令の策定が進められており、施行規則案は本年9月に公表されるとも言われている。施行規則には、違反事業者に対する行政罰として科される過料の計算などが盛り込まれる予定のようである。

　個人データを取り扱う事業者は、2024年10月17日までに個人情報保護法に従った体制整備を求められており、同法に関するアップデートには引き続き注視していく必要がある。