個人情報保護・プライバシー 2024年の振り返りと2025年の展望 ～東南アジア・インド編～

Ⅰ. 2024年の振り返り　重要な法令・当局によるガイダンス

　東南アジア主要国及びインドにおける昨年から現在までの個人情報保護・データプライバシーに関する動きは、主に以下のとおりです（年数の記載がないものは、2024年中の出来事を示しています。）。

1. マレーシア～個人データ保護法の改正～

　2024年7月31日、マレーシア上院は、個人データ保護法（以下「PDPA」といいます。）※1の改正法案を可決しました。改正法は2024年12月24日に公布され、事業者にとって主要な規定は以下のとおり段階的に施行予定です。

• 2025年4月1日: 「機微な個人データ」の定義拡大、データ保護原則違反時の罰則強化、越境移転要件の変更等を含む規定
• 2025年6月1日: データ保護責任者（Data Protection Officer: DPO）の選任義務、データポータビリティ権、データ漏えい通知の義務化等を含む規定

　改正PDPAは、大要、以下のような内容を含んでいます。

　2024年11月、当局はPDPAに基づく4つのガイドライン案（①個人データ漏えい通知、②DPO、③データポータビリティ、④個人データ越境移転に関するもの）を2025年の早い時期に発令予定である旨を公表しており、これらのガイドラインを通じて、改正PDPAの具体的な運用方法等が示されることが見込まれています。そのため、同法の適用を受ける事業者は、これらのガイドラインの発令状況を注視し、発令後はその内容を確認し、適切な対応を行う必要があります。

2. ベトナム～個人データ保護法案の公表及びデータ法の可決～

(1) 「個人データ保護政令」に係る罰則の施行

　ベトナムでは、2023年7月1日、初の個人情報保護に関する包括的な法令である個人データ保護政令（以下「PDPD」といいます。）※3が施行される一方、事業者がPDPDの規定に違反した場合の罰則が定められていませんでしたが、2024年6月に、PDPD違反時の処分に関する政令が施行されるに至りました。

(2) 「個人データ保護法」案の公表

　2024年9月24日、新たにベトナム個人データ保護法（以下「PDPL」といいます。）の草案が公開されました。PDPDは、サイバーセキュリティ法に基づく下位規則として位置づけられていますので、PDPLが成立すれば、ベトナムにおける個人データ保護法制が、政令から法律に格上げされることになります※4。PDPLは、PDPDよりも適用対象範囲が広く、PDPDよりも厳しい要件が課されていることに留意が必要です。PDPLでは、暫定的な施行時期が2026年1月1日に指定されており、一部※5を除き、猶予期間が設けられていないことに留意が必要です。

(3) データ法案の可決

　2024年11月30日、ベトナム国会はデータ法案を可決しました。データ法は、個人データのみならず、非個人データも対象としている点に特徴があり、また、ベトナム国内の事業者のみならず、ベトナム国内のデジタルデータ活動に直接関与する外国企業にも適用されます。また、同法は、適用対象となるデータを「コアデータ」、「重要データ」、「その他のデータ」に分類した上で、越境移転等、データの分類に応じて特別の要求事項を定めているため、同法の適用対象となる日系企業は、自社が取り扱うデータを分類管理することが求められる点に留意が必要です。他方で、「コアデータ」及び「重要データ」の判断基準や越境移転規制の詳細を含む多くの要求事項については未だ詳細が明らかでなく、政府の今後のガイダンスに委ねられています※6。データ法は、2025年7月1日から施行される予定です。

3. インド～デジタル個人データ保護法に関する下位規則案の公表～

　2023年8月、インド初の包括的な個人情報保護法であるデジタル個人データ保護法（Digital Personal Data Protection Act, 2023）（以下「DPDPA」といいます。）が成立しましたが、現時点においても、施行時期は未定のままです※7。

　そのような状況下、2025年1月3日、インド政府は個人データ保護規則案を公表し、2025年2月18日まで意見募集を行っています※8。この規則案では、データ主体からの同意取得時の通知内容、最低限講ずるべき安全管理措置の内容、個人データ漏えい時の当局及びデータ主体宛通知の内容等が含まれています。そのため、DPDPAの適用を受ける日系企業は、同規則の成立及び施行に向けた状況を注視し、当該施行時まではその内容に従って、プライバシーポリシーの内容を整備し、安全管理体制や個人データ漏えい時の体制を整備しておくことが重要です。

4. インドネシア～個人データ保護法の完全施行～

　インドネシアでは、2024年10月17日、個人データ保護法（以下「PDP」といいます。）がその制定から2年間の移行期間を経て、全面施行されました※9。PDPの主なポイントは、以下のとおりです。

• 適用対象：インドネシアに拠点を有しない外国企業であっても、インドネシアの顧客の個人データを取り扱う場合や、海外でインドネシア人を雇用する場合にも本法の適用対象となりうる点に留意が必要です。
• 本人同意：個人データの収集時を含む、広範な個人データの取り扱いについて本人の明確な同意が求められ、同意の取得にあたっては、平易なインドネシア語で求める必要があります。
• DPOの選任義務：特別個人データの大規模な取扱い等、一定の個人データの取扱いにはデータ保護責任者（DPO）の選任が義務化されています。
• 越境移転規制：越境移転は移転先国の保護水準の確保、十分な拘束力のある個人情報保護の確保、又は本人の同意が条件とされていますが、具体的な要件は不明であるため、今後のガイダンス等の整備が待たれます。
• 違反時の罰則：違反には刑事罰が課され、法人に対する罰金は最大10倍となる場合があるほか、追加刑罰として、事業の停止や許認可の取消等が認められていることにも注意が必要です。

　本法の適用を受ける日系企業は、プライバシーポリシーの整備や、本人同意の取得等の対応が急務であり、また、詳細な施行規則やガイドラインが今後制定される予定であるため、当該動向を注視するとともにそれらに基づく具体的な実務対応を求められることにも留意が必要です。

5. タイ～個人データ保護法下位規則の施行及び初の制裁金事例の公表～

(1) 個人データ保護法下位規則の制定・施行

　タイにおける個人データ越境移転の枠組みとしては、個人データの移転を許可する国・地域をPDPC（データ保護当局）が認定するホワイトリスト方式が採用されていますが、拘束的企業準則（BCR）、標準契約条項（SCC）又はデータ主体の同意がある場合には、ホワイトリストに登録されていない国への移転も許容されます。越境移転に関連して、2024年3月24日、以下の2つの告示が施行されました。

1. 個人データ保護法28条に基づく個人データの越境移転の保護基準に関するPDPC告示
2. 個人データ保護法29条に基づく個人データの越境移転の保護基準に関するPDPC告示

　また、2024年8月、個人データの消去・破棄・匿名化の基準に関する下位規則が制定され、同年11月11日に施行されました。同下位規則は、データ主体から個人データの消去等を請求されたときに、データ管理者が個人データを消去等するための手続・方法や個人データを匿名化する際に採るべき措置の手順を規定するものです※10。

(2) 個人データ保護法違反による初の制裁金事例

　2024年8月には、個人データ保護法違反に対する初の制裁金事例がPDPCによって公表されました※11。この事例は、個人データの侵害事案に端を発して、DPOの未設置、不十分な安全管理体制が発覚したこと等を理由に制裁金が課されたものであり、事業者にとって重要な教訓が得られる事例と言えます。

6. シンガポール～モデルAIガバナンスフレームワーク（生成AI）の公表

　シンガポールでは、2024年1月、情報通信メディア開発庁（IMDA）がModel AI Governance Framework（Generative AI）を発表し、5月に最終化されました※12。このフレームワークは、政府が2019年1月に策定した既存のAIガバナンス・フレームワーク（2020年1月に第二版策定）に関して、生成AIに対応したフレームワークを提案するものです。信頼性のある生成AIを構築するための9つの分野及び事業者が採るべき行動指針を提供しています。EUや韓国等、包括的なAI法を導入する動きが見られ、各国でも法規制の導入を検討する動きが加速していますが、シンガポールでは、現時点ではAIに関して法的拘束力を持たないソフトローアプローチを採用する方針が維持されていると言えます。

Ⅱ. 2025年の展望

1. マレーシア～個人データ保護法改正対応～

　上記で紹介したマレーシアの個人データ保護法改正への対応として今後発令される予定のガイドラインの状況等も踏まえ、改正法の施行までに、データ保護体制の整備を進める必要があります。特に、2025年6月1日に施行予定のデータ保護責任者（DPO）の選任義務や個人データ漏えい時の通知義務等は、広い範囲の事業者に適用されることが見込まれるため、適時に法令改正対応を図ることが重要となります。

2. ベトナム～データ法施行対応～

　上記で紹介した2025年7月1日から施行予定であるベトナムのデータ法導入への対応について、規制対象データの判断基準や越境移転規制の詳細を含む多くの要求事項については未だ詳細が明らかでなく、政府の今後のガイダンスに委ねられていることから、かかるガイダンスの状況を注視しつつ、体制整備を進める必要があります。