タイ個人情報保護委員会による制裁金事例の公表

2. 本件制裁金事例

(1) 政府機関に対するサイバー攻撃（「事例1」）

(2) 民間病院の医療記録の漏洩（「事例2」）

(3) コンピュータ製品の販売業者の顧客データの電話詐欺業者への漏洩（「事例3」）

(4) 化粧品販売業者の顧客データの電話詐欺業者への漏洩（「事例4」）

(5) アート玩具の販売業者に対するハッキング（「事例5」）

3. 問題となったPDPAの規定

　本件制裁金事例において問題となったPDPAの規定及びその概要は以下のとおりである。

• データ管理者による個人データの安全管理措置の遂行義務・見直し義務（PDPA第37条第（1）号）※2
• データ管理者による個人データ侵害の報告義務（PDPA第37条第（4）号）※3
• データ処理者によるデータ管理者の指示遂行義務（PDPA第40条第1項第（1）号）
• データ処理者による個人データの安全管理措置の遂行義務（PDPA第40条第1項第（2）号）
• データ処理者によるデータ管理者に対する個人データ侵害の報告義務（PDPA第40条第1項第（2）号）
• データ処理契約の締結（PDPA第40条第3項）
• DPOの選任（PDPA第41条）※4

4. 考察

　今般のPDPCの公表では各本件制裁金事例の事実関係は簡潔に述べられているに過ぎず、情報漏洩に至った経緯やPDPA違反の詳細は明らかにされていないため、各本件制裁金事例において上記のような制裁金を課すに至った背景・理由を正確に把握することは難しい。そのため、公表されている情報からの推測となるが、本件制裁金事例の中では以下のような特徴が見られた。

• 事例1、事例2及び事例5では、データ管理者のみならずデータ処理者のPDPA違反も認められており、違反の内容・程度によっては、データ管理者のみならず、データ処理者に対しても制裁金を課すことを躊躇しないことが明らかになったといえる。
• 事例3と事例4はいずれも顧客データの漏洩事案という点で共通点があるが、最終的に課された制裁金の金額は事例3の方がはるかに大きい。事例4ではデータ管理者が適切にデータ主体の損害の拡大防止措置を実施・通知したと思われる一方で、事例3ではこれが十分ではなかったと思われることが最終的に制裁金の金額に影響した可能性がある。
• また、事例3と事例4の違いとして、事例3においてはDPOを選任していないことがPDPA違反の一つとして認定されている。2024年8月に課された制裁金事例でもDPOを選任していないことが認定されており、個人データの漏洩があった際にDPOを選任しているか否かはPDPA違反の重大性を判断する上で重要な要素の一つとなっていることが窺われる。特に事例3や事例4のように多くの消費者を抱え、多くの個人データを取り扱う可能性のある小売業に従事している場合には、DPOの選任の要否をPDPAの規定に照らして慎重に検討する必要があると考える。
• 事例5では、データ管理者よりデータ処理者に対する制裁金の金額の方が大きくなっている。このことからPDPCとしては委託元への監督責任のみならず個人データの漏洩に寄与した程度を勘案してデータ管理者とデータ処理者のPDPA違反の重大性を判断した可能性がある。
• 他方で、事例2は事例5と同様にデータ処理者の寄与が大きいケースであるものの、データ管理者に対する制裁金の金額の方が大きくなっている。もっとも、事例2は個人に対するデータ処理の委託事例という点でやや特殊であり、委託元と委託先の関係性や処理を委託された情報が医療情報というセンシティブデータであることを考慮して、委託元である病院により重い管理責任を問うべきという判断が働き、データ管理者に対してより重い制裁金が課された可能性がある。

5. おわりに

　今回公表された本件制裁金事例はいずれも個人データの漏洩等が発端となって制裁金が課されたものであり、この点は、2024年8月に公表された事例と同様である。PDPCの現行の運用としては、個人データの漏洩等が発生した場合にそれを契機としてPDPAの遵守状況について具体的に調査を行う方向にあり、それ以外のケースでPDPCが自発的にPDPAの遵守状況の監査を行っているといった動きは見受けられない。もっとも、今回、PDPCが本件制裁金事例の公表に伴って大々的に記者会見を行ったことはPDPCから事業者に対してより厳格な法令遵守を求める旨のメッセージと捉えることも可能である。PDPAが施行してから約3年が経過した今、PDPAに関する事業者の実務対応は、形式的な必要書面の作成といった表面上の対応だけでは足りず、より実態を伴った形での社内の体制・システム整備と法令に従った運用が求められる段階に来ているといえるだろう。