apec-cbpr-cert

APEC 越境プライバシー・ルール認証

概要

APEC 越境プライバシー・ルール（CBPR）システムは、情報を効果的に保護しながら、APEC 経済圏間で個人情報を自由に移転できるようにする、政府が支援するデータプライバシー認証制度です。2011 年に設立された CBPR システムは、認証可能な一連のプログラム要件を通じて、APEC プライバシー・フレームワークの 9 つの原則（2015 年更新）を実施しています。組織はこれらの要件に照らして自己評価を行い、APEC が認定するアカウンタビリティ・エージェントに提出して審査と認証を受けます。

2024 年現在、CBPR システムはグローバル越境プライバシー・ルール（Global CBPR）フォーラムへと発展し、APEC 加盟経済圏以外にも対象を広げています。Global CBPR フォーラムは、カナダ、日本、韓国、フィリピン、シンガポール、チャイニーズ・タイペイ、米国により 2022 年 4 月に設立され、その後、さらに多くの経済圏が参加しています。APEC CBPR システムの認証を受けた組織は、Global CBPR 認証への移行を進めています。

Sentinel Compliance Group は、米国が認定するアカウンタビリティ・エージェントである TRUSTe（TrustArc）を通じて CBPR 認証を取得しており、APEC 経済圏全域における顧客データ処理業務が認証対象となっています。

APEC プライバシー・フレームワークの原則

CBPR システムは、APEC プライバシー・フレームワーク（2015 年改訂）の 9 つの原則に基づいています。

原則 1：危害の防止

組織は、個人情報の悪用を防ぎ、個人への危害のリスクを軽減するためのポリシーと手順を策定します。危害には、個人情報の収集、利用、開示に起因する身体的、金銭的、評判上、心理的、その他の形態の損害が含まれます。

CBPR の要件：

• 処理する個人情報の機微性と量に応じたプライバシーリスク評価を実施する
• 不正なアクセス、利用、開示を防ぐための技術的および組織的な保護措置を実施する
• データ侵害に対するインシデント対応手順を確立する
• プライバシーに関する苦情を解決する仕組みを維持する

原則 2：通知

組織は、プライバシー慣行について、明確で目立ち、アクセスしやすい通知を提供します。

CBPR の要件：

• 次の事項を説明するプライバシーポリシーを公開する：収集する個人情報のカテゴリー、収集および利用の目的、提供先のカテゴリー、データ主体の権利、苦情申立ての仕組み、ポリシーの発効日
• 収集前または収集時点で通知する
• プライバシー慣行に重大な変更がある場合、変更の発効前に個人へ通知する
• プライバシーポリシーを理解しやすい形式で提供する

原則 3：収集の制限

個人情報の収集は、収集目的に関連する範囲に限定され、個人に認識される、または個人の同意を得たうえで、合法かつ公正な方法で行われます。

CBPR の要件：

• 収集を、特定された目的に関連する個人情報に限定する
• 合法的な方法で個人情報を取得する
• 機微な個人情報（健康、金融、子どものデータ）の収集について同意を得る
• 収集する個人情報のカテゴリーと、それぞれの収集目的を文書化する

原則 4：個人情報の利用

個人情報は、収集目的およびそれと両立するその他の目的を果たすためにのみ利用されます。

CBPR の要件：

• 個人情報は、プライバシー通知に記載された目的、またはそれと両立する目的に限って利用する
• 個人情報を実質的に異なる目的に利用する前に同意を得る
• 個人情報の利用を文書化し、開示した目的との一貫性を確保する
• データシステムに目的制限の管理策を導入する

原則 5：選択

個人には、自身の個人情報の収集、利用、開示に関する選択肢が提供されます。

CBPR 要件：

• マーケティングコミュニケーションおよび必須ではない処理について、オプトアウトの仕組みを提供する
• 機微な個人情報の収集および利用について、オプトインの仕組みを提供する
• オプトアウトの仕組みが明確で目立ち、簡単に利用できるようにする
• 選択に関する希望を適時に尊重する

原則 6：個人情報の完全性

個人情報は、利用目的に必要な範囲で、正確かつ完全であり、最新の状態に保たれます。

CBPR 要件：

• 収集時点でデータ品質管理プロセスを導入する
• 個人が不正確な情報の訂正を求める仕組みを提供する
• 訂正の依頼に適時に対応する
• 訂正の監査証跡を維持する

原則 7：セキュリティ対策

個人情報は、不正なアクセス、利用、変更、開示、破壊から保護するため、合理的なセキュリティ対策によって保護されます。

CBPR 要件：

• データの機微性に応じた技術的対策（暗号化、アクセス制御、ログ記録）を導入する
• 組織的対策（セキュリティポリシー、従業員研修、身元調査）を導入する
• 物理的対策（アクセス制限のある施設、安全な廃棄）を導入する
• 定期的にセキュリティ評価を実施する
• インシデント対応およびデータ侵害通知の手順を維持する

原則 8：アクセスと訂正

個人は、自身の個人情報にアクセスし、訂正することができます。

CBPR 要件：

• 個人が自身の個人情報にアクセスするための仕組みを提供する
• アクセス請求を行う個人の本人確認を行う
• アクセス請求に合理的な期間内に対応する
• 個人が訂正を求める仕組みを提供する
• アクセスまたは訂正の請求を拒否する理由を伝える

原則 9：説明責任

組織は、上記の原則を実効化する措置を遵守する責任を負います。

CBPR 要件：

• プライバシー担当者または窓口を指定する
• 個人情報を取り扱う従業員向けにプライバシー研修を実施する
• プライバシーポリシーおよび手順を策定し、実施する
• 定期的にプライバシー評価を実施する
• 処理者および第三者が同等の保護を提供するようにする
• 監督当局および説明責任機関に協力する

自己評価プロセス

ステップ 1：適格性の判定

CBPR 認証の適格性を判定します。

• 組織は、CBPR 参加エコノミーに所在するか、その管轄下になければなりません
• 組織は、APEC エコノミーの個人の個人情報を処理しなければなりません
• 組織は、説明責任機関の管轄に服する意思がなければなりません
• 組織は、国境を越えた執行措置に協力する意思がなければなりません

参加エコノミー（2024 年時点の APEC CBPR）： 米国、メキシコ、日本、カナダ、大韓民国、シンガポール、中華台北、フィリピン、オーストラリア

グローバル CBPR フォーラムのメンバー（拡大中）： 米国、カナダ、日本、大韓民国、フィリピン、シンガポール、中華台北、バミューダ、ジャージー、英国（オブザーバー）

ステップ 2：アカウンタビリティ・エージェントの選定

該当する経済圏について、APEC が認定するアカウンタビリティ・エージェントを選定します。

経済圏	アカウンタビリティ・エージェント	ウェブサイト
米国	TRUSTe（TrustArc）	truste.com
米国	BBB National Programs	bbbprograms.org
日本	JIPDEC（Japan Institute for Promotion of Digital Economy and Community）	jipdec.or.jp
大韓民国	Korea Internet & Security Agency（KISA）	kisa.or.kr
シンガポール	Infocomm Media Development Authority（IMDA）	imda.gov.sg
フィリピン	National Privacy Commission（NPC）	privacy.gov.ph
チャイニーズ・タイペイ	Institute for Information Industry（III）	iii.org.tw
メキシコ	Autoridad Nacional de Protección de Datos（INAI）	inai.org.mx

ステップ 3：インテーク質問票への記入

アカウンタビリティ・エージェントは、APEC CBPR プログラム要件に基づくインテーク質問票を提供します。この質問票は、9 つのプライバシー・フレームワークの原則に対応しており、組織には以下が求められます。

セクション A：組織情報

• 法人名、住所、管轄区域
• プライバシー担当者の連絡先情報
• 個人情報を取り扱う事業活動の説明
• 個人情報を収集、処理、移転する経済圏
• 個人情報を処理する個人の数
• 処理する個人情報のカテゴリー
• 処理するセンシティブな個人情報のカテゴリー

セクション B：プライバシー慣行の自己評価

CBPR プログラム要件 50 項目のそれぞれについて、組織は以下を行う必要があります。

1. 現在の慣行を説明する
2. 要件を実装するポリシー、手順、または技術的管理策を特定する
3. 実装の証拠を提示する
4. ギャップと予定している是正措置を特定する

主な自己評価の質問（代表的な項目）：

要件 ID	原則	要件	証拠の種類
CBPR-1	危害の防止	組織はプライバシーリスク評価を実施していますか？	リスク評価の方法論、完了済みの評価
CBPR-5	通知	組織はプライバシー慣行について、明確かつ目立つ形で通知していますか？	プライバシーポリシー、収集時点での通知
CBPR-12	収集の制限	組織は、特定された目的に関連する個人情報に収集を制限していますか？	データインベントリ、目的とデータの対応付け
CBPR-18	利用	組織は、通知で特定した目的に利用を制限していますか？	目的制限の管理策、監査結果
CBPR-23	選択	組織は、マーケティングに関するオプトアウトの仕組みを提供していますか？	オプトアウトの仕組みのスクリーンショット、設定記録
CBPR-30	完全性	組織はデータの正確性を維持していますか？	データ品質プロセス、訂正の仕組み
CBPR-35	セキュリティ	組織は、データの機微性に応じたセキュリティ保護措置を実施していますか？	セキュリティ評価結果、暗号化の証拠
CBPR-42	アクセス	組織は、要求に応じて個人情報へのアクセスを提供していますか？	アクセス要求のプロセス、対応記録
CBPR-48	アカウンタビリティ	組織には指定されたプライバシー連絡先がありますか？	プライバシー連絡先情報、組織図

ステップ 4：アカウンタビリティ・エージェントによる審査

アカウンタビリティ・エージェントは、自己評価を審査します。

1. 完全性の確認：すべての質問に十分な詳細をもって回答していることを確認します
2. 証拠の審査：提出された証拠を各要件に照らして評価します
3. ギャップの特定：十分に満たされていない要件を特定し、申請者に通知します
4. 是正期間：特定されたギャップを是正するため、申請者に期間を設けます（通常 60～90 日）
5. フォローアップ審査：是正された項目を再評価します

ステップ 5：認証の決定

アカウンタビリティエージェントが認証を決定します。

決定	基準	次のステップ
認証	プログラムの50要件すべてが実質的に満たされている	認証を発行し、CBPR ディレクトリに追加する
条件付き認証	軽微な不足があるが、改善計画に合意している	条件付きで認証を発行し、90日以内にフォローアップする
非認証	複数の原則に重大な不足がある	詳細なフィードバックを提供し、申請者は改善後に再申請できる

ステップ 6：認証の維持

認証取得後：

• 組織のウェブサイトとプライバシー通知にAPEC CBPR認証マークを表示する
• 年次再認証審査を受ける
• プライバシー慣行に重大な変更があった場合、30日以内にアカウンタビリティエージェントに報告する
• プライバシーに関する苦情の調査と解決において、アカウンタビリティエージェントに協力する
• 必要に応じて、国境を越えた法執行機関の協力に参加する

年次再認証

再認証プロセス

1. 年次自己評価の更新：プライバシー慣行、処理活動、または組織構造の変更を反映するため、受付アンケートを更新します
2. 証拠の更新：変更があった管理策について、更新された証拠を提出します
3. コンプライアンスの表明：経営幹部が、CBPRプログラム要件への継続的な準拠を表明します
4. アカウンタビリティエージェントによる審査：アカウンタビリティエージェントが更新された自己評価を審査します（通常、初回認証より簡易な審査です）
5. 再認証の決定：認証を更新するか、改善が必要な点を特定します

再認証の契機（年次サイクル外）

次の場合、組織はアカウンタビリティエージェントに通知する必要があり、中間審査の対象となることがあります。

• プライバシー慣行またはプライバシーポリシーに重大な変更があった場合
• APECエコノミーの個人に影響する重大なデータ侵害が発生した場合
• プライバシー関連の規制上の執行措置があった場合
• 組織の大規模な再編（合併、買収、事業譲渡）があった場合
• 当初の認証対象に含まれていない新たなAPECエコノミーへ事業を拡大する場合

Global CBPR Forumへの移行

APEC CBPRからGlobal CBPRへの移行

APEC CBPR制度の認証を受けた組織は、Global CBPR Frameworkへ移行しています。

項目	APEC CBPR	Global CBPR
ガバナンス	APEC電子商取引運営グループ	Global CBPR Forum（独立機関）
加盟	9つのAPECエコノミー	APEC以外のエコノミーにも開放
基準	APECプライバシーフレームワーク（2015年）	Global CBPR Framework（APECに基づき、更新済み）
認証マーク	APEC Privacy CBPRマーク	Global CBPRマーク
PRPコンポーネント	処理者向けプライバシー認証（PRP）	Global CBPRに統合

移行手順

1. 現在のAPEC CBPR認証と照らし合わせて、Global CBPRプログラムの要件を確認する
2. Global CBPRフレームワークにおける新規または変更された要件を特定する
3. アカウンタビリティエージェントを通じて、Global CBPRの自己評価を完了する
4. Global CBPR認証を取得する
5. プライバシー通知とマーケティング資料の認証マークおよび記載を更新する

苦情解決と執行

苦情処理プロセス

1. 個人が、認証を受けた組織のプライバシー担当窓口に苦情を申し立てる
2. 30日以内に解決しない場合、個人はアカウンタビリティエージェントに申し立てをエスカレーションできる
3. アカウンタビリティエージェントが、個人と組織の間で調査と仲介を行う
4. 組織が是正措置を講じない場合、アカウンタビリティエージェントは次の措置を講じることがあります。
   • 是正措置を要求する
   • 認証を一時停止または取り消す
   • 関連するプライバシー執行機関に付託する

国境を越えた執行協力

CBPR システムは、国境を越えた執行協力に APEC 越境プライバシー執行協定（CPEA）を活用しています。プライバシーに関する苦情が国境を越えたデータフローに関係する場合：

1. 組織の所在するエコノミーのアカウンタビリティエージェントが、申立人の所在するエコノミーの執行機関と連携します
2. 執行機関は CPEA に基づいて情報を共有し、調査を連携して行います
3. 組織の所在するエコノミー、申立人の所在するエコノミー、またはその両方で執行措置が取られる場合があります

Sentinel Compliance Group の CBPR 認証

• 認証日：2023 年 3 月（初回）；2024 年 3 月（年次再認証）
• アカウンタビリティエージェント：TRUSTe（TrustArc）
• 対象範囲：米国、日本、シンガポール、オーストラリア、大韓民国における SaaS プラットフォーム運用のための顧客データ処理
• 個人情報のカテゴリー：顧客の連絡先情報、利用状況データ、請求情報、サポート対応記録
• 対象となる個人：認証対象の各エコノミーにおいて約 210 万人のデータ主体
• 受け付けた苦情（2024 年）：CBPR の仕組みを通じて 12 件の苦情を申し立て。11 件は 30 日以内に解決し、1 件はアカウンタビリティエージェントにエスカレーションされ、60 日以内に解決
• Global CBPR への移行：2024 年 12 月に申請を提出；2025 年第 1 四半期に認証取得の見込み