australia-privacy-act

オーストラリアのプライバシー法への準拠（2024年改正）

概要

オーストラリアの1988年プライバシー法（連邦法）は、連邦の主要なデータ保護法であり、オーストラリア情報コミッショナー事務局（OAIC）が所管し、執行しています。プライバシー法は、オーストラリア政府機関、年間売上高が300万オーストラリアドルを超える民間組織、および売上高にかかわらず対象となる特定の組織（医療サービス提供者、個人情報を取引する組織、信用情報機関）に適用されます。

オーストラリア政府の2024年プライバシー法改革改正（2023年2月の司法長官省によるプライバシー法見直し報告書を踏まえたもの）では、重大なプライバシー侵害に対する制定法上の不法行為、個人の権利の強化、自動意思決定の透明性に関する義務、子どものプライバシーに関する規範、執行権限の強化など、大幅な改革が導入されました。

オーストラリアプライバシー原則（APP）

13のAPP

APP	項目	主な要件
APP 1	オープンで透明性のある管理	明確なプライバシーポリシーを維持し、準拠を確保するための慣行を実施するために合理的な措置を講じます
APP 2	匿名性と仮名性	実行可能な場合、個人が匿名または仮名で対応できる選択肢を提供します
APP 3	求めに応じて提供された個人情報の収集	機能や活動に合理的に必要な情報のみを収集し、機微情報は同意を得た場合にのみ収集します
APP 4	求めずに提供された個人情報の取扱い	APP 3に基づいて収集できない未依頼の情報については、破棄または匿名化します
APP 5	収集に関する通知	個人に対し、組織の識別情報、目的、第三者への開示、国外への開示、アクセスおよび訂正の権利、苦情申立ての仕組みを通知します
APP 6	利用または開示	収集目的、または個人が合理的に予測できる範囲内の直接関連する二次目的に限り、利用または開示します
APP 7	ダイレクトマーケティング	個人が合理的に予測でき、オプトアウトの機会が提供される場合、ダイレクトマーケティングに利用できます。機微情報には同意が必要です
APP 8	国境を越えた開示	国外に開示する前に、国外の受領者がAPPを遵守するよう合理的な措置を講じます
APP 9	政府識別子の採用、利用または開示	政府識別子を自組織の識別子として採用してはなりません。利用と開示は限定されます
APP 10	個人情報の品質	情報の正確性、最新性、完全性、関連性を確保するために合理的な措置を講じます
APP 11	個人情報のセキュリティ	誤用、妨害、喪失、不正アクセスから保護するために合理的な措置を講じ、不要になった情報は破棄または匿名化します
APP 12	個人情報へのアクセス	請求に応じて、個人に自身の個人情報へのアクセスを提供します
APP 13	個人情報の訂正	不正確、最新でない、不完全、無関係、または誤解を招く情報を訂正するために合理的な措置を講じます

2024年改革改正

自動意思決定の透明性

要素	詳細
適用範囲	個人の権利や利益に重大な影響を及ぼす自動意思決定において、個人情報を実質的に自動化された形で使用する組織
透明性に関する義務	自動意思決定が行われた事実、使用された個人情報の種類、意思決定に至った方法など、自動意思決定プロセスについて有意義な情報を提供する必要があります
人による審査を受ける権利	個人は、自身に重大な影響を及ぼす自動意思決定について、人による審査を請求できます
影響評価	組織は、導入前に自動意思決定システムがプライバシーに及ぼす影響を評価する必要があります
記録の保管	自動意思決定システムについて、そのロジックやデータ入力を含む記録を維持します

子どものプライバシーに関する規範

要素	詳細
適用範囲	ソーシャルメディアサービス、オンラインプラットフォーム、および子どもが利用する可能性の高いその他のサービス
子どもの定義	18歳未満（Online Safety Act 2021の定義と一致）
子どもの最善の利益の原則	子どもの個人情報に関するすべての措置において、子どもの最善の利益を主要な考慮事項としなければなりません
年齢確認	組織は適切な年齢確認の仕組みを導入しなければなりません
制限	子どもの個人情報をターゲティング広告に使用することの禁止、プロファイリングの制限、子どもに特化したデータ最小化要件
規範の策定	OAICが規範を策定・登録します。業界との協議が必要です

個人の権利の強化

権利	2024年の状況	詳細
アクセス権	強化（APP 12）	適用範囲を明確化し、拒否できる根拠を縮小
訂正権	強化（APP 13）	要請に応じて訂正する義務を強化
消去権	新設	収集目的に照らして個人情報が不要になった場合、同意が撤回された場合、または情報が違法に収集された場合に、個人情報の削除を請求する権利
非識別化を求める権利	新設	削除が実行困難な場合の代替手段
ダイレクトマーケティングに異議を申し立てる権利	強化	オプトアウト義務を明確化。配信停止の要請には5営業日以内に対応しなければなりません
説明を求める権利	新設	自動化された意思決定で個人情報がどのように使用されたかについて説明を求める権利

重大なプライバシー侵害に対する法定訴訟原因

要素	詳細
請求原因	個人は重大なプライバシー侵害について訴訟を提起できます
要件	侵害が重大であること。裁判所はプライバシーの性質と侵害の手段を考慮します
救済措置	損害賠償（精神的苦痛に対するものを含む）、差止命令、利益の返還、謝罪命令
出訴期限	個人が侵害を認識した時点（または認識すべきだった時点）から1年
抗弁	侵害が公共の利益にかなうものであったこと

執行の強化

強化内容	詳細
民事制裁金の増額	民事制裁金の上限を、次のうち最も高い金額に引き上げ：5,000万豪ドル、得られた利益の3倍、または該当期間の調整後売上高の30％
違反通知	OAICは、指定された違反について違反通知を発行できます
執行可能な誓約	執行可能な誓約制度を強化
公共の利益に関する決定	OAICが公共の利益に関する決定を行う権限を強化

国境を越えた開示（APP 8）

要件

海外の受領者に個人情報を開示する前に、組織は以下を行わなければなりません。

1. 海外の受領者がAPPに違反しないよう、合理的な措置を講じる（APP 8.1）
2. 組織は、海外の受領者による情報の取り扱いについて引き続き責任を負います
3. 例外：APPが適用されない可能性があることを知らされたうえでの本人の同意、オーストラリア法で義務付けられている場合、刑法の執行、重大な脅威を軽減するために必要な場合

2024年の強化

改革により、APP 8は以下のとおり強化されます。

• 組織に海外への開示記録の保管を義務付け
• 実質的に同等のプライバシー保護を備えた国の指定リストを導入（Attorney-Generalが策定予定）
• APP 8.1の合理的な措置の要件なしで、指定国への移転を可能にする

Zenith Global Enterprises の国境を越えるデータ移転台帳

移転の流れ	移転先	APP 8 への準拠	仕組み
顧客データ → EU 本社	ドイツ	合理的な措置（契約上の保護措置）	APP と同等の義務を定めたデータ処理契約
従業員データ → 地域人事部門	シンガポール	合理的な措置（契約上の保護措置）	グループ内データ共有契約
物流データ → APAC	日本	合理的な措置（契約上の保護措置）	プライバシー条項を含むサービス契約

通知対象となるデータ侵害（Part IIIC）

通知対象となるデータ侵害の要件

以下に該当する侵害は、通知対象となります。

1. 個人情報への不正アクセス、個人情報の不正開示、または個人情報の紛失
2. 合理的な人であれば、その侵害によって個人に重大な被害が生じる可能性が高いと結論付けること

通知要件

項目	要件
OAIC への通知	可能な限り速やかに（事業体が認識してから30日以内）
個人への通知	声明の作成後、可能な限り速やかに
声明の内容	侵害の説明、対象となった情報、個人に推奨する対応
評価期間	侵害の疑いを持つ合理的な根拠が生じてから30日

執行措置

OAIC 対 Australian Information Commissioner 対 Clearview AI（2021年）

• Clearview AI がインターネットからオーストラリア人の生体認証データをスクレイピングしたことで、APP 2、3、5、10 に違反したと認定
• 収集の停止と既存データの破棄を命令
• 意義：オーストラリアの個人情報を処理する海外事業体に対する OAIC の管轄権を確立

Australian Information Commissioner 対 Facebook（Meta）（2022年〜継続中）

• オーストラリアのユーザーに影響を及ぼした Cambridge Analytica とのデータ共有に関する民事制裁金手続き
• APP 6 および APP 11 違反をめぐる連邦裁判所の手続き
• 意義：強化された民事制裁金制度を検証

コンプライアンスプログラム

構成要素	詳細
プライバシー責任者（オーストラリア）	Sarah Mitchell、プライバシー・コンプライアンス責任者 — シドニーオフィス
APP 1 プライバシーポリシー	zenithglobal.com.au/privacy で公開
APP 3 収集	最小限の収集。機微情報については同意を取得
APP 7 ダイレクトマーケティング	オプトアウトの仕組み。配信停止処理は5営業日以内
APP 8 国境を越えるデータ移転	すべての海外受領者との間で契約上の保護措置を実施
APP 11 セキュリティ	ISO 27001 認証。年次の侵入テスト
APP 12-13 アクセス／訂正	30日以内の対応を目標とするプライバシーポータル
Part IIIC 侵害通知	30日間の評価と通知のワークフロー
自動意思決定	信用スコアリングについて影響評価を実施。人による審査も利用可能
子ども向け規範への準備	OAIC による規範策定を監視。子ども向けサービスは直接提供していない