canada-pipeda

カナダのPIPEDAコンプライアンス

概要

個人情報保護および電子文書法（PIPEDA、S.C. 2000, c. 5）は、カナダの民間部門を対象とする連邦プライバシー法です。商業活動において個人情報を収集、使用、または開示する組織、および連邦の事業所、事業、企業の従業員に関する個人情報に適用されます。PIPEDAは、カナダ規格協会（CSA）の個人情報保護モデルコード（CAN/CSA-Q830-96）を附則1として取り入れ、10の公正な情報原則を定めています。

カナダのプライバシーコミッショナー事務局（OPC）は、PIPEDAのコンプライアンスを監督し、苦情を調査し、監査を実施し、調査結果やガイダンスを公表しています。デジタルプライバシー法（S.C. 2015, c. 32）はPIPEDAを改正し、データ侵害の義務的な報告、有効な同意要件、および強化された執行規定を追加しました。

注：PIPEDAは、実質的に類似した法律を制定している州（アルバータ州のPIPA、ブリティッシュコロンビア州のPIPA、ケベック州の民間部門における個人情報保護法）には適用されません。ただし、すべての州における個人情報の州間および国際的な移転、ならびに連邦規制対象の組織には、引き続きPIPEDAが適用されます。

10の公正な情報原則（附則1）

原則1 — 説明責任（条項4.1）

組織は、自らが管理する個人情報に責任を負います。原則の遵守に責任を負う担当者を1人または複数指定しなければなりません。個人情報を処理のために第三者へ移転した場合も、組織の説明責任は維持されます。

主な要件：

• プライバシー担当者または最高プライバシー責任者を指定する
• 原則を実施するための方針と慣行を導入する
• 苦情処理手続きを確立する
• プライバシー上の義務について職員を研修する
• 組織の方針と手続きを説明する資料を作成する

原則2 — 目的の特定（条項4.2）

個人情報を収集する目的は、収集時または収集前に特定しなければなりません。収集後に新たな目的が生じた場合、組織はその新たな目的を特定し、その目的で情報を使用する前に改めて同意を得なければなりません。

原則3 — 同意（条項4.3）

PIPEDAの第7条(1)～(3)に記載されているように不適切な場合を除き、個人情報の収集、使用、または開示には、個人の認識と同意が必要です。

OPCが認める同意の形式：

• 明示的同意：機微情報（健康データ、金融情報、正確な位置情報、子どものデータ）に必要です
• 黙示的同意：合理的な人にとって目的が明白で、情報の機微性が低い場合に認められます
• オプトアウトによる同意：機微性の低い情報について、個人に通知し、拒否するための合理的な機会を与える場合に限り認められます

OPCの有意義な同意を得るためのガイドライン（2018年）：

1. 重要な要素を明確にする — 収集する個人情報、共有相手、利用目的、および危害のリスク
2. 個人が受け取る詳細度を選べるようにする
3. 明確な選択肢を提示する：同意する、同意しない、変更を求める
4. 同意を得る仕組みについて、革新的で創造的な方法を検討する
5. 同意を評価する際に、消費者の視点を考慮する
6. 同意を一度限りの出来事ではなく、継続的なプロセスとする
7. コンプライアンスを証明できるように備える — 同意の記録を文書化する

原則4 — 収集の制限（条項4.4）

個人情報の収集は、特定された目的に必要な範囲に限定しなければなりません。情報は公正かつ合法的な手段で収集しなければなりません。組織は、個人情報を無差別に収集してはなりません。収集する個人情報の各項目は、特定された目的に関連付ける必要があります。

原則5 — 利用、開示および保持の制限（条項4.5）

個人情報は、本人の同意がある場合、または法律で義務付けられている場合を除き、収集目的以外の目的で利用または開示してはなりません。個人情報は、その目的を達成するために必要な期間に限り保持するものとします。組織は、個人情報の保持および廃棄に関するガイドラインを策定し、手順を実施しなければなりません。

原則6 — 正確性（条項4.6）

個人情報は、利用目的に照らして必要な範囲で正確かつ完全で、最新の状態に保たれなければなりません。求められる正確性の程度は用途によって異なります。個人に関する決定に使用する情報は、不適切な決定が下される可能性を最小限に抑えられるほど正確でなければなりません。

原則7 — 保護措置（条項4.7）

個人情報は、その機微性に応じた適切なセキュリティ保護措置によって保護されなければなりません。保護の水準は情報の機微性に見合うものでなければならず、より機微性の高い情報には、より強固な保護措置が必要です。

保護措置の種類：

• 物理的措置：施錠できる書類保管庫、オフィスへの立ち入り制限、机上整理のポリシー
• 組織的措置：セキュリティクリアランス、業務上必要な者のみへのアクセス、スタッフのトレーニング、秘密保持契約
• 技術的措置：暗号化、パスワード、ファイアウォール、監査証跡、アクセス制御

原則8 — 透明性（条項4.8）

組織は、個人情報の管理に関するポリシーや慣行について、具体的な情報を本人が容易に入手できるようにしなければなりません。これには、責任者の氏名または役職および住所、個人情報へのアクセス方法、保有する情報の種類の説明、およびその利用に関する概要が含まれます。

原則9 — 個人のアクセス（条項4.9）

本人から請求があった場合、本人の個人情報の存在、利用および開示について本人に通知し、その情報へのアクセスを認めなければなりません。本人は、情報の正確性および完全性に異議を申し立て、必要に応じて修正を求めることができなければなりません。

対応要件：

• 請求を受領してから30日以内に回答する
• 最小限の費用または無料で情報を提供する
• 一般に理解しやすい形式で情報を提供する
• アクセスを拒否する場合は、その理由を示し、利用可能な救済手段を本人に知らせる

アクセスを拒否できる根拠（第9条(3)）：

• 弁護士と依頼人の秘匿特権により保護される情報
• 正式な紛争解決手続きの過程で作成された情報
• 他の個人の生命または安全を脅かすと合理的に予想される情報
• 機密の商業情報を明らかにする情報
• 契約または法律の違反に関する調査のために収集された情報

原則10 — 遵守状況への異議申し立て（条項4.10）

本人は、上記の原則の遵守に関する異議を、組織の遵守に責任を負う指定された個人に申し立てることができなければなりません。組織は、苦情や問い合わせを受け付けて対応する手順を設けなければなりません。すべての苦情を調査し、情報の取り扱い慣行を是正するために適切な措置を講じなければなりません。

セキュリティ保護措置の侵害（第1.1部、第10.1～10.3条）

侵害の報告義務（第10.1条）

組織は、自らが管理する個人情報に関するセキュリティ保護措置の侵害によって、個人に重大な危害が生じる現実的なリスク（RROSH）があると状況から合理的に判断される場合、その侵害をOPCに報告しなければなりません。

RROSH 評価要素

RROSH の評価では、次の事項を考慮する必要があります。

• 対象となる個人情報の機微性
• 情報が不正利用された、現在不正利用されている、または今後不正利用される可能性
• その他の所定の要素

重大な損害には、身体的危害、屈辱、評判への損害、失業、金銭的損失、個人情報の盗用、信用情報への悪影響、財産の損傷または喪失が含まれます。

通知要件（第10.1条(3)～(6)）

OPC への報告には、次の内容を含める必要があります。

• 侵害の状況の説明、および判明している場合はその原因
• 侵害が発生した日または期間
• 対象となる個人情報の説明
• 影響を受けた個人の数
• 損害のリスクを低減するため、または損害を軽減するために講じた措置
• 組織が影響を受けた個人に通知したかどうか
• OPC からの質問に回答できる担当者の氏名と連絡先情報

影響を受けた個人への通知（第10.1条(4)）：

• RROSH が存在すると判断した後、実行可能な限り速やかに通知します
• 次の内容を含める必要があります。侵害の説明、対象となる個人情報、講じた措置、損害のリスクを低減するために個人が講じることのできる措置、問い合わせ先の連絡先情報
• 目立つ形で、個人に直接通知する必要があります（直接通知によってさらなる損害が生じる場合、または組織が連絡先情報を保有していない場合は、間接的な通知が可能です）

他の組織への通知（第10.2条）：他の組織への通知によって損害のリスクを低減できる場合、その組織に通知します。

記録の保存（第10.3条）

組織は、自らの管理下にある個人情報に関わるセキュリティ保護措置の侵害すべてについて、侵害が発生したと組織が判断した日から24か月間、記録を作成して維持しなければなりません。OPC はこれらの記録へのアクセスを求めることができます。

国境を越える移転

移転に関する OPC の見解

PIPEDA は個人情報の国境を越える移転を禁止していません。ただし、移転元の組織は、原則1（説明責任）に基づき、引き続き情報に対する説明責任を負います。OPC は次のことを求めています。

1. 契約またはその他の手段による同等の保護
2. プライバシーポリシーにおける国境を越える移転についての透明性
3. 情報が外国の法域に移転され、適法な権限に基づき当該法域の法執行機関がアクセスできる可能性があることの個人への通知
4. 外国の組織のプライバシー慣行に関するデューデリジェンス

外国からのアクセスが及ぼす影響

PIPEDA Case Summary 2009-008 における OPC の認定および R. v. Spencer（2014 SCC 43）におけるカナダ最高裁判所の判決を踏まえ、組織は、他の法域に移転された個人情報が外国政府による適法なアクセスの対象となる可能性を考慮する必要があります。この点を個人に伝えなければなりません。

法執行

OPC の権限

• 苦情を受理し、調査する（第11～13条）
• 監査を実施する（第18条）
• 認定と勧告を公表する
• コンプライアンス合意を締結する（第17.1条）
• 連邦裁判所に対し、コンプライアンスを強制する命令を求める（第14～16条）
• 損害賠償およびコンプライアンスに関する命令を含め、連邦裁判所に命令を申し立てる（第16条）

連邦裁判所による救済措置（第16条）

コミッショナーまたは申立人の申立てに基づき、連邦裁判所は組織に対し、次の命令を出すことができます。

• 慣行を是正する
• 講じた措置に関する通知を公表する
• 屈辱に対する損害賠償を含む損害賠償を命じる

罰則（第28条）

PIPEDA に基づく犯罪には、次のものが含まれます。

• コミッショナーまたはその代理人の職務を妨害すること
• 個人から開示請求を受けた個人情報を破棄すること
• PIPEDA に関する苦情を申し立てた従業員に報復すること
• 侵害を報告しない、または侵害記録を維持しないこと（第1部第1.1節）

罰金の上限：略式起訴の場合、犯罪1件につき10万カナダドル（個人）。

主要な規制関連資料

• PIPEDA（S.C. 2000, c. 5）
• Digital Privacy Act（S.C. 2015, c. 32）
• Breach of Security Safeguards Regulations（SOR/2018-64）
• 意味のある同意の取得に関するOPCガイドライン（2018）
• プライバシーとオンライン行動ターゲティング広告に関するOPCガイドライン（2023年更新）
• 個人情報の越境移転に関するOPCの見解（PIPEDA解釈速報）
• CSAモデルコード CAN/CSA-Q830-96（PIPEDAの別表1）