conflicting-laws-mgmt

相反するプライバシー要件の管理

概要

複数の法域で事業を展開する組織は、国ごとのプライバシー要件が相反する、両立しない、またはコンプライアンス上の緊張を生む状況に必然的に直面します。こうした相反は、プライバシー法が異なる法的伝統、文化的価値観、政策上の優先事項を反映しているために生じます。体系的な解決フレームワークを導入することで、組織はすべての法域で正当性を説明できるコンプライアンス上の立場を維持しながら、こうした相反に対処できます。

相反のカテゴリ

カテゴリ 1：データローカライゼーションと移転の自由

相反	詳細
ローカライゼーション要件	中国 PIPL 第 40 条は CIIO に対し、個人情報を中国国内に保存することを義務付けています。インド RBI の通達は、決済データをインド国内に保存することを義務付けています
移転の自由	EU GDPR 第 44～49 条は適切な保護措置を講じた移転を認めています。シンガポール PDPA 第 26 条は同等の保護を伴う移転を認めています
解決上の課題	組織は、データを国内に保存しながら、グローバル本社でも利用できるようにする必要がある場合があります

Zenith Global Enterprises の解決フレームワーク：

シナリオ	アプローチ
中国の CIIO データと EU 本社からのアクセス	プライマリデータを中国国内に保存し、CAC が承認した仕組みを通じて処理済みのコピーを移転します。中国を記録の基準となるシステムとして維持します
インドの決済データとグローバル財務部門	決済システムのデータをインド国内に保存し（RBI 準拠）、契約上の保護措置を講じてコピーを財務部門に移転します
法域をまたぐ分析	フェデレーテッド分析を実装します。クエリを各地域で実行し、結果を中央で集計して、生の個人データの移動を避けます

カテゴリ 2：同意基準の違い

法域	同意基準
EU（GDPR）	自由に与えられ、具体的で、十分な情報に基づき、曖昧さがないこと。他の適法な根拠が適用される場合は不要です
中国（PIPL）	デフォルトの根拠です。5 つの状況では別途同意（单独同意）が必要です
韓国（PIPA）	表示に関する規定（フォントサイズ、色）が詳細に定められています。マーケティングには別途同意が必要です
ブラジル（LGPD）	契約条項とは別個の独立した同意条項が必要です。代替となる根拠が 10 種類あります
インド（DPDP）	自由に与えられ、具体的で、十分な情報に基づき、無条件で、曖昧さがないこと。Consent Manager との連携が必要です
日本（APPI）	一般的な処理には黙示の同意モデルを適用します。要配慮個人情報には明示的な同意が必要です

相反の例：

• GDPR では同意なしで正当な利益を根拠にできますが、PIPL では正当な利益という根拠がなく、原則として同意が必要です
• LGPD では同意を契約条項から分離しますが、法域によっては同意を一体化できます
• 韓国ではフォントサイズと表示方法が規定されていますが、他の法域では原則ベースです

解決策：最も厳格な同意基準（明確に表示された、個別かつ明示的で、目的を特定した同意）をグローバルに適用し、統一された基準とします。法域で同意なしの処理が認められる場合（例：GDPR の正当な利益）、法域固有の根拠を文書化しつつ、代替手段として同意の仕組みを維持します。

カテゴリー 3：子どもの年齢基準

法域	年齢	意味
インド（DPDP）	18歳未満	18歳未満のすべての処理に保護者の同意が必要です
オーストラリア（2024年）	18歳未満	子ども向けコードが適用されます
EU（GDPR）	16歳未満（13歳まで引き下げ可能）	ISS について保護者の同意が必要です
中国（PIPL）	14歳未満	保護者の同意と追加の保護措置が必要です
韓国（PIPA）	14歳未満	法定代理人の同意が必要です
タイ（PDPA）	10歳未満	保護者の同意が必要です

競合：年齢基準が異なるため、グローバルプラットフォームの運用が複雑になります。

解決策：すべての市場における統一基準として、世界で最も高い年齢基準（インドのDPDPにおける18歳）を適用します。これにより、年齢基準が低い法域でもより厳格に扱うことになりますが、すべての地域でコンプライアンスを確保できます。最も高い年齢基準によって事業への影響が大きくなる場合は、同意管理プラットフォームで法域ごとの年齢ロジックを実装します。

カテゴリー 4：データ侵害の通知期限

法域	期限	発動条件
EU GDPR	72時間	権利と自由へのリスク
韓国 PIPA	72時間	1,000人以上に影響
インド DPDP	72時間（草案）	損害のおそれ
ブラジル LGPD	3営業日	関連するリスクまたは損害
シンガポール PDPA	評価後3日（評価期間は30日）	重大な損害、または500人以上に影響
オーストラリア Privacy Act	可能な限り速やかに（評価期間は30日）	重大な損害のおそれ
日本 APPI	3～5営業日（速報）	PPC が定める基準

競合：72時間の期限（EU／韓国／インド）と30日間の評価期間（シンガポール／オーストラリア）が相反します。

解決策：次の2つの通知プロセスを実装します。

1. グローバル迅速対応：把握次第、直ちに評価を開始し、通知が必要な法域向けに72時間以内の通知を準備します
2. 評価対応：評価が認められている法域向けには最大30日間評価を続けますが、迅速対応が必要な法域には72時間以内に暫定通知を発行します
3. 内容：評価の継続に伴い、72時間以内に発行した暫定通知を更新できます

カテゴリー 5：正当な利益の利用可否

法域	正当な利益を利用可能
EU（GDPR）	はい — 第6条(1)(f)
UK GDPR	はい — 第6条(1)(f)
韓国（PIPA）	はい — 第15条(1)(6)（2023年改正）
ブラジル（LGPD）	はい — 第7条、IX
タイ（PDPA）	はい — 第24条(5)
中国（PIPL）	いいえ
インド（DPDP）	いいえ（第7条に基づく正当な利用の範囲はより限定的です）
日本（APPI）	いいえ（利用目的の制限を重視する方式）
シンガポール（PDPA）	いいえ（同意とみなし同意のモデル）

競合：EU で正当な利益に依拠する組織は、中国、インド、シンガポールでは同じ根拠を利用できません。

解決策：一部の法域で正当な利益に依拠する処理活動については、並行する手段として同意取得の仕組みを維持します。正当な利益を利用できない法域では、同意を取得するか、適用可能な別の根拠を特定します。処理記録には、法域ごとの適用可否とともに、両方の根拠を記録します。

カテゴリー 6：DPO の独立性と組織構造

競合	詳細
GDPR 第38条(3)	DPO は職務の遂行を理由に解任または不利益な扱いを受けてはならず、最高経営層に報告する必要があります
各国の雇用法	一部の法域では、上級従業員に対する解雇保護の適用に制限があります
複数法域を担当する DPO	1人のグローバル DPO が、法域ごとに相反する報告要件に直面する可能性があります

解決策：各地域の雇用法に整合した雇用保護のもとで地域 DPO を任命し、グローバル最高プライバシー責任者に報告させます。各地域 DPO は担当法域の法定 DPO の役割を担い、グローバル CPO は戦略的な調整を行います。

解決の枠組み

要件が競合する場合の判断ツリー

START: Identify the conflict
  |
  ├── Can a single harmonised standard satisfy all jurisdictions?
  |     |
  |     ├── YES → Apply the most stringent standard globally
  |     |
  |     └── NO → Are the requirements truly incompatible?
  |           |
  |           ├── YES → Implement jurisdiction-specific controls
  |           |     |
  |           |     └── Document: (a) the conflict, (b) the resolution,
  |           |         (c) the risk accepted in each jurisdiction
  |           |
  |           └── NO (tension but not incompatible) → Apply layered approach:
  |                 global baseline + jurisdiction-specific supplements
  |
  └── Record the resolution in the conflict register

競合登録簿のテンプレート

競合 ID	カテゴリ	法域	説明	解決策	リスク評価	確認日
CON-001	データのローカライゼーション	中国、インド、EU	CIIO データは中国国内に保管する必要がありますが、EU 本社はアクセスを必要としています	国内に保存し、CAC の仕組みを通じて処理済みのコピーを転送します	中 — 更新時に CAC に拒否される残余リスクがあります	2027年3月
CON-002	同意基準	中国、EU、韓国	PIPL では同意が必要ですが、GDPR では正当な利益が認められています	二重の法的根拠を採用します：中国と韓国では同意、EU では正当な利益を適用します	低 — 同意の仕組みをグローバルに維持しています	2027年3月
CON-003	子どもの年齢	インド（18歳）、EU（16歳）、韓国（14歳）	保護者の同意が必要となる年齢の基準が異なります	すべての地域で18歳を基準とします	低 — 基準年齢が低い法域では、より厳格な対応となります	2027年3月
CON-004	データ侵害の期限	EU（72時間）、シンガポール（評価に30日）	通知期限が異なります	二段階で対応します：72時間以内に暫定通知し、30日以内に完全な評価を行います	低 — 暫定通知により、迅速な対応が求められる法域の要件を満たします	2027年3月

ガバナンス

項目	詳細
競合登録簿の責任者	最高プライバシー責任者
確認頻度	半年ごと、または法改正時
エスカレーション経路	CPO → 法務顧問 → 取締役会プライバシー委員会
外部弁護士	新たな競合について法域固有の法的見解が必要な場合に起用します
文書化	すべての解決策を、法的分析とリスク評価とともに文書化します