data-localization

データローカライゼーション要件の実装

概要

データローカライゼーション法では、ある国の居住者の個人データを、その国の領域内で保存、処理、またはその両方を行うことが求められます。これらの要件は、GDPR に基づく移転メカニズムの要件とは独立しており、それに加えて適用されます。グローバルに事業を展開する組織は、管轄区域ごとにデータローカライゼーションの義務を把握し、現地の保存義務を満たすインフラアーキテクチャを設計するとともに、条件を満たす場合に越境移転を認める適用除外の手続きを実施する必要があります。

国別の要件

ロシア — 連邦法第242-FZ号（連邦法第152-FZ号の改正）

施行日：2015年9月1日

主な要件：

• 連邦法第152-FZ号第18条第5項（第242-FZ号による改正後）：インターネットを介する場合を含め、個人データを収集する際、データ管理者は、ロシア連邦国民の個人データの記録、体系化、蓄積、保存、変更、抽出、および検索を、ロシア連邦の領域内に設置されたデータベースを使用して行う必要があります。
• この法律は、組織の所在地にかかわらず、ロシア国民の個人データを収集するすべての組織に適用されます。
• 最初にローカライズした後は越境移転が認められます。主要データベースはロシア国内になければなりませんが、連邦法第152-FZ号の越境移転規則に従い、データのコピーを国外に移転できます。

執行：

• 連邦通信監督庁（Roskomnadzor）が執行機関です。
• 不遵守の場合、ロシア国内でのウェブサイトのブロック、罰金（2023年改正法に基づき、違反を繰り返した場合は最大1,800万ルーブル）、および一部の違反に対する刑事責任が科される可能性があります。
• LinkedInは、242-FZ号に違反したため、2016年にロシア国内でブロックされました。

Athena Global Logistics における実装：

• ロシア従業員の主要な人事データベースは、モスクワのサーバー（OVHcloud Russia データセンター、Bolshaya Nikitskaya 22）でホストされています。
• ロシア発の貨物に関する顧客データは、フランクフルトの分析プラットフォームに複製される前に、主にモスクワで保存されます。
• モスクワからフランクフルトへの越境移転は、ロシアの越境移転規則（Roskomnadzor 命令第274号に基づく適切な保護水準を備えた国の一覧、またはデータ主体の同意）に従って行われます。

中国 — PIPL 第40条およびCAC措置

個人情報保護法（PIPL） — 2021年11月1日施行

主な要件：

• 第40条：重要情報インフラ運営者（CIIO）および中国サイバースペース管理局（CAC）が定める数量基準に達する個人情報を取り扱う個人情報処理者は、中国国内で収集・生成した個人情報を国内に保存する必要があります。国外への移転には、CACが実施するセキュリティ評価が必要です。
• データの国外移転に関するセキュリティ評価のCAC措置（2022年9月1日施行）：
  • 次の場合、セキュリティ評価が必須です。（a）CIIO、（b）100万人を超える個人の個人情報を取り扱う処理者、（c）前年1月1日以降、累計で10万人を超える個人の個人情報、または1万人を超える個人の機微な個人情報を移転した処理者。
  • 評価は省級のCACが実施し、国家CACが審査します。
  • 評価の有効期間は2年間です。期限前、または重大な変更があった場合は、再評価が必要です。
• 標準契約に関するCAC措置（2023年6月1日施行）：必須のセキュリティ評価の対象とならない個人情報処理者は、国外移転にCAC公表の標準契約を使用できます。契約締結後10営業日以内に、省級のCACに届け出る必要があります。
• 中華人民共和国データセキュリティ法（DSL）第31条：CIIOが収集・生成した重要データは、国内に保存する必要があります。

Athena Global Logisticsによる実施内容：

• 中国での事業では、約15,000人分の個人情報を処理しています（必須のセキュリティ評価の基準である100万人を下回っています）。
• ローカライゼーション：中国の顧客および従業員のデータは、Alibaba Cloudの上海リージョンのサーバーに保存しています。
• 国外移転：Athenaは、物流データをフランクフルト本社へ移転する際、上海CACに届け出た標準契約を使用しています。
• PIPL第55条に基づき、国外移転前に個人情報影響評価（PIIA）を完了しています。

インド — 2023年デジタル個人データ保護法（DPDP Act）

施行時期：2024年以降、段階的に施行されています。

主な要件：

• 第16条（1）：中央政府は、通知により、重要データ受託者によるインド国外の国または地域への個人データ移転を制限できます。
• 第16条（2）：中央政府は、特定の国への越境移転に関する条件を定めることができます。
• ブラックリスト方式：インドは「ブラックリスト」方式を採用しており、政府の通知で特に制限された国を除くすべての国への移転が認められています。2026年3月時点で、ブラックリストに関する通知は発出されていません。
• 重要データ受託者（SDF）：データ量、機微性、データ主体へのリスクなどの要素に基づき、中央政府が指定します。SDFには、DPOの任命義務やデータ保護監査など、より厳格な義務が課されます。
• RBIによるデータローカライゼーション：インド準備銀行は、決済システムのデータをインド国内だけに保存することを義務付けています（RBI Circular DPSS.CO.OD.No.2785、2018年4月）。これは、決済システム運営者が処理するすべての決済データに適用されます。

Athena Global Logisticsによる実施内容：

• インドでの事業データは、AWSのムンバイリージョン（ap-south-1）に保存しています。
• 越境移転は認められています（2026年3月時点でブラックリストに関する通知がないため）が、今後の制限に備えて動向を監視しています。
• RBIの決済データローカライゼーション：インドの決済取引データは、現地の決済ゲートウェイを通じて処理し、インド国内に主データを保存しています。

トルコ — 個人データ保護法第6698号（KVKK）

主な要件：

• 第9条：個人データを国外に移転できるのは、データ主体の明示的な同意がある場合、または第5条第2項もしくは第6条第3項の条件のいずれかを満たし、さらに以下のいずれかに該当する場合に限られます。（a）移転先の国が十分な保護を提供している（KVKK 委員会のリストに基づく）。（b）トルコと移転先の国のデータ管理者が十分な保護を提供する旨の書面による誓約を行い、KVKK 委員会が許可を付与する。
• データローカライゼーション：KVKK には明示的なデータローカライゼーションの義務はありませんが、国外データ移転に関する委員会規則（2024年改正）により、十分な保護が認められた国のリストにない国へデータを移転する前に、データ管理者が委員会に申請することを求める、届出に基づく制度が導入されました。
• 実務上のローカライゼーション：国境を越えるデータ移転に関する委員会の承認手続きが複雑であるため、多くの組織がトルコのデータを国内に保持しています。

ベトナム — 個人データ保護に関する政令13/2023/ND-CP

施行日：2023年7月1日

主な要件：

• 第25条第4項：個人データを国外に移転するデータ管理者および処理者は、移転影響評価書類を作成し、維持しなければなりません。
• 第26条：移転影響評価書類は、処理開始から60日以内に公安省へ提出しなければなりません。
• 厳格なローカライゼーション義務なし：ベトナムでは、ほとんどの個人データについてデータローカライゼーションは義務付けられていません。ただし、サイバーセキュリティ法（2018年）第26条第3項は、国家安全保障、社会秩序、またはサイバーセキュリティに関係するデータを扱う、電気通信ネットワークまたはインターネット上でサービスを提供する企業に対し、特定のデータをベトナム国内に保存することを求めています。

インドネシア — 政令第71/2019号（GR 71）

主な要件：

• 第20条：公共電子システム運営者は、監督、法執行、データアクセスの保護、および国家安全保障を目的として、電子システムとデータをインドネシア国内に配置しなければなりません。
• 第21条：民間電子システム運営者は、監督および法執行のためのアクセスを認めることを条件として、システムとデータをインドネシア国外に配置できます。
• 実務上の影響：政府および公共部門のデータはインドネシア国内に保存しなければなりません。民間部門のデータは、アクセスを可能にする規定を設ければ国外に保存できます。

ローカライゼーションアーキテクチャの設計

パターン1：ローカルでのプライマリストレージとレプリケーション

┌───────────────────┐     Replication     ┌──────────────────┐
│ Local Data Centre  │ ─────────────────→  │ Central EU DC    │
│ (Country Required) │    (encrypted,      │ (Frankfurt)      │
│ Primary database   │     compliant       │ Analytics,       │
│ All CRUD operations│     transfer)       │ Reporting        │
└───────────────────┘                      └──────────────────┘

ユースケース：ロシア（242-FZ）、中国（PIPL 第40条、CIIO向け） 実装：作成、読み取り、更新、削除のすべての操作をローカルデータベースで実行します。ローカルの越境移転規則に従い、分析およびグループレポート作成のため、暗号化したデータを中央のEUシステムにレプリケーションします。

パターン2：ローカル処理と中央分析

┌───────────────────┐     Aggregated/     ┌──────────────────┐
│ Local Instance     │     Anonymised     │ Central EU DC    │
│ Full processing    │ ─────────────────→ │ Only aggregated  │
│ in-country         │                    │ or anonymised    │
└───────────────────┘                     │ data received    │
                                          └──────────────────┘

ユースケース：越境移転の承認が不要な厳格なローカライゼーション（中国でのCAC申請前） 実装：個人データの処理はすべてローカルで行い、集計済みまたは匿名化済みのデータ（個人データではないもの）のみを中央に移転します。

パターン3：データ所在地管理を備えたハイブリッドクラウド

┌───────────────────┐
│ Cloud Provider     │
│ Local Region       │ ← Data residency policy enforced
│ (e.g., AWS Mumbai) │   via cloud service configuration
│ Personal data      │
│ stored here only   │
└───────────────────┘
     │
     │ (API access from EU for administration; no data egress)
     │
┌───────────────────┐
│ Central EU DC      │
│ Application logic  │
│ No local PD stored │
└───────────────────┘

ユースケース：インド（DPDP法）、インドネシア（GR 71の民間部門） 実装：クラウドプロバイダーのローカルリージョンに個人データを保存します。アプリケーションロジックは中央で実行できますが、個人データはローカルリージョンから外部に出ません。

ローカライゼーションコンプライアンスチェックリスト

法域	保存要件	移転条件	届出／承認	執行機関
ロシア	ロシア国内にプライマリデータベースを設置	ローカライゼーション後に許可。152-FZの移転規則に準拠	ローカライゼーションの届出は不要	Roskomnadzor
中国（CIIO／基準値）	国内で保存	CACのセキュリティ評価または標準契約が必要	CACへのセキュリティ評価の申請。標準契約は10日以内に届出	CAC
インド	ローカライゼーションなし（現時点）	ブラックリスト掲載国を除き許可	届出不要（今後の要件を注視）	Data Protection Board of India
インド（RBI）	決済データをインド国内に保存	決済データの移転は不可	RBIへのコンプライアンス報告	Reserve Bank of India
トルコ	明示的なローカライゼーション要件なし	委員会の承認または十分性認定国リストに基づく	十分性が認められていない国への移転には委員会への申請	KVKK Board
ベトナム	特定のデータをベトナム国内に保存	影響評価が必要	60日以内に公安省へ書類を提出	Ministry of Public Security
インドネシア（公共部門）	インドネシア国内に保存	例外は限定的	特定の届出なし	Ministry of Communication
インドネシア（民間部門）	海外保存も可能	監督のためのアクセスが必要	特定の届出なし	Ministry of Communication