lgpd-brasil

LGPD – 個人データ保護一般法（ブラジル）

ブラジルで個人データを取り扱うシステム、製品、プロセスにおいて、法律第13.709/2018号（LGPD）の理解と適用を支援するスキルです。

概要

• 法律：13.709/2018（LGPD）。2018年8月14日から施行。法律第13.853/2019号（ANPD）により改正。
• 目的：自然人の自由、プライバシー、人格の自由な発展に関する基本的権利を保護します。
• 適用範囲：以下のいずれかに該当する場合、自然人または法人（公的・民間を問わず）による、あらゆる媒体での個人データのあらゆる処理業務が対象となります。
  • 処理業務がブラジル国内で行われる場合、または
  • ブラジルに所在する人への商品・サービスの提供、あるいはその人のデータ処理を目的とする活動である場合、または
  • データがブラジル国内で収集された場合（収集時に本人がブラジルにいること）。

例外（第4条）：専ら個人的かつ非経済的な目的での利用、報道・芸術目的、学術目的（第7条および第11条を遵守）、公共の安全、国防、国家の安全、刑事犯罪の捜査・取締り（個別の法令が適用）、ブラジル国外から取得したデータで、ブラジルの関係者との連絡・共有・国際移転がないもの（ただし、留保事項あり）。

基本概念（第5条）

用語	概要
個人データ	識別された、または識別可能な自然人に関する情報
要配慮個人データ	自然人に紐づく人種・民族的出自、宗教的信条、政治的意見、労働組合・宗教・哲学・政治団体への所属、健康、性生活、遺伝データまたは生体データ
本人	データの対象となる自然人
管理者	データ処理について決定する者
処理者	管理者に代わってデータを処理する者
データ保護責任者（DPO）	管理者、本人、ANPDをつなぐ窓口
処理	収集、生成、受領、分類、利用、アクセス、複製、送信、配布、処理、記録、保管、消去、評価、管理、変更、連絡、移転、拡散または抽出
同意	特定の目的に対する、自由で、十分な情報に基づく、明確な意思表示

原則（第6条）

すべての処理活動は、信義誠実の原則を遵守し、以下に従う必要があります。

1. 目的 – 本人に通知された、正当で具体的かつ明示された目的。これと整合しない後続処理は行いません。
2. 適合性 – 通知された目的および状況との適合性。
3. 必要性 – 必要最小限であること。データは目的に関連し、比例的で、過剰でないこと。
4. 自由なアクセス – データの形式、保存期間、完全性に関する情報を、容易かつ無料で確認できること。
5. 品質 – 目的に応じた正確性、明確性、関連性、最新性。
6. 透明性 – 処理および関係者について、明確で正確、かつアクセスしやすい情報を提供すること（営業秘密および産業秘密を尊重）。
7. 安全性 – 不正アクセスおよび違法または偶発的な事態（破壊、喪失、改変、連絡、拡散）から保護するための技術的・管理的措置。
8. 予防 – 損害を防止するための措置。
9. 差別禁止 – 違法または濫用的な差別目的で処理を行わないこと。
10. 説明責任とアカウンタビリティ – 効果的なコンプライアンス措置を実証すること。

取扱いの法的根拠（第7条）

個人データの取扱いは、次のいずれかに該当する場合にのみ行うことができます。

• I – データ主体の同意
• II – 管理者の法令または規制上の義務
• III – 公共行政機関による公共政策の実施（第IV章に従う）
• IV – 研究機関による研究（可能な場合は匿名化）
• V – 契約の履行、またはデータ主体の依頼による契約締結前の手続き
• VI – 司法、行政、または仲裁手続きにおける権利の正当な行使
• VII – データ主体または第三者の生命もしくは身体の安全の保護
• VIII – 医療の保護（医療従事者／医療サービス、または衛生当局によるもの）
• IX – 管理者または第三者の正当な利益。ただし、データ主体の基本的権利および自由が優先される場合を除く
• X – 信用の保護

同意（第8条）：書面または意思を示すその他の手段によります。書面の場合は、同意条項を明確に区別します。立証責任は管理者が負います。同意に瑕疵がある場合の取扱いは禁止されます。目的は特定されなければならず、包括的な許可は無効です。同意はいつでも、無料かつ容易な方法で撤回できます。

データ主体によって明らかに公開されているデータは、権利および原則を遵守することを条件に、同意なしで取り扱うことができます。同意が不要であっても、その他の法律上の義務が免除されるわけではありません。

要配慮データ（第11条）

要配慮データの取扱いは、次の場合に限られます。

• 特定の目的について、個別かつ明示的な同意を得ている場合、または
• 次の目的に不可欠であり、同意がない場合：（a）法令または規制上の義務、（b）公共政策、（c）研究機関による研究（可能な場合は匿名化）、（d）権利の正当な行使（契約／手続き）、（e）生命または身体の安全の保護、（f）医療の保護（医療従事者／医療サービス／衛生当局）、（g）データ主体の権利を尊重した、不正防止およびデータ主体の安全確保（システムにおける識別／認証）。

禁止事項：経済的利益を目的とした、管理者間での健康データの共有。ただし、法律で認められた場合（例：データ主体の依頼によるデータポータビリティ、医療サービスの提供）は除きます。医療保険事業者は、契約時のリスク選別や受益者の除外を目的として健康データを使用できません。

子どもおよび青少年（第14条）

• 取扱いは、子ども／青少年の最善の利益を考慮して行います。
• 子どものデータ：少なくとも親の一方または法定代理人による、個別かつ明示的な同意が必要です。
• 管理者は、データの種類、利用方法、および権利の行使（第18条）に関する情報を公開しなければなりません。
• 同意なしでの収集は、親／法定代理人への連絡に必要な場合（1回限りの使用で、保存しない）または保護のために限られます。第1項の同意なしに第三者へ提供することはできません。
• 厳密に必要な範囲を超えるデータ収集を条件として、ゲーム／アプリケーションへの参加を認めてはなりません。

データ主体の権利（第18条）

データ主体は、請求により、いつでも管理者に対して次の権利を行使できます。

• I – 取扱いの有無の確認
• II – データへのアクセス
• III – 不完全、不正確、または古いデータの訂正
• IV – 不要、過剰、または法律に違反するデータの匿名化、ブロック、または削除
• V – 別の提供者へのデータポータビリティ（ANPDの規則に従い、営業秘密および産業秘密を保護）
• VI – 同意に基づいて取り扱われたデータの削除（第16条に定める場合を除く）
• VII – 共有利用した公的機関および民間団体に関する情報
• VIII – 同意しない選択肢の有無、および拒否した場合の結果に関する情報
• IX – 同意の撤回（第8条第5項）

データ主体は、管理者に対してANPDに申し立てることができ、法律違反がある場合は、同意免除に基づく取扱いに異議を申し立てることができます。請求には、規則で定められた期限内に、データ主体に対して無料で対応しなければなりません。

ANPD（国家データ保護機関）

• 国内全域でLGPDの遵守を監督、実施、監視する責任を負う機関です。
• 規則やガイダンスを発行し、リスクの高いデータ処理（例：正当な利益に基づく処理）について、**個人データ保護影響評価報告書（RIPD）**の提出を求めることがあります。
• 法律に基づき、行政処分（罰金、警告など）を科します。

処理の終了と消去（第15条、第16条）

次の場合に処理は終了します。（I）目的が達成された、またはデータが不要になった場合。（II）処理期間が終了した場合。（III）公共の利益を損なわない範囲で、データ主体から通知があった場合（同意の撤回を含む）。（IV）違反があった場合にANPDが命令した場合。

処理の終了後、データは消去しなければなりません。ただし、保存が認められる場合（例：法令上または規制上の義務、匿名化を伴う研究など）は除きます。

システムおよび製品向け実践的チェックリスト

ブラジルでのデータ処理を設計または見直す際は、次の点を確認してください。

• LGPDが適用されるか確認します（対象地域、商品・サービスの提供、ブラジルで収集されたデータ）。
• 個人データおよび機微データを特定し、目的と法的根拠（第7条または第11条）を文書化します。
• 同意が必要な場合は、具体的かつ明確に提示し、無料で簡単に撤回できるようにします。
• 原則を遵守します：必要性（データの最小化）、透明性、安全性、予防。
• データ主体が権利を行使するための窓口を設置します（アクセス、訂正、消去、データポータビリティ、同意の撤回、異議申し立て）。
• データ保護責任者を任命し、連絡窓口を公開します（データ主体およびANPD向け）。
• リスクの高いデータ処理について、RIPDが必要か評価します。
• 児童のデータについては、親または保護者の同意を得ます。必要な範囲を超えるデータ収集を活動の条件にしないでください。
• 機微データについては、第11条の適用条件と禁止事項を確認します（例：経済的利益を目的とした健康データの利用、医療保険プランにおけるリスク選別）。

公式参照資料

• 法律13.709/2018（統合版）：planalto.gov.br
• ANPD ― ガイダンスとよくある質問：gov.br/anpd
• 条文ごとの参照（法律の構成と規定）については、reference.mdを参照してください。

注意：このスキルは、分析および実装を支援するためにLGPDを要約したものです。法的な最終判断や正式なコンプライアンス対応については、法律、ANPDの規則、および専門の法律顧問にご相談ください。