south-africa-popia

南アフリカの POPIA コンプライアンス

概要

個人情報保護法（POPIA、2013年第4号法）は、南アフリカの包括的なデータ保護法です。2020年7月1日の施行後、1年間の猶予期間を経て、2021年7月1日に全面施行されました。POPIA は EU のデータ保護原則を広くモデルとしていますが、南アフリカの憲法上の枠組み、特に憲法第14条（プライバシーの権利）に適合するよう調整されています。執行を担う独立した監督機関は情報規制当局です。POPIA は、南アフリカに住所を有する責任当事者（管理者）、または南アフリカ国内で自動化もしくは非自動化の手段を用いて個人情報を処理する責任当事者に適用されます。ただし、その手段が共和国を通じて情報を転送する目的のみで使用される場合は除きます。

主な定義

POPIA の用語	GDPR における相当用語	定義
個人情報	個人データ	識別可能な生存する自然人、または識別可能な既存の法人に関する情報（POPIA は法人も対象とする点が特徴です）
特別個人情報	特別カテゴリーのデータ	宗教上または哲学上の信条、人種または民族的出自、労働組合への加入、政治的信条、健康、性生活、生体情報、犯罪行為（第26条）
責任当事者	管理者	単独で、または他者と共同して、処理の目的および手段を決定する公的機関もしくは民間機関、またはその他の者（第1条）
オペレーター	処理者	契約または委任に基づき、責任当事者のために個人情報を処理する者（第1条）
データ主体	データ主体	個人情報が関係する者（法人を含みます）
情報管理責任者	DPO	コンプライアンスの推進を担う組織の長、または指名された者（第55条）

適法な処理に関する8つの条件（第8～25条）

条件1：説明責任（第8条）

責任当事者は、処理の目的および手段を決定する時点と、処理の実施中に、適法な処理に関するすべての条件が遵守されるようにしなければなりません。

条件2：処理の制限（第9～12条）

• 個人情報は、適法かつ、データ主体のプライバシーを侵害しない合理的な方法で処理しなければなりません。
• 処理は適切かつ関連性があり、過剰であってはなりません（第10条）。
• 同意は自発的、具体的かつ十分な情報に基づくものでなければならず、撤回できます（第11条）。
• 例外を除き、個人情報はデータ主体から直接収集できます（第12条）。

条件3：目的の特定（第13～14条）

• 個人情報は、責任当事者の機能または活動に関連する、具体的かつ明示的に定義された適法な目的のために収集しなければなりません。
• 法律により保管が求められる場合、適法な目的のために合理的に必要な場合、または契約に基づき保管が求められる場合を除き、記録を必要以上に長く保管してはなりません。

条件4：目的外のさらなる処理の制限（第15条）

さらなる処理は、当初の目的と適合していなければなりません。適合性は、目的間の関係、情報の性質、データ主体への影響、収集方法、および契約上の権利を考慮して評価されます。

条件5：情報の品質（第16条）

責任当事者は、個人情報が完全かつ正確で、誤解を招くものではなく、必要に応じて最新の状態に保たれるよう、合理的に実行可能な措置を講じなければなりません。

条件6：透明性（第17～18条）

• 責任当事者は、処理を開始する前に情報規制当局へ通知しなければなりません（第17条。全面的な執行はまだ開始されていません）。
• 個人情報を収集する際、データ主体に通知しなければなりません（第18条）。

条件 7：セキュリティ対策（第19～22条）

• 紛失、損傷、不正アクセスを防止するため、適切な技術的および組織的措置を講じる必要があります（第19条）
• オペレーターには、セキュリティ対策を確立し、維持することを契約で義務付ける必要があります（第21条）
• 侵害が発生したと信じる合理的な根拠がある場合、情報規制当局およびデータ主体への侵害通知を「合理的に可能な限り速やかに」行う必要があります（第22条）

条件 8：データ主体の権利行使（第23～25条）

• データ主体には、処理の確認、記録へのアクセス、訂正、および削除を請求する権利があります
• 請求には合理的な期間内に応じる必要があります
• 請求する手数料は過度な額であってはなりません

国境を越える移転（第72条）

南アフリカ国外への個人情報の移転は、以下の場合に限り認められます。

1. 受領者が、POPIA と実質的に同等の十分な保護水準を定める法律、拘束力のある企業準則、または拘束力のある契約の適用を受けている
2. リスクについて説明を受けた後、データ主体が同意している
3. データ主体と責任当事者との契約を履行するために移転が必要である
4. データ主体の請求に応じて講じる契約締結前の措置を実施するために移転が必要である
5. 移転がデータ主体の利益のために行われ、同意を得ることが合理的に実行可能ではない
6. 情報が公的記録に含まれている、または公的記録から得られたものである

執行と罰則

情報規制当局は、以下の措置を講じることができます。

• 執行通知を発行する（第95条）
• 最大1,000万ZARの行政罰金を科す（第109条）
• 刑事訴追のために案件を付託する。特定の犯罪には最長10年の禁錮刑が科される場合があります（第107条）
• 評価を実施する（第89条）
• 行動規範を発行する（第60条）

主な執行措置

• 司法・憲法開発省（2022年）：高等裁判所のシステムに影響を及ぼした大規模なデータ侵害を受け、適切なセキュリティ対策を実施しなかったとして、情報規制当局が執行通知を発行しました。
• TransUnion South Africa（2022年）：5,400万件の記録に影響を及ぼす侵害を受け、情報規制当局は調査を行い、侵害通知義務とセキュリティ対策に関する遵守指示を発行しました。
• 内務省（2023年）：データ主体からのアクセス請求への不対応、およびセキュリティ対策の条件への違反を理由に、執行通知が発行されました。

統合ポイント

• breach-72h-notification：POPIA 第22条の侵害通知（注：POPIA では固定の72時間以内ではなく、「合理的に可能な限り速やかに」と定めています）
• cross-border transfers：二重の適用がある場合、第72条の移転制限は GDPR 第V章と併せて適用されます
• vendor-privacy-due-diligence：第21条に基づくオペレーターとの契約には、セキュリティ義務に関する要件を含める必要があります
• data-inventory-mapping：情報規制当局への第17条に基づく通知には、処理状況の包括的なインベントリが必要です