一般財団法人日本情報経済社会推進協会
認定個人情報保護団体事務局 事務局長　奥原　早苗

• 「IT-Report2024 Winter」全文はこちらから

2023年8月、インドの個人情報保護法、「デジタル個人データ保護法」（Digital Personal Data Protection Act, 2023：DPDPA）が成立しました。これまで、個人情報の保護に関する包括的な規律を擁した法制度がなかった¹ため、施行の時期やDPDPAの詳細な規律としてどのような内容が盛り込まれるのか、規則の内容に注目が高まっており、現在、規則の最終決定とDPDPA施行に向けた準備が進められています。

インドは、BRICSおよび、近年目にするようになったグローバルサウスにおいても、その存在感は増す一方で、特にテクノロジー分野では、その成長スピードとスケールメリットを活かした技術革新には目を見張るものがあります。DPDPA成立に伴うニュースリリースや関連するセミナー等が数多く開催されていることからも、日本企業へのインパクトの大きさがうかがえます。

本年9月、インドでNational Association of Software and Services Companies ²（全国ソフトウェア・サービス企業協会：nasscom）主催でグローバルCBPRシステム³に関するワークショップが開催されました。JIPDECも米国政府、個人情報保護委員会（PPC）を通じて招待を受け参加しましたので、本ワークショップで得られた情報をレポートします。

さて、JIPDECは個人データの越境移転に関する国際的な認証制度「CBPRシステム」の日本の審査機関であり、「CBPRシステム」はこれまでAPECの制度として運用されていました。その後、より広範囲での個人データの円滑な越境移転を目的として2022年4月に設立されたグローバルCBPRフォーラムからも審査機関として認定（2024年4月30日）を受けました⁴。

グローバルCBPRフォーラムが開催する年2回のワークショップ⁵のうち、今年1回目が5月に東京で開催され、2回目は11月に台北で開催されます。今回インドで開催されたイベントは、このグローバルCBPRフォーラムが開催するワークショップとは異なり、インド政府とnasscomがDPDPAの成立を踏まえ、よりスムーズなデータの越境移転の可能性を探るべく、CBPRの枠組みを深く理解し、今後どのように進化していけるのかを知ることを目的として開催されたものです。

◆開催概要◆
1.件名：グローバルCBPRフォーラム　テクニカルワークショップ
2.日時：2024年9月19日～9月21日
3.場所：JW Marriot Aero city, New Delhi, India
4.共催：nasscom、インド データセキュリティ協議会（Data Security Council of India：DSCI）、インド電子情報技術省（Ministry of Electronics and Information Technology： MeitY）、インド外務省（Ministry of External Affairs：MEA）

• 1　現行法は、IT法（Information Technology Act, 2000）とIT法の具体的要件を定めたIT規則があります。
• 2　1988年に設立され、現在会員社数が3,000を超える非営利団体。テクノロジー分野におけるさまざまな取り組み（DeepTech | nasscom）を行っています。加盟企業は、大規模なネットワークを通じた労働力のスキルアップやイノベーションの促進、政府への政策提言に寄与する等の活動を行っており、2025年までに10,000社の加盟を目指しています。
  
• 3　当協会がAA（審査機関）を務める国際的な個人データの越境移転の枠組み。「CBPRシステムとは」（JIPDEC）
  
• 4　Global CBPR Forum Announces the Establishment of the Global CBPR and Global PRP Systems and Welcomes New Global CAPE Participants（Global CBPR Forum）別ウインドウで開く
• 5　前日には英国大使館でサイドイベントが開催されました。

ワークショップの参加者は、政府機関、規制当局、インドのテクノロジー分野の企業や団体、CBPR認証制度のアカウンタビリティ・エージェント（以下：AA）、CBPR認証取得企業、研究機関等で構成され、活発な議論が展開されました。最終日は、政府機関のみが参加し、今後の展開を話し合うものでしたが、最終日の会合にもご招待を受け、参加しました。また、ランチ、ディナー共にネットワークを目的としてフルカバーされていたため、大変有意義な3日間となりました。

初日は、インド情報技術省による基調講演が行われ、直近にデリーで開催されたCBPRの小規模なワークショップで、CBPRのフレームワークと役割について洞察が深められたこと、国際的なプライバシー法の複雑さと、特に中小企業や振興企業にとってコンプライアンス知識が必要であり、それらがテクノロジーを推進する上で足かせになってはいけないことなどが示されました。

その後の議論では、法域が異なる国や地域の個人情報保護に関する法律がもたらす課題が話し合われ、データ保護の枠組みとしてOECD原則に基づくデータ保護とプライバシーを確保するためのグローバルな枠組みの必要性が話し合われました。

私は初日のセッションで、新たなCBPR認証制度参加国におけるAAの設立について、シンガポール、米国、台湾のパネリストと共に登壇し、認証制度の申請を検討される企業の皆さまに対し、審査機関の成り立ちと申請によるメリット・デメリットを紹介しました。政府系の審査機関は審査料を無料にしたり、中小企業への認証取得に向けたカウンセリングや審査料の援助等を実施しています。しかし、残念ながら日本は米国と同様、非営利ではあるものの民間組織となるため、新しい制度の創成期に認知度を高めるために有効な手段となる審査料の無償化等の思い切った施策を打つことができず難しい側面があります。他方、フェーズが変われば有料化の検討が必要となります。

また、CBPR認証制度の運用において、審査機関と所管官庁との密接な連携も重要な要素として欠かせません。日本は、経済産業省、PPCが両輪でこの制度を推進していくことになりますので、JIPDECは、日本の審査機関として連携を深め、認証制度の拡大と信頼性の向上に向けて取り組んでいきたいと考えています。

3日目は、前日のワークショップに参加できなかったDPDPAに直接携わっている部門や規則を策定するプロセスに関わっている部門など、さまざまな政府機関関係者が多く参加し、CBPR認証制度と国内法の執行関係をどう整合させるのか、審査機関の設立と連携等について意見が出されました。

もし、インドがアソシエイトとして英国と同様にグローバルCBPRフォーラムに参加した場合、日本のみならず世界的に与える影響は大きいものと考えられます。2023年1月に経済産業省で開催された日米共催のグローバルCBPRワークショップでは、英国がアソシエイトとして参加予定⁶であるという報告を受けて、コモンウェルス⁷の動向について質問が寄せられました。これは、コモンウェルスを構成する56か国のうち、国家元首をチャールズ3世国王陛下としているカナダ、オーストラリア等のCBPR参加国以外の国々がCBPRシステムに参加する可能性を期待されての発言だと思われます。同様に、インドがアソシエイトとして参加する可能性が高まれば、グローバルサウスの国や地域に対するインパクトは計り知れません。

インドがアソシエイトに参加するだけでも、例えばnasscomに加盟する30,000の企業や団体（大手のグローバル企業を含む）がCBPR認証に興味を持つきっかけとなり、個人データの越境移転における通商パスポートとして、グローバルサウスにおけるCBPR認証制度の拡大に、大きな一石を投じることになるのではないでしょうか。当然、世界の注目を集める市場であるインドで事業展開を検討している日本企業も今後広がりを見せることが考えられます。

インドで認証を受けた個社、またはグループ認証⁸として日本法人を含む複数の認証を取得したインドのグローバルテック企業の増加は、CBPR認証が逆輸入される形でその認知度が高まることも可能性としては否めません。現在も、CBPRの認証取得企業数は十分とは言えないものの、Apple、IBM、Mastercard、CISCO、Salesforce等、日本では誰もが知っているであろう名だたる企業が取得しています。それらのグループ会社も含めれば、2,000社を超える企業が認証を取得しており、私達の身近にCBPR認証取得企業が多数存在しているのです（日本の認証企業は4社）。

情報化、グローバル化は今後も加速が予想され、異なる複数の法域間で個人データの移転が行われることは必須であり、現在、国や地域、企業規模を問わず企業が苦慮している膨大な法務コストや労力等に対し、CBPRシステムのような越境移転制度が多くの国や地域、そして事業者の皆さまに活用していただけることを願っています。そのためにも、私たちは現行制度の見直しや申請に伴うハードルを軽減する努力を継続していくことが求められるでしょう。そして、インドで事業を既に展開している、または今後展開を予定している日本企業は、今後リリースが予定されているDPDPA規則の内容に沿って対応の準備が必要となりますので、引き続き動向をウォッチしながら、早めに対策を講じることが肝要です。

• 6　2023年1月のワークショップ開催時点では、まだ正式に参加が認められていませんでした。その後、2023年7月に英国がアソシエイトとして正式に参加しました。
• 7　The Commonwealth of Nations：英連邦56の主権国家からなる自発的な連合体で、27億人の市民が暮らしています。
• 8　グループ認証は、本稿作成時点で米国とシンガポールのみが実施しており、日本、韓国、台湾では個社単位での認証となりますが、過去に開催されたCBPRの普及セミナーや事業者ヒアリング等では、グループ認証を要望する声も少なくありません。