第2回 メキシコのデータ保護法上のデータの移転に関する規制および安全管理措置等

はじめに

　本連載の第1回では、メキシコのデータ保護法の総論およびデータの処理に関する規制を解説し、その中で、日墨のデータ保護法の主要な相違点として、（1）民間保有データ保護法上の「個人データ」の範囲は日本の個人情報保護法上の「個人情報」よりも広範であること（第1回の4−1参照）と（2）民間保有データ保護法はGDPRのように「管理者」および「処理者」という概念を用いて規制している（第1回の4−2参照）点を指摘した。
　第2回である本稿では、まず民間保有データ保護法上の「管理者」と「処理者」の関係について解説し、上記（1）と（2）の相違点がデータの移転に関する規制の適用とその帰結においてどのような相違をもたらすかを説明する。また、安全管理措置、データ主体の権利、違反があった場合の制裁等のトピックも解説する。

管理者と処理者の関係

　「管理者」とは、個人データの処理を決定する民間の自然人または法人をいい ¹、「処理者」とは、管理者に代わって個人データを単独または共同で処理する自然人または法人をいう ²。処理者は管理者の組織の一部ではなく、管理者に提供するサービスの範囲を定める法的関係に基づいて、単独または共同で、管理者に代わって個人データを処理する公的または民間の個人または企業体が処理者であるとされる ³。
　管理者と処理者の関係は、その存在、範囲および内容を証明する契約（または管理者が指定するその他の法的文書）により定めなければならない ⁴。個人データの処理に関する管理者と処理者の間の合意は、プライバシー通知の内容と矛盾してはならない ⁵。
　処理者は、管理者に代わって行う個人データの処理に関して、以下の義務を負う ⁶。

　一方、管理者は、個人データが処理者（メキシコ内に所在するか否かを問わない。）に伝達され処理されていても、個人データを保護する義務を負い、その処理に責任を負う ⁷。この義務を遵守するために、管理者は、基準、企業方針、自主規制等を定めることができ ⁸、実務的にはそれらを定めて運用すべきである。管理者は、処理者に民間保有データ保護法等を遵守させる義務を負い、処理者がかかる規定を遵守しなかった場合には管理者も責任を負う可能性がある ⁹ 。
　上記のとおり、民間保有データ保護法が個人データの処理の決定権限に着目した分類をして規制しているのに対し、日本の個人情報保護法はこのような分類に基づく規制をしておらず、事業者が取り扱う情報の性質に着目して規律対象となる事業者を分類して規制している ¹⁰。また、日本の個人情報保護法は個人データの取扱いの「委託」の概念の存在を前提に、委託に伴う個人データの提供を個人データの第三者提供の例外と位置付け ¹¹、また委託元による委託先の監督義務を定めている ¹² ものの、個人データの取扱いの委託の要件は明文で詳細に定められておらず、また委託先による個人データの取扱いについても民間保有データ保護法が定めるような明文規定は存在しない ¹³。

移転に関する規制

総論

　下記のとおり、管理者が個人データを第三者に移転する場合には原則としてデータ主体による同意を得る必要がある ¹⁶ とともに、移転先である第三者に対してプライバシー通知等を提供する必要がある ¹⁷。もっとも、個人データを処理者に移転する場合、データ主体からの同意は不要であり、プライバシー通知で処理者への移転に関する情報をデータ主体に提供する必要もない ¹⁸。
　日本の個人情報保護法も、個人データの第三者提供に際しては原則として同意が必要としつつ ¹⁹、例外的に同意が不要な場合を定めたり ²⁰、「第三者」の範囲を限定 ²¹ したりすることにより同意が不要となる場面を規定している。そして、上記のとおり、委託元による委託先への委託に伴う個人データの提供は「第三者」への提供ではないとされ、同意が不要となる ²²。したがって、上記2で述べた規制枠組みの相違は個人データの移転の文脈では大きな相違をもたらすものではない（ただし、下記のとおり民間保有データ保護法が親子会社間での移転の場合の例外 ²³ を認める一方で、共同利用の場合の例外 ²⁴ を認めていない等、日本の個人情報保護法との相違点がある点には注意が必要である。）。
　一方、もう一つの日墨のデータ保護法の主要な相違点である、「民間保有データ保護法上の『個人データ』の範囲が日本の個人情報保護法上の『個人情報』よりも広範であること」は、個人データ等 ²⁵ の移転に関する規制の適用において、下記の3−4で解説するとおり相違を生じさせる。
　以下では、民間保有データ保護法上の個人データの第三者移転に関する規制を解説するとともに、日本の個人情報保護法上の個人データ等の第三者提供に関する規制との相違を指摘する。

第三者からの同意取得

　管理者が個人データを国内または外国に所在する第三者（処理者を除く。以下同じ。）に移転することを意図している場合、データ主体との関係では、原則として第三者への個人データの移転に先立ちプライバシー通知をした上でデータ主体による同意を得る必要がある ²⁶。具体的には、プライバシー通知において個人データの移転に同意する旨の条項を記載し、データ主体から同意（黙示の同意でも足りる ²⁷ 。）を取得する必要がある ²⁸ 。
　もっとも、民間保有データ保護法はかかる同意取得義務の例外を規定している。具体的には、下記のいずれかに該当する場合は、移転先である第三者が国内に所在するか外国に所在するかを問わず、データ主体の同意の取得が不要となる ²⁹。

　④は、データの移転のみを目的として締結される契約でもよい。
　また、⑦については、具体的には、管理者とデータ主体との間の契約に基づく管理者の義務の履行のためにデータを移転する必要がある場合や、データ主体と雇用関係にあること等の理由でそのデータを移転する必要がある場合が該当する。
　上記のとおり、日本の個人情報保護法には規定されていない例外事由が存在する一方で、共同利用の場合の例外のような日本の個人情報保護法上の例外事由が民間保有データ保護法には存在しない点には注意が必要である。なお、データの移転が適法になされていることの証明責任は、管理者および移転先である第三者が負担する ³⁰。

第三者への伝達義務

　管理者は個人データの移転先である第三者との関係で以下の対応が必要である。
　管理者は、第三者に対して、プライバシー通知およびデータ主体が同意している処理目的を提供する必要がある ³¹。データ主体が個人データの処理につき条件付きで同意している場合には、管理者は移転に際して第三者に当該条件を伝達しなければならず、かかる伝達をしたことは文書等により明らかにされる必要がある ³²。
　なお、個人データの移転がなされた場合、移転先である第三者は当該データについて移転元である管理者が負う義務と同一の義務を負う ³³。また、下記のとおり、第三者は移転に際して管理者からプライバシー通知の提供を受けるところ、第三者はかかるプライバシー通知に従って個人データを取り扱う必要がある ³⁴。

「個人データ」の移転

　上記で述べた民間保有データ保護法の規制は処理者以外の者に対して「個人データ」の移転がなされる場面で検討が必要になる。そして、第1回の4−1で解説したとおり、民間保有データ保護法の「個人データ」は、日本の個人情報保護法上の「個人情報」と異なり、個人識別性も容易照合性も要求していないため、IPアドレスやcookieのような、通常は照合が容易とまではいえないデータも、民間保有データ保護法上の「個人データ」に該当する。したがって、これらのデータの移転に際しても上記の規制の検討が必要になる。
　これに対し、日本の個人情報保護法上の「個人データ」は「個人情報データベース等を構成する個人情報」と定義されており ³⁵、あるデータに容易照合性が認められず「個人情報」に該当しない場合には当該データは「個人データ」にも該当せず、日本の個人情報保護法上の「個人データ」の第三者提供規制の対象とはならない。しかし、話はここで終わらない。令和2年の個人情報保護法改正により、「個人関連情報」の第三者提供規制が新設され ³⁶、提供元では個人データに該当しない情報の第三者提供であっても、提供先において個人データとなることが想定される場合には、原則として本人同意が得られていること等の確認が必要となった ³⁷。
　以上より、民間保有データ保護法はcookie等の情報が第三者に移転される場合には従前どおり「個人データ」の移転として上記の規制に服するのに対し、日本の個人情報保護法上は、当該情報が例外的に提供元で個人データに該当するか、提供先で個人データに該当するかを検討して整理する必要がある。すなわち、特殊な事情により提供元においてcookie等の情報が個人情報保護法上の個人データにあたる場合には、かかる情報の第三者提供は原則として「個人データ」の第三者提供の規制に服する。これに対し、cookie等の情報が提供元においては個人データにあたらない場合でも、提供先において個人データにあたる場合には、かかる情報の第三者提供は原則として「個人関連情報」の第三者提供の規制に服する。以下、整理すると下記のとおりとなる。

外国への移転

　外国に所在する第三者への移転は、上記3−2と3−3に記載の規制に加えて、一層の規制に服する。具体的には、外国に所在する第三者への移転の前提として、移転先である第三者が移転元である管理者と同一の義務を負担している必要がある ³⁸。かかる目的達成のための手段として、民間保有データ保護規則は、管理者と外国に所在する第三者との間で、管理者が負う義務と同じ内容の当該第三者の義務等を規定した契約を締結することを一例として挙げている ³⁹。上記の目的達成のための手段はかかる契約の締結に限られないものの、実務上は当該契約の締結に依拠することが多い。また、管理者は、外国に所在する第三者への移転が民間保有データ保護法等を遵守したものであるかどうかについて、当局に意見を求めることができる場合がある ⁴⁰。
　日本企業（親会社）からメキシコ法人（子会社）に対してデータの移転がなされる場合、通常は日本の個人情報保護法上の第三者提供規制の対象となる ⁴¹。これに対し、メキシコ法人（子会社）から日本企業（親会社）に対してデータの移転がなされる場合、日本企業（親会社）は外国に所在する第三者に当たるが、上記のとおり民間保有データ保護法は移転先である第三者が国内に所在するか外国に所在するかを問わず親子会社間のデータ移転の場合の例外を認めているため、かかるデータの移転に際してはデータ主体からの同意の取得は不要である ⁴²。もっとも、その場合でも外国に所在する第三者へのデータ移転であるため、上記のような契約締結等の手段を講じることがベストプラクティスとして望ましい ⁴³。ただし、同一グループ間でのデータ移転については特則があり ⁴⁴、当該手段に代えて、民間保有データ保護等その他の適用法令が要請するデータ保護等についてのグループ内規定を作成し、これを遵守することでも足りる。

安全管理措置

総論

　日本の個人情報保護法が23条以下で安全管理措置を定めているのと同様に、民間保有データ保護規則の57条以下がいわゆる個人データの安全管理措置について定めており、管理者は民間保有データ保護法および民間保有データ保護規則に従って、個人情報保護のための安全対策を確立し維持しなければならない ⁴⁵。安全管理措置は原則として管理者の義務であるが、処理者も安全管理措置を講ずる義務を負う場合があることに注意が必要である ⁴⁶。

安全管理措置の内容

　管理者は、安全管理措置を必ずしも自ら講じる必要はなく、外部に委託することもできる ⁴⁷。いかなる安全管理措置を講じるかの決定に際しては、管理する個人データの性質や情報漏洩がデータ主体に及ぼしうる影響等、民間保有データ保護規則に列挙された事由を考慮する必要がある ⁴⁸。さらに、民間保有データ保護規則は、個人データの目録の作成や個人データを処理する者の義務の決定等、安全管理措置としてなされるべき具体的な事由も定めている ⁴⁹。

漏洩時の対応

　管理者は、データ主体の権利に重大な影響を与える漏洩等を確認した場合には、違反の程度を徹底的に精査するとともに、影響を受けるデータ主体に対し速やかに通知しなければならない ⁵⁰。この通知には、少なくとも、漏洩等の事案の内容、漏洩した個人データ、データ主体が自らの利益を保護するために講じうる対策に関する勧告、直ちに実施された是正措置および当該事案に関する一層の情報を得るための手段を示さなければならない ⁵¹。

データ主体の権利

ARCO権の概要

　日本の個人情報保護法が開示、訂正、追加、削除、利用停止等の請求権を認めている ⁵² のと同様に、民間保有データ保護法は、データ主体の権利として以下のようなARCO権（Derechos ARCO）⁵³ を定めている。なお、データ主体は自然人に限られ、法人を含まない ⁵⁴。

ARCO権に関する管理者の義務

　管理者は、データ主体による権利行使としての請求を処理する個人データ担当者または部門を指定する必要がある ⁵⁹。
　また、管理者は、原則として、アクセス、修正、削除または異議申立ての請求を受領した日から起算して20日以内に、当該請求に関して決定した内容をデータ主体に通知する必要がある ⁶⁰。民間保有データ保護法は、請求者がデータ主体でない場合や第三者の権利が害される場合等、管理者が請求を拒否しうる場合について規定しており ⁶¹、部分的に拒否することも可能である ⁶²。
　管理者は、全部または一部であるかを問わず、拒否の決定をした場合には、データ主体に対して、拒否の決定とその理由を通知する必要がある ⁶³。なお、通知の方法は請求がなされた方法と同一でなければならない ⁶⁴。
　アクセス権の行使に対しては、データ主体がその個人データを利用可能な状態にし、またはコピーもしくは電子文書の送付その他管理者がプライバシー通知において定めた措置を講ずる必要がある ⁶⁵。
　修正請求権および削除請求権に関して、個人データが修正または削除の請求以前に第三者に移転され、当該第三者によって処理され続けている場合には、管理者は、修正または削除の請求があったことを当該第三者に通知する必要がある ⁶⁶。この場合、当該第三者も修正または削除の請求に対応する必要がある。
　また、個人データの削除請求がなされた場合、データ管理者は、一定期間、当該個人データの処理から生じる責任に関連する目的のためだけにデータを保持することが許される ⁶⁷。管理者は、データを削除した場合には、データ主体に通知する必要がある ⁶⁸。なお、民間保有データ保護法は、上記の全請求共通の拒否事由とは別に、処理の継続が法律上要請されている場合やデータ主体の利益の保護のために必要である場合等、管理者がデータ主体の削除請求に従う必要がない場合について規定している ⁶⁹。

データ主体のその他の権利

　以上に加え、第1回の5−2のとおり、データ主体はいつでも処理に関する同意を撤回する権利を有している ⁷⁰。また、自らの個人データの使用または開示を制限する権利も有している ⁷¹。

違反に対する制裁

総論

　民間保有データ保護法の違反があった場合には、制裁として行政処分または刑事罰のいずれかまたは双方の対象になる可能性がある。制裁については、日本の個人情報保護法が原則として違反行為があった場合にはまず勧告または命令を発し ⁷²、命令に対する違反があった場合に公表 ⁷³ ならびに懲役および罰金の対象とする ⁷⁴ 建付けとなっているのに対し、下記のとおり民間保有データ保護法では、違反行為がなされた場合には概ね直接に制裁金を課しうる建付けとなっている点に注意が必要である。

行政処分

（1）民間保有データ保護法の違反とみなされる管理者の行為等

　管理者による以下の行為等は、民間保有データ保護法の違反とみなされる ⁷⁵。

（2）違反に対して課せられる行政処分の種類等

　管轄当局であるINAIが課すことができる行政処分は以下のとおりである ⁷⁶。

　機密性の高い個人データの処理に関する違反の場合、または再度の違反の場合には、制裁が2倍となる可能性がある ⁸³。また、INAIは、どのような制裁を課すかを決定する際に、以下の点を考慮する ⁸⁴。

（3）執行事例

　2014年、ある金融機関（管理者）は、顧客とその配偶者の健康状態に関するセンシティブデータを含む個人データを、適切な同意を得ることなく、またプライバシー通知を提供することもなく取得した。INAIは、かかる違反に対し、3200万メキシコペソ（約2億2400万円）の課徴金を課した。

刑事罰

　以下の場合、刑事罰（懲役刑）が科せられる可能性がある。

　上記のいずれの場合も、個人データの侵害または不正処理がセンシティブデータに関するものである場合、懲役期間が2倍となる ⁸⁸。

民事責任

　民間保有データ保護法は、個人データの取扱いに関する適用法令の違反およびそれに起因する損害を理由とする民事上の責任追及の詳細について規定していない。もっとも、この点は、損害を被った者による管理者の民事上の責任追及を妨げるものではない ⁸⁹。