台湾、個人データ保護法の重要な改正を可決

改正法で主に注目すべき規定は第12条であり、個人データの侵害、すなわち個人データの窃盗、改変、損傷、破壊、または開示に関して、データ主体への通知義務および管轄当局への通知義務を明示しています。

1. データ主体への通知義務について、企業が自ら保有する個人データが個人データ侵害の対象となったことを認識した場合、第12条第1項に基づきデータ主体に通知する必要があります。また、GDPR第34条第1項と同様に、その通知は「事実の確認」を条件とせず、データ主体への通知が企業の最優先義務となります。企業の通知が遅れ、定められた期間内に修正を命じられたにもかかわらず修正を怠った場合、管轄当局は罰金を科すことがあります。
2. 管轄当局への通知義務について、第12条第2項に基づき、個人データ侵害が管轄当局が別途公表する関連規則に定められた「報告可能な事案」に該当する場合、企業はデータ主体に通知するだけでなく、管轄当局にも通知する必要があります。これはGDPR第33条第1項の要件と類似しています。企業がこの義務を果たさない場合、管轄当局は直接罰金を科すことがあります。

改正法第18条第1項に新たに追加された要件である、政府機関がデータ保護オフィサー(DPO)を指定することの要件は、台湾のPDPAに基づく政府機関の監督レベルがGDPRと同等に引き上げられていることをさらに示しています。また、改正法の第18条全体を見直すと、その中核となる原則は主にGDPR第37条から第39条と一致していることがわかります。加えて、立法上の理由は、DPO制度の実施はまず政府機関によって実施されるべきであることを強調しています。したがって、企業やその他の非政府機関も将来的にDPOを指定する義務が生じるかどうかは注目する必要があります。

企業にとって、改正法の最も重要な影響は、第12条に定められた個人データ侵害の取り扱いにあります。企業が改正法施行前に内部のポリシーを更新すれば、その準備は企業が円滑に改正に対応するのに役立ちます。

本アラートは、台湾の個人データ保護法の改正に関する重要なトピックであり、台湾でのビジネスにおいて個人データを取り扱う日本企業に大きな影響を有すると考えられることから紹介する次第です。詳細は、Jones Day Alert “Taiwan Passes Major Amendments to the Personal Data Protection Act”（オリジナル英語版）をご参照ください。