PDPL BH

したがって、事業者は一律の「すべてに同意を求める」モデルの導入を避けるべきです。代わりに、取扱い活動ごとに適用される法的根拠を特定し、PDPL が同意を求める、または認める場合に同意を用いるべきです。

有効な同意の要件は何ですか？

PDPL の下で同意に依拠する場合、第24条が具体的な要件を定めています。

同意は原則として次のものでなければなりません。

• 完全な行為能力を有する者によって与えられたもの
• 書面によるもの
• 明示的なもの
• 明確なもの
• 当該取扱いに特定されたもの
• 自由に与えられたもの
• 取扱いの意図された目的について本人が知らされた後に与えられたもの
• 適切な場合には、同意を拒否した場合の結果に関する情報を伴うもの。

適用される要件が満たされる場合、同意は電子的に提供することができます。

デジタル事業者にとって、これは同意の仕組みにおいて曖昧な文言、抱き合わせの選択肢および不明確な目的を避けるべきであることを意味します。

適切に設計された同意インターフェースは、次の事項を明確に伝えるべきです。

• どのようなデータが取り扱われるか
• なぜ取り扱われるか
• 誰がデータを受け取る可能性があるか
• どの取扱い活動に同意が必要か
• 同意をどのように撤回できるか

個人は同意を撤回できますか？

はい。

データ主体は、データ管理者に通知することにより、いつでも同意を撤回することができます。

施行規則は同意の撤回の手続についてさらに定めており、同意に依拠する組織に対して、そのための適切な仕組みを提供することを求めています。撤回は原則として同意に基づく将来の取扱いに影響するものであり、撤回前に適法であった取扱いを遡って無効にするものではありません。

したがって、ウェブサイトおよびアプリケーションにおいて、組織は同意を永続的なものとして扱うのではなく、ユーザーが同意を変更または撤回するための実用的な方法を提供すべきです。

プライバシー通知と透明性

バーレーンの PDPL は、データ管理者に対する透明性の要件を定めています。

個人は、自らの個人データがどのように取り扱われているかを理解するために必要な情報を受け取るべきです。

情報提供の枠組みには、次のような事項が含まれます。

• 管理者の身元
• 管理者の活動分野または職業
• 住所
• 取扱いの目的
• 提供先または提供先の類型
• 特定の情報の提供が必須か任意か
• 情報を提供しなかった場合の結果
• データ主体の関連する権利
• 個人データがダイレクトマーケティングに使用される可能性があるかどうか。

したがって、プライバシー通知は明確で分かりやすい言葉で記述し、組織の実際の取扱い活動を正確に反映すべきです。

データ最小化とデータ品質

PDPL には、組織が不要または不正確な個人データを収集および保持することを防ぐためのデータ品質に関する要件が含まれています。

組織は、個人データが次の条件を満たしているかどうかを検討すべきです。

• 明示された目的に関連している
• 正確である
• 必要な場合に完全である
• 最新である
• 正当かつ明確に定められた目的のために取り扱われている
• 法律で認められる、または求められる期間に限り保持されている。

事業者は、情報がなぜ収集され、どのくらいの期間システム内にとどめるべきかを特定できるよう、データインベントリおよび保存手続を維持すべきです。

バーレーン PDPL に基づくデータ主体の権利

バーレーンの PDPL は、個人にいくつかの重要な権利を与えています。

情報を得る権利

個人は、自らの個人データが取り扱われているかどうかについての情報を請求することができます。

アクセスに関連する請求は、原則として本人確認書類によって裏付けられなければならず、法定期間内に無償で処理されなければなりません。第18条は、要件を満たす請求への回答期間として15営業日を定めています。

個人データへのアクセス権

データ主体は、取り扱われている個人データに関する情報を請求することができ、これには次の事項に関する関連情報が含まれます。

• 取り扱われている個人データ
• データの取得元（適用される守秘義務の要件に従う）
• 取扱いの目的
• 提供先または提供先の類型
• 自動化された意思決定の状況における情報の関連する使用。

訂正の権利

個人は、個人データが不正確、不完全または古い場合に訂正を請求することができます。

ブロッキングの権利

データ主体は、法定の要件が満たされる場合に、個人データのブロッキングを請求することができます。

消去の権利

個人は、不正確、不完全、古い、または違法に取り扱われたデータに関わる場合を含め、取扱いが PDPL に違反する場合に消去を請求することができます。

第23条は、法定の枠組みに従い、要件を満たす訂正、ブロッキングまたは消去の請求に対して、管理者が原則として10営業日以内に回答することを求めています。

ダイレクトマーケティングに異議を申し立てる権利

個人は、ダイレクトマーケティングを目的とする取扱いに異議を申し立てる特別な権利を有しています。

管理者は、要件を満たす請求を受領した後、適用される法定期間内に、関連するダイレクトマーケティングの取扱いを停止し、または開始を差し控えなければなりません。

有害な取扱いに異議を申し立てる権利

データ主体は、本人または他の者に対して不当かつ重大な物質的または精神的な損害を生じさせる、または生じさせるおそれのある取扱いに異議を申し立てることができます。

自動化された処理のみに基づく決定に関する権利

PDPL は、自動化された処理のみに基づく特定の決定に異議を申し立てる権利を個人に与えています。

決定が、次のような事項を評価するための自動化された処理のみに基づいている場合、

• 業務遂行能力
• 財務状況
• 信用力
• 信頼性
• 行動

データ主体は、自動化された処理のみに依拠することなく決定を再検討するよう請求することができます。再検討は原則として無償で行わなければなりません。

自動化された意思決定と AI

バーレーン PDPL は、AI システムが個人データを取り扱う場合には常に関連します。

第22条は、個人を評価する自動化された意思決定に特に関連します。

したがって、AI、プロファイリングまたは自動化された意思決定システムを使用する組織は、次の事項を評価すべきです。

• システムがどのような個人データを取り扱うか
• 取扱いが自動化されているかどうか
• システムが個人に影響を与える決定を行うかどうか
• 決定が第22条の対象となる類型に該当するかどうか
• センシティブ情報、生体情報または遺伝情報が関わるかどうか
• 規制当局による事前許可が必要かどうか
• 個人が適用される権利をどのように行使できるか。

特定の生体情報、遺伝情報および監視に関連する取扱い活動には、当局による書面での事前許可が必要となる場合があります。

特定の取扱い活動に対する事前許可

バーレーンの PDPL には、重要な事前許可の制度が含まれています。

第15条は、特定の取扱い活動について書面での事前許可を求めており、これには次のものが含まれます。

1. 1特定の状況におけるセンシティブ個人データの自動的な取扱い
2. 2個人の身元確認に使用される生体データの自動的な取扱い
3. 3遺伝データの自動的な取扱い（特定の医療上の例外に従う）
4. 4異なる目的のために取り扱われているファイルについて、異なる管理者が保有する個人データファイルを自動的に連結すること
5. 5監視に使用される映像記録を伴う取扱い。

組織は、関連するシステムを導入する前に、これらの取扱い活動を特定すべきです。

個人データ保護庁への事前通知

第14条は、全部または一部が自動化された特定の取扱い業務について、通知の要件を定めています。

通知には、次のような情報を含めることができます。

• 管理者の身元および住所
• 処理者の詳細
• 取扱いの目的
• データの説明
• データ主体の類型
• データの提供先
• 予定されている国際移転
• セキュリティ措置に関する一般的な情報。

同法はまた、特定の公的登録簿、特定の非営利活動、特定の従業員に関する取扱い、および データ保護ガーディアン（Data Protection Guardian）が任命されている場合を含め、特定の状況における事前通知の免除を定めています。

データ保護ガーディアン（Data Protection Guardian）

バーレーンのプライバシーの枠組みには、データ保護ガーディアン（Data Protection Guardian、DPG）の制度が含まれています。

2022年決議第46号は、登録、認定および監督に関する要件を含め、内部または外部の データ保護ガーディアン（Data Protection Guardian）を任命するための規則を定めています。

DPG の枠組みは、すべての組織に対する普遍的な要件として自動的に扱うべきではありません。事業者は、自らの取扱いの状況が適用される要件に該当するかどうかを評価すべきです。

バーレーン PDPL に基づくデータセキュリティ

PDPL は、個人データを保護するための適切な技術的および組織的な措置を求めています。

セキュリティ措置は、次のようなリスクに対処すべきです。

• 偶発的な喪失
• 不正な破壊
• 不正な改変
• 不正な開示
• 不正なアクセス
• その他の違法な取扱い。

第8条は、最新の技術的なセキュリティ措置、実施コスト、データの性質および潜在的なリスクなどの要素を考慮することを組織に求めています。

バーレーンの2022年決議第43号は、技術的および組織的な措置に関する追加の要件を定めており、データ保護影響評価、侵害の通知、処理者との取決め、内部調査の手続および職員の研修について規定しています。

プライバシー・バイ・デザインと組織的な管理

プライバシーのコンプライアンスは、単なる文書化の作業として扱うのではなく、システムおよびプロセスに組み込むべきです。

組織は、次の場合にプライバシーの管理を検討すべきです。

• 新しいデジタル製品を立ち上げる場合
• 新しいトラッキング技術を導入する場合
• 顧客データベースを実装する場合
• AI または自動化された意思決定システムを導入する場合
• 第三者のサービスを統合する場合
• 複数のデータリポジトリを接続する場合
• 新しい監視システムを導入する場合
• データの取扱いの目的を変更する場合。

文書化されたプライバシー評価は、新しい取扱い活動に通知、事前許可、同意、契約上の管理または追加のセキュリティ保護措置が必要かどうかを特定するのに役立ちます。

データ処理者と第三者ベンダー

組織は、個人データの取扱いにおいて外部のサービスプロバイダーに依拠することがよくあります。

例としては、次のものが挙げられます。

• クラウドプラットフォーム
• CRM プロバイダー
• マーケティングプラットフォーム
• アナリティクスプロバイダー
• 決済処理事業者
• カスタマーサポートシステム
• ホスティングプロバイダー
• 広告テクノロジープロバイダー
• SaaS アプリケーション。

管理者は、処理者との取決めを慎重に評価し、適切な契約上およびセキュリティ上の管理が講じられていることを確保すべきです。

施行の枠組みは、国際データ移転の要件との関係を含め、外部の処理者および第三者が関わる取決めについて具体的に規定しています。

国際データ移転

バーレーンは、すべての個人データを物理的にバーレーン国内にとどめるという一律の要件を課していません。

その代わりに、第12条および第13条が、個人データを王国外に移転するための規則を定めています。

移転は原則として、移転先が十分なレベルの保護を提供している場合、または適用される法定の例外もしくは許可の仕組みが適用される場合に行うことができます。

当局は、十分な保護を提供しているとみなされる国および地域を特定するための枠組みを維持しています。

バーレーンはまた、リストに掲載された国および地域への移転、ならびに契約および規制当局の許可に基づく特定の移転を含め、個人データを王国外に移転するための追加の規則を定める2022年決議第42号を発出しています。

事業者が行うべきこと

個人データを国際的に移転する前に、組織は次の事項を特定すべきです。

1. 1どのようなデータが移転されるか
2. 2なぜ移転されるか
3. 3どこに移転されるか
4. 4誰が受け取るか
5. 5移転先が十分な保護を提供していると認められているかどうか
6. 6許可が必要かどうか
7. 7契約上の保護措置またはその他の法定の例外が適用されるかどうか。

データ侵害とインシデント管理

バーレーンの PDPL は、組織に適切なセキュリティ管理の維持を求めており、データ侵害に関する規制上の要件を定めています。

2022年決議第43号は、データの侵害または違反を通知する義務について具体的に規定しており、セキュリティインシデントを調査するための適切な内部プロセスを確立することを組織に求めています。

バーレーンの枠組みを、普遍的な72時間の侵害通知ルールとして示すべきではありません。組織は、個別のインシデントについて、適用される法定の要件および施行上の要件を評価すべきです。

実用的な侵害対応プロセスには、次のものを含めるべきです。

• インシデントの検知
• 封じ込め
• 調査
• リスク評価
• 文書化
• 規制上の評価
• 必要な場合の通知
• 是正
• インシデント後のレビュー。

ダイレクトマーケティングとプライバシー

ダイレクトマーケティングは、バーレーン PDPL で具体的に規定されています。

管理者が個人データをダイレクトマーケティングのために取り扱う可能性があると予想する場合、データ主体に対して異議を申し立てる権利について知らせなければなりません。

個人はダイレクトマーケティングへの異議を無償で行使することができ、管理者は法定の回答要件に従います。

次のものを利用する事業者は、

• メールマーケティング
• SMS キャンペーン
• 顧客セグメンテーション
• リターゲティング
• 販促のためのコミュニケーション
• パーソナライズされた広告

したがって、自らのマーケティング慣行、プライバシー通知およびオプトアウトの仕組みがバーレーンの要件に沿っていることを確保すべきです。

Cookie とオンライントラッキング

バーレーン PDPL は、電子的に行われる個人データの取扱いに適用されます。

したがって、Cookie、ピクセル、SDK、広告技術およびアナリティクスツールは、個人を識別する、または識別しうる情報を取り扱う場合に、同法の対象となる可能性があります。

ただし、組織は、バーレーン PDPL の下ですべての Cookie に同意が必要であると自動的に想定すべきではありません。

正しいアプローチは次のとおりです。

1. 1各 Cookie またはトラッカーを特定する
2. 2それが個人データを取り扱うかどうかを判断する
3. 3目的を特定する
4. 4適用される法的根拠を判断する
5. 5同意が必要かどうかを特定する
6. 6適切な通知を提供する
7. 7同意が適用される根拠である場合、有効な同意の前に同意に依存する取扱いを防止する
8. 8同意および撤回の証拠を保持する。

これは、広告および行動トラッキングの技術において特に重要です。

バーレーンのウェブサイトにおける同意管理

バーレーンで運営されるウェブサイトでは、単に汎用的な Cookie バナーを表示するのではなく、実際の取扱い活動に即して同意管理を設計すべきです。

コンプライアンスに適合した同意エクスペリエンスには、次のものを含めることができます。

• 明確な同意の要求
• 目的別の選択肢
• 任意の取扱いに対する個別の管理
• 明確なプライバシー情報
• 容易な撤回の仕組み
• 同意記録
• タイムスタンプ付きの同意の証拠
• ポリシー／バージョンの追跡
• 地域別のルール
• タグおよびトラッカーとの統合。

ConsentX は、組織がウェブサイトおよびデジタル製品全体でこれらの管理を運用するのに役立ちます。