バーレーン 個人データ保護法 への対応

バーレーンの個人データ保護法とは何ですか？

バーレーン個人データ保護法（PDPL）は、バーレーンの主要な一般プライバシー法です。

2018年法律第30号は、個人データの取扱いを規律する規則を設け、データを取り扱われる個人の権利を定めています。また、個人データ保護庁の規制の枠組みも定めています。

同法は、自動化された取扱いに加え、個人データがファイリングシステムの一部を構成する、または構成することを意図している場合の、特定の自動化されていない取扱いも対象としています。

PDPL は2018年7月12日に公布され、2019年8月1日に施行されました。

バーレーンの PDPL は、原則として個人データの取扱いに適法な根拠を求めており、同意が主要なルールとして機能し、特定の法定の例外によって同意なしの取扱いが認められています。同意に依拠する場合、同意は定められた要件を満たさなければなりません。

同法はまた、次の事項を定めています。

• データ品質および取扱いに関する要件
• 透明性および通知の義務
• センシティブ個人データに関する特別な規則
• 特定の高リスクな取扱い活動に対する事前許可
• アクセス、異議、訂正、ブロッキングおよび消去を含むデータ主体の権利
• 国際データ移転に対する制限
• セキュリティならびに技術的および組織的な要件
• ダイレクトマーケティングに関する規則
• 自動化された処理のみに基づく意思決定に関する権利
• 特定の状況におけるデータ保護ガバナンスおよび データ保護ガーディアン（Data Protection Guardian）の要件
• 苦情および規制当局による執行
• 特定の違反に対する罰金および拘禁刑の可能性を含む刑事罰。

同法は、規制、監督、調査および許可の機能を有する独立した公的機関として、個人データ保護庁を設置しました。その後、2019年勅令第78号により、同庁の機能を遂行する責任を負う行政機関が指定されました。

どのような個人データが対象となりますか？

PDPL は、個人データを、識別された個人、または直接的もしくは間接的に識別されうる個人に関する情報として広く定義しています。

例としては、次のものが挙げられます。

• 氏名
• 国民識別情報
• 住所
• 電話番号
• メールアドレス
• オンライン識別子
• 経済的または社会的な情報
• 身体的または生理学的な情報
• 職業上の情報
• その他の方法で個人を識別しうる情報。

個人が識別可能かどうかの評価では、管理者またはその他の者が利用可能な手段が考慮されます。

バーレーン PDPL におけるセンシティブ個人データとは何ですか？

PDPL は、センシティブ個人データに対して追加の保護を定めています。

センシティブ個人データには、直接的または間接的に次の事項を明らかにする情報が含まれます。

• 人種的または民族的出自
• 政治的意見
• 哲学的意見
• 宗教的信条
• 労働組合への加入
• 犯罪歴
• 健康情報
• 性的な状態。

センシティブ個人データの取扱いは、法定の例外のいずれかが適用されない限り、原則としてデータ主体の同意なしには禁止されています。

例外には、特定の雇用関連の取扱い、法的に同意を与えることができない個人の保護、データ主体自身が公開した公に入手可能な情報、法的請求または防御、医療関連の取扱い、特定の非営利活動、特定の公的機関の活動、ならびに人種的、民族的または宗教的な情報を伴う特定の機会均等のための取扱いが含まれます。

バーレーンはまた、センシティブ個人データの取扱いに関する追加の規則および手続を定める2022年決議第45号を発出しています。

有効な同意の要件は何ですか？

PDPL の下で同意に依拠する場合、第24条が具体的な要件を定めています。

同意は原則として次のものでなければなりません。

• 完全な行為能力を有する者によって与えられたもの
• 書面によるもの
• 明示的なもの
• 明確なもの
• 当該取扱いに特定されたもの
• 自由に与えられたもの
• 取扱いの意図された目的について本人が知らされた後に与えられたもの
• 適切な場合には、同意を拒否した場合の結果に関する情報を伴うもの。

適用される要件が満たされる場合、同意は電子的に提供することができます。

デジタル事業者にとって、これは同意の仕組みにおいて曖昧な文言、抱き合わせの選択肢および不明確な目的を避けるべきであることを意味します。

適切に設計された同意インターフェースは、次の事項を明確に伝えるべきです。

• どのようなデータが取り扱われるか
• なぜ取り扱われるか
• 誰がデータを受け取る可能性があるか
• どの取扱い活動に同意が必要か
• 同意をどのように撤回できるか

個人は同意を撤回できますか？

はい。

データ主体は、データ管理者に通知することにより、いつでも同意を撤回することができます。

施行規則は同意の撤回の手続についてさらに定めており、同意に依拠する組織に対して、そのための適切な仕組みを提供することを求めています。撤回は原則として同意に基づく将来の取扱いに影響するものであり、撤回前に適法であった取扱いを遡って無効にするものではありません。

したがって、ウェブサイトおよびアプリケーションにおいて、組織は同意を永続的なものとして扱うのではなく、ユーザーが同意を変更または撤回するための実用的な方法を提供すべきです。

プライバシー通知と透明性

バーレーンの PDPL は、データ管理者に対する透明性の要件を定めています。

個人は、自らの個人データがどのように取り扱われているかを理解するために必要な情報を受け取るべきです。

情報提供の枠組みには、次のような事項が含まれます。

• 管理者の身元
• 管理者の活動分野または職業
• 住所
• 取扱いの目的
• 提供先または提供先の類型
• 特定の情報の提供が必須か任意か
• 情報を提供しなかった場合の結果
• データ主体の関連する権利
• 個人データがダイレクトマーケティングに使用される可能性があるかどうか。

したがって、プライバシー通知は明確で分かりやすい言葉で記述し、組織の実際の取扱い活動を正確に反映すべきです。

データ最小化とデータ品質

PDPL には、組織が不要または不正確な個人データを収集および保持することを防ぐためのデータ品質に関する要件が含まれています。

組織は、個人データが次の条件を満たしているかどうかを検討すべきです。

• 明示された目的に関連している
• 正確である
• 必要な場合に完全である
• 最新である
• 正当かつ明確に定められた目的のために取り扱われている
• 法律で認められる、または求められる期間に限り保持されている。

事業者は、情報がなぜ収集され、どのくらいの期間システム内にとどめるべきかを特定できるよう、データインベントリおよび保存手続を維持すべきです。

バーレーン PDPL に基づくデータ主体の権利

バーレーンの PDPL は、個人にいくつかの重要な権利を与えています。

情報を得る権利

個人は、自らの個人データが取り扱われているかどうかについての情報を請求することができます。

アクセスに関連する請求は、原則として本人確認書類によって裏付けられなければならず、法定期間内に無償で処理されなければなりません。第18条は、要件を満たす請求への回答期間として15営業日を定めています。

個人データへのアクセス権

データ主体は、取り扱われている個人データに関する情報を請求することができ、これには次の事項に関する関連情報が含まれます。

• 取り扱われている個人データ
• データの取得元（適用される守秘義務の要件に従う）
• 取扱いの目的
• 提供先または提供先の類型
• 自動化された意思決定の状況における情報の関連する使用。

訂正の権利

個人は、個人データが不正確、不完全または古い場合に訂正を請求することができます。

ブロッキングの権利

データ主体は、法定の要件が満たされる場合に、個人データのブロッキングを請求することができます。

消去の権利

個人は、不正確、不完全、古い、または違法に取り扱われたデータに関わる場合を含め、取扱いが PDPL に違反する場合に消去を請求することができます。

第23条は、法定の枠組みに従い、要件を満たす訂正、ブロッキングまたは消去の請求に対して、管理者が原則として10営業日以内に回答することを求めています。

ダイレクトマーケティングに異議を申し立てる権利

個人は、ダイレクトマーケティングを目的とする取扱いに異議を申し立てる特別な権利を有しています。

管理者は、要件を満たす請求を受領した後、適用される法定期間内に、関連するダイレクトマーケティングの取扱いを停止し、または開始を差し控えなければなりません。

有害な取扱いに異議を申し立てる権利

データ主体は、本人または他の者に対して不当かつ重大な物質的または精神的な損害を生じさせる、または生じさせるおそれのある取扱いに異議を申し立てることができます。

自動化された処理のみに基づく決定に関する権利

PDPL は、自動化された処理のみに基づく特定の決定に異議を申し立てる権利を個人に与えています。

決定が、次のような事項を評価するための自動化された処理のみに基づいている場合、

• 業務遂行能力
• 財務状況
• 信用力
• 信頼性
• 行動

データ主体は、自動化された処理のみに依拠することなく決定を再検討するよう請求することができます。再検討は原則として無償で行わなければなりません。

自動化された意思決定と AI

バーレーン PDPL は、AI システムが個人データを取り扱う場合には常に関連します。

第22条は、個人を評価する自動化された意思決定に特に関連します。

したがって、AI、プロファイリングまたは自動化された意思決定システムを使用する組織は、次の事項を評価すべきです。

• システムがどのような個人データを取り扱うか
• 取扱いが自動化されているかどうか
• システムが個人に影響を与える決定を行うかどうか
• 決定が第22条の対象となる類型に該当するかどうか
• センシティブ情報、生体情報または遺伝情報が関わるかどうか
• 規制当局による事前許可が必要かどうか
• 個人が適用される権利をどのように行使できるか。

特定の生体情報、遺伝情報および監視に関連する取扱い活動には、当局による書面での事前許可が必要となる場合があります。

特定の取扱い活動に対する事前許可

バーレーンの PDPL には、重要な事前許可の制度が含まれています。

第15条は、特定の取扱い活動について書面での事前許可を求めており、これには次のものが含まれます。

• 特定の状況におけるセンシティブ個人データの自動的な取扱い
• 個人の身元確認に使用される生体データの自動的な取扱い
• 遺伝データの自動的な取扱い（特定の医療上の例外に従う）
• 異なる目的のために取り扱われているファイルについて、異なる管理者が保有する個人データファイルを自動的に連結すること
• 監視に使用される映像記録を伴う取扱い。

組織は、関連するシステムを導入する前に、これらの取扱い活動を特定すべきです。

個人データ保護庁への事前通知

第14条は、全部または一部が自動化された特定の取扱い業務について、通知の要件を定めています。

通知には、次のような情報を含めることができます。

• 管理者の身元および住所
• 処理者の詳細
• 取扱いの目的
• データの説明
• データ主体の類型
• データの提供先
• 予定されている国際移転
• セキュリティ措置に関する一般的な情報。

同法はまた、特定の公的登録簿、特定の非営利活動、特定の従業員に関する取扱い、および データ保護ガーディアン（Data Protection Guardian）が任命されている場合を含め、特定の状況における事前通知の免除を定めています。

データ保護ガーディアン（Data Protection Guardian）

バーレーンのプライバシーの枠組みには、データ保護ガーディアン（Data Protection Guardian、DPG）の制度が含まれています。

2022年決議第46号は、登録、認定および監督に関する要件を含め、内部または外部のデータ保護ガーディアン（Data Protection Guardian）を任命するための規則を定めています。

DPG の枠組みは、すべての組織に対する普遍的な要件として自動的に扱うべきではありません。事業者は、自らの取扱いの状況が適用される要件に該当するかどうかを評価すべきです。

バーレーン PDPL に基づくデータセキュリティ

PDPL は、個人データを保護するための適切な技術的および組織的な措置を求めています。

セキュリティ措置は、次のようなリスクに対処すべきです。

• 偶発的な喪失
• 不正な破壊
• 不正な改変
• 不正な開示
• 不正なアクセス
• その他の違法な取扱い。

第8条は、最新の技術的なセキュリティ措置、実施コスト、データの性質および潜在的なリスクなどの要素を考慮することを組織に求めています。

バーレーンの2022年決議第43号は、技術的および組織的な措置に関する追加の要件を定めており、データ保護影響評価、侵害の通知、処理者との取決め、内部調査の手続および職員の研修について規定しています。

プライバシー・バイ・デザインと組織的な管理

プライバシーのコンプライアンスは、単なる文書化の作業として扱うのではなく、システムおよびプロセスに組み込むべきです。

組織は、次の場合にプライバシーの管理を検討すべきです。

• 新しいデジタル製品を立ち上げる場合
• 新しいトラッキング技術を導入する場合
• 顧客データベースを実装する場合
• AI または自動化された意思決定システムを導入する場合
• 第三者のサービスを統合する場合
• 複数のデータリポジトリを接続する場合
• 新しい監視システムを導入する場合
• データの取扱いの目的を変更する場合。

文書化されたプライバシー評価は、新しい取扱い活動に通知、事前許可、同意、契約上の管理または追加のセキュリティ保護措置が必要かどうかを特定するのに役立ちます。

データ処理者と第三者ベンダー

組織は、個人データの取扱いにおいて外部のサービスプロバイダーに依拠することがよくあります。

例としては、次のものが挙げられます。

• クラウドプラットフォーム
• CRM プロバイダー
• マーケティングプラットフォーム
• アナリティクスプロバイダー
• 決済処理事業者
• カスタマーサポートシステム
• ホスティングプロバイダー
• 広告テクノロジープロバイダー
• SaaS アプリケーション。

管理者は、処理者との取決めを慎重に評価し、適切な契約上およびセキュリティ上の管理が講じられていることを確保すべきです。

施行の枠組みは、国際データ移転の要件との関係を含め、外部の処理者および第三者が関わる取決めについて具体的に規定しています。

国際データ移転

バーレーンは、すべての個人データを物理的にバーレーン国内にとどめるという一律の要件を課していません。

その代わりに、第12条および第13条が、個人データを王国外に移転するための規則を定めています。

移転は原則として、移転先が十分なレベルの保護を提供している場合、または適用される法定の例外もしくは許可の仕組みが適用される場合に行うことができます。

当局は、十分な保護を提供しているとみなされる国および地域を特定するための枠組みを維持しています。

バーレーンはまた、リストに掲載された国および地域への移転、ならびに契約および規制当局の許可に基づく特定の移転を含め、個人データを王国外に移転するための追加の規則を定める2022年決議第42号を発出しています。

事業者が行うべきこと

個人データを国際的に移転する前に、組織は次の事項を特定すべきです。

• どのようなデータが移転されるか
• なぜ移転されるか
• どこに移転されるか
• 誰が受け取るか
• 移転先が十分な保護を提供していると認められているかどうか
• 許可が必要かどうか
• 契約上の保護措置またはその他の法定の例外が適用されるかどうか。

データ侵害とインシデント管理

バーレーンの PDPL は、組織に適切なセキュリティ管理の維持を求めており、データ侵害に関する規制上の要件を定めています。

2022年決議第43号は、データの侵害または違反を通知する義務について具体的に規定しており、セキュリティインシデントを調査するための適切な内部プロセスを確立することを組織に求めています。

バーレーンの枠組みを、普遍的な72時間の侵害通知ルールとして示すべきではありません。組織は、個別のインシデントについて、適用される法定の要件および施行上の要件を評価すべきです。

実用的な侵害対応プロセスには、次のものを含めるべきです。

• インシデントの検知
• 封じ込め
• 調査
• リスク評価
• 文書化
• 規制上の評価
• 必要な場合の通知
• 是正
• インシデント後のレビュー。

ダイレクトマーケティングとプライバシー

ダイレクトマーケティングは、バーレーン PDPL で具体的に規定されています。

管理者が個人データをダイレクトマーケティングのために取り扱う可能性があると予想する場合、データ主体に対して異議を申し立てる権利について知らせなければなりません。

個人はダイレクトマーケティングへの異議を無償で行使することができ、管理者は法定の回答要件に従います。

次のものを利用する事業者は、

• メールマーケティング
• SMS キャンペーン
• 顧客セグメンテーション
• リターゲティング
• 販促のためのコミュニケーション
• パーソナライズされた広告

したがって、自らのマーケティング慣行、プライバシー通知およびオプトアウトの仕組みがバーレーンの要件に沿っていることを確保すべきです。

Cookie とオンライントラッキング

バーレーン PDPL は、電子的に行われる個人データの取扱いに適用されます。

したがって、Cookie、ピクセル、SDK、広告技術およびアナリティクスツールは、個人を識別する、または識別しうる情報を取り扱う場合に、同法の対象となる可能性があります。

ただし、組織は、バーレーン PDPL の下ですべての Cookie に同意が必要であると自動的に想定すべきではありません。

正しいアプローチは次のとおりです。

• 各 Cookie またはトラッカーを特定する
• それが個人データを取り扱うかどうかを判断する
• 目的を特定する
• 適用される法的根拠を判断する
• 同意が必要かどうかを特定する
• 適切な通知を提供する
• 同意が適用される根拠である場合、有効な同意の前に同意に依存する取扱いを防止する
• 同意および撤回の証拠を保持する。

これは、広告および行動トラッキングの技術において特に重要です。

バーレーンのウェブサイトにおける同意管理

バーレーンで運営されるウェブサイトでは、単に汎用的な Cookie バナーを表示するのではなく、実際の取扱い活動に即して同意管理を設計すべきです。

コンプライアンスに適合した同意エクスペリエンスには、次のものを含めることができます。

• 明確な同意の要求
• 目的別の選択肢
• 任意の取扱いに対する個別の管理
• 明確なプライバシー情報
• 容易な撤回の仕組み
• 同意記録
• タイムスタンプ付きの同意の証拠
• ポリシー／バージョンの追跡
• 地域別のルール
• タグおよびトラッカーとの統合。

ConsentX は、組織がウェブサイトおよびデジタル製品全体でこれらの管理を運用するのに役立ちます。

バーレーン PDPL コンプライアンスチェックリスト

バーレーンのプライバシーコンプライアンスプログラムの出発点として、次のチェックリストをご利用ください。

• バーレーン PDPL が適用されるかどうかを判断する
• 個人データの取扱い活動をマッピングする
• データ管理者およびデータ処理者を特定する
• センシティブ個人データを特定する
• 各取扱い活動の目的を文書化する
• 適用される適法な根拠を判断する
• 必要な場合に有効な同意を取得する
• 同意が明示的、明確、具体的かつ自由に与えられたものであることを確保する
• 適切なプライバシー情報を提供する
• 同意の撤回の仕組みを提供する
• 正確かつ関連性のある個人データを維持する
• 保存および削除の手続を確立する
• セキュリティ保護措置を実施する
• 処理者との契約を見直す
• 国際データ移転を評価する
• 事前通知が必要かどうかを判断する
• 事前許可が必要かどうかを判断する
• データ保護ガーディアン（Data Protection Guardian）の要件を評価する
• データ主体の請求に関する手続を確立する
• アクセス請求に対応する
• 訂正、ブロッキングおよび消去の請求に対応する
• ダイレクトマーケティングへの異議に対応する
• 適用される自動化された決定への異議に対応する
• 侵害対応の手続を確立する
• プライバシーに関する文書および記録を維持する
• コンプライアンスを定期的に見直す。

バーレーン PDPL を執行するのは誰ですか？

個人データ保護庁（Personal Data Protection Authority、PDPA）は、同法に基づき管轄のデータ保護当局として設置されています。

その法定の機能には次のものが含まれます。

• コンプライアンスの監督
• データ管理者の検査
• 規制上の通知の受理
• 事前許可の付与
• データ保護ガーディアン（Data Protection Guardian）の認定
• 苦情の受理
• 違反の可能性の調査
• データ保護に関する意識の向上
• 国際的なデータ保護に関する事項への参加。

バーレーンの公式政府ポータルは、個人データ保護法およびそれに関連する施行決議を、王国のデータ保護の枠組みの一部として位置付けています。

バーレーンでのプライバシーに関する苦情の申立て

個人、および正当な利益または資格を有するその他の者は、個人データが PDPL に違反して取り扱われていると考える場合、書面による苦情を申し立てることができます。

同法は、苦情を当局に提出することを定めており、そのような苦情の受理および処理のための手続が設けられています。

バーレーン PDPL と同意管理

PDPL は同意に依拠する場合の同意について具体的な要件を定めているため、同意管理はバーレーンの組織にとって特に重要です。

最新の同意管理プラットフォームは、組織が次のことを行うのに役立ちます。

• 同意に依存する取扱いを特定する
• 明確な同意の要求を提示する
• 明示的な選択を取得する
• 同意の証拠を保持する
• 撤回を管理する
• ウェブサイトのトラッカーを制御する
• 目的単位の設定を維持する
• プライバシー権のワークフローを支援する
• 運用上のコンプライアンスを実証する。

ConsentX は、これらのワークフローを管理するための技術的なレイヤーを提供しますが、法的義務を判断する責任は引き続き組織にあります。

バーレーンの事業者に体系的な同意戦略が必要な理由

プライバシーコンプライアンスプログラムは、プライバシーポリシーのページだけにとどまるべきではありません。

組織は、次の事項の関係を理解する必要があります。

データの収集 → 目的 → 法的根拠 → 同意 → 取扱い → 第三者 → 国際移転 → 保存 → データ主体の権利

同意管理プラットフォームは、これらの運用上のステップを結び付けるのに役立ちます。

特にウェブサイトにおいて、ConsentX はプライバシー要件を Cookie、トラッカーその他のオンライン技術に対する実用的な管理に落とし込むのに役立ちます。