DPA GH

実務上、目的の制限、データ最小化、透明性およびセキュリティは、遵守における中心的な検討事項です。組織は、定められた目的に照らして十分、関連性があり、かつ過剰でない個人データのみを収集し、その目的を明確に説明し、データのライフサイクル全体を通じてデータを保護する必要があります。

取扱いの法的根拠

第20条は、他の定められた正当化事由が適用される場合を除き、データ主体の事前の同意なく個人データを取り扱うべきではないと定めています。同意は唯一の正当化事由ではありません。取扱いは、次の事由に依拠することもできます。

• 契約上の必要性 – データ主体が当事者である契約のために必要な取扱い
• 法律による許可または要求 – 法律により認められまたは求められる取扱い
• データ主体の正当な利益の保護 – データ主体の正当な利益を保護するための取扱い
• 法定の職務の遂行 – 法定の職務を適切に遂行するために必要な取扱い
• 正当な利益 – データ管理者またはデータの提供を受ける第三者の正当な利益を追求するために必要な取扱い

組織は、すべての取扱い活動について、依拠する正当化事由を文書化する必要があります。文書化された正当化事由は、その取扱いが認められる理由を示し、同意の取得と記録が必要かどうかを決定し、異議や権利行使の請求への対応方法を方向付けます。

同意管理

同意が適用される正当化事由である場合、その同意は次の要件を満たす必要があります。

• 情報に基づくこと – 本人が何に同意するのかについての明確な情報に基づいていること
• 任意であること – 自由に与えられていること
• 強制がないこと – 圧力や不利益によって取得されていないこと
• 特定されていること – 定められた目的に結び付けられていること
• 理解しやすいこと – 平易な言葉で説明されていること
• 明確に記録されていること – 同意が与えられた時点で記録されていること
• 証明可能であること – 後で提示できる証拠によって裏付けられていること

デジタルの同意インターフェースでは、次の事項を伝える必要があります。

• 組織の名称
• 収集の目的
• 関係する個人データの種類
• 第三者との共有の有無
• マーケティングおよびトラッキングの目的
• ユーザーが自らの設定を管理する方法

同意の撤回と異議

法律第843号は、該当する場合、データ主体に自らの個人データの取扱いに異議を述べる権利を与えており、異議が正当である場合には取扱いを停止する必要があります。同意が取扱いの根拠である場合、本人は同意を撤回できる必要もあります。

これらの権利は、業務上のワークフローがそれを支えてはじめて機能します。組織は次のものを維持する必要があります。

• 同意記録
• 異議の記録
• 同意が根拠である場合の撤回の仕組み
• 設定の更新
• ダイレクトマーケティングの配信停止
• データを利用するすべてのシステムへの設定変更の反映

特別個人データ

法律第843号は、特別個人データに強化された保護を与えています。特別個人データには、次の事項に関する情報が含まれます。

• 人種
• 肌の色
• 民族的または部族的出自
• 政治的意見
• 宗教的またはこれに類する信条
• 身体的な健康
• 医療情報
• 精神的な健康または精神状態
• DNA
• 性的指向
• 犯罪の実行または実行の疑い
• 犯罪に関する手続
• 刑事手続または量刑に関する情報

特別個人データを取り扱う前に、組織は次の事項を評価する必要があります。

• 法的正当化事由
• 同意の要件
• セキュリティ
• アクセス制限
• 保存
• データの共有
• 国際移転
• DPIAの要件
• 個人への潜在的な影響

プライバシー通知と透明性

公開性は同法の原則の一つです。プライバシー通知では、次の事項を説明する必要があります。

• 管理者の名称
• 連絡先
• 収集の目的
• 収集する個人データの種類
• 情報の利用方法
• データの受領者
• データ主体の権利
• ダイレクトマーケティング
• 国際移転
• 保存
• DPCに苦情を申し立てる権利を含む苦情処理の仕組み

データ主体の権利

法律第843号は、個人に自らの個人データに関する権利を与えています。各権利は、該当する場合に、かつ法定の条件に従って適用されます。

データ主体アクセス請求

アクセス請求その他の権利行使の請求に対応するための実務的なワークフローは次のとおりです。

1. 1請求の受付 – 定められた窓口で請求を受け付け、それぞれを記録します。
2. 2本人確認 – 請求者がデータ主体本人またはその正当な代理人であることを確認します。
3. 3請求の分類 – どの権利が行使されているかを判断します。
4. 4データの特定 – システムやベンダー全体から該当する個人データを探し出します。
5. 5適用除外および第三者情報の確認 – 法定の適用除外を確認し、他者のデータを保護します。
6. 6回答の準備 – 明確かつ正確な回答を準備します。
7. 7安全な提供 – 安全な経路で回答を提供します。
8. 8記録の保管 – 請求、判断および回答の記録を保管します。

ConsentXは、受付の整理、進捗の追跡および記録の保管により、プライバシー請求のワークフローを支援できます。本ソフトウェアが法的な結論を決定することはなく、適用除外や回答に関する判断は引き続き組織が行います。

ダイレクトマーケティング

法律第843号により、個人は、データ管理者に対し、ダイレクトマーケティングのための自らの個人データの取扱いを停止し、または開始しないよう求めることができます。これは次の事項に影響します。

• メールマーケティング
• SMSマーケティング
• 広告
• その他のマーケティングチャネル
• マーケティングに関する設定
• 同意およびオプトアウトの記録
• ダイレクトマーケティングの配信停止

ConsentXの設定管理機能は、組織がマーケティングに関する選択を取得し、同意およびオプトアウトの記録を保管し、更新された設定を連携システムに反映することで、配信停止の対象者がターゲットにされないよう支援します。

自動化された意思決定

プロファイリングを含む自動化された取扱いには、特有のプライバシー上の検討事項があります。

• 透明性
• 目的
• データの品質
• 公正性
• セキュリティ
• 適切な場合における人間の関与
• 個人への潜在的な影響
• 高リスクの取扱い

プロファイリングおよび自動化された意思決定については、取扱いの内容および適用される要件に応じて、DPIAが必要となる場合があります。

データ保護影響評価

データ保護影響評価（DPIA）は、プライバシーリスクを事前に評価するための手法です。取扱い活動が個人にどのような影響を及ぼしうるか、また取扱いの開始前にどのような措置によってそのリスクを低減できるかを特定します。

DPIAは、次のような場合に関連する可能性があります。

• 新たな取扱い活動
• 新たな技術
• 既存の取扱いの重大な変更
• 特別個人データ
• プロファイリング
• 自動化された意思決定
• 個人に重大なリスクをもたらす取扱い

データ保護監督者（Data Protection Supervisor）

第58条は、データ管理者が、同法の遵守状況を監視させるため、認定を受けた有資格者をデータ保護監督者（Data Protection Supervisor）として任命することを定めています。

効果的なデータ保護監督者には、次のものが備わっている必要があります。

• その役割のための認定と資格
• 遵守状況の監視に関する責任
• 適切な研修
• 組織内における十分な権限
• 役割を果たすために必要な知識とリソース

データセキュリティ

管理者は、適切かつ合理的な技術的および組織的措置を講じ、次の事項から個人データを保護する必要があります。

• 不正アクセス
• 不正な開示
• 偶発的な紛失
• 破壊
• 改ざん
• 不適切な利用
• 違法な取扱い

実務上の措置には次のものがあります。

• 暗号化
• アクセス制御
• 認証
• 多要素認証
• ネットワークセキュリティ
• 安全なバックアップ
• ログ記録と監視
• データ損失防止
• 従業員研修
• ベンダー管理
• インシデント対応

データ侵害への対応

実務的な侵害対応プロセスは次のとおりです。

1. 1インシデントの検知
2. 2封じ込め
3. 3リスク評価
4. 4影響を受けるデータの特定
5. 5影響を受ける個人の評価
6. 6必要な場合の規制当局への通知
7. 7必要な場合の個人への通知
8. 8是正
9. 9文書化
10. 10インシデント後のレビュー

DPCへの登録

データ管理者は、一般に、個人データを取り扱う前にデータ保護委員会に登録することが求められます。登録申請には次の事項が含まれる場合があります。

• 事業者の名称および所在地
• 代表者に関する情報
• 取り扱う個人データの説明
• 個人の区分
• 特別個人データ
• 取扱いの目的
• 予定される受領者
• データの移転先となる可能性のある国
• データが保有される者の区分
• セキュリティ対策の概要

法律第843号の下では、データ管理者として登録せずに個人データを取り扱うことは犯罪であり、略式手続による有罪判決により、同法に定める罰金もしくは禁錮またはその併科に処せられます。組織は、適用される罰則について法律顧問に確認する必要があります。

評価対象処理

法律第843号には、評価対象処理（assessable processing）の枠組みがあります。データ主体に相当の損害もしくは相当の苦痛を与えるおそれのある取扱い、またはデータ主体のプライバシーの権利を著しく害するおそれのある取扱いは、DPCによる追加の審査の対象となる可能性があります。

高リスクの取扱いを計画している組織は、取扱いを開始する前に、この枠組みが適用されるかどうかを検討する必要があります。

国際的なデータ移転

個人データをガーナ国外に移転する前に、組織は次の事項を含め、適用される要件を評価する必要があります。

• 移転先の国
• 国外の受領者
• データの種類
• 移転の目的
• セキュリティ上の保護措置
• 契約上の保護
• 適用される外国のプライバシー法

DPCへの登録情報には、データ管理者が個人データの移転を予定している国が含まれるため、移転に関する取決めと登録内容を一致させておく必要があります。

データの保存と削除

保存は、個人データが収集された目的および適用される法的要件と結び付けられている必要があります。保存に関するプログラムは、次の事項を対象とすべきです。

• 保存期間
• 削除手続
• アーカイブ
• リーガルホールド
• 適切な場合の自動削除
• 安全な破棄
• 保存状況の定期的な見直し

データ処理者とベンダー

管理者は、自らに代わって第三者が取り扱う個人データについても引き続き責任を負います。ベンダーとの契約では、次の事項を定める必要があります。

• 取扱いに関する指示
• 目的の制限
• 機密保持
• セキュリティ
• 再委託先
• 保存
• 削除
• インシデント管理
• データ主体からの請求
• 国際移転
• 遵守への協力

プライバシー・バイ・デザイン

プライバシーは、製品やプロセスに最初から組み込むことで、より実現しやすくなります。有用な取組みには次のものがあります。

• データ最小化
• 目的の制限
• プライバシーに配慮した初期設定
• アクセス制御
• 暗号化
• 保存期間の制限
• 同意の管理
• 監査ログ
• 安全な削除

Cookieとオンライントラッキング

法律第843号は個人データの取扱いを規制するものであり、すべてに一律に適用されるCookieルールを定めているわけではありません。ウェブサイトやアプリでは、一般に次のものが使用されています。

• 必須Cookie
• アナリティクスCookie
• 広告Cookie
• ソーシャルメディアのピクセル
• リターゲティング技術
• パーソナライゼーション
• デバイス識別子
• サードパーティスクリプト

組織は、各トラッキング技術が個人データを取り扱うかどうかを判断し、取り扱う場合には、同法に基づく適切な法的正当化事由を特定する必要があります。

Cookieの同意と事前スクリプトブロック

同意がトラッキングに適用される法的根拠である場合、次の管理策がその同意を実質的なものにするのに役立ちます。

• 明確な同意通知
• 目的別の選択肢
• 事前に選択されていない任意のカテゴリ
• 該当するトラッカーの事前ブロック
• 同意の撤回
• 設定管理
• 同意記録
• ポリシーのバージョン管理

ConsentXは、これらの選択を技術的に反映することを支援します。事前スクリプトブロックにより、訪問者が同意するまで該当するトラッカーの実行を停止し、設定管理により、訪問者はいつでも自らの選択を変更できます。

遵守状況の監視と監査

組織は、次のものを含め、遵守を示す証拠を提示できる必要があります。

• DPCへの登録
• プライバシー通知
• 同意記録
• データマップ
• 取扱い台帳
• DPIA
• セキュリティ評価
• ベンダーとの契約
• 侵害の記録
• データ主体からの請求
• マーケティングに関する設定
• 保存スケジュール
• 研修の記録
• データ保護監督者に関する記録

DPCによる執行

ガーナのデータ保護委員会は、次の事項を担っています。

• 規制上の監督
• 管理者の登録
• 調査
• 苦情
• 遵守状況の監視
• 執行
• ガイダンス
• 研修
• 意識向上

委員会は、苦情を調査し、立入検査を行い、組織に同法を遵守するための措置を講じるよう求める通知を発出することができます。

罰則

法律第843号には、それぞれ固有の罰則を伴う具体的な犯罪が定められています。すべての犯罪に適用される単一の上限はありません。同法は次のものを区別しています。

• 登録の不履行 – データ管理者として登録せずに個人データを取り扱うことには、同法に基づく固有の罰則があります
• 特定の通知への不遵守 – 委員会が発出する特定の通知に従わないことには、固有の罰則があります
• その他の法定の犯罪 – 同法に定めるその他の犯罪には、それぞれに定められた罰則が適用されます
• 第95条に基づく一般罰則 – 具体的な罰則が定められていない場合、犯罪を犯した者は、略式手続による有罪判決により、5,000ペナルティ・ユニット（penalty units）以下の罰金もしくは10年以下の禁錮、またはその併科に処せられます

組織は、第95条の上限が適用されると想定するのではなく、個々の規定に付された罰則を確認する必要があります。

ガーナ2025年データ保護法案

2025年データ保護法案（Data Protection Bill, 2025）は、法律第843号に代わる後継法の草案です。

• 同法案は草案であり、現行の有効な法律として扱ってはなりません。
• 法律第843号は、引き続きガーナにおける現在のデータ保護の枠組みです。
• 組織は、立法の動向を注視する必要があります。
• 後継法が正式に施行された場合には、コンプライアンスの見直しを更新する必要があります。