ガーナ データ保護法 への対応

ガーナのデータ保護法とは

Data Protection Act, 2012（Act 843）は、ガーナにおける個人データ保護の法的枠組みを定めるものです。個人データの収集、利用、開示、保存、安全管理および破棄を規律し、次の事項を扱います。

• 適法な取扱い
• データの最小化
• 目的の限定
• 透明性
• データの品質
• 安全管理
• データ主体の関与
• 登録
• データ取扱いの監督
• 国際的な取扱い
• 特別な個人データ
• 当局による執行

Data Protection Commission は、同法により設置された規制当局です。データ管理者の登録簿を管理し、遵守状況を監視し、苦情を調査し、執行措置を講じ、ガーナにおけるデータ保護の啓発を進めています。

同意は重要ですが、ガーナ DPA は同意のみに依拠する法律ではありません。第20条は同意と、明示された代替的な根拠を定めているため、各取扱いは、その取扱いに実際に適合する根拠に基づくべきです。

データ管理者とデータ処理者

データ管理者は、個人データを取り扱う目的および方法を決定します。管理者は、DPC への登録を含め、遵守について第一次的な責任を負います。例：

• EC 事業者
• 銀行および金融機関
• 保険会社
• 雇用主
• 医療提供者
• 大学および学校
• 通信事業者
• SaaS 企業
• マーケティング会社
• 政府機関
• オンラインプラットフォーム

データ処理者は、管理者の指示に従い、管理者のために個人データを取り扱います。例：

• クラウド事業者
• 給与計算サービス事業者
• CRM プラットフォーム
• ホスティング事業者
• アナリティクス事業者
• マーケティングプラットフォーム
• カスタマーサポート事業者

地理的適用範囲

Act 843 は、ガーナ国内で個人データを取り扱う、ガーナに設立されたデータ管理者に適用されます。また、ガーナに設立されていない管理者であっても、ガーナ国内の設備、またはガーナで事業を行うデータ処理者を用いて個人データを取り扱う場合には適用されることがあります（ガーナを単に経由する目的の場合を除きます）。

第18条は、外国のデータ主体についても定めています。外国の法域を起源とする個人データが取扱いのためにガーナに送られる場合、データ管理者は、その外国の法域のデータ保護法に従って当該データが取り扱われることを確保しなければなりません。

したがって国際的に事業を行う組織は、自社のデータ主体、システムおよびサービス提供者に適用される他のプライバシー法と併せて、ガーナの要件を評価すべきです。

Act 843 における個人データとは

Act 843 において個人データとは、当該データから、または当該データと管理者が保有するかもしくは取得する可能性が高い他の情報とを併せることにより識別できる個人に関するデータをいいます。例：

• 氏名
• メールアドレス
• 電話番号
• 識別番号
• 口座情報
• 雇用に関する情報
• 位置情報
• オンライン識別子
• 財務情報
• 健康情報
• 生体情報または遺伝情報

Cookie ID や端末識別子といった技術的な識別子が個人データに当たるかは、その文脈において識別可能な個人と結び付けられるかどうかによります。

取扱いの適法根拠

第20条は、他の明示された根拠が適用される場合を除き、データ主体の事前の同意なく個人データを取り扱ってはならないと定めています。同意は唯一の根拠ではありません。取扱いは次の根拠にもよることができます。

• 契約上の必要性 — データ主体が当事者である契約のために必要な取扱い
• 法律による許容または要求 — 法律が許容しまたは要求する取扱い
• データ主体の正当な利益の保護 — データ主体の正当な利益を守るための取扱い
• 法定義務の履行 — 法定義務を適切に履行するために必要な取扱い
• 正当な利益 — データ管理者、またはデータの提供先である第三者の正当な利益を追求するために必要な取扱い

組織は、取扱いごとに依拠した根拠を文書化すべきです。文書化された根拠は、その取扱いが認められる理由を示し、同意の取得と記録が必要かを決め、異議申立てや権利行使請求への対応の進め方を形づくります。

同意管理

同意が適用される根拠である場合、その同意は次の要件を満たすべきです。

• 情報に基づくこと — 何に同意するのかについての明確な情報に基づいていること
• 任意であること — 自由に与えられること
• 強制がないこと — 圧力や不利益によって取得されていないこと
• 特定されていること — 定められた目的に結び付いていること
• 理解可能であること — 平易な言葉で説明されていること
• 明確に記録されること — 与えられた時点で記録されること
• 立証可能であること — 後から提示できる証跡に裏付けられていること

デジタルの同意取得画面では、次の事項を伝えるべきです。

• 組織の名称
• 収集の目的
• 対象となる個人データの種類
• 第三者への提供の有無
• マーケティングおよびトラッキングの目的
• 利用者が設定を管理する方法

同意の撤回と異議申立て

Act 843 は、該当する範囲でデータ主体に自らの個人データの取扱いに異議を述べる権利を認めており、異議に理由がある場合、取扱いは停止すべきです。同意を根拠として取り扱う場合、本人はそれを撤回できるべきです。

これらの権利は、運用プロセスが支えていなければ機能しません。組織は次のものを整備すべきです。

• 同意の記録
• 異議申立ての記録
• 同意を根拠とする場合の撤回手段
• 設定の更新
• ダイレクトマーケティングの配信停止リスト
• 設定変更を、そのデータを利用するすべてのシステムへ反映する仕組み

特別な個人データ

Act 843 は特別な個人データにより厚い保護を与えており、これには次の事項に関する情報が含まれます。

• 人種
• 肌の色
• 民族的または部族的出身
• 政治的意見
• 宗教上またはこれに類する信条
• 身体の健康
• 医療情報
• 精神の健康または精神状態
• DNA
• 性的指向
• 犯罪行為またはその疑い
• 犯罪に関する手続
• 刑事手続または量刑に関する情報

特別な個人データを取り扱う前に、組織は次の点を評価すべきです。

• 適法根拠
• 同意に関する要件
• 安全管理
• アクセス制限
• 保存期間
• データの提供
• 国際移転
• DPIA の要否
• 本人に生じ得る影響

プライバシー通知と透明性

透明性は同法の原則の一つです。プライバシー通知では次の事項を説明すべきです。

• 管理者の名称
• 連絡先情報
• 収集の目的
• 収集する個人データの種類
• 情報の利用方法
• データの提供先
• データ主体の権利
• ダイレクトマーケティング
• 国際移転
• 保存期間
• DPC への申立てを含む苦情申立ての方法

データ主体の権利

Act 843 は、本人に自らの個人データに関する権利を認めています。各権利は、該当する場合に、法定の条件に従って認められます。

• 知らされる権利 — 本人は、自らの個人データの収集、収集の目的、および取扱いを透明にするその他の事項について知らされるべきです。
• アクセスの権利 — 本人は、本人確認および同法の条件に従い、管理者が自らの個人データを保有しているかの確認と、その内容の説明を求めることができます。
• 訂正の権利 — 本人は、不正確、無関係、過剰、古い、不完全、または誤解を招く個人データの訂正を求めることができます。
• ブロック・消去・破棄の権利 — 該当する場合、本人は、管理者が保有を認められなくなったデータや不正確なデータを含め、個人データのブロック、消去または破棄を求めることができます。
• 異議申立ての権利 — 本人は、法定の条件に従い、自らの個人データの取扱いや、不当な損害もしくは苦痛を与えるおそれのある取扱いに異議を述べることができます。
• ダイレクトマーケティングに関する権利 — 本人は、ダイレクトマーケティングのための自らの個人データの取扱いを停止し、または開始しないよう管理者に求めることができます。
• 補償を求める権利 — 同法違反により損害または苦痛を受けた本人は、法定の条件に従い補償を受けられる場合があります。

データ主体のアクセス請求

アクセス請求その他の権利行使請求に対応する実務的な流れ：

• 請求の受付 — 定められた窓口で請求を受け付け、一件ごとに記録する。
• 本人確認 — 請求者がデータ主体本人または正当な代理人であることを確認する。
• 請求の分類 — どの権利が行使されているかを判断する。
• データの特定 — システムや委託先を横断して該当する個人データを探索する。
• 例外事由と第三者情報の確認 — 法定の例外事由を確認し、他者のデータを保護する。
• 回答の作成 — 明確で正確な回答を準備する。
• 安全な送付 — 安全な経路で回答を送付する。
• 記録の保管 — 請求、判断および回答の記録を残す。

ConsentX は、受付の整理、進捗の追跡、記録の保管を通じてプライバシー請求の運用を支援できます。ソフトウェアが法的な判断を行うわけではなく、例外事由や回答内容の判断は組織に残ります。

ダイレクトマーケティング

Act 843 は、ダイレクトマーケティングのための個人データの取扱いを停止し、または開始しないよう管理者に求めることを本人に認めています。これは次の領域に影響します。

• メールマーケティング
• SMS マーケティング
• 広告
• その他のマーケティングチャネル
• マーケティング設定
• 同意およびオプトアウトの記録
• ダイレクトマーケティングの配信停止リスト

ConsentX の設定管理は、マーケティングに関する選択の取得、同意とオプトアウトの記録の保持、更新後の設定の連携システムへの反映を助け、配信停止の対象となった連絡先に送信されないようにします。

自動化された意思決定

プロファイリングを含む自動化された取扱いは、次のような固有のプライバシー上の論点を生じます。

• 透明性
• 目的
• データの品質
• 公平性
• 安全管理
• 適切な場合の人による関与
• 本人に生じ得る影響
• 高リスクの取扱い

プロファイリングや自動化された意思決定は、取扱いの内容と適用される要件により、DPIA が求められる場合があります。

データ保護影響評価

データ保護影響評価（DPIA）は、プライバシーリスクを先んじて評価する手法です。ある取扱いが本人にどのような影響を与え得るか、そして取扱い開始前にどの措置でそのリスクを低減できるかを明らかにします。

DPIA は次の場合に関連し得ます。

• 新たな取扱い
• 新しい技術
• 既存の取扱いの重要な変更
• 特別な個人データ
• プロファイリング
• 自動化された意思決定
• 本人に重大なリスクを生じさせる取扱い

Data Protection Supervisor

第58条は、データ管理者が、同法の遵守状況を監督する Data Protection Supervisor として、認定を受けた有資格者を選任することを定めています。

実効性のある Data Protection Supervisor には、次のものが求められます。

• その役割に必要な認定と資格
• 遵守状況の監督についての責任
• 適切な研修
• 組織内における十分な権限
• 役割を果たすために必要な知識と資源

データセキュリティ

管理者は、次の事象から個人データを守るため、適切かつ合理的な技術的・組織的措置を講じるべきです。

• 不正アクセス
• 不正な開示
• 偶発的な紛失
• 破壊
• 改変
• 不適切な利用
• 違法な取扱い

実務上の措置には次のものがあります。

• 暗号化
• アクセス制御
• 認証
• 多要素認証
• ネットワークセキュリティ
• 安全なバックアップ
• ログ記録と監視
• データ漏えい防止
• 従業員研修
• 委託先管理
• インシデント対応

データ侵害への対応

実務的な侵害対応プロセス：

• インシデントの検知
• 封じ込め
• リスク評価
• 影響を受けたデータの特定
• 影響を受けた本人の評価
• 必要な場合の当局への報告
• 必要な場合の本人への通知
• 是正
• 記録の作成
• 事後レビュー

Act 843 は、侵害報告について一律の72時間期限を定めていません。組織は、現行法の下で DPC への報告および影響を受けた本人への通知が必要かを評価すべきです。

Data Protection Bill, 2025 の草案に含まれる報告期限は提案にとどまります。改正法が正式に施行されるまで、現行の義務として扱うべきではありません。

DPC への登録

データ管理者は原則として、個人データの取扱いを開始する前に Data Protection Commission への登録が必要です。登録申請には次の事項が含まれることがあります。

• 事業者の名称および所在地
• 代表者に関する情報
• 取り扱う個人データの説明
• 本人の区分
• 特別な個人データ
• 取扱いの目的
• 想定される提供先
• データを移転し得る国
• 保有するデータの本人の区分
• 安全管理措置の概要

Act 843 の下では、データ管理者として登録せずに個人データを取り扱うことは犯罪であり、略式手続において、同法が定めるところにより罰金、拘禁またはその併科に処されます。組織は、適用される罰則を法律顧問に確認すべきです。

評価対象となる取扱い

Act 843 には、評価対象となる取扱いの枠組みがあります。データ主体に重大な損害もしくは重大な苦痛を与えるおそれのある取扱い、またはそのプライバシーの権利を著しく害するおそれのある取扱いは、DPC による追加の審査の対象となる場合があります。

高リスクの取扱いを計画する組織は、取扱いを開始する前にこの枠組みが適用されるかを検討すべきです。

データの国際移転

個人データをガーナ国外に移転する前に、組織は次の点を含む適用要件を評価すべきです。

• 移転先の国
• 国外の受領者
• データの種類
• 移転の目的
• 安全管理措置
• 契約上の保護
• 適用される外国のプライバシー法

DPC への登録情報には、管理者が個人データの移転を予定する国が含まれるため、移転の取決めと登録内容は整合させておくべきです。

データの保存と削除

保存は、個人データを収集した目的および適用される法令上の要件と結び付けるべきです。保存管理の枠組みでは次の事項を扱うべきです。

• 保存期間
• 削除手順
• アーカイブ
• 訴訟等に伴う保存義務
• 適切な場合の自動削除
• 安全な廃棄
• 保存方針の定期的な見直し

データ処理者と委託先

管理者は、第三者が自社のために取り扱う個人データについても責任を負い続けます。委託先との契約では次の事項を定めるべきです。

• 取扱いに関する指示
• 目的の限定
• 秘密保持
• 安全管理
• 再委託先
• 保存期間
• 削除
• インシデント対応
• データ主体からの請求
• 国際移転
• 遵守のための協力

プライバシー・バイ・デザイン

プライバシーは、製品やプロセスに当初から組み込むほど実現しやすくなります。有用な実務には次のものがあります。

• データの最小化
• 目的の限定
• プライバシーに配慮した初期設定
• アクセス制御
• 暗号化
• 保存期間の上限
• 同意の制御
• 監査ログ
• 安全な削除

Cookie とオンライントラッキング

Act 843 は個人データの取扱いを規律します。Cookie について一律の統一ルールを定めるものではありません。ウェブサイトやアプリでは一般に次のものが用いられます。

• 必須 Cookie
• 分析 Cookie
• 広告 Cookie
• ソーシャルメディアのピクセル
• リターゲティング技術
• パーソナライズ
• 端末識別子
• サードパーティスクリプト

組織は、各トラッキング技術が個人データを取り扱うかを判断し、取り扱う場合には同法上の適切な根拠を特定すべきです。

Cookie 同意と事前スクリプトブロック

トラッキングの適用根拠が同意である場合、その同意を実効的にするために次の仕組みが役立ちます。

• 明確な同意通知
• 目的別の選択肢
• 初期選択されていない任意カテゴリ
• 対象トラッカーの事前ブロック
• 同意の撤回
• 設定管理
• 同意の記録
• ポリシーのバージョン管理

ConsentX は、これらの選択の技術的な実行を支援します。事前スクリプトブロックは、訪問者が同意するまで対象トラッカーの実行を止め、設定管理により訪問者はいつでも選択を変更できます。

遵守状況のモニタリングと監査

組織は、次のような遵守の証跡を提示できるようにすべきです。

• DPC への登録
• プライバシー通知
• 同意の記録
• データマップ
• 取扱いの台帳
• DPIA
• セキュリティ評価
• 委託先との契約
• 侵害の記録
• データ主体からの請求
• マーケティング設定
• 保存期間の一覧
• 研修の記録
• Data Protection Supervisor に関する記録

DPC による執行

ガーナの Data Protection Commission は次の事項を担います。

• 規制上の監督
• 管理者の登録
• 調査
• 苦情対応
• 遵守状況の監視
• 執行
• ガイダンス
• 研修
• 啓発

Commission は、苦情の調査、立入検査の実施、および法を遵守するための措置を組織に求める命令の発出を行うことができます。

Act 843 における違反と罰則

Act 843 は、それぞれ固有の罰則を伴う個別の違反を定めています。すべての違反に共通する単一の上限はありません。同法は次を区別しています。

• 登録義務違反 — データ管理者として登録せずに個人データを取り扱うことには、同法上固有の罰則が定められています
• 特定の命令への不服従 — Commission が発する特定の命令に従わないことには、固有の罰則が定められています
• その他の法定の違反 — 同法に定めるその他の違反には、それぞれに定められた罰則が適用されます
• 第95条の一般的罰則 — 固有の罰則が定められていない場合、違反者は略式手続において、5,000ペナルティユニット以下の罰金、10年以下の拘禁、またはその併科に処されます

組織は、第95条の上限が当然に適用されると考えるのではなく、該当する各規定に定められた罰則を確認すべきです。

ガーナ データ保護法案 2025

Data Protection Bill, 2025 は、Act 843 に代わることを目的とした草案です。

• この法案は草案であり、現行法として扱ってはなりません。
• Act 843 が引き続きガーナにおける現行のデータ保護の枠組みです。
• 組織は立法動向を注視すべきです。
• 改正法が正式に施行された場合には、遵守状況の点検を更新すべきです。

ガーナにおいて同意管理が重要な理由

同意管理は、登録、安全管理、データ主体の権利、ガバナンスと並ぶ、ガーナのより広いプライバシー枠組みの一要素です。同意に依拠する場合、組織は次の点を示せるようにすべきです。

• 利用者に何を伝えたか
• 利用者が同意した目的
• 同意が与えられた時点
• 選択されたカテゴリ
• 提示したプライバシー通知
• その後に同意が撤回されたか
• 設定がどのように実行されたか

ConsentX はこれらの問いを技術的な仕組みに結び付けます。事前スクリプトブロックが選択を実行し、同意の記録とレシートが証跡を保持し、ポリシーのバージョン管理が各判断を利用者が見た通知と結び付けます。

ガーナ DPA 対応チェックリスト

このチェックリストを、対応プログラムの出発点としてご利用ください。

• Act 843 が適用されるかを判断する
• 管理者と処理者の役割を整理する
• 個人データの取扱いを可視化する
• 適法根拠を特定する
• 同意取得の仕組みを点検する
• プライバシー通知を提供する
• 特別な個人データを特定する
• 子どものデータの取扱いを評価する
• 必要な場合はデータ管理者として登録する
• Data Protection Supervisor に関する要件を確認する
• 安全管理措置を実施する
• インシデント対応体制を整える
• DPIA の要否を確認する
• 国際移転を評価する
• 保存と削除のルールを定める
• データ主体からの請求への手順を整備する
• ダイレクトマーケティングの設定を維持する
• 自動化された意思決定を点検する
• 委託先との契約を維持する
• 遵守の証跡を維持する
• 2025年の法案を注視する