イスラエルPPL対応をConsentXで

イスラエルのプライバシー保護法とは

プライバシー保護法（5741-1981）は、イスラエルにおけるプライバシー保護の基本法です。

同法は個人情報およびデータベースに関する活動を規律し、情報の違法または不適切な利用から個人を保護します。

従来、イスラエルの枠組みは「データベース」という概念と、その所有者、保有者、管理者の責任に強く重点を置いてきました。

改正13号は、用語と構造を見直して現代的なデータ保護の考え方に近づけるとともに、個人情報の概念を拡大しました。

改正後の枠組みにおいて、個人情報とは概ね、識別された個人または識別され得る個人に関する情報を意味します。

イスラエルのプライバシー保護法改正第13号

改正第13号は、数十年ぶりとなるイスラエルのプライバシー枠組みの最も重要な近代化です。

公布・成立から1年後の2025年8月14日に施行されました。

主な変更点は次のとおりです。

• 個人情報の定義の拡大
• データベース登録義務の限定
• 新たなデータ保護責任者の選任義務
• 規制上の執行の強化

改正13号は、PPAの法律上の独立性を確立し、その執行権限も拡大しました。各変更点は以下の各セクションで説明します。

改正13号：個人情報の定義の拡大

改正後の法律は、識別された個人または識別可能な個人に関する情報を対象とする、より広い個人情報の概念を採用しています。

これは特に、次のものを取り扱うデジタル事業にとって重要です。

• 氏名
• メールアドレス
• 電話番号
• 識別番号
• オンライン識別子
• 位置情報
• 財務情報
• 健康情報
• 生体情報
• 行動情報
• その他個人を識別し得る情報

改正13号：データベース登録義務の限定

改正13号は、登録を要するデータベースの類型を大幅に絞り込みました。

登録は原則として引き続き次のものに適用されます。

• 公的機関が保有するデータベース（法定の例外を除く）
• 1万人以上の情報を含む一定のデータベースで、事業として、または対価を得て他者へ移転する目的で個人情報を収集することを主たる目的とするもの（ダイレクトメール活動を含む）

もっとも、登録義務がなくなったことは、法律上の実体的なプライバシー・セキュリティ義務を免れることを意味しません。

改正13号：新たなDPO選任義務

一定の組織はデータ保護責任者を選任しなければなりません。

具体的には次のような組織が対象です。

• 公的機関
• 法定の基準を満たすデータブローカーおよびダイレクトマーケティング事業者
• 相当規模で体系的かつ継続的な監視を行う組織
• 主たる活動として、特に機微な個人情報を相当規模で処理する組織

銀行、保険会社、病院、健康保険基金は、法定の枠組みで明示的に挙げられている組織類型に含まれます。

改正13号：規制上の執行の強化

PPAは現在、実質的により強い執行権限と金銭的制裁の権限を有しています。

改正13号により、すべての制裁を通常の裁判手続を経て行う必要はなく、規制当局による執行が可能となりました。

どのような個人情報が対象となるか

改正後のPPLは個人情報を広く定義しています。

状況に応じて、次のものが含まれ得ます。

• 氏名
• 識別番号
• 連絡先情報
• 住所
• メールアドレス
• 電話番号
• 雇用に関する情報
• 財務情報
• 健康情報
• 生体情報
• 位置情報
• オンライン識別子
• 行動情報
• 個人の家族生活または私生活に関する情報

重要なのは、当該情報が識別された個人または識別可能な個人に関するものかどうかという点です。

特に機微な個人情報

改正13号は、特別な機微性を有する情報という概念を導入し拡大しました。

この類型には、次のような事項に関する情報が含まれます。

• 家族生活
• 性的指向
• 健康
• 遺伝情報
• 出自
• 犯罪歴
• 政治的意見
• 一定の生体識別子
• 法律上特に機微と分類されるその他の情報

特に機微な情報の取扱いは、次の事項を評価するうえで特に重要です。

• セキュリティ要件
• 透明性
• データガバナンス
• DPOに関する義務
• 大規模な処理
• 規制上のリスク

特に機微な情報を相当規模で処理する組織では、その処理によりDPO選任の法定義務が生じる場合があります。

イスラエルは個人データの処理に同意を要求しているか

同意は重要な法的仕組みですが、イスラエルのプライバシー法が個人データの処理すべてについて同意を要求していると説明するのは正確ではありません。

PPLは十分な情報に基づく同意に関する要件を定めていますが、処理は法律の他の規定または別の適用される法的根拠によっても認められ得ます。

したがって組織は次の点を明確にすべきです。

• どの個人情報が収集されているか
• なぜ収集されているか
• どの法令の規定が当該処理を認めているか
• 同意が必要か
• 本人にどの情報を提供しなければならないか
• 他の法的要件が適用されるか

PPAは改正13号を受けて、十分な情報に基づく同意に関するガイダンスを公表しています。

イスラエルPPLにおける十分な情報に基づく同意

同意が必要な場合、その同意は十分な情報に基づくものでなければなりません。

本人は、同意を与える前に処理について意味のある情報を受け取るべきです。

したがって同意の仕組みは、次の事項を明確に伝えるべきです。

• どのような情報が収集されるか
• なぜ収集されるか
• どのように利用されるか
• 関係する取得者または第三者
• 該当する場合、同意を与えることまたは拒否することの結果
• 本人が権利を行使する方法

組織は次の事項を避けるべきです。

• あらかじめ選択された任意項目
• 曖昧な同意文言
• 隠された処理目的
• 合理的に分離できない形で束ねられた目的
• 十分な情報提供なしに得られた同意

PPAは改正13号と同意に関する最新の資料を公表しており、改正後の要件の実装を支援するためのガイダンスも含まれています。

同意の撤回

処理が同意に基づく場合、組織はその同意を撤回するための適切な仕組みを提供すべきです。

撤回の仕組みは次のようであるべきです。

• 見つけやすいこと
• 理解しやすいこと
• 利用しやすいこと
• 当初の同意取得の仕組みと整合していること
• 運用上実行可能であること

組織はまた、同意の状態とその後の変更を示す記録を保持すべきです。

ウェブサイトやアプリにおいては、プライバシーに関する選択を一度限りの出来事として扱うべきではありません。

プライバシー通知と透明性

イスラエルのプライバシー枠組みは透明性を非常に重視しています。

個人情報を収集する際、組織は収集と想定される利用について適切な情報を本人に提供すべきです。

プライバシー通知は一般に次の事項を説明すべきです。

• 該当する組織の名称
• 収集の目的
• 収集する情報の内容
• 情報の利用方法
• 関係する取得者
• 適用される権利
• 本人が組織に連絡する方法
• 法律上求められるその他の情報

改正13号により透明性と説明責任への期待が高まったため、この点は特に重要になっています。

目的の限定

個人情報は、適法に収集された目的と整合する形で処理されるべきです。

組織は「まず収集し、後で用途を決める」という発想での収集を避けるべきです。

新たな処理活動を始める前に、企業は次の点を確認すべきです。

• その情報はこの目的のために収集されたか
• 新たな利用は当初の目的と両立するか
• 本人は適切に知らされていたか
• 追加の同意が必要か
• 別の法的根拠があるか
• 新たな利用によって追加のプライバシーリスクが生じるか

目的に関する文書は、組織のプライバシーガバナンス体制の一部として維持すべきです。

データ最小化

組織は、個人情報の収集を、意図する目的に関連する範囲に限定すべきです。

たとえば、次のような収集は避けるべきです。

• 過剰な本人確認情報
• 不要な属性情報
• 明確な必要性のない機微情報
• 明確な目的のない追加的なマーケティング情報

データ最小化は、セキュリティとコンプライアンスのリスク低減にもつながります。

イスラエルPPLにおけるデータ主体の権利

イスラエルのプライバシー枠組みは、個人情報に関して重要な権利を個人に認めています。

情報へのアクセス権。個人は、自らに関して保有される情報へのアクセスに関する権利を有します（法定の要件および例外に従います）。組織は、関連情報を特定し、要件を満たす請求に対応できる体制を整備すべきです。

訂正権。情報が不正確または不完全である場合、個人はその訂正を請求できます。

したがって組織は、次のための仕組みを整備すべきです。

• 訂正請求の受付
• 請求内容の確認
• 該当記録の更新
• 必要な場合の関係する取得者への通知

プライバシーに関する異議と苦情。個人は、違法または不適切な処理に関して懸念を申し立て、適用される行政上・司法上の手段を利用できます。

組織は、プライバシーに関する苦情および権利行使の請求を処理する文書化された手続を維持すべきです。

データセキュリティの要件

イスラエルにはプライバシー保護規則（データセキュリティ）5777-2017に基づく詳細なセキュリティの枠組みがあります。

同規則は、データベースのセキュリティに関する技術的・組織的要件を定めています。

PPAの実装ガイダンスは、次のような要件を扱っています。

• アクセス管理
• 権限の管理
• 人的セキュリティ
• 識別と認証
• ネットワークセキュリティ
• データ転送時のセキュリティ
• バックアップと復旧
• 物理的セキュリティ
• 文書化
• 定期的な見直し
• セキュリティインシデントへの対応

たとえばPPAのガイダンスは、アクセス権限を従業員の役割に応じて限定し、権限の最新の一覧を維持すべきであるとしています。

インターネットや公衆網に接続されたデータベースについては、不正アクセスや不正プログラムからの保護に関する要件も定められ、一定のデータ送信には適切な暗号化が求められます。

データ侵害およびセキュリティインシデントに関する要件

イスラエルのデータセキュリティ規則は、重大なセキュリティインシデントに関する具体的な要件を定めています。

組織は次の事項について文書化された手順を備えるべきです。

• セキュリティインシデントの検知
• 深刻度の評価
• インシデントの封じ込め
• 原因の調査
• 証拠の保全
• 規制当局への通知要件の判断
• 必要な場合の関係者への連絡
• 根本的な脆弱性の是正

PPAは、情報セキュリティ上の義務および重大なセキュリティインシデントに関する詳細なガイダンスを提供しています。

一般的な国際的慣行である72時間以内の通知ルールが、イスラエルのあらゆるインシデントに自動的に適用されると考えるべきではありません。

データ保護責任者（DPO）

改正13号が導入した最も重要な変更の一つが、法定のDPO制度です。

DPOは、次のような一定の類型の組織に求められます。

• 公的機関である組織
• 公的機関に代わってデータを処理する組織
• 法定の基準を満たすデータブローカーまたはダイレクトメール事業を営む組織
• 相当規模で個人を体系的かつ継続的に監視する組織
• 特に機微な個人情報を相当規模で処理する組織

DPOは適切な知識と専門的能力を備え、法定のプライバシーガバナンス機能を果たさなければなりません。

PPAはその後、DPO選任義務に関する最終ガイダンスを公表し、法定要件についての解釈も示しています。

DPOはイスラエルのすべての事業者に一律に求められるわけではありません。組織は、自社が法定の類型のいずれかに該当するかを評価すべきです。

改正13号後のデータベース登録

改正13号より前、イスラエルの事業者はしばしば、自社のデータベースを登録する必要があるかどうかに注目していました。

改正後の法律は、登録制度を大幅に限定しています。

登録は現在、主として次のものに関係します。

• 一定の公的機関のデータベース
• 法定の要件を満たす一定の大規模なデータブローカーまたはダイレクトマーケティングのデータベース

その他の組織については、登録義務がないことをもって、プライバシー保護法やデータセキュリティ規則上の実体的義務がなくなるわけではありません。

この区別は重要です。登録義務がないこと ≠ プライバシー対応が不要であること。

特に機微な情報を含む大規模データベースの届出

改正13号は、特に機微な情報を含む一定の大規模データベースについての届出要件も導入しました。

データベースが10万人を超える個人に関する特に機微な情報を含み、かつ登録要件の対象でない場合、管理者はPPAへの届出と、当該データベースおよび関連するDPO体制に関する所定の情報の提供を求められることがあります。

したがって大規模なデータを保有する組織は、次の両方を評価すべきです。

• 登録要件
• 届出要件

処理者と第三者ベンダー

企業は個人情報の処理に第三者の事業者を利用することが少なくありません。

例として次のものが挙げられます。

• クラウド事業者
• CRMプラットフォーム
• アナリティクス事業者
• 広告プラットフォーム
• 決済事業者
• マーケティングオートメーションツール
• カスタマーサポートシステム
• ホスティング事業者
• SaaSアプリケーション

組織はこれらの関係について、次を含む適切な管理を確立すべきです。

• 明確な処理目的
• 契約上の要件
• セキュリティ要件
• アクセス制限
• 守秘義務
• インシデント対応の手順
• データ削除の要件
• 国際移転の管理

国際的なデータ移転

イスラエルは、適用される法令および規則の枠組みに従い、個人情報の国際移転を認めています。

イスラエル国外へ情報を移転する組織は、次の点を評価すべきです。

• 移転先の国
• 受領する組織
• 移転の目的
• 情報の種類
• 適用されるイスラエルの移転要件
• セキュリティ上の保護措置
• 契約上の取決め
• 当該移転に適用される追加の制限

イスラエルは、欧州経済領域からイスラエルへ移転された情報に関する固有の規則も維持しており、EEA由来データに関するプライバシー保護規則が含まれます。PPAの公式法令情報ポータルは、これらの規則をイスラエルの枠組みの一部として掲載しています。

イスラエルPPLにおけるCookieとオンライントラッキング

ウェブサイトやアプリは、Cookie、ピクセル、SDK、広告技術、アナリティクスツールが個人情報を処理する場合、イスラエルのプライバシー枠組みに照らして評価すべきです。

もっとも、イスラエルではすべてのCookieに自動的にオプトイン同意が必要であるとするのは、あまりに大まかな説明です。

適切な分析は次の点によって異なります。

• 当該技術が個人情報を処理するか
• 本人が識別可能か
• 処理の目的
• 適用される法的要件
• 同意が必要か
• 当該処理が他の適法な規定でカバーされているか

ウェブサイトについては、トラッカーの完全な一覧を維持し、各技術をその目的と法的根拠に対応付けるべきです。

イスラエルのウェブサイトにおけるCookie同意

同意が必要な場合、同意画面は利用者に意味のある情報と適切な選択肢を提供すべきです。

堅牢な同意管理の実装には次の要素が含まれるべきです。

• 分かりやすいプライバシー通知
• 目的別のカテゴリー
• 任意のトラッキングの制御
• 適切な場合の個別の同意選択
• 同意依存の技術の事前ブロック
• 同意記録
• 撤回の仕組み
• ポリシーおよびバージョンの履歴
• 地域別の設定

これは特に次を利用するウェブサイトで重要です。

• 広告ピクセル
• リターゲティング技術
• ソーシャルメディアのトラッカー
• 行動分析
• パーソナライゼーション技術
• サイトをまたぐトラッキング

ダイレクトマーケティングとデータブローカー

改正13号は、個人情報を収集し、対価を得て、または事業として他者へ移転することを業とする組織に特に注意を向けています。

これには一定のデータブローカー業務およびダイレクトメール業務が含まれます。

データベースが1万人を超える個人を含み、その主たる目的が法定のデータ移転または事業に関する基準を満たす場合、登録やDPOの要件を含む追加の規制上の義務が適用され得ます。

したがって広告、リード獲得、データ仲介に関わる組織は、自社の事業モデルがこれらの規定に該当するかを評価すべきです。

自動意思決定、プロファイリングおよびAI

改正後のイスラエルの枠組みは、次のものを利用する組織にとってますます重要になっています。

• AI
• プロファイリング
• 行動分析
• 自動意思決定システム
• 顔認識
• 生体認証
• 位置情報の追跡
• 予測分析

組織は、自動処理がプライバシー上のリスクを生じさせるか、特に機微な個人情報を伴うかを評価すべきです。

リスクの高い処理は、文書化されたプライバシーリスク評価と適切なガバナンスの対象とすべきです。

PPAは、現代的な技術に伴うプライバシーリスクと、変化する技術環境に応じてプライバシーガバナンスを適応させる必要性を指摘しています。

データ保護影響評価

イスラエルのPPLの枠組みは、リスクの高いすべての処理活動についてGDPR第35条のような一律のDPIA義務を課すものとして説明すべきではありません。

もっとも、プライバシーリスク評価は重要なコンプライアンス手段であり、特に次の場面で有用です。

• 大規模な処理
• 体系的な監視
• 機微データの処理
• AIシステム
• 生体情報の処理
• 位置情報の追跡
• 大規模データベース
• 新たな技術

組織は、プライバシーリスクとその対応のために実施した措置を文書化すべきです。

プライバシー・バイ・デザイン

プライバシーは、導入後ではなく、システムの開発や変更の段階で考慮すべきです。

組織は次の場面でプライバシーの観点を組み込むべきです。

• ウェブサイトの公開
• モバイルアプリの開発
• CRMシステムの導入
• アナリティクスツールの導入
• AIの導入
• 広告技術の統合
• データベースの連携
• 従業員モニタリングシステムの導入
• 生体認証システムの導入

プライバシー・バイ・デザインの考え方は、同意、セキュリティ、透明性、保存、データ共有に関する課題が運用上の問題になる前に発見するのに役立ちます。

データの保存と削除

組織は次の点に応じて保存期間を定めるべきです。

• 情報が収集された目的
• 適用される法的要件
• 契約上の義務
• 規制上の要件
• 事業上の必要性
• セキュリティおよびプライバシー上のリスク

保存費用が安いという理由だけで、個人情報を無期限に保持すべきではありません。

良い保存管理の枠組みでは、次の事項を明確にすべきです。

• データの分類
• 処理目的
• 保存期間
• 保管場所
• 削除の方法
• 責任を負う事業部門

プライバシーガバナンスとアカウンタビリティ

改正13号を受けて、組織は体系的なプライバシーガバナンス体制を整備すべきです。

これには次のものが含まれ得ます。

• データ台帳
• 処理記録
• プライバシー通知
• 同意記録
• 権利行使請求の手続
• ベンダー評価
• セキュリティ管理策
• 保存に関する方針
• インシデント対応手順
• プライバシーリスク評価
• 該当する場合のDPOガバナンス
• 定期的なコンプライアンス点検

PPAは改正13号を受けて、最新のコンプライアンス資料およびガイダンスも整備しています。

イスラエルPPLの執行

改正13号はプライバシー保護庁の執行権限を大幅に拡大しました。

PPAは、特定の違反に対する金銭的制裁を含む強化された規制上の権限を行使できます。

改正はまた、次の事項に関する監督も強化しました。

• プライバシー上の義務
• データベースに関する要件
• セキュリティ要件
• DPOに関する義務
• 処理活動
• 法律および規則の遵守

PPAの執行体制の強化は、組織がプライバシー対応を一度限りの文書作成作業ではなく、継続的な運用上の義務として扱うべきことを意味します。

行政上の金銭的制裁

改正後の法律は、行政上の金銭的制裁の新たな枠組みを導入しました。

金額は次のような要素によって異なります。

• 違反の性質
• 影響を受けた人数
• データベースの種類
• 情報の機微性
• 違反の状況
• 組織が特定の法定義務に違反したかどうか

この枠組みのもとでは、一定の違反について数百万イスラエル・シェケルに達する相当額の制裁が科され得ますが、法定の算定・上限規則が個別に定められています。

したがって制裁は、あらゆる違反に適用される一律の固定額の罰金として説明すべきではありません。

民事責任と刑事責任

改正後の枠組みは民事上の救済も定め、一定の違反について個人の責任を強化しています。

改正13号は、所定の場合に実損害の立証なしに最大1万NISの懲罰的損害賠償を裁判所が命じ得る規定を導入しました。

法律は、一定の重大なプライバシー侵害に関する刑事規定も維持しています。

したがって組織は、次の二つの観点からプライバシー対応を検討すべきです。

• 企業としてのリスクの観点
• 個々の意思決定者の観点

イスラエルPPL対応チェックリスト

このチェックリストを用いて自組織の準備状況を確認してください。

• プライバシー保護法が適用されるかを判断する
• 処理しているすべての個人情報を特定する
• データベースと処理活動を可視化する
• 特に機微な情報を特定する
• 処理目的を文書化する
• 適用される法的要件を判断する
• 必要な場合に十分な情報に基づく同意を取得する
• 適切なプライバシー通知を整備する
• データ最小化の管理策を実装する
• 保存および削除の手続を整備する
• 適切なセキュリティ措置を実装する
• データセキュリティ規則の要件を確認する
• セキュリティインシデントの手順を整備する
• データベース登録義務を評価する
• 大規模データベースの届出要件を評価する
• DPOが必須かを判断する
• 必要な場合に適格なDPOを選任する
• データ主体からの請求対応手続を整備する
• アクセスおよび訂正の運用フローを実装する
• 処理者・ベンダーとの契約を見直す
• 国際的なデータ移転を評価する
• Cookieとオンライントラッカーを点検する
• 必要な場合に同意を設定する
• 同意の証跡を保持する
• 同意撤回の仕組みを提供する
• AIおよび自動処理のリスクを評価する
• 必要に応じてプライバシーリスク評価を実施する
• 定期的にコンプライアンスを見直す

イスラエルPPLのもとで同意管理が重要な理由

イスラエルでウェブサイトを運営する組織にとって、デジタル技術を通じて個人情報がどのように収集・処理されているかを把握することが、プライバシー対応でますます重要になっています。

ウェブサイトには、次のものが数十単位で含まれることがあります。

• アナリティクススクリプト
• 広告ピクセル
• ソーシャルメディアのトラッカー
• マーケティングツール
• パーソナライゼーション技術
• 第三者との連携

トラッカーの一覧と同意管理のプロセスがなければ、どの情報が収集され、利用者の選択がどのように尊重されているかを示すことが難しくなります。

ConsentXは、こうしたウェブサイト上のプライバシー運用を管理するための技術的な基盤を提供します。