ペルーConsentXで実現するペルーLaw 29733コンプライアンス
個人データ保護法(法律第29733号)
ペルー
2011年から施行
現行の施行規則Decreto Supremo N.º 016-2024-JUSは2025年3月31日から施行されています。
アメリカ
法律第29733号の遵守が求められる対象
法律第29733号は、ペルーのデータ保護制度の適用範囲内で個人データを取り扱う組織その他の主体に適用されます。これには、企業、公的機関、ウェブサイト運営者、デジタルサービス、雇用主、金融機関、医療機関のほか、個人データを収集、利用、保管、開示、その他の方法で取り扱う主体が含まれ得ます。ペルー国外で事業を行う組織も、自らの取扱活動がペルーの制度の地域的適用範囲に含まれるかを評価すべきです。
法律第29733号に基づく制裁
法律第29733号およびその施行規則への違反は、行政上の制裁につながり得ます。罰金は違反の重大性に応じて分類され、最も重大な違反については100UIT(Unidad Impositiva Tributaria)に達することがあります。適用される制裁は、具体的な違反行為と事案の状況によって決まります。
法律第29733号に基づく主な義務
- 同意が適用される適法な根拠である場合、有効な同意を取得すること。
- 同意が自由意思に基づき、事前に、明示的かつ一義的で、十分な情報を得たうえでのものであることを確保すること。
- データ取扱いの目的を明確に伝えること。
- 本人に適切なプライバシー情報を提供すること。
- データ主体の権利を尊重すること。
- 適切な技術的および組織的な安全管理措置を実施すること。
- 登録が求められる場合、個人データのデータベースを登録すること。
- データ主体からの請求に対応する手続を整備すること。
- 国外移転および開示に関する要件を評価すること。
- 遵守を示す適切な証跡を保持すること。
現行規則は、組織のアカウンタビリティを強化し、追加のコンプライアンス手段も導入しています。
同意の要件
同意はペルーのデータ保護制度の中心的要素です。
同意が必要な場合、組織は原則として取扱いの開始前にこれを取得しなければならず、その同意は次のものでなければなりません。
- 自由意思に基づくこと
- 事前のものであること
- 明示的であること
- 一義的であること
- 十分な情報を得たうえでのものであること
同意は他の条件と区別できるものであるべきであり、本人が何に同意しているのかを理解するのに十分な情報を提供すべきです。
ただし組織は、すべての取扱活動に同意が必要だと考えるべきではありません。法律第29733号には、同意なしに個人データを取り扱える場合が定められています。
機微な個人データ
機微な個人データは、ペルーのデータ保護制度において強化された保護を受けます。
機微な情報を扱う組織は、法律第29733号およびその規則が定める追加の要件と保護措置を適用すべきです。
プライバシー通知および同意の仕組みでは、該当するデータの種類と、機微な情報を取り扱う目的を明確に説明すべきです。
データ主体の権利
法律第29733号は、個人に自らの個人データに関する権利を認めています。
これにはARCOの権利が含まれます。
- アクセス - 本人は自らの個人データおよび関連する取扱活動について情報を求めることができます。
- 訂正 - 本人は不正確、不完全、または古い個人データの修正を求めることができます。
- 削除 - 本人は、適用される法律上の要件が満たされる場合、自らの個人データの削除または抹消を求めることができます。
- 異議 - 本人は、異議に関する適用要件が満たされる場合、自らの個人データの一定の取扱いに異議を唱えることができます。
組織は、これらの請求を受け付け、本人確認を行い、進捗を管理し、回答するための明確な手続を整備すべきです。
プライバシー通知と透明性
組織は、個人データの取扱いについて本人に明確な情報を提供すべきです。
プライバシー通知では、次のような関連情報を扱うべきです。
- 収集する個人データの種類
- 取扱いの目的
- 個人データの利用方法
- 関連する提供先
- 該当する場合は国外移転
- データ主体の権利
- 本人が権利を行使する方法
- 適用される制度上求められるその他の情報
現行規則は、個人データの取扱いに関する透明性および情報提供の要件を強化しています。
安全管理とアカウンタビリティ
組織は、権限のないアクセス、滅失、改変、開示、破壊といったリスクから個人データを保護するため、適切な安全管理措置を実施しなければなりません。
2024年規則はコンプライアンスとアカウンタビリティの枠組みを強化し、適切なデータ保護措置が講じられていることを組織が示すための追加の仕組みを導入しています。
したがって組織は、適切な文書、方針、手順、技術的統制、および遵守の証跡を保持すべきです。
データセキュリティ侵害
現行規則は、一定の個人データのセキュリティ侵害の通知に関する要件を導入しています。
ANPDは、個人データに関わる侵害について、適用される通知要件が生じる場合、侵害を知ってから48時間以内に当局へ通知しなければならないとしています。
したがって組織は、個人データの侵害を所定の期間内に特定、評価、記録、報告できるインシデント対応プロセスを維持すべきです。
国外へのデータ移転
個人データをペルー国外へ移転する組織は、法律第29733号およびその規則に基づく適用要件を評価すべきです。
個人データを国外へ移転する前に、組織は次の点を考慮すべきです。
- 移転先の国
- 受領者
- 移転の目的
- 適用される保護措置
- 移転の適法な根拠
- 契約上の要件
- 適用される通知または許可の要件
国外移転は、組織のより広範なデータマッピングおよびプライバシーコンプライアンス体制の一部として位置づけるべきです。
個人データのデータベース登録
ペルーのデータ保護制度には、個人データのデータベース登録に関する要件が含まれています。
組織は、どのデータベースが登録対象となるかを判断し、必要な登録と更新が維持されるようにすべきです。
データベース登録は、プライバシー通知、取扱目的、安全管理措置、データ主体の権利に関する手続と併せて検討すべきです。
Cookieとオンライントラッキング
Cookie、ピクセル、分析ツール、広告技術、その他のオンライントラッキング技術は、個人データの取扱いを伴う場合があります。
したがってペルーでウェブサイトを運営する組織は、次の点を評価すべきです。
- どのCookieやトラッカーが設置されているか
- それらがどのような情報を収集するか
- 個人データを取り扱うかどうか
- 各技術の目的
- 同意が必要かどうか
- データが第三者に提供されるかどうか
- 情報が国外へ移転されるかどうか
同意管理プラットフォームは、トラッカーの特定、取扱目的の伝達、必要な場合の同意取得、および該当技術が同意前に動作しないようにすることを支援します。
法律第29733号の遵守におけるConsentXの支援
事前かつ明示的な同意の取得
該当するCookie、トラッカー、取扱活動が有効になる前に同意を取得します。
目的別の同意
個人データおよびトラッキング技術が利用される目的について、明確な情報を提示します。
Cookieとトラッカーの管理
ウェブサイトをスキャンしてCookieとトラッカーを特定し、該当する非必須技術の作動を制御します。
同意の記録
利用者の選択と同意イベントに関する情報を含む、監査可能な同意記録を作成します。
データ主体の請求管理
アクセス、訂正、削除、異議の請求を含む、プライバシー関連の請求を受け付け管理するワークフローに対応します。
地域別コンプライアンス
ConsentXの地域ルールエンジンを通じて、法域ごとの同意ルールを適用します。
ConsentXで法律第29733号に対応する方法
- 1
ウェブサイトをスキャンする
ウェブサイトをスキャンし、個人データを取り扱う可能性のあるCookie、トラッカー、スクリプト、ピクセル、その他の技術を特定します。
- 2
取扱目的を特定する
分析、広告、パーソナライズ、機能提供、その他の取扱いなど、各技術をその目的に応じて分類します。
- 3
ペルー向けの同意バナーを設定する
明確な情報を提供し、同意が必要な取扱活動について適切な同意を取得する同意バナーを導入します。
- 4
同意前に該当トラッカーをブロックする
必要な同意が得られるまで、該当する非必須のCookieやトラッカーが作動しないようにします。
- 5
同意の証跡を記録する
利用者の同意に関する選択と関連する文脈情報を併せて保存し、遵守の証明に役立てます。
- 6
データ主体の請求を管理する
アクセス、訂正、削除、異議に関する該当請求を受け付け管理するため、一元化されたワークフローを利用します。
- 7
コンプライアンス状況を監視する
ウェブサイトを定期的に再スキャンし、Cookie、トラッカー、同意設定、プライバシー通知、第三者技術を見直します。
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 18.331
LOPDP