カタールPDPPL対応をConsentXで

カタールの個人データプライバシー保護法とは

カタールの個人データプライバシー保護法（一般にPDPPLと呼ばれます）は、個人データを保護するためのカタールの中心的な一般的枠組みです。

同法は管理者と処理者に義務を課し、個人データを処理される個人を保護します。

同法は、電子的に処理される個人データ、電子的処理の準備として収集または取得された個人データ、および電子的方法と従来型の方法を組み合わせて処理される個人データに適用されます。個人的または家庭内の活動、および一定の公的統計処理は適用範囲から除外されています。

同法は次の要素を軸に構成されています。

• 個人のプライバシー権
• 適法かつ透明性のある処理
• 同意と正当な目的
• プライバシー通知
• データ最小化
• データの正確性
• 保存期間の限定
• 安全管理措置
• 処理者の管理
• データ侵害の通知
• 特別な性質の個人データ
• 国境を越えるデータの流れ
• ダイレクトマーケティング
• 苦情と執行

どのようなデータが対象となるか

同法は、個人を直接または間接的に識別し得る情報を含む個人データに適用されます。

状況に応じて、次のものが含まれ得ます。

• 氏名
• 連絡先情報
• 電話番号
• メールアドレス
• 本人確認情報
• アカウント情報
• オンライン識別子
• 位置情報
• デバイス情報
• 顧客記録
• 従業員情報
• 財務情報
• 健康に関する情報
• マーケティングの設定
• ウェブサイトおよびアプリの利用情報
• 識別可能な個人に関連するその他の情報

同法は個人データの処理を広く定義しており、収集、受領、記録、整理、保存、変更、検索、利用、開示、公表、移転、留保、破棄、消去、抹消といった行為が含まれます。

カタールPDPPLにおける適法な処理と同意

カタールPDPPLでは同意が必要ですか。

同意はカタールPDPPLにおける重要な法的根拠ですが、すべての処理活動について一律に求められるわけではありません。

第4条は、管理者またはデータの移転先である第三者の正当な目的を達成するために処理が必要である場合を除き、本人の同意がなければ管理者は個人データを処理できないと定めています。

したがって組織は、あらゆる形態の処理について同意を包括的な要件と扱うのではなく、各処理活動の法的正当化根拠を特定すべきです。

状況に応じて、次の場面で同意が関係し得ます。

• マーケティング配信
• 広告およびプロモーション活動
• 任意のアナリティクス
• 一定のトラッキング技術
• 任意のパーソナライゼーション
• 第三者とのデータ共有
• 当初の目的と無関係な任意のデータ利用

組織は各処理活動について依拠した根拠を文書化すべきです。

カタールPDPPLにおける同意の要件

同意を用いる場合、組織はその同意が実質的であり、適切に記録されていることを確認すべきです。

適法な同意の仕組みは次の要件を満たすべきです。

• 本人が何に同意するのかを明確に示すこと
• 処理の目的を説明すること
• 誤解を招く表現やあいまいな表現を避けること
• 明示的な同意が必要な場面で同意を自動的なものとして扱わないこと
• 同意の判断に関する証跡を保持すること
• 該当する場合に同意の撤回を可能にすること
• その後の処理が本人の判断を反映するようにすること

デジタル事業では、同意管理を実際の処理環境と連携させ、トラッカー、広告技術その他の任意の技術が利用者の選択と矛盾して動作しないようにすべきです。

同意の撤回

個人には、以前に提供した同意を撤回する権利があります。

第5条は、処理に対する事前の同意を撤回する権利を明示的に認めています。また、収集目的に照らして不要、過剰、差別的、不公正または法に反する処理については、個人が異議を述べることもできます。

したがって組織は、次のための手続を整備すべきです。

• 撤回請求の受付
• 請求内容の確認
• 同意に依拠している処理活動の特定
• 同意状況の更新
• 必要な場合の該当処理の停止
• 撤回の記録
• 適切な監査証跡の保持

プライバシー通知と透明性

カタールPDPPLは、個人データの処理を開始する前に、管理者が個人に情報を提供することを求めています。

第9条に基づき、個人には次の事項が伝えられるべきです。

• 管理者の身元
• 管理者に代わってデータを処理し、またはデータを利用する他の当事者
• 適法な処理目的
• 処理活動および開示の範囲に関する包括的かつ正確な説明。詳細な説明ができない場合は概括的な説明
• 個人データの処理条件を満たすために必要なその他の情報

したがってプライバシー通知は、どのような情報が収集され、なぜ収集され、どのように利用され、誰と共有され得るのかを説明すべきです。

データ最小化と目的の限定

カタールPDPPLは、管理者に対し、収集した個人データが次の状態にあることを確保するよう求めています。

• 適法な目的に関連すること
• 当該目的に照らして適切であること
• 正確であること
• 完全であること
• 最新であること

管理者はまた、関係する目的の達成に必要な期間を超えて個人データを保存しないようにしなければなりません。

これにより、次の事項について実務上の要件が生じます。

• データ台帳
• 収集フォーム
• CRMシステム
• アナリティクスツール
• マーケティングデータベース
• 顧客アカウント
• データ保存方針
• 削除の運用フロー

カタールPDPPLにおける個人の権利

同法は個人データに関して複数の権利を個人に認めています。

アクセス権。個人は自らの個人データにアクセスし、その閲覧を求めることができます。第6条はまた、処理に関する情報を受け取る権利および個人データの写しを取得する権利を、法定の枠組みおよび所定の手数料に従って認めています。

情報を求める権利。個人は、自らの個人データの処理、処理の目的、一定の開示、開示された個人データの不正確性に関する情報を求めることができます。

訂正の権利。個人は不正確な個人データの訂正を求めることができ、第5条に基づき求める訂正を裏付ける証拠を提出することが求められます。

削除の権利。個人は、処理が不要である場合、目的に照らしてデータが過剰である場合、当初の目的が終了した場合、またはデータを保持する正当な理由がない場合など、所定の状況において削除または消去を求めることができます。

異議を述べる権利。収集目的に照らして不要、過剰、差別的、不公正または法に反する処理について、個人は異議を述べることができます。

同意を撤回する権利。処理が事前の同意に基づく場合、個人はその同意を撤回できます。

特別な性質の個人データ

カタールPDPPLは、一定の種類の個人データを特別な性質の個人データと位置付けています。

第16条は、次の事項に関する情報を明示的に含めています。

• 民族的出自
• 子ども
• 健康
• 身体的状態
• 心理的状態
• 宗教的信条
• 婚姻関係
• 犯罪

大臣は、不適切な利用や開示により個人に重大な損害を与え得る場合、追加のカテゴリーを加えることができます。

特別な性質の個人データの処理には、第16条に基づき所管部門の許可が必要であり、適用される手続と管理策に従う必要があります。これらのデータの保護のために追加の保護措置が課されることもあります。したがって組織は、新たな処理活動を開始する前に特別な性質のデータを特定すべきです。

子どもの個人データ

子どものデータは、特別な性質の個人データというカタールの定義に明示的に含まれています。

そのため、子どもに関する情報を取り扱う組織は追加の管理策を適用し、適用される許可要件およびプライバシー要件を慎重に評価すべきです。

ウェブサイト、アプリ、教育プラットフォーム、ゲームサービスその他の子ども向けサービスでは、次の点を検討すべきです。

• 年齢に応じた管理
• 適切な同意取得の仕組み
• 必要な場合の保護者による手続
• データ最小化
• 追加のアクセス制御
• 強化されたセキュリティ
• 保存期間の制限

データセキュリティの要件

カタールPDPPLは、管理者および処理者に対し、個人データを保護するための適切な措置を講じることを求めています。

第8条は、個人データを保護するための適切な管理的、技術的、物理的な予防措置を管理者が講じることを求めています。

第13条はさらに、管理者および処理者に対し、次の事態に対する予防措置を求めています。

• 滅失
• 毀損
• 改変
• 開示
• 不正アクセス
• 偶発的な利用
• 違法な利用

保護措置は、保護される個人データの性質および重要性に見合ったものでなければなりません。

プライバシー・バイ・デザイン

カタールPDPPLは、個人データが関係する製品、システム、サービスの設計、変更、開発にあたり、管理者がプライバシー保護を考慮することを求めています。

管理者はまた、新たな処理を導入する前にプライバシー保護措置を見直さなければなりません。

したがって組織は、次の領域にプライバシーを組み込むべきです。

• ウェブサイト開発
• モバイルアプリ
• 顧客ポータル
• マーケティングプラットフォーム
• アナリティクスの実装
• CRMシステム
• AIシステム
• データ共有の取り決め
• 新技術の導入

管理者と処理者の責任

カタールPDPPLは管理者と処理者を区別しています。

管理者は関係する処理目的を決定し、処理が法に従って行われることを確保する責任を負います。管理者の義務には次のものが含まれます。

• 適法な処理
• 透明性
• データ最小化
• 正確性
• 保存期間の管理
• セキュリティ
• プライバシー手続
• 処理者の監督
• 苦情対応
• 個人の権利対応の手続
• コンプライアンスの監視

処理者は管理者に代わって個人データを取り扱います。管理者は、個人データの保護に責任を負う処理者を特定し、その指示および適切な保護措置の遵守状況を継続的に監視しなければなりません。

処理者の管理

クラウド事業者、アナリティクスサービス、マーケティングプラットフォーム、SaaS事業者、ホスティング事業者その他の第三者処理者を利用する組織は、適切な管理策を維持すべきです。

主要な対策には次のものが含まれます。

• ベンダーのデューデリジェンス
• データ処理契約
• 明確な処理指示
• セキュリティ要件
• アクセス制御
• 再委託先の管理
• インシデント通知の手順
• データの削除または返還の手順
• 継続的なコンプライアンス監視

第12条は、処理者への開示または移転が適法な目的および法の要件と整合していることを求めています。

データ侵害の通知

カタールPDPPLは、第13条が求める安全管理措置の違反に関して特別の義務を定めています。

侵害が個人データまたは個人のプライバシーに重大な損害を与え得る場合、管理者は影響を受ける本人および所管行政機関に通知しなければなりません。

第13条はまた、求められる保護措置の不備または個人の個人データを脅かすリスクを認識した場合、処理者が直ちに管理者に通知することを求めています。

組織は、次のことが可能なインシデント対応プロセスを整備すべきです。

• 個人データに関するインシデントの検知
• 影響の評価
• 影響を受けたデータの特定
• 重大な損害が生じ得るかの判断
• インシデントのエスカレーション
• 必要な場合の関係者への通知
• 対応の記録

国境を越えるデータ移転

カタールPDPPLは国境を越えるデータの流れを認めています。

同法は国境を越える個人データの移転を一般的に禁止していません。むしろ第15条は、処理が法に違反する場合、または個人データもしくは個人のプライバシーに重大な損害を与え得る場合を除き、管理者が国境を越える流れを制限する措置をとることを制限しています。

もっとも、組織は次の点を評価すべきです。

• 個人データがどこに保存されるか
• ベンダーがどこで情報を処理するか
• クラウドサービスが国際的に運用されているか
• 誰が情報にアクセスできるか
• 処理が開示された目的と整合しているか
• 安全管理措置が維持されているか

Cookieとオンライントラッキング

カタールPDPPLは電子システムを通じて処理される個人データに適用されるため、オンラインでのデータ収集はプライバシー対応において重要になります。

ウェブサイト運営者は、識別可能な個人に関連する情報を収集し、またはアクセス可能にし得るCookieやトラッキング技術を評価すべきです。

例として次のものが挙げられます。

• アナリティクスCookie
• 広告Cookie
• ソーシャルメディアのピクセル
• リターゲティング技術
• デバイス識別子
• オンライン識別子
• セッション技術
• マーケティングトラッカー

同意が適用される根拠である場合、組織は該当する処理を有効化する前に同意を取得すべきです。

同意管理プラットフォームは、次の区分に役立ちます。

• 厳密に必要な技術
• アナリティクス技術
• 広告技術
• 機能性に関する技術
• その他の任意のトラッカー

カタールPDPPLにおけるダイレクトマーケティング

カタールは電子的ダイレクトマーケティングについて明示的な要件を設けています。

第22条は、本人の事前の同意なくダイレクトマーケティングのための電子的通信を送信することを禁止しています。

マーケティング通信はさらに次の要件を満たさなければなりません。

• 送信者を明示すること
• 当該通信がダイレクトマーケティングであることを示すこと
• 受信者が通信の停止を求めることができる有効な連絡先を提供すること
• 本人が同意を撤回できるようにすること

これは特に次のものに当てはまります。

• 販促メール
• 電子的なマーケティングメッセージ
• デジタルキャンペーン
• その他の電子的ダイレクトマーケティング通信

したがってマーケティングデータベースについては同意記録を保持すべきです。

自動意思決定とAI

カタールPDPPLは現在の生成AIや自動意思決定技術の潮流より前に成立しているため、GDPRのような独立した自動意思決定の枠組みを含んでいると考えるべきではありません。

もっとも、AIや自動処理は個人データの広範な収集と処理を伴い得ます。

カタール政府の現行のAIガイダンスも、AIシステムの開発・導入にあたりプライバシーを守り、特別な性質の個人データを保護する必要性を強調しています。

したがってAIを利用する組織は次の点を評価すべきです。

• どの個人データが利用されるか
• なぜそのデータが利用されるか
• 同意または他の法的根拠が適用されるか
• 特別な性質のデータが関係するか
• 誰がデータにアクセスできるか
• データが国外に移転されるか
• 情報がどれだけの期間保存されるか
• 本人に十分な情報が提供されているか

データの保存

カタールPDPPLは、収集の適法な目的を達成するために必要な期間を超えて個人データを保存しないことを管理者に求めています。

実務的な保存管理の枠組みでは、次の事項を定めるべきです。

• 目的別の保存期間
• データの分類
• アーカイブ要件
• 削除の契機
• 法的な保存義務
• バックアップの取扱い
• 第三者側での削除
• アカウント解約時の手続

ConsentXは、同意や設定変更の記録を保持することでこれらのプロセスを補完できますが、より広範なデータ保存管理の責任は引き続き組織にあります。

プライバシーガバナンスとアカウンタビリティ

第11条は、次を含むいくつかの組織的要件を定めています。

• 新たな処理の前にプライバシー保護措置を見直すこと
• 個人データ保護に責任を負う処理者を特定すること
• 処理者に研修を行うこと
• 苦情のための仕組みを整備すること
• アクセス、訂正、削除の請求に対応すること
• 内部のデータ管理システムを維持すること
• 保護手続の違反を報告すること
• 個人のアクセス、閲覧、訂正の権利を支えること
• コンプライアンス監査を実施すること
• 処理者の遵守状況を監視すること

これによりプライバシーガバナンスは、ウェブサイト上の一度限りの作業ではなく、継続的な組織的責任となります。

プライバシーに関する苦情

個人は、同法またはこれに基づく決定に違反があったと考える場合、所管部門に苦情を申し立てることができます。

第26条は、同法の違反に関する苦情を申し立てる手段を明示的に定めています。

したがって組織は、次のための内部手続を備えるべきです。

• プライバシーに関する苦情の受付
• 請求者の本人確認
• 事実関係の調査
• 適切な回答
• 必要な場合のエスカレーション
• 苦情と対応結果の記録

カタールPDPPLの罰則の詳細

カタールPDPPLは特定の違反に対して相当額の金銭的制裁を定めています。

第23条は、次を含む定められた規定への違反について最大100万カタールリヤルの罰金を定めています。

• 第4条：処理に関する要件
• 第8条：管理者の義務
• 第9条：透明性の要件
• 第10条：データの関連性、正確性および保存
• 第11条：ガバナンスおよびコンプライアンス手続
• 第12条：開示および処理者
• 第14条：一定の侵害通知義務
• 第15条：国境を越えるデータの流れ
• 第22条：電子的ダイレクトマーケティング

第24条は、次を含む特定の違反について最大500万カタールリヤルの罰金を定めています。

• 第13条：安全管理措置
• 第16条第3項：特別な性質のデータに関する要件
• 第17条：特別な性質のデータに関する追加要件

第25条は、定められた犯罪が法人の名義でその計算において行われた場合、当該法人に最大100万カタールリヤルの罰金を科し得ることを定めており、関係する個人の刑事責任を妨げるものではありません。

カタールPDPPLと同意管理

ウェブサイトやデジタルプラットフォームを通じて個人データを収集する組織にとって、同意管理はPDPPLの複数の要件対応を支えることができます。

堅牢な同意管理の実装は、組織が次のことを行えるよう支援すべきです。

• 明確な同意の選択肢を提示する
• 目的を説明する
• 任意の技術と必要な技術を区別する
• 同意記録を取得する
• 撤回を記録する
• 監査証跡を保持する
• 第三者トラッカーを制御する
• 地域別のプライバシールールを適用する
• プライバシー設定の管理を支援する

ConsentXはこれらの運用に技術的な基盤を提供できます。

カタールPDPPL対応チェックリスト

このチェックリストを用いて自組織の準備状況を確認してください。

• 収集している個人データを特定する
• 処理活動を可視化する
• 管理者と処理者を特定する
• 処理目的を文書化する
• 適用される法的根拠を特定する
• 同意の要件を確認する
• 適切な同意記録を保持する
• 処理の前にプライバシー情報を提供する
• データ最小化を実施する
• データの正確性を維持する
• 保存期間を定める
• アクセス対応の手続を整備する
• 訂正対応の手続を整備する
• 削除対応の手続を整備する
• 異議および同意撤回の手続を整備する
• 特別な性質のデータを特定する
• 特別な性質のデータに関する追加要件を確認する
• 安全管理措置を実装する
• 侵害対応の手続を整備する
• 処理者との契約を見直す
• 処理者の遵守状況を監視する
• 国境を越えるデータの流れを評価する
• 必要な場合に電子的ダイレクトマーケティングの事前同意を取得する
• 配信停止および撤回の手段を維持する
• ウェブサイトのCookieとトラッカーを監査する
• 同意が必要な場合に任意のトラッキングをブロックする
• プライバシー対応の文書を整備する
• 定期的なプライバシー監査を実施する

カタールで同意管理が重要な理由

カタールPDPPLは、同意の要件に加えて、透明性、正当な目的、データ最小化、保存、セキュリティ、処理者の監督、個人の権利、特別な性質のデータ、ダイレクトマーケティングに関する広範な義務を組み合わせています。

デジタル資産を運用する組織にとって、プライバシー対応はプライバシーポリシーの公開にとどまらない取り組みである必要があります。

実務的なコンプライアンス体制では、プライバシー通知 → 同意 → トラッキングの制御 → 同意記録 → 撤回 → マーケティング設定 → 監査証跡をつなげるべきです。

ConsentXは、組織がこの一連の流れをウェブサイトやデジタル体験全体で運用できるよう支援します。