サウジアラビアPDPL対応をConsentXで

サウジアラビアの個人データ保護法とは

サウジアラビアの個人データ保護法（一般にサウジPDPLと呼ばれます）は、個人データを保護し、その取扱いを規律するためのルールを定めています。

同法は個人データを広く定義しています。氏名、識別番号、住所、連絡先番号、免許番号、個人資産、銀行口座番号やクレジットカード番号、写真、動画その他の個人的性質を有する情報など、直接的または間接的に個人を識別し得る情報が含まれます。

取扱いも広く定義されており、次のような行為が含まれます。

• 収集
• 記録
• 保存
• 整理
• 構造化
• 変更
• 検索
• 利用
• 開示
• 移転
• 共有
• 廃棄

したがって組織は、個人データのライフサイクル全体を通じてPDPL対応を検討する必要があります。

サウジPDPLはいつ施行されたか

サウジPDPLは2023年9月14日に施行されました。

その後、施行規則および関連する規制文書によって枠組みが補完されました。SDAIAの現行のコンプライアンス資料では、PDPLと施行規則がサウジアラビアにおける個人データ保護を規律する中核的枠組みとして扱われています。

したがって組織は、PDPLを将来の規制として扱うのではなく、現行法および施行上の要件に照らして対応状況を評価すべきです。

サウジPDPLはサウジアラビア国外の企業にも適用されるか

一定の状況では適用されます。

第2条は、サウジアラビアに居住する個人に関する個人データの取扱いが王国外の主体によって行われる場合にも、同法を適用しています。

これは次のようなものを利用する国際企業にとって特に重要になり得ます。

• グローバルCRMプラットフォーム
• 国際的なクラウドインフラ
• アナリティクスサービス
• 広告プラットフォーム
• グローバルなカスタマーサポートシステム
• 国際的な人事プラットフォーム
• SaaSアプリケーション
• マーケティングオートメーションシステム

したがってサウジアラビア国外の組織も、自社の取扱活動がPDPLの地理的適用範囲に含まれるかを評価する必要があります。

サウジPDPLにおける個人データとは

個人データには、個人を特定できる情報、または直接的もしくは間接的に識別を可能にする情報が含まれます。

例としては次のものが挙げられます。

• 氏名
• 国民識別番号
• 住所
• 電話番号
• メールアドレス
• 免許番号
• 登録情報
• 個人資産に関する情報
• 銀行口座情報
• クレジットカード情報
• 写真
• 動画
• その他の識別情報

同法は技術中立的であり、従来型のデータベースや紙の記録だけが対象になると考えるべきではありません。

機微な個人データとは

機微な個人データは、サウジPDPLの枠組みにおいて追加的な保護を受けます。

機微情報には、次のような事項に関するデータが含まれ得ます。

• 人種的または民族的出自
• 宗教的、哲学的または政治的信条
• 犯罪歴または刑事手続
• 識別に用いられる生体情報
• 遺伝情報
• 健康情報
• 血縁関係に関する情報

規制枠組みは機微な個人データの取扱いに追加的な制限を課しています。たとえば、機微な個人データの取扱いに正当な利益を根拠として用いることはできません。

サウジPDPLにおける取扱いの法的根拠

サウジPDPLは、すべての取扱活動について同意を要求しているわけではありません。

第5条は同意を原則としつつ、第6条は同意要件の対象とならない場面を定めています。たとえば次のような場合です。

• 取扱いがデータ主体の現実の利益に資するが、連絡が不可能または困難である場合
• 他の法令により取扱いが求められる場合
• データ主体が当事者である従前の合意を履行するために取扱いが必要な場合
• 公的機関が安全保障上または司法上の必要により取り扱う場合
• 管理者の正当な利益のために必要であり、データ主体の権利および利益が害されず、機微データが取り扱われない場合

施行規則は追加的な管理策および条件を定めています。

したがって組織は、すべての取扱いが同意に基づかなければならないと考えるのではなく、各取扱活動の法的根拠を文書化すべきです。

サウジPDPLにおける同意

同意が適用される法的根拠である場合、組織はPDPLおよび施行規則に従って同意を取得しなければなりません。

第5条は、法令に定める場合を除き、データ主体の同意なく個人データを取り扱い、またはその目的を変更することは原則としてできないと定めています。また、データ主体が同意を撤回できることも定めています。

適法な同意プロセスは、次の事項を証明できるよう設計されるべきです。

• 誰が同意したか
• いつ同意したか
• どの取扱目的が提示されたか
• どのデータ類型が関係したか
• どの選択肢が選ばれたか
• どのバージョンの通知または同意画面が表示されたか
• その後に同意が撤回されたか

同意は該当する取扱いに特定されているべきであり、無関係な目的への包括的な許可として用いてはなりません。

サービス提供の条件として同意を必須にできるか

常にできるわけではありません。

第7条は、同意を取得する対象の取扱いと当該サービスまたは便益が直接関連している場合を除き、同意をサービスまたは便益提供の条件としてはならないと定めています。

したがって組織は、同意の取得が真に任意であるか、無関係なサービスと不適切に結び付けられていないかを確認すべきです。

同意の撤回

取扱いが同意に基づく場合、データ主体は適用される規制上の要件に従い、いつでも同意を撤回できます。

したがって組織は、利用者が次のことを行える実務的な仕組みを提供すべきです。

• 自らの同意内容を確認する
• 同意を撤回する
• 選択した目的を変更する
• 該当するマーケティングを停止する
• 設定を更新する

同意の撤回は、その同意に依拠して取扱いを継続している下流のシステムにも反映されるべきです。

サウジPDPLにおけるプライバシー通知

管理者はプライバシーポリシーを作成し、個人データを収集する前にデータ主体が参照できるようにしなければなりません。

プライバシーポリシーでは、次のような事項を扱う必要があります。

• 収集の目的
• 収集する個人データ
• 収集に用いる方法
• 取扱い
• 保存
• 廃棄
• データ主体の権利
• 権利の行使方法

第13条はさらに、データ主体から直接データを収集する組織に対し、法的根拠、目的、必須および任意のデータ、関係する取得者、国際移転、データを提供しない場合に生じ得る結果、適用される権利などの追加情報の提供を求めています。

したがってサウジPDPLのプライバシー通知は、一般的なプライバシー声明ではなく、組織の実際の取扱業務に即した内容であるべきです。

データ最小化と目的の限定

PDPLは、個人データの収集が管理者の目的と結び付いていることを求めています。

同法は、収集する個人データの量が適切であり、収集目的の達成に必要な最小限に限定されることを求めています。個人データが当初の目的に照らして不要となった場合には、収集を停止し、既に収集したデータは適用される要件に従って廃棄すべきです。

組織は次の点を定期的に見直すべきです。

• どの項目を収集しているか
• 各項目をなぜ収集しているか
• 任意情報が本当に必要か
• データが別の目的に再利用されていないか
• 保存期間が引き続き正当化されるか
• 情報を匿名化または仮名化できないか

データの正確性

管理者は、個人データが次の状態にあることを確認するための十分な措置を講じなければなりません。

• 正確であること
• 完全であること
• 最新であること
• 収集目的に照らして関連性があること

PDPLはまた、適用される要件に従い、個人データの移転先である他の主体に対して訂正、補完または更新の内容を伝達することを管理者に求めています。

サウジPDPLにおけるデータ主体の権利

サウジPDPLは、個人データに関して個人に複数の権利を認めています。

知る権利。個人は、自らの個人データの収集の法的根拠および目的に関する情報を得る権利を有します。

アクセス権。データ主体は、適用される制限に従い、管理者が保有する個人データへのアクセスを請求できます。

データを取得する権利。個人は、適用される要件に従い、自らの個人データを読み取り可能で明確な形式で請求できます。

訂正の権利。個人は、自らの個人データの訂正、補完または更新を請求できます。

廃棄の権利。個人は、個人データが不要となった場合に、法が定める例外および保存義務に従ってその廃棄を請求できます。

同意を撤回する権利。取扱いが同意に基づく場合、データ主体はその同意を撤回できます。

苦情申立ての権利。データ主体は、PDPLおよびその規則の実施に関して所管当局に苦情を申し立てることができます。

賠償を求める権利。要件を満たす違反により損害を被った個人は、管轄裁判所を通じて財産的または精神的損害に見合う賠償を求めることができます。

サウジPDPLにおけるデータの開示

管理者は原則として、PDPLが認める場合を除き個人データを開示できません。

認められる場合には次のようなものが含まれます。

• データ主体の同意
• 公開されている情報源から収集したデータ
• 公的機関による一定の要請
• 公衆衛生または公共の安全に関する状況
• 生命または健康の保護
• 識別を不可能にする取扱い
• 機微データを取り扱わない一定の正当な利益の場面

国家安全保障、国際関係、刑事捜査、個人の安全、他者のプライバシー、職業上の義務その他の保護される利益に影響し得る開示には、追加的な制限が適用されます。

サウジPDPLにおけるダイレクトマーケティング

サウジPDPLは、個人的な通信手段を通じて送信される広告および啓発資料について特別の要件を定めています。

公的機関による一定の啓発資料を除き、管理者は原則として、事前の同意なしにメールや郵便などの個人的な通信手段を用いて広告または啓発資料を送信することはできません。

送信者はまた、受信者がそのような通信の停止を求めることができる明確な手段を提供しなければなりません。

PDPLは別途、データ主体から直接収集し同意を得た個人データについて、法令および規則に従いマーケティング目的で取り扱えることを定めています。機微データはこのマーケティング規定の対象外です。

Cookieとトラッキング技術

ウェブサイトやアプリが、個人データを取り扱うCookie、ピクセル、SDK、広告技術、アナリティクスツールその他のトラッキング技術を利用する場合、サウジPDPLを考慮する必要があります。

組織は次の点を評価すべきです。

• Cookieやトラッカーが個人データを取り扱うか
• どのような情報が収集されるか
• 取扱いの目的
• 適用される法的根拠
• 同意が必要か
• 第三者が情報を受け取るか
• 情報がサウジアラビア国外に出るか
• 当該技術がマーケティングやプロファイリングに利用されるか
• 情報がどれだけの期間保存されるか

Cookieバナーだけでは完全なPDPL対応にはなりません。組織は同意管理を、プライバシー通知、データガバナンス、ベンダー管理、安全管理措置、データ主体の権利対応プロセスと組み合わせるべきです。

サウジPDPLにおけるデータ保護責任者

サウジPDPLおよび施行規則は、所定の場面における個人データ保護責任者（DPO）の選任を定めています。

SDAIAは個人データ保護責任者の選任に関する専用の規則を発行しています。DPOに関する要件は、組織の活動内容および施行規則が定める要件に照らして評価すべきです。

選任が必要な場合、DPOは次のような活動を支援できます。

• コンプライアンスの監視
• プライバシー要件に関する助言
• データ保護方針の支援
• データ主体の権利対応の監視
• 影響評価の支援
• SDAIAとの調整
• 漏えい対応プロセスの支援
• 取扱記録の監視

すべての管理者に同じDPO要件が課されると考えるべきではありません。

データ保護影響評価

サウジPDPLは、管理者に対し、その事業活動の性質および適用される規制上の要件に基づき、製品またはサービスに関連する個人データの取扱いについて影響評価を実施することを求めています。

評価では次のような要素を考慮すべきです。

• 取扱いの目的
• 個人データの種類と量
• データ主体の類型
• 取扱いの方法
• 潜在的リスク
• 安全管理措置
• データの保存
• 第三者への開示
• 国際移転
• 特定されたリスクを低減する措置

組織は影響評価を事後的なコンプライアンス作業として扱うのではなく、製品・サービス開発に組み込むべきです。

個人データの安全管理

管理者は、移転時を含め、個人データを保護するための組織的、管理的および技術的措置を実施しなければなりません。

SDAIAの現行ガイダンスは完全性および機密性などの原則を示しており、個人データを滅失、破壊または毀損から守る適切な安全管理策を求めています。

安全管理措置には次のようなものが含まれます。

• アクセス制御
• 認証
• 暗号化
• 監視
• 安全な保管
• 脆弱性管理
• インシデント対応
• 従業員の守秘義務管理
• ベンダーのセキュリティ評価
• バックアップと復旧の手順
• データ最小化
• 安全な削除

適切な管理策は、取扱いの性質とリスクを反映したものであるべきです。

個人データ侵害の通知

管理者は、個人データの侵害、毀損または不正アクセスを認識した場合、適用される規制上の要件に従って所管当局に通知しなければなりません。

また、当該事案がデータ主体のデータに損害を与え、またはその権利および利益を害するおそれがある場合には、影響を受けるデータ主体にも通知しなければなりません。

組織は、次の事項を含む文書化された漏えい対応プロセスを整備すべきです。

• 検知
• 封じ込め
• 初期評価
• リスク分析
• 記録
• 当局への通知
• 必要な場合のデータ主体への通知
• 是正
• 事後レビュー

適用される通知期限および基準は、現行の施行規則およびSDAIAの手続に照らして確認すべきです。

取扱活動の記録

管理者は、法令および施行規則に従い、個人データの取扱活動に関する記録を保持しなければなりません。

SDAIAの現行ガイダンスは、取扱活動の記録を各取扱活動の終了後5年間保持すべきとしています。

記録には次のような情報を含めるべきです。

• 管理者の連絡先
• 取扱いの目的
• データ主体の類型
• データを開示した、または開示する予定の主体
• 国際移転
• 想定される保存期間

これらの記録は、所管当局から求められた場合に提示できるようにしておくべきです。

管理者の国家登録簿

SDAIAは、国家データガバナンスプラットフォームを通じて管理者の国家登録簿を運用しています。

現行の登録規則は、登録が必要な管理者の類型として次のものを挙げています。

• 公的機関
• 主たる事業が個人データの取扱いに基づく管理者
• 機微データを取り扱う管理者
• 個人的または家庭内の利用を超える目的で個人データを取り扱う個人

SDAIAは、国家登録簿が管理者およびPDPLと施行規則の遵守状況の監督・追跡を支えるものであるとしています。SDAIAは国外組織向けの登録手続も提供しています。

管理者と処理者

サウジPDPLは、個人データの取扱いの方法と目的を決定する組織と、その委託を受けて取り扱う組織の責任を区別しています。

管理者は、PDPLおよび施行規則を実施するために必要な保証を提供できる処理者を選定し、その遵守状況を監督しなければなりません。

したがって組織は、処理者について適切なデューデリジェンスを行い、契約が次の事項を扱っていることを確認すべきです。

• 取扱いの指示
• 守秘義務
• セキュリティ
• 再委託
• データの保存
• データの削除
• データ主体からの請求
• 漏えい対応
• 国際移転
• 監査およびコンプライアンス上の義務

国際的なデータ移転

サウジPDPLは、サウジアラビア国外への個人データの移転および開示に関する特別の規定を置いています。

第29条は、所定の場合に王国外への移転または開示を認め、次の事項に関する条件を課しています。

• 国家安全保障
• 王国の重大な利益
• 十分な保護
• データ最小化

同法はまた、データ主体の生命もしくは重大な利益に関わる場合、または疾病の予防、検査もしくは治療に関わる場合の緊急の必要性についての例外も定めています。

別途定められた王国外への個人データ移転に関する規則は、国際移転についての追加的な要件と手段を定めています。SDAIAは同規則を現行のサウジのデータ保護枠組みの一部と位置付けています。国際的なクラウド事業者、アナリティクスプラットフォーム、CRMシステム、広告サービス、グローバルなSaaS基盤を利用する組織は、国際的なデータフローを整理すべきです。

データの保存と廃棄

組織は個人データを無期限に保存すべきではありません。

PDPLは、収集目的に照らして不要となった個人データについて、適用される要件および例外に従い、収集を停止し、既に収集したデータを廃棄することを管理者に求めています。

組織は次の対象について保存期間を定めるべきです。

• 顧客情報
• 従業員データ
• マーケティングデータ
• 同意記録
• アナリティクス情報
• サポート記録
• 財務記録
• 法務記録
• データ主体からの請求
• 取扱記録

SDAIAは、個人データの廃棄、匿名化および仮名化に関するガイダンスも公表しています。

健康データと信用データ

一定の類型の個人データには、追加的な規制上の取扱いが適用されます。

PDPLは健康データについて追加的な管理策を定めており、医療サービスや医療保険制度の提供に必要な最小限の範囲に、従業員および労働者によるアクセスと取扱いを制限することなどが含まれます。

同法はまた信用データについても追加的な要件を定めており、所定の場面における明示的な同意および通知に関する要件が含まれます。

医療、金融サービス、保険、信用およびこれらに関連する分野で事業を行う組織は、PDPLをサウジアラビアの分野別要件と併せて検討すべきです。

サウジPDPLを執行するのは誰か

サウジデータ・AI庁（SDAIA）がPDPLおよびその改正の実施を監督し、国家データガバナンスプラットフォームを運営しています。

SDAIAは組織に対して次のものを提供しています。

• PDPLの法令
• 施行規則
• 国際移転に関する規則
• コンプライアンスガイダンス
• 管理者の登録
• DPOに関するガイダンス
• 取扱記録に関するガイダンス
• 漏えい関連のサービス
• データ保護の各種資料

SDAIAの現行のナレッジセンターは、PDPL、施行規則および国際移転規則をサウジのデータ保護枠組みの中核要素として位置付けています。

サウジPDPL対応チェックリスト

サウジアラビアで事業を行う組織は、次の点を検討すべきです。

• PDPLが適用されるかを判断する
• 個人データの取扱いを可視化する
• 管理者と処理者を特定する
• 取扱いの目的を文書化する
• 適用される法的根拠を特定する
• 同意取得の仕組みを見直す
• 必要な場面で明示的な同意を取得する
• 適切なプライバシーポリシーを提供する
• 必要な収集時情報を提供する
• 機微な個人データを特定する
• ダイレクトマーケティングの運用を見直す
• データ主体の権利対応手順を整備する
• 同意撤回の手段を提供する
• データ保存期間を見直す
• 安全な廃棄手順を実装する
• 取扱活動の記録を保持する
• DPO要件を評価する
• 国家登録簿の要件を評価する
• 必要な影響評価を実施する
• 安全管理策を実装する
• 漏えい対応手順を整備する
• 国際的なデータ移転を見直す
• 適用される移転上の保護措置を実装する
• 処理者との契約を見直す
• ウェブサイトのCookieとトラッカーをスキャンする
• マーケティングおよびアナリティクス技術を特定する
• 必要な同意の前に該当技術が動作しないようにする
• 監査可能な同意記録を保持する