ConsentXで実現するUAE個人データ保護法への対応

連邦UAE個人データ保護法の適用除外

連邦法には重要な除外規定があります。

PDPLは、次のような一定のカテゴリーには適用されません。

• 政府データ
• 個人データを管理または処理する政府機関
• 治安機関および司法機関が保有する個人データ
• 個人的な目的で個人データを取り扱うデータ主体
• 個別の法令が対象とする一定の個人の健康データ
• 個別の法令が対象とする一定の銀行および信用データ
• 個人データ保護を規律する特別法令を有するフリーゾーンに所在する企業および事業所

したがって企業は、コンプライアンス施策を設計する前に、どのUAEプライバシー制度が適用されるかを特定すべきです。

UAE個人データ保護法とDIFC / ADGM

UAEは、すべての組織に単一のプライバシー制度を適用しているわけではありません。

連邦PDPLは、ドバイ国際金融センター(DIFC)およびアブダビ・グローバル・マーケット(ADGM)のデータ保護枠組みとは別個のものであり、これらは独立した制度です。

UAE本土、DIFCおよびADGMに拠点を有する組織は、したがって各拠点ごとに取扱活動とコンプライアンス義務を個別に整理すべきです。

UAE個人データ保護法における個人データとは

PDPLは個人データを、識別された自然人、または直接もしくは間接に識別され得る自然人に関する情報として広く定義しています。

例としては次のものが挙げられます。

• 氏名
• 身分証明に関する情報
• 音声
• 画像
• 位置情報
• オンライン識別子
• 連絡先
• アカウント情報
• 端末に関する情報
• 雇用情報
• 個人を識別し得るその他の情報

したがって同法は、従来の身分証明書をはるかに超える範囲を対象としています。

取扱いとは何か

取扱いは個人データに対して行われる行為を対象とし、次のような活動を含みます。

• 収集
• 記録
• 整理
• 構成
• 保管
• 変換
• 変更
• 検索
• 閲覧
• 利用
• 開示
• 送信
• 頒布
• 結合
• 制限
• 消去
• 破棄

したがってウェブサイト運営者は、個人データが関わる場合、分析、広告、顧客管理、パーソナライズその他のデジタル活動を、潜在的に関連する取扱活動として扱うべきです。

UAE個人データ保護法における適法な取扱い

UAE PDPLは同意を取扱いの重要な根拠と位置づける一方で、同意なしに取扱いを行い得る場合も定めています。

同法は、次のような事情を含む特定の状況において取扱いを認めています。

• 契約上の必要性
• 法的義務
• 公共の利益
• 司法上または法的な手続
• データ主体の利益の保護
• 公衆衛生の保護
• 国家安全保障または公共の秩序の保護
• 定められた場合における雇用および社会保障上の義務
• データ主体が当該情報を公表している場合
• アーカイブ
• 法定の条件が満たされる場合の科学的、歴史的または統計的目的
• 法が認めるその他の事情

したがって企業は、あらゆる取扱いについて同意を当然に適法根拠として扱うべきではありません。正しい進め方は、取扱いの目的を特定し、該当する適法根拠を判断することです。

UAE個人データ保護法における同意の要件

同意が求められる場合、同法は同意を、データ主体が明確な積極的行為または表明により取扱いを受け入れる旨の、明確、具体的かつ曖昧でない意思表示と定義しています。

適法な同意取得の仕組みは、したがって次を避けるべきです。

• あらかじめ選択された同意
• 曖昧な文言
• 隠された同意
• 関連性のない目的の抱き合わせ
• 沈黙を同意とみなすこと
• 十分な情報提供のない同意
• 撤回を不必要に困難にするインターフェース

実務上の同意記録は、次の事項を明らかにすべきです。

• 誰が同意したか
• いつ同意が与えられたか
• どのような情報が提示されたか
• どの目的が受け入れられたか
• どの取扱活動が対象であったか
• どのバージョンのプライバシー通知または同意画面が適用されたか
• その後に同意が撤回されたか

特定的かつ十分な情報に基づく同意

同意は、当該取扱活動に対して十分に特定的であるべきです。

たとえば企業は、次の目的について別々にデータを取り扱うことがあります。

• アカウント管理
• サービス提供
• 分析
• 広告
• パーソナライズ
• 製品改善
• マーケティング
• 第三者との共有
• AIまたはプロファイリング

同意に依拠する場合、組織は、関連性のない目的を一つの包括的な許諾にまとめるのではなく、別個の選択肢が適切かどうかを判断すべきです。

同意の撤回

PDPLは個人に対し、その個人データに関する権利を認め、同意に関する管理の仕組みを定めています。

取扱いが同意に基づく場合、組織はデータ主体が当該同意を撤回できる実務的な仕組みを提供すべきです。

撤回の仕組みは次のようであるべきです。

• 見つけやすいこと
• 理解しやすいこと
• アクセスしやすいこと
• 当初の同意体験と整合していること
• 同意の判断に依拠するシステムと連携していること

ConsentXは、このウェブサイト単位の設定管理レイヤーを支援できます。

透明性とプライバシー通知

組織は、自らの取扱活動についてデータ主体に適切な情報を提供すべきです。

プライバシー通知では、次のような関連情報を説明すべきです。

• 管理者の身元
• 連絡先情報
• 収集される個人データの種類
• 取扱いの目的
• 適法根拠
• データ共有の取決め
• 受領者
• 保存の実務
• 国際移転
• データ主体の権利
• 権利を行使する方法
• プライバシーに関する問い合わせ先

通知は、個人が関連する選択を行う前に取扱いを理解できる形で提示されるべきです。

UAE個人データ保護法におけるデータ主体の権利

UAE PDPLは、データ主体に対し、その個人データに関する一連の権利を認めています。

状況に応じて、これには次に関する権利が含まれます。

• 情報提供と透明性
• アクセス
• 訂正
• 個人データの補完
• 消去
• 取扱いの制限
• 取扱いの停止
• データの移転
• 一定の取扱いに対する異議
• 自動化された取扱い
• 法が定めるその他の権利

したがって組織は、データ主体の請求に関する正式なプロセスを維持すべきです。

個人データへのアクセス権

データ主体は、適用される法定の要件および例外に従い、自らについて取り扱われている個人情報へのアクセスを請求できます。

堅牢なアクセス請求のワークフローは、組織が次を行えるようにすべきです。

• 請求を受け付ける
• 請求者の本人確認を行う
• 関連するシステムを検索する
• 適用される適用除外を特定する
• 処理者と連携する
• 必要な情報をとりまとめる
• 適切な手段で回答する
• 監査記録を保持する

訂正の権利

データ主体は、法定の要件が満たされる場合、不正確または不完全な個人データの訂正または補完を請求できます。

企業は、訂正が関連するシステムおよび処理者へ反映され得るようにすべきです。

これは、同一の顧客情報が次のような場所に保存されている場合に特に重要です。

• CRMシステム
• マーケティング・プラットフォーム
• カスタマーサポート用ソフトウェア
• 請求管理システム
• 分析システム
• 第三者のアプリケーション

削除の権利

PDPLは、データ主体が個人データの削除を請求できる場合を認めています。

削除は、すべての記録を直ちに消去する無条件の義務として扱うべきものではありません。

組織は次の点を検討すべきです。

• 当該データが今なお必要か
• 他の法令が保存を求めているか
• 法的請求が当該情報に依拠しているか
• 法定の例外が適用されるか
• 他の正当な目的が継続的な取扱いを認めるか
• 第三者処理者に削除を指示する必要があるか

取扱いを制限する権利

PDPLは、定められた場合における取扱いの制限を定めています。

制限に関するワークフローは、組織が次を区別できるようにすべきです。

• 削除
• 能動的な利用を伴わない継続的な保管
• 取扱いの完全な停止
• 法律上または法定の目的のために引き続き必要な取扱い

すべてのプライバシー請求が必ずしも直ちの削除につながるわけではないため、この区別はコンプライアンス運用上重要です。

異議を述べる権利

データ主体は、一定の形態の取扱いに異議を述べる権利を有します。

企業は、とりわけ取扱いが次を含む場合に、異議を受け付け評価するプロセスを設けるべきです。

• ダイレクトマーケティング
• プロファイリング
• 自動化された意思決定
• 法が異議の権利を認めるその他の取扱い

データの移転とポータビリティ

UAE PDPLは、個人データの移転に関する権利を定めています。

組織は、移転に関する法定の要件が適用される場合に、該当する個人情報を特定し適切な形式でエクスポートできる技術的能力を維持すべきです。

これには次の間での調整が必要となり得ます。

• 顧客データベース
• CRMプラットフォーム
• クラウドシステム
• SaaSアプリケーション
• 分析システム
• 第三者処理者

機微な個人データ

PDPLは機微な個人データに追加の保護措置を定めています。

機微情報には、個人の特に私的な特性や状況を明らかにし得る種類の情報が含まれ得ます。

機微情報を取り扱う場合、企業は次を含むより強い管理を適用すべきです。

• データ最小化
• アクセス制限
• 強固な認証
• 暗号化
• 監視
• 適切な保存期間
• 必要な場合のプライバシー影響評価
• 強化されたガバナンス

データ保護責任者

PDPLは、定められた場合におけるデータ保護責任者(DPO)の選任を定めています。

次のような事情を伴う取扱活動においては、DPOが必要となる場合があります。

• 定期的かつ体系的な監視
• 機微な個人データの大規模な取扱い
• 法または施行上の要件が定めるその他の事情

DPOの職務には次が含まれ得ます。

• 遵守状況の監視
• プライバシー上の義務に関する助言
• 影響評価の支援
• データ主体の権利の管理
• 侵害対応の支援
• 所管当局との協力
• プライバシー・ガバナンスの維持

正確な運用要件は、適用される施行の枠組みに照らして確認すべきです。

データ保護影響評価

UAE PDPLは、データ主体のプライバシーおよび機密性に高いリスクを生じるおそれのある一定の取扱活動について影響評価を求めています。

影響評価では、次のような事項を評価すべきです。

• 取扱いの性質
• 目的
• 範囲
• 個人データの種類
• データ主体の類型
• 潜在的なリスク
• 安全管理措置
• リスク低減措置
• 保存
• データの共有
• 国際移転
• 残存リスク

影響評価は、次を伴う取扱いにおいて特に重要です。

• 機微データ
• 大規模な監視
• プロファイリング
• 自動化された意思決定
• 新技術
• 広範な追跡
• 高リスクな取扱い

プライバシー・バイ・デザイン

組織は、システムおよび製品開発にプライバシーへの配慮を組み込むべきです。

プライバシー・バイ・デザインの取り組みには次が含まれ得ます。

• データ最小化
• 目的の限定
• 既定のプライバシー設定
• アクセス制御
• 暗号化
• 仮名化
• 保存期間の管理
• 同意管理
• 利用者設定の管理
• 監査ログ
• プライバシーに関するテスト

デジタル事業者にとって、プライバシーは導入後ではなく、ウェブサイト、アプリケーションまたは分析基盤を設計する段階で検討されるべきです。

安全管理義務

管理者および処理者は、個人データを保護するため適切な技術的・組織的措置を講じることが求められます。

安全管理措置は次を反映すべきです。

• 個人データの性質
• 取扱いのリスク
• 用いる技術
• 侵害が生じた場合の潜在的な影響
• 保護措置の費用と実行可能性
• 組織の事業環境

対策には次が含まれ得ます。

• 暗号化
• アクセス管理
• 認証
• ネットワークセキュリティ
• エンドポイント保護
• セキュアな開発
• 脆弱性管理
• 監視
• ログ取得
• バックアップと復旧
• インシデント対応
• 従業員研修
• ベンダーのセキュリティ管理

個人データ侵害

UAE PDPLは、個人データ侵害に関する義務を定めています。

侵害対応の体制は、組織が次を行えるようにすべきです。

• インシデントを検知する
• 影響を受けたシステムを封じ込める
• 個人データが関わるかを判断する
• インシデントの性質と重大性を評価する
• 影響を受けたデータ主体を特定する
• 通知義務を判断する
• 必要な場合に所管当局へ通知する
• 必要な場合に影響を受けた個人へ通知する
• インシデントを記録する
• 是正措置を実施する

通知手続や時期を含む詳細な運用要件は、施行の枠組みに依存する領域の一つです。PDPL自体がその実施に関するさらなる規則を求めています。

国境を越えるデータ移転

UAE PDPLは、UAE国外への個人データの移転および共有を規律しています。

国際移転は、データが次のようになる前に評価すべきです。

• 国外のクラウド事業者へ送信される
• 国際的なSaaSプラットフォームに保管される
• 国外のグループ会社からアクセスされる
• 国外の処理者と共有される
• 国外のマーケティング事業者へ移転される
• UAE国外に所在する基盤を通じて取り扱われる

PDPLは国際移転の仕組みを定めており、十分性、該当する協定、契約上の保護措置、その他法が定める条件に基づく移転が含まれます。

したがって企業は、次を明示する国際移転の一覧を維持すべきです。

• 移転元の国
• 移転先の国
• 受領者
• 目的
• データの種類
• 法的な移転の仕組み
• 契約上の保護措置
• 安全管理措置

UAE個人データ保護法におけるCookieとオンライン上のトラッキング

UAE PDPLは、Cookieやトラッキング技術が個人データに関わる場合に適用されます。

企業は次の点を評価すべきです。

• 当該Cookieがどのような情報を収集するか
• その情報が個人を識別し、または識別し得るか
• トラッキングの目的
• 第三者が情報を受領するか
• 該当する適法根拠
• 同意が必要か
• 情報がどれだけの期間保存されるか
• 利用者がどのように設定を変更できるか

確認が必要となる一般的な技術には次のものがあります。

• 分析用Cookie
• 広告用Cookie
• リターゲティング用ピクセル
• ソーシャルメディアのピクセル
• コンバージョン計測
• 端末識別子
• セッション関連技術
• 行動分析
• 第三者の広告スクリプト

同意が該当する根拠である場合、組織は、必要な選択が得られる前に当該取扱いが開始されないようにすべきです。

ダイレクトマーケティング

個人データを伴うマーケティング活動は、PDPLおよびその他適用されるUAEの規則に照らして評価すべきです。

企業は次の点を見直すべきです。

• マーケティング情報の入手元
• 収集の目的
• 適法根拠
• 同意
• オプトアウトの仕組み
• 設定の管理
• プロファイリング
• 広告プラットフォーム
• 第三者への開示
• 保存

UAEには別途テレマーケティングに関する規則も存在します。2024年閣僚決定第56号はテレマーケティングの電話を規律し、2024年閣僚決定第57号は当該テレマーケティング規則違反に対する行政上の制裁を定めています。これらの要件は連邦PDPLとは別に評価すべきです。

自動化された意思決定とプロファイリング

UAE PDPLは自動化された取扱いについて定め、自動化された取扱いに基づく決定に関する保護を設けています。

AIシステム、プロファイリング、行動スコアリング、自動化された適格性判断、パーソナライズ広告、レコメンドシステム、不正検知、与信審査その他の自動化された意思決定技術を利用する企業は、次を評価すべきです。

• どのような個人データが取り扱われるか
• 目的
• 当該決定の重大性
• 透明性
• 該当する異議の権利
• 適切な場合の人的関与
• 安全管理
• 第三者による取扱い
• 影響評価の要否

個人データを取り扱うAIシステムは、組織のより広範なプライバシー・ガバナンス施策の一部として評価すべきです。

データ最小化と目的の限定

組織は、正当かつ明確に定められた目的のために個人データを収集し、当該目的に不要な情報の収集を避けるべきです。

たとえば、次を求めるウェブサイトは、それぞれの項目がなぜ必要かを説明できるべきです。

• 氏名
• メールアドレス
• 電話番号
• 所在地
• 端末情報
• 行動データ
• 広告識別子

データ最小化は、分析、広告および顧客データのプラットフォームを設定する際にも考慮すべきです。

データの保存

企業は個人データの保存期間を定めるべきです。

保存に関する取り組みは次を対象とすべきです。

• 顧客アカウント
• マーケティング用データベース
• 同意記録
• Cookie
• 分析データ
• セキュリティログ
• サポートチケット
• データ主体の請求
• 従業員記録
• 処理者が保持するデータ

保存は、無期限の保管ではなく、法令上、契約上、業務上およびプライバシー上の要件に基づくべきです。

管理者と処理者

PDPLは2つの役割を区別しています。

管理者。個人データの取扱いの方法、基準および目的を決定する主体です。

処理者。管理者に代わり、その指示に従って個人データを取り扱う主体です。

処理者の例としては次のものが挙げられます。

• クラウド事業者
• CRM事業者
• 分析ベンダー
• マーケティング・プラットフォーム
• カスタマーサポート事業者
• 決済サービス事業者
• SaaSプラットフォーム

管理者と処理者の取決めでは、次を明確に定めるべきです。

• 取扱いの指示
• 安全管理の要件
• 秘密保持
• 再委託
• データ主体への対応の支援
• 侵害の通知
• 国際移転
• データの削除または返還
• 監査および協力に関する要件

処理者の管理

第三者の事業者を利用しても、プライバシー・ガバナンスの必要性がなくなるわけではありません。

処理者を採用する前に、組織は次を評価すべきです。

• 当該事業者がどこでデータを取り扱うか
• セキュリティ認証
• 再委託先
• 国際移転
• 保存
• 削除の手続
• インシデント対応
• 契約上の保護措置
• データ主体への対応の支援
• 規制当局への協力

処理者の一覧は、取引関係の全期間を通じて維持すべきです。

データガバナンスと説明責任

成熟したUAE PDPL対応の施策には、次が含まれるべきです。

• データの棚卸し
• 取扱いの記録
• プライバシー方針
• プライバシー通知
• 同意記録
• 処理者との契約
• 移転の評価
• データ保護影響評価
• DPOに関するガバナンス
• セキュリティ方針
• インシデント対応
• データ主体の請求に関するワークフロー
• 保存期間
• 定期的なコンプライアンス点検

同意管理は、このより広範なガバナンス枠組みの一要素です。

施行規則の状況

UAE PDPLについて理解すべき最も重要な点の一つが、その施行規則の状況です。

2021年連邦令法律第45号第28条は、閣僚評議会が施行規則を発することを定めています。続く第29条は、当該規則の公布時から起算される、管理者および処理者のための適合猶予期間を定めています。

現在の法務専門筋は、連邦PDPLの施行規則が公布されていないと引き続き報じており、詳細な実施要件は重要な注視領域であり続けています。

したがって企業は、未確認の規則番号や作り出した実施期限を、UAE PDPLの施行規則として提示すべきではありません。

2021年連邦令法律第45号に直接含まれる中核的な義務が、引き続き連邦の枠組みの基礎となります。

UAE個人データ保護法と分野別法令

連邦PDPLは単独で機能するものではありません。

一定の分野には、次のような領域を含め、独自のプライバシーおよびデータガバナンスの要件があります。

• 医療
• 銀行業
• 信用情報
• 電気通信
• 金融サービス
• 行政サービス
• フリーゾーンで規制される活動

PDPL自体も、別個の法令がその保護と取扱いを規律する一定の健康情報および銀行・信用情報を適用対象から除外しています。

したがって企業は、連邦PDPLが唯一の適用枠組みであると想定する前に、分野別の法的評価を行うべきです。

UAE個人データ保護法コンプライアンス・チェックリスト

このチェックリストを用いて、自組織のプライバシー施策を点検してください。

• 取り扱うすべての個人データを特定する
• 機微な個人データを特定する
• 連邦PDPLが適用されるかを判断する
• 分野別の適用除外または法令が適用されるかを確認する
• DIFCまたはADGMの規則が適用されるかを判断する
• 管理者と処理者を特定する
• 取扱いの目的を整理する
• 該当する適法根拠を判断する
• 同意取得の仕組みを見直す
• 同意を特定的かつ十分な情報に基づくものにする
• 同意の証跡を保持する
• 適切なプライバシー通知を公表する
• データ主体の請求に関する手続を整備する
• アクセス請求に対応する
• 訂正請求に対応する
• 削除請求に対応する
• 制限の請求に対応する
• 異議の申立てに対応する
• データ移転の要件を評価する
• 国際移転を見直す
• 第三者処理者を特定する
• 処理者との契約を見直す
• DPOの要否を評価する
• 必要な場合に影響評価を実施する
• 適切な安全管理措置を実施する
• 侵害対応の手続を整備する
• 自動化された意思決定を評価する
• プロファイリング活動を見直す
• Cookieとトラッキング技術を見直す
• 該当するトラッキングの前に同意を設定する
• 保存期間を維持する
• 施行規則の動向を注視する
• 該当する分野別要件を確認する