Data Fiduciary とは？
別称: DPDPA の Data Fiduciary、データ管理者、インドの Data Fiduciary
平たく言えば、Data Fiduciary は、なぜ個人データを収集・利用するのか、そしてその取り扱いをどのように行うのかを決める主体です。
Data Fiduciary は、DPDPA 上の適用される義務を果たす責任を負います。適切な通知の提供、必要な場合の有効な同意の取得、個人データの保護、Data Principal からの請求への対応、個人データ侵害への対処、そして遵守状況の証明が含まれます。
この概念は GDPR の管理者におおむね相当しますが、DPDPA と GDPR は異なる法的枠組みと用語を用いています。
Data Fiduciary とは何を意味しますか？
Data Fiduciary とは、個人データを取り扱う目的と方法を決定する組織または個人です。
たとえば、EC 企業が注文処理のために顧客の氏名・メールアドレス・電話番号・配送先住所を収集する場合、その企業はなぜ・どのようにその情報を取り扱うかを決めているため、Data Fiduciary になり得ます。
この用語が重要なのは、DPDPA 上の責任が、物理的に誰がデータを保管・操作しているかだけで決まるわけではないからです。取り扱いの目的と方法を決めている組織が、Data Fiduciary としての責任を負う可能性があります。
Data Fiduciary に該当するのは誰ですか？
Data Fiduciary は、DPDPA の適用範囲内で個人データの取り扱いの目的と方法を決定する企業・組織・個人・政府機関その他の者であり得ます。
たとえば次のような主体が挙げられます。
- EC 企業
- SaaS 事業者
- 銀行・金融サービス企業
- ヘルスケアプラットフォーム
- 教育プラットフォーム
- モバイルアプリ
- オンラインマーケットプレイス
- テクノロジー企業
- 広告・マーケティング事業者
- 従業員情報を取り扱う雇用主
- 政府機関
ある組織が Data Fiduciary に該当するかどうかは、その取り扱い活動と、そこで果たしている役割によって決まります。
Data Fiduciary の責任にはどのようなものがありますか？
DPDPA は Data Fiduciary にいくつもの責任を課しています。
適用される要件に応じて、Data Fiduciary は次のことを求められる場合があります。
- Data Principal に適切な通知を行う
- 同意が必要な場合に有効な同意を取得する
- 適法かつ特定された目的のために個人データを取り扱う
- 同意の撤回を尊重する
- 合理的な安全管理措置を講じる
- 個人データ侵害を防ぐための適切な措置を講じる
- 適用法が求める場合に侵害を届け出る
- Data Principal の権利行使請求に対応する
- 苦情処理の仕組みを設ける
- 適切な記録と証跡を保持する
- 子どもの個人データに関する要件を遵守する
- Significant Data Fiduciary に指定された場合、追加の義務を果たす
DPDPA はまた、Data Processor が自社に代わって行う取り扱いについても、Data Fiduciary が引き続き責任を負うことを求めています。
Data Fiduciary と Data Processor の違い
Data Fiduciary は、なぜ・どのように個人データを取り扱うかを決めます。
Data Processor は、Data Fiduciary に代わって個人データを取り扱います。
たとえば次のようになります。
EC 企業
Data Fiduciaryその企業が、なぜ顧客情報を収集し、サービス提供のためにどう利用するかを決めています。
クラウドホスティング事業者
Data Processorその事業者は、企業に代わって顧客情報を保管または処理する場合があります。
この区別が重要なのは、取り扱いの目的と方法を決定する組織が、原則として Data Fiduciary としての義務を果たす責任を負い続けるためです。
Data Fiduciary とデータ管理者の違い
DPDPA の Data Fiduciary という用語は、GDPR のデータ管理者（Data Controller）におおむね相当します。
いずれの概念も、原則として個人データの取り扱いの目的と方法を決定する当事者を指します。
ただし、両者は互換性のある法律用語ではありません。
| DPDPA | GDPR |
|---|---|
| Data Fiduciary | Data Controller |
| Data Principal | Data Subject |
| Data Processor | Data Processor |
| Consent Manager | 直接の対応概念なし |
そのため、国際的に事業を展開する企業は、GDPR に対応していれば自動的に DPDPA の要件も満たされると考えるのではなく、法域ごとに個別に評価すべきです。
Significant Data Fiduciary とは何ですか？
Significant Data Fiduciary（SDF）とは、取り扱う個人データの量と機微性、Data Principal の権利へのリスク、インドの主権と一体性への潜在的な影響、選挙民主主義へのリスク、国家の安全、公共の秩序といった要素にもとづき、中央政府が重要と指定し得る Data Fiduciary をいいます。
Significant Data Fiduciary には、追加の遵守義務があります。
これには次のような事項に関する要件が含まれ得ます。
- データ保護責任者の選任
- 独立したデータ監査人の選任
- 定期的な監査
- データ保護影響評価
- 追加のコンプライアンスおよびガバナンス措置
組織は、規模だけで SDF になると考えるのではなく、実際に指定されたいずれかの区分に該当するかどうかを判断すべきです。
Data Fiduciary と同意
同意は DPDPA 対応の重要な一部です。
取り扱いが同意にもとづく場合、DPDPA は、自由意思にもとづき、特定的で、十分な情報を得たうえでの、無条件かつ明確な同意を、はっきりとした積極的な行為で示すことを求めます。
Data Fiduciary はまた、Data Principal が同意を撤回できるようにしなければなりません。
撤回は、同意を与えるのと同じくらい簡単であるべきです。
つまり Data Fiduciary には、プライバシーポリシー以上のものが必要です。取り扱いの目的を伝え、ユーザーの選択を取得し、それを実際に反映し、撤回にも対応できる同意プロセスが求められます。
Data Fiduciary とプライバシー通知
Data Fiduciary は、どの個人データをどのような目的で取り扱うのかを説明する適切な通知を提供すべきです。
デジタルサービスでは、同意の通知、プライバシー通知、Cookie の通知、アプリの画面、登録フォームなど、利用者に向けたさまざまな表示がこれに当たります。
目的は、どの個人データがなぜ取り扱われているのかを理解できるだけの情報を Data Principal に提供することです。
明確で目的ごとに分かれた通知は、同意記録と、それが対応する取り扱い活動とを結びつけやすくもします。
Data Fiduciary と子どものデータ
DPDPA は、子どもの個人データについて追加の保護を定めています。
この法律では、18 歳に達していない者が子どもとされます。
第 9 条は、適用される規定と適用除外を前提として、子どもの個人データを取り扱う前に、親または法定後見人から検証可能な同意を得ることを Data Fiduciary に求めています。
同法はまた、子どもの福祉に悪影響を及ぼすおそれのある取り扱いを制限し、適用される規定を前提として、子どもを対象とする追跡、行動監視、ターゲティング広告を禁止しています。
したがって、子どもが利用する可能性のあるサービスでは、Data Fiduciary は年齢確認、親の同意、禁止された取り扱いを防ぐ技術的な管理策を検討すべきです。
Data Fiduciary と Data Principal の権利
Data Principal は DPDPA 上の権利を有しており、Data Fiduciary は該当する請求に対応するための手順を整えておく必要があります。
これらの権利には次のものが含まれます。
- 個人データとその取り扱いに関する情報へのアクセス
- 個人データの訂正および消去
- 苦情の救済
- 定められた状況における他者の指名
- 同意にもとづく取り扱いについての同意の撤回
Data Fiduciary は、該当する請求を受け付け、本人を確認し、進捗を管理し、対応するための明確な手順を備えているべきです。
Data Fiduciary と Data Processor
Data Fiduciary は、個人データを伴うサービスの提供のために Data Processor を利用することがあります。
たとえば次のような事業者です。
- クラウドサービス事業者
- メールサービス事業者
- 決済代行事業者
- カスタマーサポートのプラットフォーム
- CRM システム
- 分析ツール提供事業者
- ホスティング事業者
- マーケティングテクノロジー提供事業者
Data Processor を利用しても、個人データの取り扱いが適切に管理されていることを担保する Data Fiduciary の責任がなくなるわけではありません。
したがって Data Fiduciary は、どのデータが処理者と共有されるのか、なぜ共有されるのか、どのように保護されるのか、どのような契約上・運用上の管理策が適用されるのかを把握すべきです。
Data Fiduciary と個人データ侵害
Data Fiduciary には、個人データを保護するために合理的な安全管理措置を講じることが期待されます。
個人データ侵害が発生した場合、DPDPA および適用される規則は、侵害の届出や関連する対応に関する要件を定めています。
したがって組織は、個人データ侵害を特定・評価・記録し、対応できるインシデント対応プロセスを備えるべきです。
セキュリティは、一度きりのコンプライアンス作業ではなく、継続的な運用上の責任として扱うべきです。
Data Fiduciary 対応チェックリスト
DPDPA 対応を進める Data Fiduciary は、次の点を検討すべきです。
- 収集・取り扱っている個人データをマッピングする
- 各取り扱い活動の目的を特定する
- Data Processor と第三者を特定する
- プライバシー通知を見直す
- 同意の仕組みを見直す
- 必要な場合、同意を目的ごとに特定的なものにする
- 同意の撤回を利用しやすくする
- 適切な同意の証跡を保持する
- 合理的な安全管理措置を講じる
- 侵害対応の手順を整備する
- Data Principal 請求の処理フローを構築する
- 子どものデータの取り扱いを見直す
- SDF の義務が適用されるか評価する
- データの保存期間と削除の運用を見直す
- サードパーティのトラッキング技術を定期的に点検する
- DPDPA Rules と該当する告示を注視する
Data Fiduciary と Cookie 同意
ウェブサイトは、オンラインフォーム、アカウント、Cookie、分析ツール、広告技術その他のトラッキングの仕組みを通じて収集した個人データについて、その取り扱いの目的と方法を決定する場合、Data Fiduciary として振る舞うことになります。
そのため、Cookie とトラッカーの管理は、より広い DPDPA 対応プログラムの一部になり得ます。
ウェブサイトは次の点を把握しておくべきです。
- どのデータが収集されているか
- なぜ収集されるのか
- 誰がそれを受け取るのか
- どのような同意が必要か
- ユーザーの選択がどのように反映されるか
Cookie 同意バナーだけでは、これらの要件のすべてに必ずしも対応できるわけではありません。
ConsentX における Data Fiduciary
ConsentX は、Data Fiduciary がウェブサイト全体で同意とプライバシーの管理策を実装し、それを示せるよう支援します。
ConsentX は企業が次のことを行うのを支援します。
目的別の同意体験を設計する
明確な同意の通知を提示する
積極的な同意を取得する
同意の判断を記録する
同意レシートを生成する
同意の撤回に対応する
対象となるトラッカーを同意前にブロックする
サイトをスキャンして Cookie やトラッキング技術を洗い出す
Data Principal からの請求を管理する
年齢確認と親の同意に対応する
監査に耐える同意の証跡を保持する
地域ごとのプライバシールールを適用する
これにより、Data Fiduciary の責任は文書だけに頼るものではなく、実際に機能する技術的・運用的な管理策として形になります。
関連用語
DPDPA における Data Principal とは、その個人データが関係する本人をいいます。
Data Processor とは、Data Fiduciary に代わって個人データを取り扱う者をいいます。
Significant Data Fiduciary とは、中央政府によって重要と指定され、追加の義務を負う Data Fiduciary です。
デジタル個人データの取り扱いと保護に関するインドの中心的な法制度です。
Data Principal が同意を付与・管理・確認・撤回できる、登録済みで相互運用可能なプラットフォームです。
DPDPA の枠組みで定められた責務を果たすために、Significant Data Fiduciary が選任する担当者です。
DPDPA が個人に認める権利で、アクセス、訂正、消去、苦情の救済、同意の撤回に関する該当する権利を含みます。
同意とプライバシー設定を収集・管理・反映・記録するために用いられる技術プラットフォームです。