Data Principal とは？
別称: DPDPA の Data Principal、DPDP Act の Data Principal、インドにおけるデータ主体
平たく言えば、ある組織があなたに関する個人データを収集または処理しているなら、あなたが Data Principal です。
子どもの場合、この用語にはその子の親または法定後見人も含まれます。障害のある方の場合は、その方に代わって行為する法定後見人が含まれます。
Data Principal は DPDPA 上の権利を有し、同法に従って自分の個人データをコントロールできます。情報へのアクセス、訂正と消去、苦情の救済、指名に関する権利が含まれます。
Data Principal とは何を意味しますか？
Data Principal とは、その個人データが取り扱われている本人のことです。
たとえば次のような方です。
- オンラインストアに氏名とメールアドレスを収集された顧客
- SaaS プラットフォームでアカウントを作成した利用者
- オンライン医療サービスにデジタル情報を取り扱われる患者
- 個人情報をデジタルで取り扱われる従業員
- オンラインフォームを通じて個人データを収集されたサイト訪問者
いずれの場合も、そのデータが関係する本人が Data Principal になり得ます。
DPDPA は Data Principal を、その個人データが関係する本人と定義しています。
DPDPA における Data Principal とは誰ですか？
Data Principal は一般に、その個人データが収集・保管・利用・共有その他の方法で取り扱われている本人です。
たとえば EC サイトを考えてみましょう。
顧客
Data Principal顧客の氏名・住所・電話番号その他の個人データは、その本人に関するものです。
EC 企業
Data Fiduciaryその企業が、なぜ・どのように個人データを取り扱うかを決めています。
クラウド事業者またはサービス提供者
Data Processorその事業者は、Data Fiduciary に代わって個人データを取り扱う場合があります。
これらの役割を理解することが重要なのは、DPDPA 上それぞれの立場が異なるからです。
Data Principal と Data Fiduciary の違い
Data Principal とは、その個人データが関係する本人です。
Data Fiduciary とは、その個人データを取り扱う目的と方法を決定する個人または組織です。
たとえば次のようになります。
| 役割 | 例 |
|---|---|
| Data Principal | オンラインショッピングサイトを利用する顧客 |
| Data Fiduciary | そのサイトを運営する企業 |
| Data Processor | その企業のためにデータを処理するクラウド事業者 |
Data Principal はプライバシー上の利益と権利が保護される本人であり、Data Fiduciary は原則としてその取り扱いに関する適用義務を果たす責任を負います。
Data Principal にはどのような権利がありますか？
DPDPA は Data Principal に対し、自分の個人データに関する権利を認めています。
適用される規定に応じて、次の権利が含まれます。
情報にアクセスする権利
Data Principal は、DPDPA が定めるところにより、取り扱われている個人データや関連する取り扱い活動について一定の情報を求めることができます。
これにより、自分の個人データがどのように扱われているかを把握しやすくなります。
訂正および消去の権利
Data Principal は、適用される要件と例外を前提として、個人データの訂正・補完・更新・消去を求めることができます。
組織は、こうした請求を受け付けて対応する手順を備えておくべきです。
苦情救済を受ける権利
Data Principal は、Data Fiduciary または Consent Manager が提供する苦情救済の仕組みを利用する権利を有します。
これにより、個人データの取り扱いや権利行使請求への対応について懸念を申し立てる道が確保されます。
指名する権利
Data Principal は、DPDPA が定める一定の状況において、適用される権利を行使する者として他者を指名できます。
同意を撤回する権利
同意にもとづいて個人データが取り扱われている場合、Data Principal はその同意を撤回できます。
撤回は、同意を与えるのと同じくらい簡単であるべきです。
したがって DPDPA の同意の枠組みは、一度きりの「はい」を集めるだけにとどまらない対応を組織に求めます。撤回を管理し、その判断を該当する取り扱いに反映させる実務的な仕組みも必要です。
Data Principal と同意
同意は、DPDPA のもとで個人データを取り扱うことができる主要な根拠の一つです。
同意に依拠する場合、それは同法の適用要件を満たす必要があり、次の性質を備えていなければなりません。
- 自由意思にもとづくこと
- 特定的であること
- 十分な情報にもとづくこと
- 無条件であること
- 明確であること
- はっきりとした積極的な行為によって示されること
Data Principal は、何の目的で同意を求められているのかを理解できるべきです。
しっかりした同意プロセスは、次のことを可能にするはずです。
- 通知する
- 尋ねる
- 取得する
- 記録する
- 反映する
- 撤回する
これにより、利用者の判断と実際の個人データの取り扱いが結びつきます。
Data Principal はどのように同意を撤回できますか？
取り扱いが同意にもとづく場合、Data Principal はその同意を撤回するための実効的な手段を利用できるべきです。
企業は、撤回を不必要に難しくしたり、同意を与えるより明らかに複雑にしたりすべきではありません。
同意が撤回された後、Data Fiduciary は、該当する場合に個人データの取り扱いを停止するために必要な措置を講じ、DPDPA その他の適用要件に従って撤回の効果に対応すべきです。
ウェブサイトやアプリでは、同意設定を更新し、連携するシステムが変更後の選択を尊重するようにすることが必要になる場合があります。
Data Principal と子どものデータ
DPDPA は、子どもの個人データについて追加の保護を定めています。
子どもとは、18 歳に達していない者をいいます。
Data Principal の定義において、その者が子どもである場合、この用語にはその子の親または法定後見人が含まれます。
DPDPA はまた、子どもの個人データの取り扱いについて具体的な要件を定めており、該当する状況における親または法定後見人の同意の要件や、一定の取り扱い形態に関する制限が含まれます。
子どもの個人データを取り扱う企業は、自社のサービスに適用される具体的な要件を確認すべきです。
Data Principal と障害のある方
Data Principal の法律上の定義は、障害のある方が関わる場面にも触れています。
定義上該当する場合、この用語にはその方に代わって行為する法定後見人が含まれます。
これにより、個人データに関する権利や同意に関する行為を、権限を有する法定代理人を通じて行使する必要がある場面を、DPDPA の枠組みが認めていることになります。
Data Principal はどのように権利を行使できますか？
企業は、Data Principal が適用される権利を行使できる、利用しやすい手続きを用意すべきです。
一般的な流れは次のとおりです。
申請
利用可能なプライバシーまたは苦情の窓口を通じて請求を行います。
確認
確認が必要かつ適切な場合に、請求内容を確認します。
特定
該当する個人データと取り扱い活動を特定します。
評価
適用される法的要件にもとづいて請求を評価します。
対応
情報の提供、データの訂正、該当する場合の消去など、必要な対応を行います。
記録
結果を記録し、適切な手続きを通じて回答します。
具体的な手順は、請求の種類と、DPDPA 上その組織が負う義務によって異なります。
ウェブサイトとアプリにおける Data Principal の請求
ウェブサイトやアプリは、次のような経路で個人データを取り扱う場合があります。
- アカウント登録
- お問い合わせフォーム
- ニュースレターの購読
- 購入と決済
- カスタマーサポートのシステム
- モバイルアプリの利用
- Cookie とオンライン識別子
- 分析ツール
- 広告技術
- その他のサードパーティサービス
企業は、Data Principal が適用される権利を行使したときに適切に対応できるよう、これらのデータがどこで取り扱われているかを把握しておくべきです。
該当する個人データがどこに保管され、どのシステムやサービス提供者が取り扱っているのかを組織が把握していなければ、プライバシーに関する請求に適切に対応することはできません。
Data Principal とデータ主体の違い
Data Principal という用語は、インドの DPDPA で用いられます。
データ主体（Data Subject）という用語は、GDPR などのプライバシー法制で一般に用いられます。
いずれの用語も原則として、その個人データが関係する本人を指しますが、異なる法的枠組みに属しています。
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | 直接の対応概念なし |
国際的に事業を展開する企業は、それぞれのプライバシー法制に応じた用語と要件を用いるべきです。
Data Principal と Consent Manager
DPDPA は Consent Manager を、Data Principal が利用しやすく透明で相互運用可能なプラットフォームを通じて同意を付与・管理・確認・撤回できるようにする、単一の窓口として機能する登録済みの者と定義しています。
この仕組みは、Data Principal が自らの同意に関する判断をより強くコントロールできるようにすることを狙いとしています。
企業は、法律上の Consent Manager という概念と、一般的な同意管理ソフトウェアや Cookie 同意バナーとを区別すべきです。
Data Principal はなぜ重要なのですか？
Data Principal は、DPDPA が定める個人のプライバシーの枠組みの中心に位置します。
この概念は、次のような重要な義務を結びつけています。
- 個人データに関する通知
- 同意
- 同意の撤回
- 情報へのアクセス
- 訂正と消去
- 苦情の救済
- 指名
- 子どものデータの保護
- 同意管理
組織にとって、Data Principal を特定することは、誰のデータが取り扱われていて、誰の権利と選択を尊重すべきかを明確にする助けになります。
企業向け Data Principal 対応チェックリスト
個人データを取り扱う企業は、次のことができるかどうかを検討すべきです。
- 該当する Data Principal を特定する
- 明確なプライバシーおよび同意の通知を提供する
- 適用される取り扱い目的を説明する
- 必要な場合に有効な同意を取得する
- 同意の判断を記録する
- 同意の撤回に対応する
- 該当する個人データの所在を特定する
- 必要な場合にデータを訂正・更新する
- 該当する場合にデータを消去する
- 苦情救済の仕組みを提供する
- 子どもの個人データを適切に取り扱う
- 権限を有する代理人を通じた請求に対応する
- 請求と対応の記録を保持する
- 連携するシステムが更新後のプライバシー選択を尊重するようにする
ConsentX における Data Principal の権利
ConsentX は、企業がウェブサイトやアプリ全体で同意とプライバシーの選択を実務に落とし込むことを支援します。
ConsentX は次のような業務フローをサポートします。
目的別の同意取得
明確な同意の通知
同意の判断の記録
改ざん検知可能な同意レシート
同意の確認と撤回
Cookie・トラッカーの検出
対象となる必須でないトラッカーの事前ブロック
Data Principal 請求の処理フロー
年齢確認と親の同意のフロー
監査に耐える証跡
これにより組織は、静的なプライバシーポリシーから、プライバシーの選択を取得・管理・証明できる技術基盤へと進むことができます。
関連用語
Data Fiduciary とは、個人データを取り扱う目的と方法を決定する個人または組織をいいます。
Data Processor は、Data Fiduciary に代わって個人データを取り扱います。
デジタル個人データの該当する取り扱いを規律するインドのデータ保護制度です。
Data Principal が同意を付与・管理・確認・撤回できる登録済みのプラットフォームです。
プライバシーと同意の選択を収集・管理・反映・記録することを支援するソフトウェアです。
同意レシートとは、利用者の同意判断とその関連情報の記録です。
DPDPA が個人に認める権利で、情報、訂正、消去、苦情の救済、指名に関する該当する権利を含みます。
Cookie 同意は、対象となる Cookie やトラッキング技術について、利用者の許諾を取得し管理する助けになります。
事前ブロッキングは、必要な同意が得られるまで、対象となる必須でないトラッカーを動作させないための技術的な仕組みです。