インドの DPDPA における Data Principal とは？
インドの DPDPA で Data Principal にあたるのは誰か、どのような権利があるのか、同意の撤回がどう機能するのか、そして GDPR の Data Subject とどう違うのかを解説します。
平たく言えば、ある組織があなたに関する個人データを収集または処理しているなら、あなたが Data Principal です。
DPDPA はインドの一般的なデータ保護法です。組織がデジタル個人データをどのように取り扱うかを定めており、Data Principal は、それらの義務が守ろうとしている本人にあたります。
たとえば、オンラインストアでアカウントを作成し、氏名・メールアドレス・配送先住所を入力するとき、あなたが Data Principal であり、その情報を何のためにどう使うかを決めるストアが Data Fiduciary です。
子どもの場合、この用語にはその子の親または法定後見人も含まれます。障害のある方の場合は、その方に代わって行為する法定後見人が含まれます。
Data Principal は DPDPA 上の権利を有し、同法に従って自分の個人データをコントロールできます。情報へのアクセス、訂正と消去、苦情の救済、指名に関する権利が含まれます。
Data Principal とはどういう意味か？
Data Principal とは、その個人データが取り扱われている本人のことです。
たとえば次のような方です。
- オンラインストアに氏名とメールアドレスを収集された顧客
- SaaS プラットフォームでアカウントを作成した利用者
- オンライン医療サービスにデジタル情報を取り扱われる患者
- 個人情報をデジタルで取り扱われる従業員
- オンラインフォームを通じて個人データを収集されたサイト訪問者
いずれの場合も、そのデータが関係する本人が Data Principal になり得ます。
DPDPA における Data Principal とは誰か？
Data Principal は一般に、その個人データが収集・保管・利用・共有その他の方法で取り扱われている本人です。
たとえば EC サイトを考えてみましょう。
顧客
Data Principal顧客の氏名・住所・電話番号その他の個人データは、その本人に関するものです。
企業
Data Fiduciaryその企業が、なぜ・どのように個人データを取り扱うかを決めています。
サービス提供者
Data Processorその事業者は、Data Fiduciary に代わって個人データを取り扱う場合があります。
これらの役割を理解することが重要なのは、DPDPA 上それぞれの立場が異なるからです。
Data Principal と Data Fiduciary の違い
Data Principal とは、その個人データが関係する本人です。
Data Fiduciary とは、その個人データを取り扱う目的と方法を決定する個人または組織です。
権利行使の請求は Data Fiduciary に対して行い、Data Fiduciary は自らの Data Processor による処理についても責任を負います。
たとえば次のようになります。
| 役割 | 例 |
|---|---|
| Data Principal | オンラインショッピングサイトを利用する顧客 |
| Data Fiduciary | そのサイトを運営する企業 |
| Data Processor | その企業のためにデータを処理するクラウド事業者 |
Data Principal はプライバシー上の利益と権利が保護される本人であり、Data Fiduciary は原則としてその取り扱いに関する適用義務を果たす責任を負います。
DPDPA のもとで Data Principal のプライバシーが重要な理由
組織が保有するどの記録の背後にも、ひとりの人がいます。Data Principal とはその人のことであり、その人のデータがどのように収集・利用・共有されるかが、まさにその人のプライバシーそのものです。
Data Principal が誰で、何を求められる立場にあるのかを知ることは、企業の日々の個人データの扱い方を変えます。それは次のことを支えます:
- 本人による自分の個人データのコントロール
- 何をなぜ収集するのかについての透明性
- 目的を限定した責任ある処理
- 形式ではなく実質のある選択
- 権利を行使するための分かりやすい窓口
- DPDPA コンプライアンスの実務的な土台
このように扱えば、プライバシーは Data Principal に説明しやすく、また示しやすくなります。人の選択を尊重する仕組みは、その選択を記録する仕組みでもあるからです。
法的根拠：DPDP Act の規定
Digital Personal Data Protection Act, 2023 の Section 2(j) は、Data Principal を個人データが関係する本人と定義しています。本人が子どもの場合は親または法定後見人を含み、障害のある人の場合は本人に代わって行動する法定後見人を含みます。
同法は Sections 11〜14 で Data Principal の権利（情報へのアクセス、訂正と消去、苦情救済、代理人の指名）を定め、Section 6 では同意を付与したときと同じくらい簡単に撤回できるとしています。
DPDPA は Section 15 で Data Principal の義務も定めています。たとえば、他人になりすますこと、公的書類のために個人データを提供する際に重要な情報を隠すこと、虚偽または根拠のない苦情を申し立てることは禁じられており、訂正や消去を求める際には真正性を確認できる情報のみを提供する必要があります。
これらの権利を実効あるものにする義務は Data Fiduciary が負い、Data Protection Board of India は同法の違反について調査することができます。
Data Principal の権利
DPDPA は Data Principal に対し、自分の個人データに関する権利を認めています。
適用される規定に応じて、次の権利が含まれます。
情報にアクセスする権利
Data Principal は、DPDPA が定めるところにより、取り扱われている個人データや関連する取り扱い活動について一定の情報を求めることができます。
これにより、自分の個人データがどのように扱われているかを把握しやすくなります。
訂正および消去の権利
Data Principal は、適用される要件と例外を前提として、個人データの訂正・補完・更新・消去を求めることができます。
組織は、こうした請求を受け付けて対応する手順を備えておくべきです。
苦情救済を受ける権利
指名する権利
Data Principal は、DPDPA が定める一定の状況において、適用される権利を行使する者として他者を指名できます。
同意を撤回する権利
同意にもとづいて個人データが取り扱われている場合、Data Principal はその同意を撤回できます。
撤回は、同意を与えるのと同じくらい簡単であるべきです。
同意とその撤回方法
同意は、DPDPA のもとで個人データを取り扱うことができる主要な根拠の一つです。
同意に依拠する場合、それは同法の適用要件を満たす必要があり、次の性質を備えていなければなりません。
- 自由意思にもとづくこと
- 特定的であること
- 十分な情報にもとづくこと
- 無条件であること
- 明確であること
- はっきりとした積極的な行為によって示されること
Data Principal は、何の目的で同意を求められているのかを理解できるべきです。
しっかりした同意プロセスは、次のことを可能にするはずです。
- 通知する
- 尋ねる
- 取得する
- 記録する
- 反映する
- 撤回する
これにより、利用者の判断と実際の個人データの取り扱いが結びつきます。
Data Principal はどのように同意を撤回できますか？
取り扱いが同意にもとづく場合、Data Principal はその同意を撤回するための実効的な手段を利用できるべきです。
企業は、撤回を不必要に難しくしたり、同意を与えるより明らかに複雑にしたりすべきではありません。
同意が撤回された後、Data Fiduciary は、該当する場合に個人データの取り扱いを停止するために必要な措置を講じ、DPDPA その他の適用要件に従って撤回の効果に対応すべきです。
ウェブサイトやアプリでの同意の撤回には、同意設定を更新し、連携するシステムが変更後の選択を尊重するようにすることが必要になる場合があります。
子どもと障害のある人
Data Principal と子どものデータ
DPDPA は、子どもの個人データについて追加の保護を定めています。
子どもとは、18 歳に達していない者をいいます。
DPDPA はまた、子どもの個人データの取り扱いについて具体的な要件を定めており、該当する状況における親または法定後見人の同意の要件や、一定の取り扱い形態に関する制限が含まれます。
子どもの個人データを取り扱う企業は、自社のサービスに適用される具体的な要件を確認すべきです。
Data Principal と障害のある方
Data Principal の法律上の定義は、障害のある方が関わる場面にも触れています。
これにより、個人データに関する権利や同意に関する行為を、権限を有する法定代理人を通じて行使する必要がある場面を、DPDPA の枠組みが認めていることになります。
Data Principal が権利を行使する方法
企業は、Data Principal が適用される権利を行使できる、利用しやすい手続きを用意すべきです。
一般的な流れは次のとおりです。
申請
利用可能なプライバシーまたは苦情の窓口を通じて請求を行います。
確認
確認が必要かつ適切な場合に、請求内容を確認します。
特定
該当する個人データと取り扱い活動を特定します。
評価
適用される法的要件にもとづいて請求を評価します。
対応
情報の提供、データの訂正、該当する場合の消去など、必要な対応を行います。
記録
結果を記録し、適切な手続きを通じて回答します。
具体的な手順は、請求の種類と、DPDPA 上その組織が負う義務によって異なります。
Data Principal と Data Subject の違い、そして Consent Manager
Data Principal という用語は、インドの DPDPA で用いられます。
データ主体（Data Subject）という用語は、GDPR などのプライバシー法制で一般に用いられます。
いずれの用語も原則として、その個人データが関係する本人を指しますが、異なる法的枠組みに属しています。
| DPDPA | GDPR |
|---|---|
| Data Principal | Data Subject |
| Data Fiduciary | Data Controller |
| Data Processor | Data Processor |
| Consent Manager | 直接の対応概念なし |
国際的に事業を展開する企業は、それぞれのプライバシー法制に応じた用語と要件を用いるべきです。
Data Principal と Consent Manager
DPDPA は Consent Manager を、Data Principal が利用しやすく透明で相互運用可能なプラットフォームを通じて同意を付与・管理・確認・撤回できるようにする、単一の窓口として機能する登録済みの者と定義しています。
この仕組みは、Data Principal が自らの同意に関する判断をより強くコントロールできるようにすることを狙いとしています。
企業は、法律上の Consent Manager という概念と、一般的な同意管理ソフトウェアや Cookie 同意バナーとを区別すべきです。
企業向けコンプライアンスチェックリスト
ウェブサイトやアプリは、次のような経路で個人データを取り扱う場合があります。
- アカウント登録
- お問い合わせフォーム
- ニュースレターの購読
- 購入と決済
- カスタマーサポートのシステム
- モバイルアプリの利用
- Cookie とオンライン識別子
- 分析ツール
- 広告技術
- その他のサードパーティサービス
企業は、Data Principal が適用される権利を行使したときに適切に対応できるよう、これらのデータがどこで取り扱われているかを把握しておくべきです。
該当する個人データがどこに保管され、どのシステムやサービス提供者が取り扱っているのかを組織が把握していなければ、プライバシーに関する請求に適切に対応することはできません。
個人データを取り扱う企業は、次のことができるかどうかを検討すべきです。
- 該当する Data Principal を特定する
- 明確なプライバシーおよび同意の通知を提供する
- 適用される取り扱い目的を説明する
- 必要な場合に有効な同意を取得する
- 同意の判断を記録する
- 同意の撤回に対応する
- 該当する個人データの所在を特定する
- 必要な場合にデータを訂正・更新する
- 該当する場合にデータを消去する
- 苦情救済の仕組みを提供する
- 子どもの個人データを適切に取り扱う
- 権限を有する代理人を通じた請求に対応する
- 請求と対応の記録を保持する
- 連携するシステムが更新後のプライバシー選択を尊重するようにする
ConsentX で Data Principal の権利を尊重する方法
ConsentX は、すべての Data Principal に同意の付与・確認・撤回をわかりやすく行える手段を提供し、チームには監査で提示できる記録を残します。
目的別の同意
目的ごとに個別の同意を求めます。
明確な通知
データを収集する前に、平易な言葉で通知を表示します。
同意レシート
すべての判断を改ざん検知可能な記録として保存します。
撤回
同意したときと同じくらい簡単に選択を変更できます。
Cookie の検出と事前ブロック
トラッカーを見つけ、ユーザーが同意するまで必須でないものを停止しておきます。
権利行使請求のワークフロー
開示・訂正・消去の請求を受け付け、確認し、回答します。
年齢確認と保護者の同意
子どものデータに関するルールに対応します。
監査対応の証跡
同意と請求の証拠を一か所に保管します。
すべての判断は同意記録に保存され、監査用にエクスポートできる改ざん検知可能な同意レシートによって裏付けられます。ウェブサイトでは、Cookie とトラッカーの検出によって稼働中のタグを把握でき、事前ブロックによって必須でないタグはユーザーが同意するまで停止されます。地域ルールを使えばインドからの訪問者に DPDPA 向けの体験を表示でき、インドからの訪問者向けの同意に関するページでは、通知・同意・撤回の仕組みを解説しています。
これにより組織は、静的なプライバシーポリシーから、プライバシーの選択を取得・管理・証明できる技術基盤へと進むことができます。
関連用語
Data Fiduciary とは、個人データを取り扱う目的と方法を決定する個人または組織をいいます。
Data Processor は、Data Fiduciary に代わって個人データを取り扱います。
デジタル個人データの該当する取り扱いを規律するインドのデータ保護制度です。
Data Principal が同意を付与・管理・確認・撤回できる登録済みのプラットフォームです。
プライバシーと同意の選択を収集・管理・反映・記録することを支援するソフトウェアです。
同意レシートとは、利用者の同意判断とその関連情報の記録です。
DPDPA が個人に認める権利で、情報、訂正、消去、苦情の救済、指名に関する該当する権利を含みます。
Cookie 同意は、対象となる Cookie やトラッキング技術について、利用者の許諾を取得し管理する助けになります。
事前ブロッキングは、必要な同意が得られるまで、対象となる必須でないトラッカーを動作させないための技術的な仕組みです。