第4回：個人情報保護法が未制定のインドネシアの個人データ取扱規定

インドネシアにおける個人情報保護法制の概観

上記のとおり、インドネシアではまだ一般的な個人情報保護法は定められておらず、電子情報法令が、インドネシアにおける一般的な個人情報に関する法制度であるように語られることが多いのですが、電子情報法令は、そもそもインターネットを通じた取引、電子署名の有効性等、ドメイン名のライセンス等の電子商取引に関する規制を定めるものであり、個人情報に関する一般法ではありません。
電子情報法令の適用対象は、このようなシステムを取り扱う、あるいはサービスを提供するElectronic Service Provider（以下「電子サービスプロバイダー」といいます）です。電子情報法令は、主に上記のような電子商取引のルールを規定した上で、そのような電子サービスプロバイダーにおいてインターネット等を通じて取得した個人データに関する取扱いを定める条項についても定めるものです^※1。
しかし電子情報法令上の電子サービスプロバイダーの定義は幅広くその適用対象は広く解釈される余地があること、個人データに関する取扱いについて詳細な規定を置いていることから、同法令の理解が重要であると思われるため、電子情報法令の個人データに関する主要な内容を中心に解説します。

※1：なお、電子情報法令上、「電子サービスプロバイダー」は、「電子システム使用者のために、単独で又は共同で電子システムの提供、管理及び／又は運営を行うあらゆる者、国家機関、企業体並びに公共体」をいうとされており、「電子システム」は、電子情報の準備、収集、処理、分析、保管、表示、公開、送信及び／又は流布に供する一連の電子機器及び手続き」をいう。この点、電子システムプロバイダーの範囲は幅広く解釈される余地を残すが、実務上は、電子取引のために電子システムを提供する者がこれに該当し、たとえば、事業会社における社内システムを通じた個人データの取得が、電子取引ではなく社内の処理の目的で行われるような場合はこれに該当しないとされる解釈が一般的と思われる。

保護の対象となる「個人データ」の定義

電子情報法令上保護の対象となる「個人データ」は、政府規制82号及びMOCI規制上定義が置かれており、「特定の個人のデータであって、その正確性のために保管、管理及び維持され、その秘密のために保護されるもの」をいいます。また、「特定の個人のデータ」とは、「いかなる正確かつ実際の情報であって、特定の個人を直接又は間接に特定することが可能な情報」をいいます。
なお、電子情報法令は、「センシティブ情報」について特別の定義を置いていません。この点、個人情報保護法草案^※2では、「センシティブ情報」について「特別の保護を要する個人データであって、宗教、信条、健康、心身の状態、性生活、個人の財務データ、及び当該データのプライバシーを危機及び害悪をもたらしうるその他の個人データ」をいうとされています。

※2：http://www.hukumonline.com/pusatdata/downloadfile/lt561f752b12783/parent/lt561f74edf3260

電子情報法令の域外適用

電子情報法は、インドネシアにおいて法的効果を有する、及び／又はインドネシアに害を与えるインドネシア国内及びインドネシア国外で行われる行為を対象としています^※3。規制される行為は、インドネシア国内で行われる行為、インドネシア市民により行われる行為に加え、インドネシア市民、外国人又はインドネシア法人又は外国法人によりインドネシア国外で行われる行為も含みます。なお、インドネシアに害を与える行為とは、国家経済の利益、戦略的データ保護、国家の尊厳、安全保障、国家主権、市民及びインドネシア法人に与える害を含むものとされています。
このように、電子情報法の適用は域外にも及び、また、MOCI規制の適用範囲も同様に域外に及ぶものとされていますが、その具体的手続きや監督機関等が整備されていないため、現時点では、域外適用による運用及び規制は事実上難しい状況にあります。

※3：電子情報法2条

電子情報法令の主な規制

（1）同意の取得及び方法

電子情報法上、電子メディアを通じた個人データを含むいかなる情報の使用も、関連する者の同意を得る必要があります^※4。MOCI規制によると、同意は書面によりなされる必要があり（電子的手段又はそれ以外の手段）、また、インドネシア語でなされる必要があります^※5（ただし、英語との併記などについては明確に禁止されていません）。

※4：電子情報法26条
※5：MOCI規制6条

（2）個人データの取得、使用及び利用にあたっての義務

政府規制82号上、電子システムプロバイダーは、個人データの取得、使用及び利用がその所有者による同意に基づくように確保するものとすること、個人データの利用又は開示がその所有者の同意に基づくこと及び当該データが取得された時に当該所有者に通知された目的に合致するものであることを確保するものとされています^※6（同違反については後記6参照）。

※6：政府規制15条

（3）個人データの処理及び分析にあたっての義務

MOCI規制は、電子システムプロバイダーによる個人データの取得については、同意に基づき、電子システムプロバイダーの目的に関連しその目的内でのみ取得され、正確な方法で取得されるべき旨を規定しています^※7。また、個人データの処理及び分析は、その所有者の同意に従ってなされ、かつ、データ取得時に明確に宣言された電子システムプロバイダーの必要性に従ってのみ行うことができます^※8。

※7：MOCI規制7条
※8：MOCI規制12条

（4）個人データの保管

電子システムに保管される個人データについては、

ア.その正確性が確認されること、
イ.暗号化されること、
ウ.現行の規制に従い保管されること、
エ.最低5年間保管されること（保管期間につき特定の規制のない限り）、
オ.公共サービスのための電子システムプロバイダー^※9は、データセンターファシリティ及びディザスターリカバリーファシリティがインドネシアにおいて設置すること、

が要求されます^※10。
当該個人データの所有者がそのデータを以後使用しない場合、電子システムプロバイダーは当該所有者が最後に当該個人データを使用した日から5年間保管することが要求されます。

※9：MOCI規制によると、「公共サービスのための電子システムプロバイダー」とは、政府に関連する法人（国家の機関、政府所有の会社等）その他の国家の任務に関連する法人をいうとされる。
※10：政府規制82号及びMOCI規制

（5）表示、公開、移転、流布及びアクセスの許容

電子システム内の個人データは、以下の場合にのみ、その表示、公開、移転、流布及び又はアクセスが許容されます^※11。

ア.法及び規制により別段の定めのない限り同意に基づくこと、及び
イ.当該個人データの正確性と適合性が確認されること。

電子システムプロバイダーによる個人データの移転、とりわけ個人間の移転、インドネシアから国外への移転については、情報通信省又は権限のある高官との間で以下の調整の上なされなければなりません^※12。

ア.個人データの移転計画（最低でも、移転先国の名称、受領者の名称、移転日並びに当該個人データの移転の理由及び目的を明記する必要）の報告
イ.必要に応じて弁護士の意見を求めること
ウ.当該移転の結果についての報告

※11：MOCI規制21条
※12：MOCI規制22条

（6）個人データの破棄

電子システム内の個人データの破棄は、以下の条件に基づいてのみ行うことができます。

ア.保管期間の経過
イ.所有者による要求

罰則規定

（1）個人データの処理に関連して、電子情報法32条及び48条は、

ア.いかなる者も、故意に、かつ、権限なく、又は不適法に、他の者又は公に帰属する電子情報及び／又は電子記録をいかなる方法でも、変更、追加、削減、移転、改ざん、削除、譲渡、隠匿してはならない。同違反について、最長8年の懲役及び／又は最高20億ルピアの罰金。
イ.いかなる者も、故意に、かつ、権限なく、又は不適法に、電子情報及び／又は電子記録を、いかなる方法でも、権限のない者に帰属する他の電子システムに移転又は譲渡してはならない。同違反について、最長9年の懲役及び／又は最大30億ルピアの罰金。
ウ.いかなる者も、秘密性のある電子情報及び／又は電子記録につき、公にアクセス可能な状態につながる上記に言及されるいかなる行為も行ってはならない。同違反について、最長10年の懲役及び／又は最大50億ルピアの罰金。

を定めています。

（2）また、上記で説明した電子情報法15条違反については、書面による警告、過料、暫定的業務停止の行政上の罰則が定められています。

（3）さらに、MOCI規制上も、権限のない方法又はMOCI規制若しくはその他の法規制に定める方法以外で、個人データを取得、処理、分析、保管、表示、公開、移転及び／又は流布した者は、以下の行政上の罰に服するものとされています^※13。

ア.口頭による警告
イ.書面による警告
ウ.業務の停止
エ.オンラインウェブサイトでの公表

※13：MOCI規制36条

（4）実際の事例としては、Facebookがユーザーの個人データを漏洩した疑いがあるとして、情報通信相が2018年4月、Facebookに対して書面による警告を発した事例があります^※14。同事例では、それに先立つ同年3月に、情報通信相による口頭による警告がなされており、それに対するFacebookの回答が十分なものではなかったため、次段階として書面による警告が出されたものです。
現時点では、上記以上に深刻な制裁（業務停止や罰金等）が科された事例はないようです。

※14：https://www.hukumonline.com/berita/baca/lt5acc9325d6f81/sanksi-yang-bisa-dikenakan-ke-facebook-terkait-bocornya-data-pengguna-di-indonesia

個人情報保護に関する最新動向

以上のとおり、インドネシアにおいては、電子システムプロバイダーによる電子システムの提供に関連した個人データの取得等について規制がされていますが、いまだ一般的な個人情報保護法は草案の段階であり法律として成立していません。 インドネシア政府は、2019年においてもその草案の検討を優先する方針のようですが、成立時期はいまだ不透明です。そのため今後の法案の審議の過程、成立について引き続き注視する必要があります。