第2回：今後法改正の可能性も？マレーシアの個人情報保護法

2.マレーシアの個人情報保護法（Personal Data Protection Act 2010）

マレーシアでは、2010年に個人情報保護に関する規制を全般的に定めた個人情報保護法Personal Data Protection Act 2010（以下「PDPA」）が成立し、2013年11月15日に施行されました。また、PDPAの関連法規として以下があります。

• Personal Data Protection （Class of Data Users）Order 2013^※2：PDPA上、登録が必要な業種を規定
• Personal Data Protection Regulations 2013^※3：PDPAに関する規則
• Personal Data Protection （Registration of Data User）Regulations 2013^※4：PDPAに基づく登録の詳細を規定
• Personal Data Protection（Fees）Regulations 2013^※5：PDPAに基づきアクセス要求を行う場合の上限費用等を規定
• Personal Date Protection Standard 2015^※6：安全原則、保持原則、情報完全性原則に関して情報使用者が取るべき行動を規定
• Personal Data Protection (Compounding Of Offences) Regulations 2016^※7：罰金の対象となる違反を規定
• Personal Data Protection (Class Of Data Users) (Amendment) Order 2016^※8：PDPA上、登録が必要な業種に関する規定の変更
• Appointment And Revocation Of Appointment Of Personal Data Protection Commissioner^※9：Personal Data Protection Commissionerの任命

※2：http://www.pdp.gov.my/images/pua_20131114_P.U._A_336-PERINTAH_PERLINDUNGAN_DATA_PERIBADI_GOLONGAN_PENGGUNA_DATA_2013.pdf
※3：http://www.pdp.gov.my/images/pua_20131114_P.U._A_335_-_PERSONAL_DATA_PROTECTION_REGULATIONS_2013.pdf
※4：http://www.pdp.gov.my/images/pua_20131114_P.U._A_337_-_peraturan-peraturan_perlindungan_data_peribadi_pendaftaran_pengguna_data_2013.pdf
※5：http://www.pdp.gov.my/images/apua_20131114_P.U._A_338-PERATURAN-PERATURAN_PERLINDUNGAN_DATA_PERIBADI_FI_2013.pdf
※6：http://www.pdp.gov.my/index.php/en/akta-709/standard
※7：http://www.federalgazette.agc.gov.my/outputp/pua_20160314_P.U.%20(A)%2060_PerlindunganDataPeribadi(PengkompaunanKesalahan)2016.pdf
※8：http://www.federalgazette.agc.gov.my/outputp/pua_20161215_P.U.%20(A)%20326%20-%20PERINTAH%20PERLINDUNGAN%20DATA%20PERIBADI%20(GOLONGAN%20PENGGUNA%20DATA)%20(PINDAAN)%202016.pdf
※9：http://www.federalgazette.agc.gov.my/outputp/pub_20170126_P.U.%20(B)%2049.pdf

（1）PDPAの適用範囲

PDPAの適用対象となる「個人情報」は、「商業的経済活動」に関連する情報で、情報使用者（data user）が持つ当該情報から、または当該情報とその他の情報を併せて特定できる情報主体（data subject）に直接または間接的に関連するものと規定されています（PDPA第4条）。
PDPAの適用対象者は、「商業的経済活動」に関連して個人情報の処理または処理の管理を行う者に限定されています（PDPA第2条）。「商業的経済活動」とは、契約によるか否かを問わず、経済的性質を有する全ての活動を意味し、商品もしくは役務の提供、代理、投資、融資、銀行業又は保険業に関連するいかなる事項も含むとされているため（但し、クレジットレポーティングビジネスは含まない）（PDPA第4条）、企業が行う事業活動で取得する個人情報は基本的にPDPAにおける「個人情報」に該当すると考えられます。
また、個人情報の「処理（processing）」とは、個人情報を収集・記録・保存することまたは個人情報に対して何らかの作業をすることとされており（PDPA第4条）、企業において個人情報を取り扱う行為は基本的に「処理」とみなされると考えられます。
なお、本法は民間のみに適用されるもので、連邦政府または州政府には適用されません。また、マレーシアの国外で個人情報を処理する者にも、マレーシア国内でさらに個人情報の処理が予定されていない限り適用されません（PDPA第3条）。

（2）個人情報保護の7原則

PDPAの適用対象者は、個人情報保護について、下記の7つの原則を遵守しなければなりません（PDPA第5条）。

• 一般原則（General Principle）：情報使用者は、個人情報を処理する場合、原則として情報主体から同意を得なければならない。また、身体的又は精神的な健康状態、政治的意見、宗教的信条、犯罪歴等を含む「センシティブな個人情報（sensitive personal data）」を取得する際には、情報主体から「明示的」な同意を取得することが必要となる。
• 通知及び選択原則（Notice and Choice Principle）：情報使用者は、情報主体に対し、個人情報の処理について書面による通知をしなければならない。
• アクセス原則（Access Principle）：情報主体は、情報使用者が保有する自らの個人情報にアクセスする権利を有し、当該個人情報が不正確、不完全、誤解を招くもの、又はアップデートを要するものである場合には、訂正することができる。
• 開示原則（Disclosure Principle）：情報使用者は、個人情報収集時に開示した目的又はそれに直結する目的以外の目的（「その他の目的」）のために個人情報を第三者に開示する場合には、原則として情報主体から同意を得なければならない。
• 安全原則（Security Principle）：情報使用者は、個人情報の紛失や不正使用などを防止するため、個人情報の保管場所に注意を払うことなどによって具体的な措置をとらなければならない。
• 保持原則（Retention Principle）：個人情報は、目的達成のために不要となった場合には、破棄されなければならない。
• 情報完全性原則（Data Integrity Principle）：情報使用者は、個人情報が正確かつ完全で、誤解を招かないものであり、また常に最新のものであるように、合理的な措置をとらなければならない。

（3）個人情報の国外移転

※10：http://www.pdp.gov.my/images/pdf_folder/PUBLIC_CONSULTATION_PAPER_1-2017_.pdf

（4）Personal Data Protection Commissionerへの登録

Personal Data Protection Commissioner（以下「Commissioner」）が指定するClass of Data Userとして特定されている者は、Commissionerに登録しなければなりません（PDPA第15条）。現在登録が必要なClass of Data Userには、通信、銀行・金融機関、保険、医療、観光・ホスピタリティ、輸送、教育、直接販売、サービス、不動産、公共サービス等が含まれています。登録証書は更新が必要であり、PDPAに違反した場合や登録証書における条件の遵守を怠った場合には登録が取り消される可能性があります。

（5）個人情報漏洩通知

2018年8月、Commissionerは、個人情報漏洩通知についての諮問書（Public Consultation Paper No. 1/2018 - The Implementation of Data Breach Notification^※11、以下「本諮問書」）を発行しました。本諮問書は、マレーシアにおける個人情報漏洩通知制度の確立を目的としたもので、組織内で個人情報漏洩が起きた場合に、情報使用者は関連当局及び当事者に対して通知する義務を負うことになります。本諮問書では個人情報漏洩通知に含めるべき内容が検討されており、個人情報漏洩の詳細、漏洩に対する措置、通知先及び通知期限だけでなく、組織が行ってきた個人情報保護に関する研修等の詳細も通知内容に挙げられています。Commissionerは、情報使用者に発行される登録証書に条件を付す形で個人情報漏洩通知の義務を課すことを提案しているため、Commissionerへの登録が不要な業種に該当する情報使用者に対してはこの義務が課せられるのかどうか等不明瞭な部分も多く残った内容となっています。

※11：http://www.pdp.gov.my/images/pdf_folder/PCP-1-2018-DBN-Ver2.pdf

（6）罰則

罰則適用の具体例^※12
例1.ホテル

• 違反内容：登録証書を取得せずに個人情報を処理、情報主体の同意を得ることなく個人情報を処理
• 罰則：合計20,000リンギットの罰金（各違反につき10,000リンギット）または8カ月の懲役

例2.高等教育機関

• 違反内容：登録証書を取得せずに個人情報を処理
• 罰則：10,000リンギットの罰金または3カ月の懲役

例3.就職エージェント

• 違反内容：登録証書を取得せずに個人情報を処理
• 罰則：10,000リンギットの罰金

※12：https://globalcompliancenews.com/malaysia-enforcement-personal-data-protection-20171101/

3.個人情報保護に関する最新動向

PDPAの導入にも関わらず、2017年10月には、マレーシアの携帯電話加入者4600万人もの顧客情報が漏洩するという大規模な個人情報漏洩が起きました^※13。この漏洩は、マレーシアの人口のほぼ全体を巻き込んだと考えられ、アジアでも最大級の顧客情報漏洩として報道されました。また上述の通りPDPAは商業目的での個人情報使用のみを規制するものであり、オンライン・プライバシー等の問題に関する条項は規定されていません。オンライン化が進む中、オンライン上で急速に増加する個人情報を保護するため、既存の個人情報保護法を強化することが必要となっています。
また、PDPAでは、情報漏洩があった場合の情報使用者による当局への通知の義務は規定されていません。上述の通り、マレーシアでも情報漏洩時の政府当局への通知義務を含めるため政府が取り組み出しており、早ければ2019年の中旬には法律の改正があるとも報道されています。

※13：https://www.reuters.com/article/us-malaysia-cyber/malaysia-investigating-reported-leak-of-46-million-mobile-users-data-idUSKBN1D13JM?il=0

4.公益通報者保護法

マレーシアでは、2010年12月15日に施行されたWhistleblower Protection Act 2010^※14（以下「WPA」）によって、汚職・不正行為の通報者を法的に保護しています。不正行為の抑制を目的としたこの法律では、通報者および通報内容についていかなる者に対しても開示してはならない旨、定められています（WPA第8条1項）。この条項に違反した場合、50,000リンギット以下の罰金もしくは10年以下の懲役またはその双方が科せられます（WPA第8条4項）。

※14：http://www.bheuu.gov.my/pdf/Akta/Act%20711.pdf

5.おわりに

マレーシアにおける個人情報保護法は他国の法律や規制と比較して遅れをとっている部分があり、特にオンライン化が進む世界で個人情報を保護するための法律や規制の制定が必要となっています。個人情報の国外移転、情報漏洩通知義務の結果の公表等、今後の動向に注目が集まっています。