1．はじめに
2022年8月3日、インド政府は、約3年にわたり議論されてきた2019年個人情報保護法案（「Personal Data Protection Bill, 2019」。以下、単に「本法案」という。）を白紙撤回することを発表した。インド産業界やインドで事業を展開する日系企業の多くは、長年、本法案の成立に大きな期待を寄せており、その白紙撤回は、実務上大きな影響を与えている。
本稿では、本法案を巡る従前の経緯を紹介した上で、白紙撤回の理由及び法制化に向けた今後の見通しを検討する。
2．従前の経緯
(1) 沿革
インドには、個人情報の保護を包括的に定めた法律は存在しない。個人情報については、情報技術一般を規制する2000年情報技術法（「Information Technology Act, 2000」）の43A条および72A並びにその施行規則である2011年情報技術（合理的な安全慣行及び手続き並びにセンシティブ個人データ又は情報）規則（「Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules, 2011」）において、限定的に保護されているにすぎなかった。そのため、適切なデータ提供契約を締結せずに個人情報を第三者に提供してしまうケースや、適切な安全管理措置を実施せずに個人情報が漏洩してしまうケースが多数発生していた。こうしたケースに加え、近時のグローバルな個人情報保護の意識の高まりもあり、包括的な個人情報保護法制の導入を求める声が高まっていた。
そうした中、2019年12月11日、EUの一般データ保護規則（GDPR）をモデルとした包括的な個人情報保護法案である本法案がインド下院（Lok Sabha）に上程された。本法案に対しては、グローバル企業を含む、様々なステークホルダーから批判や意見が寄せられていた。また、本法案を検討するための議会合同委員会（Joint Committee of Parliament（JCP））も組織され、JCPは、2021年12月に、81点の修正提案と12点の勧告を行った。
(2) 本法案の議論の状況
本法案の中で、特に批判がなされ、検討の必要があると指摘されていたのは、以下の事項である。
ア 政府機関による例外的な使用方法
個人情報を使用する場合には、原則として情報主体の同意が必要であるが、政府機関が使用する場合には、例外的に本法案の適用を免除できる旨規定されていたため、政府機関による権限濫用の危険性が指摘されていた。
イ 情報保護局の独立性
法律の執行機関として、情報保護局（Data Protection Authority（DPA））が設立される予定であるが、DPAの委員長及び委員は、官房長官を含む上級公務員のみで構成され、また、政府が任免の権限を有することとされていたため、DPAの独立性が疑問視されていた。
ウ 域外適用の適否
インド国外の者による個人情報の取扱いであっても、インド国内の個人に商品やサービスの提供を組織的に行う場合等には、本法案の適用があるとされた（いわゆる域外適用）。これに対し、国外の主体への適用の有無が不明確である、そもそも域外適用を認めるべきではないなど、様々な主張がなされていた。
エ 重大個人情報の不明確性
個人情報のうち、センシティブ個人情報（sensitive personal data）については、インド国内のサーバに保管すれば、インド国外へ転送することが可能である一方で、重大個人情報（critical personal data）については、原則としてインド国内のサーバでのみ処理する必要があり国外転送は禁止されていた。しかし、本法案の中で、重大個人情報の定義が明らかにされておらず、センシティブ個人情報との棲み分けが不明確であるとの批判があった。
３．白紙撤回の理由及び法制化に向けた今後の見通し
このような議論がなされる中、2022年8月3日、政府は、本法案の上程を取下げ、白紙撤回することを公表した。政府は、白紙撤回の理由について、JCPから前述のとおり多数の修正提案及び勧告があったことを受けて、既存の法案とは別の枠組みで整理すべきであることを挙げており、新法案は迅速に提出されることになると説明している。
新たな法案は、早ければ今年の年末又は来年早々に議会に提出される可能性があるとみられている。
４．最後に
本法案は、2019年に上程されて以降、インド初の個人情報の保護に関する法律案として、国内外を問わず、活発に議論されてきた。また、域外適用を前提とした規定を含んでいたこともあり、本法案が施行された場合の対応方法を準備していた日系企業も少なくない。
近い将来、新たな法案が議会に提出されることが期待されるが、新法案が従前の議論を踏まえたものとなるのか、従前の議論とは別の全く新しい法律になるのかは現時点では不明である。本インド最新法令情報においても、インドの個人情報保護の関連法案の新たな動きを、適宜紹介していくこととしたい。
以上
TMI総合法律事務所 インドデスク
茂木信太郎／小川聡／本間洵
info.indiapractice@tmi.gr.jp
インドにおける現行規制下では、外国法律事務所によるインド市場への参入やインド法に関する助言は禁止されております。インドデスクでは、一般的なマーケット情報を、日本および非インド顧客向けに提供するものです。