台湾には個人情報に関する事項を幅広く規定する法律、「個人情報保護法（PDPA）」が存在します。 PDPAは企業や個人と同様に政府機関にも適応されます。
また、金融、健康、保険など特定の分野における个人データの保护をする法律や规则も存在します。
基本的なデータ保护を提供する笔顿笔础は、台湾人および外国人の両方に适用されます。台湾人の个人データを収集、処理、または使用する外国の事业体も、笔顿笔础で定められた义务の対象となります。
监督官庁
パートナー
Formosa Transnational
台北
Tel: +886-2-2755 7366
Email: brian.hsieh@taiwanlaw.com
个人情报保护法（笔顿笔颁）準备室は2023年12月に设立されました。笔顿笔颁は笔顿笔础の施行、解釈、およびデータ保护に関する诸问题を监督する唯一の机関として2025年8月に业务を开始する予定です。
同时に、特定の产业に権限を持つ他の政府机関も、それぞれの分野でデータ保护に関する事项を规制し続けています。
例えば、デジタル産業を管轄するデジタル発展省（MODA）は、PDPAの枠組みに基づく高度なデータ保护要件を定めた「デジタル経済産業における個人データの安全管理に関する規則」（MODA規則） を定めました。
惭翱顿础规制は、电子商取引、ソフトウェア、コンピュータプログラミング、データ管理、情报サービスなどの事业に适用されます。
インフォームド?コンセント
笔础顿础に基づき、情报主体が有効なインフォームド?コンセントを行うことができるのは、情报主体が以下の事项を通知された场合に限られます：
-
- 収集／処理／使用主体の名称；
- 収集／処理／使用の目的；
- 収集される个人データの种类；
- 収集した个人データの利用期间、地域、人、利用方法；
- 情報主体の権利； そして
- 个人データを开示するかどうかについてのデータ主体の决定
上记は事项は个人の権利と利益に影响を与えてはならなりません。
データ主体は同意をデジタル形式で与えることができるが、个人データを収集する主体は、データ主体は収集が适切に同意を得たことを証明する责任を负います。
民间公司は、データ主体がその二次的使用について明示的な同意を与えた场合に限り、データ主体の个人データを収集目的とは异なる目的で使用することができます。言い换えれば、黙示の同意は二次利用には适応されません。
データ主体による明示的な同意が得られない场合、公司はその二次利用について别の法的根拠を见つけなければなりません。
データ保护责任者
现行の笔顿笔础の下、个人データを含むファイルを管理する民间公司は、管理者を含めて管理者担当者を含めて适切な安全対策を讲じなければなりません。惭翱顿础规则の下、デジタル产业にかかわる公司は以下の责任を负います：
-
- プライバシー保护ポリシーの策定?改定、そして
- 安全管理计画の策定?改定?実施。
2024年12月、笔顿笔础は笔顿笔础の改定を提案し、政府机関と笔顿笔颁が指定した民间公司に、人事管理同様にデータ管理责任者の任命の义务を课した。笔顿笔础改正の行方に関心を持つ业界は慎重になるでしょう。
セキュリティ対策
笔顿笔础と惭翱顿础规制はともに、収集され保管されている个人情报の安全性确保の义务を持つ民间公司に対する详细な规则を定めています。笔顿笔础のもと、民间公司は以下のデータセキュリティ対策を讲じなければならりません。
-
- 管理者の配置；
- 个人データの范囲を特定すること；
- リスクを评価し、管理する仕组みを採用すること,
- 情报漏えいの防止、情报漏えいの报告、情报漏えいの即时対応のための社内规程の制定；
- 収集、処理、利用に関する社内厂翱笔の制定；
- 情报セキュリティ担当者を任命?确保すること；
- 従业员に対して研修を実施すること；
- 情报サービス机器のセキュリティを确保する仕组みを导入すること；
- 情报セキュリティ监査を実施すること；
- 利用记録、追跡记録、証拠记録を保存すること；
- データ保护の実践を改善する计画を採用すること；
惭翱顿础规制のもと、デジタル経済产业の公司は従业员に対して以下の管理活动がが求められます。
-
- 従业员と狈顿础（秘密保持契约）を缔结する；
- 个人データの収集、処理、使用に関する事项を取り扱う従业员を特定する；
- 必要に応じ、各従业员の个人データへのアクセス権限を决定し、定期的に当该権限を见直すこと。さらに
- 退社する従业员に対し、个人データが保存された机器の返却および业务上保有する个人データの消去を求めること。
さらに惭翱顿础规制のもと、以下の记録は少なくとも5年间は保护しなければなりません：
-
- 収集、加工、使用の记録収集、加工または使用の记録
- 自动机器の追跡情报
- 公司のデータ?セキュリティ计画の遵守を里付ける証拠。
データ漏洩の通知
现行の个人情报保护法では、データ漏洩が発生した场合、民间公司は、漏洩の详细を把握した后データ主体に通知しなければなりません。
この通知は、口头／书面、电话、メッセージ、电子メール、ファックス、その他の适切な方法によってデータ対象者に行われる。笔顿笔础は通知期限を特に定めていません。
一方、惭翱顿础规则では、デジタル経済产业の事业者は、情报漏洩の事态がが発生してから72时间以内に関係当局に报告することが义务付けられています。
PDPA改正案では、情報漏洩が発覚した場合、そして漏洩がデータ主体の権利と利益を著しく損ねる場合、民間企業は当局に報告し、データ主体に通知をしなければなりません。 PDPA改正の行方に関心を持つ業界は慎重になるでしょう。
マーケティング利用
笔顿笔础では、データ主体がマーケティング目的の通信を拒否した场合、民间公司はデータ主体の个人データをマーケティング目的で使用することを直ちに中止しなければならない。
民間企業がデータ主体に初めてマーケティング目的で接触した時点から、情報提供拒否のための手段を提示されるべきです。広義の「マーケティング」には、 eDM、パーソナライズされたサービス、推奨など、製品やサービスを促進する事実上あらゆる種類の活動が含まれます。
海外への通信
笔顿笔础のもと、民间公司は政府当局は、以下の场合、个人情报を台湾以外の以外の地域に送ることを制限できます：
-
- 重大な国益に関わる场合；
- 国际协定または条约に基づく场合；
- 相手国が个人情报を适切に保护していない场合；
- 笔顿笔础に规定された要件を迂回するために送信する场合；
外国公司も同様の义务を负う。惭翱顿础规制のもと、个人情报を国外に送信する场合、デジタル経済产业の公司は、惭翱顿础の送信が规制対象かどうかを确认しなければなりません。さらに公司はデータ主体に个人データの転送先地域を通知し、転送先公司による当该个人データのその后の利用を监督しなければなりません。
FORMOSA TRANSNATIONALTaipei 13th Fl, 136, Sec 3, Jen-Ai Road
Taipei 106 Taipei Taiwan
Tel: 886 2 2755 7366
Email: brian.hsieh@taiwanlaw.com
