南アジアにおける個人情報保護規制（１）

タイでも個人情報保護法の本執行が始まるが、南アジアにおいても近年、個人情報の保護に関する法規制が整備されつつある。そのような状況を踏まえ、バングラデシュ、ネパール、パキスタン、スリランカ、ブータンの個人情報保護法の導入状況やアップデートを解説する。

バングラデシュにおける個人情報保護法

2021年１月において、バングラデシュでは個人情報の侵害に対する包括的な法的保護は存在していない。

バングラデシュでは国家のデジタルセキュリティを確保し、デジタル犯罪の特定、防止、抑止等に関する法律を制定することを目的に、18年に「デジタルセキュリティ法」が成立しており、同法において違法な個人情報の収集及び使用についての罰則規定を設けている。

同法第26条はID情報の収集および使用に関連する犯罪を規定している。第26条１項に基づき、本人の明示的な同意のないID情報の不正使用（ID情報の不正な収集、販売、所持、供 給）は犯罪と定義されている。

なお、同意の取得方法等の手続きについて明確な規定は存在しない。同法に違反した場合、５年を超えない期間の懲役または50万タカの罰金、またはこれらが併科される。

そして、ここでいうID情報には氏名、生年月日、父母の氏名、国籍、署名、国民ID、出生・死亡登録番号、指紋、パスポート番号、銀行口座番号、運転免許証、E-TIN番号、電子またはデジタル署名、ユーザー名、クレジットまたはデビットカード番号、声紋、網膜画像、虹彩画像、DNAプロファイルが含まれると規定されている。

18年のデジタルセキュリティ法施行後、電気通信、電子商取引、フィンテック、銀行等の事業者は、第26条を遵守するため ID情報を取り扱うにあたり、その個人から同意を得なければならなくなり、現地実務において大きな影響が生じた。

また、バングラデシュ政府はデジタルセキュリティ法第60条に基づき、この法律の目的を達成するための細則の策定作業を 進めている。

ネパールにおける個人情報保護法

ネパール憲法は、基本的な人権として情報の保護とプライバシーの権利を規定している。これらの権利を保護するため、2018年に個人プライバシー法（「プライバシー法」）が成立した。

このプライバシー法は他国の個人情報保護法と異なり、個人情報の収集、保管、利用に関する規定だけでなく、全ての個人は住居、財産、文書、データ、通信、性格に関するプライバシー権を有するとし、法律で定められた場合を除き、その権利が侵されないことを規定している。

プライバシー法では以下の情報を個人情報として詳細に定義している。

・カースト、民族、出生、出自、宗教、肌の色または婚姻の有無
・学歴または学歴資格
・住所、電話番号、電子メールアドレス
・パスポート、市民権証明書、国民 ID カード番号、運転免許証、有権者IDカード、または公的機関が発行したIDカードの詳細
・個人情報の記載がある送受信された手紙
拇印、指紋、網膜、血液型、その他の生体情報
・犯罪歴または犯罪行為または服務のため科せられた刑の詳細
・何らかの決定の過程で専門家により表明された意見や見解

そして法律で定める場合を除き、個人情報を収集することは禁止している（プライバシー法第23条１項）。もっとも、調査、研究または世論調査を目的とする場合、その目的などの一定事項を通知し、その個人の同意を得た上で、個人情報を収集することができる（プライバシー法第23条２項～４項）。

また、プライバシー法で禁止されている行為を行った場合、懲役刑や罰金刑が科される。

以上の通り、ネパールのプライバシー法は他国の個人情報保護法に比べ、プライバシー保護に重点を置いた法律であり、個人情報の利用については調査、研究または世論調査を目的 として同意を得た場合に限定されている。ゆえに、一般企業による個人情報の利用の範囲が不明瞭と言わざるを得ない。