LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

南アフリカに現地法人を持っているなら、確かめておきたい登録があります。個人情報保護法（POPIA、2013年法律第4号）のもとで、情報オフィサーを規制官へ登録してから職務に就くという仕組みです*2。

見落とされやすいのが、域外企業の扱いでしょう。指針には、南アフリカ国外に本拠を置く多国籍企業の情報オフィサーは、南アフリカ国内にいる者を情報オフィサーとして権限付与しなければならないと書かれています*2。さらに、企業グループの各子会社は、それぞれ自社の情報オフィサーと副情報オフィサーを登録することになります*2。

本記事は、南アフリカに拠点や取引を持つ企業の情報システム部門と、その仕組みを受託する立場に向けて、POPIAが求める実務を整理します。自社の当てはめは、公式資料と現地の法制に詳しい専門家への確認を経て進めてください。

どういう法律で、誰が見ているのか

まず全体像です。監督する側の立て付けから押さえます*1。

POPIAは2013年の法律第4号で、公的機関と民間の双方が扱う個人情報の保護を進めることを目的としています*1。適法な処理のための条件を置き、処理の最低限の要件を定める形です*1。

監督するのは情報規制官（Information Regulator）です*1。POPIAの第39条に基づいて設けられた独立の機関で、法律と憲法にのみ従い、国民議会に対して責任を負う立場とされています*1。特徴的なのは所管が二つあることで、POPIAだけでなく、情報アクセス促進法（PAIA、2000年法律第2号）の遵守も監視し執行する権限を持ちます*1。

この二本立てが、実務では意外な形で効いてきます。情報オフィサーという役職は、POPIAとPAIAの双方にまたがる立場だからです*2。個人情報を守る側の責任者であると同時に、記録の開示請求を受ける側の窓口にもなります*2。

個人情報の範囲も広く取られています。人種、性別、婚姻の状況、出身、年齢、心身の健康、宗教や信条、言語といった属性。教育、医療、財務、犯罪、雇用の履歴。識別番号、記号、電子メールのアドレス、住所、電話番号、位置情報、オンライン識別子。生体情報、本人の意見や好み、他者が本人について述べた見解も含まれます*2。生存する自然人に加え、識別可能な法人の情報も対象になりうる点は、EUの枠組みとの違いです*2。

入口は「情報オフィサー」——域外企業の落とし穴

実務の入口が、この役職の指名と登録です*2。

民間の団体では、情報オフィサーは役職に伴って自動的に定まります*2。法人であれば、最高経営責任者、業務執行取締役、またはこれに相当する役員です*2。その者が団体内の別の自然人に権限を与えて、情報オフィサーとして行動させることもできます*2。

ここに、域外企業向けの規律が置かれました。民間の団体へ到達できる状態を確保するため、南アフリカ国外に本拠を置く多国籍企業の情報オフィサーは、南アフリカ国内にいる者を情報オフィサーとして権限付与しなければならないとされています*2。連絡が取れる相手が国内にいることが前提だ、という考え方です。

グループ企業についても明記されています。企業グループの各子会社は、自社の情報オフィサーと副情報オフィサーを規制官へ登録しなければなりません*2。親会社でまとめて一つ、という扱いにはなりません。

権限付与の形式にも条件があります。書面で行うこと、指針に添付された様式に実質的に沿った形を用いること*2。権限を与えた者が自ら権限を行使することは妨げられず、書面でいつでも撤回や修正ができます*2。そして権限を与えた者は、与えた権限や職務について引き続き説明責任と責任を負うという整理です*2。

指名される人の格も示されました。情報オフィサーとして権限を与えられる者は、役員に相当する水準の立場にあるべきで、管理職以上の従業員のみが検討の対象になるべきだとされています*2。中国の個人情報保護の監査で扱う責任者の指定と同じく、名前だけを置く運用は想定されていません。

安全管理措置——第19条が求める四つの動き

技術的な要件は、第19条にまとまっています*1。

責任を負う当事者は、自らが保有し、または管理する個人情報の完全性と機密性を、適切かつ合理的な技術的および組織的措置によって確保しなければなりません*1。防ぐべきものとして挙げられているのは、個人情報の喪失、毀損、不正な破壊、そして違法なアクセスや処理です*1。

これを実現するために採るべき合理的な措置は、四つに整理されています。

もう一点、参照すべき基準についても書かれています。一般に受け入れられている情報セキュリティの実務と手順のうち、自らに一般的に適用されるもの、あるいは特定の業界や職業の規則で求められるものに、相応の考慮を払うことが求められます*1。個別の技術を指定するのではなく、業界の標準を参照させる作りです。

四つの動きのうち、実装で抜けやすいのは検証でしょう。方針を作り、機能を実装したところで止まっている状態は、この条文の求めを満たしません。監査ログの設計で扱う記録は、検証を行った事実を残す材料にもなります。

委託先を「オペレーター」として縛る

受託する側にとって直接効いてくるのが、この二つの条文です*1。

まず第20条です。責任を負う当事者のために個人情報を処理するオペレーター、あるいはその下で処理を行う者は、責任を負う当事者の認識または許可のもとでのみ処理を行い、知り得た個人情報を秘密として扱い、法律で求められる場合または職務の適切な遂行の過程を除いて開示してはならないとされています*1。

次に第21条です。責任を負う当事者は、オペレーターとの書面による契約を通じて、オペレーターが第19条の安全管理措置を確立し維持することを確保しなければなりません*1。口頭の合意や事実上の運用では足りない、という構成です。

そして通知の義務が、オペレーター側にも置かれました。個人情報が権限のない者にアクセスされ、または取得されたと信じる合理的な根拠があるとき、オペレーターは直ちに責任を負う当事者へ通知しなければなりません*1。「速やかに」ではなく「直ちに」です*1。

受託の現場に引き寄せると、検知から委託元への一報までの経路を、契約と運用の両方で決めておく必要があるということになります。供給網のセキュリティ管理で扱う取引先との取り決めと同じ枠組みですが、南アフリカでは条文として明示されています。

侵害の通知——期限ではなく「できるだけ速やかに」

侵害が起きた後の手順も、第22条に定められています*1。

通知の相手は二つです。個人情報が権限のない者にアクセスされ、または取得されたと信じる合理的な根拠があるとき、責任を負う当事者は規制官と、本人の双方へ通知しなければなりません*1。本人の身元を特定できない場合は例外です*1。

時期については、時間数ではない書き方が採られました。侵害の発見後、合理的に可能なかぎり速やかに行うこととされ、法執行の正当な必要や、侵害の範囲を確かめ、情報システムの完全性を回復するために合理的に必要な措置を考慮に入れる、という条件が付きます*1。

本人への通知は書面で行い、方法も列挙されています。最後に知られている住所への郵送、最後に知られている電子メールのアドレスへの送信、自社サイトの目立つ位置への掲示、報道機関での公表、そして規制官が指示する方法です*1。

中身の要件が、実務では重いところでしょう。通知は本人が身を守る措置を採れるだけの十分な情報を含まなければならず、具体的には、起こりうる結果の説明、責任を負う当事者が採る予定または既に採った措置の説明、本人が採るべき措置の推奨、そして分かっていればアクセスまたは取得した権限のない者の身元です*1。

この四点目まで書けるかどうかは、調査の深さに左右されます。ログの保存とローテーションの設計が短すぎると、誰がどこから入ったのかを再現できません。

越境移転の五つの根拠

日本へデータを持ってくる場面で問われるのが第72条です*1。

南アフリカ国内の責任を負う当事者は、外国にいる第三者へ個人情報を移転してはならない、というのが原則です*1。例外として、五つの根拠が挙げられています。

第一に、受領する第三者が、適切な水準の保護を与える法律、拘束的な企業準則、または拘束力のある合意に服している場合です*1。その保護は、POPIAの条件と実質的に同様の原則を実効的に守るものであり、かつ、受領者からさらに外国の第三者へ移転する場面についても、この条文と実質的に同様の規定を含んでいる必要があります*1。

残る四つは、本人の同意、本人と責任を負う当事者との契約の履行または契約前の措置に必要な場合、本人の利益のために責任を負う当事者と第三者の間で結ばれた契約の締結や履行に必要な場合、そして本人の利益のためであって同意を得ることが合理的に実行可能でなく、可能であれば同意が与えられたであろう場合です*1。

拘束的な企業準則の定義も置かれました。企業グループ内の個人情報の処理方針であって、同じグループ内の外国にいる相手へ移転する際に、グループ内の責任を負う当事者やオペレーターが遵守するものを指します*1。グループとは、支配する企業と支配される企業の集まりです*1。

構造としては、GDPRの越境移転で扱う根拠の整理と似ています。ただし細部は異なるため、ひとつの契約書でどちらも満たそうとする前に、条文の書き分けを確認しておく必要があります。トルコの越境移転やブラジルのLGPDとも、根拠の並びは同じではありません。

制裁——1,000万ランドと、刑事責任

執行の重さも確かめておきます*1。

行政上の制裁金については、第109条に規定があります。規制官は、違反したとされる者へ違反通知を交付でき、その通知に記載する行政上の制裁金の額は1,000万ランドを超えてはならないとされました*1。通知を受けた側は、交付から30日以内に、制裁金を支払うか、分割払いの取り決めを規制官と行うか、裁判で争うことを選ぶかを決めます*1。

金額を決める際に考慮される要素も、八つ列挙されています。関係する個人情報の性質、違反の期間と範囲、影響を受けた、または影響を受けうる本人の数、違反が公共の重要性に関わるか、実質的な損害や苦痛が生じる可能性、責任を負う当事者や第三者が違反を防げたか、リスク評価を行わなかったこと、あるいは個人情報を守るための適切な方針・手順・実務を運用しなかったこと、そして過去に違反を犯したことがあるかです*1。

七つ目に注目したいところです。リスク評価の不実施や、方針と手順の不備そのものが、金額を押し上げる要素として名指しされています*1。第19条の四つの動きを回していたかどうかが、制裁の場面で効いてくる構造になっています。

刑事責任の側も定められています。情報オフィサーは、PAIAに基づく一定の行為について有罪判決を受けうる立場です*2。アクセスの権利を否定する意図で記録を破壊、毀損、改変、隠匿し、または偽造した場合は、罰金または2年以下の拘禁*2。故意または重大な過失によりPAIAの定める義務に従わなかった場合も、罰金または2年以下の拘禁とされています*2。執行通知に従わなかった場合は、罰金または3年以下の拘禁、あるいはその双方です*2。

受託・システム側で押さえる要点

南アフリカに拠点があるなら、いま確かめられることを順に挙げます。

第一に、現地の情報オフィサーが登録されているかを確かめることです。域外に本拠を置く企業は、国内にいる者へ権限を与える必要があります*2。子会社ごとの登録も要件です*2。まず、登録の有無と、権限付与が書面で残っているかを見ます。

第二に、第19条の四つの動きを記録として残すことです。特定、確立、検証、更新*1。とくに検証を行った事実は、制裁金の判断でも参照される要素につながります*1。

第三に、委託先との契約に安全管理の条項を入れることです。第21条は、書面による契約でオペレーターに第19条の措置を確立・維持させることを求めます*1。既存の契約に該当する条項があるかを確かめます。

第四に、侵害を検知してから一報までの経路を決めることです。オペレーターは直ちに委託元へ通知する義務を負います*1。受託側にとっては、検知の仕組みだけでなく、誰がいつ誰に伝えるかまでが要件になります。

第五に、通知に書ける材料を持つことです。本人への通知には、起こりうる結果、採る措置、本人が採るべき措置、そして分かっていれば侵入者の身元まで含めることとされています*1。後者を書けるかどうかは、記録の粒度と保存期間で決まります。

受託で進める場合の注意点も挙げておきます。

法人の情報も対象になりうる前提で設計することです。個人情報の定義には、識別可能な既存の法人が含まれうるとされています*2。取引先の情報を個人情報の枠外だと決めてかかると、範囲を取り違えます。

開示請求への備えも同時に行うことです。情報オフィサーはPAIAの窓口でもあります*2。自社が保有する記録を第三者から求められる場面が想定されるため、何をどこに持っているかの一覧が、守る側と出す側の両方で使われます。

他国の制度と台帳を共有することです。台湾の個人資料保護法やEUの執行手続でも、説明のための記録が問われます。国ごとに別の台帳を立てると、同じ情報を何度も集めることになります。

体制としては、現地の実務と情報システムの設計の両方を追える要員が入れるかが分かれ目になります。登録と契約と記録。この三つが揃っているかは、事案が起きる前に確かめておきたいところです。

まとめ：南アフリカPOPIAで押さえる3つの視点

南アフリカの個人情報保護法（POPIA、2013年法律第4号）は、公的機関と民間の双方が扱う個人情報の保護を進める法律で、独立した情報規制官が遵守を監視し執行します。規制官は情報アクセス促進法（PAIA）も所管しており、情報オフィサーという役職は双方にまたがる立場です。押さえたい視点は三つあります。第一に、入口の手続です。域外に本拠を置く多国籍企業の情報オフィサーは、南アフリカ国内にいる者を情報オフィサーとして書面で権限付与しなければならず、企業グループの各子会社はそれぞれ自社の情報オフィサーと副情報オフィサーを規制官へ登録します。権限を与えられる者は管理職以上であるべきとされました。第二に、安全管理です。第19条は、リスクの特定、保護策の確立、実装の定期的な検証、そして新しいリスクや不備に応じた更新という四つの動きを求めます。委託先については、書面による契約で同じ措置を確立・維持させ、侵害を知ったときは直ちに委託元へ通知させることが条文で定められています。第三に、執行です。行政上の制裁金は1,000万ランドを上限とし、金額の判断ではリスク評価の不実施や方針の不備も考慮されます。通知を受けた側は30日以内に対応を選びます。

よくある質問

出典

1. *1　参考：南アフリカ 情報規制官「Protection of Personal Information Act 4 of 2013」（2013年11月26日官報）（https://inforegulator.org.za/wp-content/uploads/2025/08/PROTECTION-OF-PERSONAL-INFORMATION-ACT-4-OF-2013.pdf）。法律の目的と情報規制官の設置、第19条の安全管理措置と四つの動き、第20条・第21条のオペレーターに関する義務と書面契約および直ちにの通知、第22条の侵害通知の相手と時期と方法と記載事項、第72条の越境移転の五つの根拠と拘束的な企業準則の定義、第109条の1,000万ランドを上限とする行政上の制裁金と30日の選択および八つの考慮要素の一次情報として（2026年8月確認）
2. *2　参考：南アフリカ 情報規制官「Guidance Note on Information Officers and Deputy Information Officers」（2021年4月1日）（https://inforegulator.org.za/wp-content/uploads/2025/07/Guidance_Note_on_Information_Officers_.pdf）。情報オフィサーの定義と個人情報の範囲、民間の団体における情報オフィサーの特定、域外に本拠を置く多国籍企業が国内の者へ権限付与する義務、グループ各子会社の登録義務、書面による権限付与と撤回・修正および責任の所在、管理職以上という水準、第55条に基づく職務、PAIAに基づく刑事責任と罰則の一次情報として（2026年8月確認）

Tweet