LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

台湾の個人資料保護法が、大きく変わりました。2025年11月11日に総統令で公布された改正です*1。

改正された条文は第1-1条、第12条、第18条、第21条、第22条から第26条まで、第41条、第47条から第49条まで、第52条、第53条、第55条*1。加えて第1-2条、第20-1条、第21-1条から第21-5条まで、第51-1条、第53-1条と第3章の1が新設され、第27条が削除されました*1。施行日は行政院が定めるとされています*1。

台湾に拠点を持つ企業、台湾へ委託している企業、そして台湾の利用者を持つサービスを運営している企業に向けて、条文から読み取れる変更点を整理します。制度の当てはめは事情によりますので、現地の専門家の確認を経て進めてください。

台湾に拠点がなくても適用されうる

最初に確認したいのが、適用範囲です*2。

第51条第2項は、台湾（中華民国）の域外にある政府機関および非政府機関が、中華民国国民の個人データを収集、処理、または利用する場合にも、この法律が適用されるとしています*2。

拠点の所在ではなく、誰のデータを扱っているかで決まる書き方です*2。台湾向けにサービスを出している、あるいは台湾在住の従業員や取引先の情報を日本側で持っている。そうした構成は、この規定の射程に入りうることになります*2。

適用されない場合も定められています*2。自然人が純粋に個人的または家庭的な活動の目的で個人データを収集・処理・利用する場合、そして公共の場所や公共の活動において映像・音声データを収集・処理・利用し、他の個人データと結びつけない場合です*2。

所管当局も条文で定まりました*2。第1-1条は、この法律の所管当局を個人資料保護委員会（PDPC）としています*2。なお法務部の法規データベース上の所管区分は、本記事の執筆時点では「個人資料保護委員会籌備処（準備室）」と表示されています*2。組織の立ち上げが進行中であることがうかがえます。

個人データを扱う仕組みそのものの設計は、GDPRの越境移転とSCCで扱う論点と重なります。台湾の場合、後述する越境移転の制限が別に置かれている点が特徴です*2。

安全維持措置が全体の義務になった

今回の改正で新設された条文のうち、実装にもっとも近いのが第20-1条です*2。

この条は、個人データファイルを保有する非政府機関が、個人データの窃取、改ざん、毀損、滅失、または漏えいを防ぐための安全維持措置を実施することとしています*2。個人データファイルの安全維持、管理の仕組み、講じるべき措置その他の関連事項に関する規則は、所管当局が定めるとされています*2。

ここで押さえたいのは名宛人の広さです*2。条文は「個人データファイルを保有する非政府機関」としており、業種や規模で絞っていません*2。

従来の制度との関係は、第51-1条が扱っています*2。第22条の第1項および第3項から第7項まで、第23条から第26条まで、第47条から第50条までに定める非政府機関の監督・管理に関する事項について、所管当局の設置の日から6年以内、所管当局は行政院に対し、引き続き中央の業種所管当局・直轄市政府・県（市）政府の管轄下に置く非政府機関の範囲を公告するよう提案するとされています*2。

そして所管当局は、関係当局と2年ごとに協議したうえで、公告された範囲の調整または縮小を行政院に提案することとされています*2。段階的に一元化していく建て付けです*2。

公告された範囲内の非政府機関について、中央の業種所管当局は、個人データファイルの安全維持計画または事業終了後の個人データの処理方法の策定を求めることができるとされています*2。その内容、実施方法または基準に関する規則は、所管当局が第20-1条第2項に基づき定める規則に従って業種所管当局が定めるとされ、より厳しい要件を定めることができるとされています*2。

実務上の含意は明快です。業種によって上乗せがありうるということです*2。金融や医療といった規制業種で台湾側と取引がある場合、共通の規則だけを見ていると足りない可能性があります*2。

漏えいしたときに求められること

第12条が改正され、対応の手順が具体的になりました*2。

政府機関または非政府機関は、保有する個人データが窃取され、改ざんされ、毀損され、滅失し、または漏えいしたことを知ったとき、本人に通知することとされています*2。

そのうえで、定められた報告の範囲に当たる場合、次のように報告することとされています*2。政府機関は、所管当局と、第21-1条第1項に基づき実施状況の報告を受ける当局へ*2。非政府機関は、所管当局へ*2。所管当局は報告を受けたとき、関係する業種の所管当局にも通知するとされています*2。

そして、次の三つが求められます*2。

通知や報告の内容、方法、期限、範囲、対応措置、記録の保存その他の関連事項に関する規則は、所管当局が定めるとされています*2。つまり、期限の日数などの具体は下位規則に委ねられています*2。この点は、規則が出るまで確定しません。

それでも、いま準備できることははっきりしています。「知った」時点を記録できるか、影響範囲を特定できるか、とった措置を後から示せるか。この三つは、規則の内容にかかわらず必要になります。インシデント対応の体制づくりで扱う設計が、そのまま効いてきます。

越境移転にも規定があります*2。第21条は、非政府機関による個人データの越境移転について、次のいずれかに当たる場合、所管当局が制限を課すことができるとしています*2。国家の重大な利益が関わる場合*2。国際条約または協定に定めがある場合*2。データを受け取る国に個人データの保護に関する適切な規律がなく、本人の権利利益が害されうる場合*2。そして、この法律を回避するために第三国（地域）へ越境移転する場合です*2。

禁止が原則ではなく、当局が制限を課しうるという組み立てです*2。制限の命令に違反した場合の過料は、後述のとおり別に定められています*2。

過料の幅と、代表者の責任

制裁の規定も改正の対象になりました*2。

第47条は、非政府機関が次の違反をした場合、所管当局が5万台湾ドル以上50万台湾ドル以下の過料を科し、期限を定めて是正を命じ、是正されるまで反復して科すとしています*2。第6条第1項の違反、第19条の違反、第20条第1項の違反、そして第21条に基づく越境移転を制限する命令または決定の違反です*2。

第48条は、いくつかの層に分かれています*2。第8条または第9条、第10条・第11条・第13条、第12条第1項または通知の内容・方法・期限に関する規則、第20条第2項または第3項の違反については、期限を定めて是正を命じ、期限内に是正されない場合に2万台湾ドル以上20万台湾ドル以下の過料を反復して科すとされています*2。

第12条第2項または第3項、および報告の内容・方法・期限、対応措置、記録の保存に関する規則の違反については、2万台湾ドル以上20万台湾ドル以下の過料を科したうえで、期限を定めて是正を命じ、是正されるまで反復して科すとされています*2。

そして、違反が重大である場合、所管当局は15万台湾ドル以上1,500万台湾ドル以下の過料を科し、期限を定めて是正を命じ、是正されるまで反復して科すとされています*2。桁が二つ変わります*2。

もう一つ、日本の企業が見落としやすい規定があります*2。第50条です*2。

非政府機関の代表者、管理者その他の授権された代表者は、前三条のいずれかの違反について、当該機関に科されたのと同額の過料を科されるとされています*2。ただし、その者が違反を防ぐために相当の注意を払ったことを証明した場合は除くとされています*2。

法人への制裁と個人への制裁が並ぶ構造で、免れるには注意を払ったことを自ら示す必要があります*2。何をもって相当の注意とするかは、結局のところ記録の問題になります。方針を定め、教育を実施し、点検を回した記録があるかどうかです。

損害賠償の規定も見ておきます*2。第28条は、被害者が実際の損害額を証明することが困難または不可能な場合、損害の程度に応じて、1件・1人あたり500台湾ドル以上2万台湾ドル以下の賠償を裁判所に求めることができるとしています*2。同一の事案で多数の本人の権利が侵害された場合、賠償の総額は2億台湾ドルを超えないとされ、ただし当該事案に関わる利益が2億台湾ドルを超える場合は、その利益の額を上限とするとされています*2。

1件あたりの額は小さく見えますが、件数を掛けると規模が変わります。影響を受けた人数を絞り込めるかが、結果に直結する構造です*2。データの持ち方と分割の設計が、そのまま金額に効いてきます。

施行日が決まる前にやっておくこと

この改正の実務上いちばん重要な点は、施行日がまだ定まっていないことです*1。公布は2025年11月11日、施行日は行政院が定めるとされています*1。

過去の例を見ると、この方式では公布から施行まで時間が空くことがあります*1。2010年5月26日に公布された全面改正は、第6条と第54条を除き、行政院の命令により2012年10月1日から施行されました*1。2015年12月30日公布の改正は、2016年3月15日から施行されています*1。

つまり、いまは準備の時間が残されている局面だと読めます。ただし施行日は行政院の判断であり、時期を前提に計画を立てるのは避けるべきです*1。

着手の順序をつけます。

第一に、台湾国民の個人データを持っているかの棚卸しです。拠点の有無ではなく、データの側から確認します*2。従業員、取引先の担当者、サービスの利用者。日本のシステムに入っている分も対象です*2。

第二に、安全維持措置の現状確認です。第20-1条は保有する非政府機関に措置を求めています*2。細目は所管当局の規則に委ねられていますが*2、窃取・改ざん・毀損・滅失・漏えいという五つの類型に対して、いま何をしているかを言語化しておくことです。

第三に、漏えい時の導線です。本人への通知、当局への報告、直ちに有効な対応、事実と影響の記録、記録の保存*2。この五つを回せる状態にしておきます。期限の日数は規則待ちですが、手順は先に作れます*2。

第四に、越境移転の整理です。台湾から日本へデータを持ってきている構成があるなら、第21条が挙げる四つの事由に照らして、制限を受けるリスクがないかを見ておくことです*2。

第五に、業種上乗せの確認です。第51-1条により、公告された範囲の非政府機関には業種所管当局がより厳しい要件を定めうるとされています*2。自社の業種が範囲に入るかは、公告を待つことになります*2。

受託で進める場合の要点も挙げます。

データの所在を図にすることです。域外適用がある以上、「台湾のシステムだけ見ればよい」という整理は取れません*2。日本、台湾、クラウドのリージョン。どこに何があるかを一枚にしておくと、以降の判断が速くなります。

影響人数を出せる設計にすることです。第28条の賠償は人数で効いてきます*2。テーブル設計とログ設計の段階で、影響範囲を絞り込める形にしておくことです。

規則の公表を追う担当を決めることです。通知・報告の期限も、安全維持措置の細目も、所管当局の規則に委ねられています*2。誰が確認し、どこに反映するかを決めておかないと、規則が出たときに動けません。

他の法域と項目を揃えることです。個人データの扱いはインドのDPDP法や韓国の個人情報保護法でも問われます。求められる中身は違いますが、集める元の情報は重なります。共通の台帳を先に決めておくほうが後で楽です。

体制としては、台湾側の実務を知る人と、日本側のシステムを知る人が同じ場にいるかが分かれ目になります。域外適用があるということは、日本のシステムの中身が台湾の法律で評価されうるということです。両方に触れられる要員を置ける委託先かどうかを、選定の観点に入れておくとよいでしょう。

まとめ：台湾の個人資料保護法改正で押さえる3つの視点

台湾の個人資料保護法は2025年11月11日に総統令で公布され、第1-1条や第12条など多数の条文が改正され、第1-2条、第20-1条、第21-1条から第21-5条まで、第51-1条、第53-1条と第3章の1が新設されました。施行日は行政院が定めるとされています。押さえたい視点は三つです。第一に、域外適用があること。第51条第2項は、台湾の域外にある政府機関および非政府機関であっても、中華民国国民の個人データを収集・処理・利用する場合にこの法律が適用されるとしています。拠点の所在ではなく、誰のデータを扱っているかで決まります。第二に、安全維持措置と漏えい対応が具体化したこと。新設の第20-1条は、個人データファイルを保有する非政府機関に、窃取・改ざん・毀損・滅失・漏えいを防ぐ措置の実施を求めています。第12条は、これらを知ったときに本人へ通知し、定められた範囲であれば当局へ報告し、直ちに有効な対応をとり、事実・影響・対応を記録して保存することを求めます。細目は所管当局の規則に委ねられています。第三に、制裁の幅が広いこと。越境移転の制限命令の違反などは5万〜50万台湾ドル、通知・報告義務の違反は2万〜20万台湾ドル、重大な違反は15万〜1,500万台湾ドルとされ、第50条により代表者や管理者にも同額の過料が科されうるとされています。施行日が定まる前のいまが、棚卸しと手順づくりに使える時期です。

よくある質問

出典

1. *1　参考：法務部 全國法規資料庫「個人資料保護法（Personal Data Protection Act）立法沿革」（https://law.moj.gov.tw/ENG/LawClass/LawHistory.aspx?pcode=I0050021）。2025年11月11日に総統令 華総一経字第11400114521号により第1-1条・第12条・第18条・第21条・第22条から第26条・第41条・第47条から第49条・第52条・第53条・第55条が改正され、第1-2条・第20-1条・第21-1条から第21-5条・第51-1条・第53-1条と第3章の1およびその第1節・第2節の見出しが新設され、第27条が削除されたこと、施行日は行政院が定めるとされていること、1995年8月11日の制定と公布日施行、2010年5月26日公布の全面改正が第6条と第54条を除き2012年9月21日の行政院命令により2012年10月1日から施行されたこと、2015年12月30日公布の改正が2016年2月25日の行政院命令により2016年3月15日から施行されたこと、2023年5月31日公布の改正で第1-1条が追加され第48条は公布日から施行されたことの一次情報として（2026年8月確認）
2. *2　参考：法務部 全國法規資料庫「個人資料保護法（Personal Data Protection Act）条文」（https://law.moj.gov.tw/ENG/LawClass/LawAll.aspx?pcode=I0050021）。第1-1条（所管当局は個人資料保護委員会である旨）、第1-2条、第6条（特定の種類の個人データの取扱い）、第12条（漏えい等を知ったときの本人通知、報告先、直ちに有効な対応措置、事実・影響・対応の文書化と記録の保存、細目を所管当局の規則に委ねる旨）、第20-1条（個人データファイルを保有する非政府機関の安全維持措置と規則の委任）、第21条（越境移転に制限を課しうる四つの事由）、第21-1条（政府機関の年次報告）、第28条（実際の損害額の証明が困難な場合の1件1人あたり500台湾ドル以上2万台湾ドル以下、同一事案の総額2億台湾ドルの上限とその例外）、第47条（5万台湾ドル以上50万台湾ドル以下の過料と対象）、第48条（2万台湾ドル以上20万台湾ドル以下の各層と、重大な違反における15万台湾ドル以上1,500万台湾ドル以下）、第50条（代表者・管理者等への同額の過料と相当の注意の証明による除外）、第51条（適用除外の二類型と第2項の域外適用）、第51-1条（所管当局の設置から6年以内の公告、2年ごとの協議と調整、業種所管当局による安全維持計画等の要求とより厳しい要件の許容）、第56条（施行日を行政院が定める旨）の一次情報として。掲載時点の所管区分が「個人資料保護委員会籌備処」と表示されていることもこのページによる（2026年8月確認）

Tweet