ペルー「個人データ保護大要」 / 積極的責任と予防的義務の体系化 雑感

（参考）ペルーAI法規則

Ⅰ　南米におけるデータ保護規制の実務的展開

　ペルー法務・人権省（Ministerio de Justicia y Derechos Humanos）が2025年12月に発行した「個人データ保護大要――規範及び関連する解釈基準」（Compendio sobre Protección de Datos Personales: normativa y criterios interpretativos relevantes）の公式第1版を確認した〔注1〕。本大要は、ペルーの個人データ保護法である法律第29733号（Ley de Protección de Datos Personales。以下「LPDP」）と、2024年11月30日に公布され2025年3月30日に施行された新規則を定めた最高政令第016-2024-JUS号（以下「新規則」）、および国家個人データ保護庁（Autoridad Nacional de Protección de Datos Personales。以下「ANPD」）が2022年から2025年にかけて発出した解釈基準を一元的に整理した文書である〔注2〕。

　データ保護法制の議論が理念的な権利宣言にとどまらず、現場の実務担当者が依拠すべき具体的な判断基準の提示へと移行している実態を観察するため、本資料について検討する。

1　積極的責任によるコンプライアンスの事前化

　新規則の導入に伴う最大の変更点は、データ管理者に対する積極的責任（responsabilidad proactiva）の明定である。従来のペルーにおけるデータ保護の法執行は、2013年の旧施行規則（D.S. N° 003-2013-JUS）のもとで、侵害が発生した後に制裁を科す事後的な構造に依存していた。新規則はこの力点を移動させ、データの取扱者が自発的にリスクを評価し、法令遵守を実証できる体制を恒常的に維持する予防的義務を課している。

　その具体的な表れが、行動規範（códigos de conducta）とデータ保護影響評価（Evaluación de impacto relativo a la protección de datos personales）の制度化である。新規則第59条は、行動規範を積極的責任を実証する手段（mecanismo de responsabilidad proactiva）と明確に位置づけたうえで、業種横断的又は業種別の行動規範の策定を奨励する。新規則第40条が導入したデータ保護影響評価は、とりわけ機微データの処理、プロファイリング目的のデータ処理、脆弱な立場にあるデータ主体（児童・先住民族・障害者）のデータ処理、及び大量データ処理がある場合に事前のリスク評価を求めるものであり、リスク評価の参照規格としてNTP-ISO/IEC 27005及びNTP-ISO 31000を明示している（第40条第2項）。これらは、法規範を形式的になぞるだけでなく、管理者が自らのデータ処理活動について説明責任を負う仕組みへの転換と理解される。

　制裁制度の側にも積極的責任への誘引が埋め込まれている。新規則第125条は、行政処分手続の開始前に行動規範又はデータ保護影響評価を適正に実施していたことを責任減軽事由として明記した。処分後の是正措置ではなく、処分前の予防的取組みに対して制度上の利益を付与する設計は、積極的責任の実質化を図る手法として理にかなっている。

2　新規則がもたらす規律の拡張

（1）機微データ概念と「神経データ」

　新規則第III条第6号は、機微データ（datos sensibles）の定義を拡張し、従来の遺伝情報や生体認証情報に加えて、「神経データ」（datos neuronales）及び「道徳的又は感情的データ」（datos morales o emocionales）を機微データに含めた。脳活動から取得される情報を法令上の機微データとして位置づける規定は、ラテンアメリカではチリが2024年に憲法改正で「神経権」（neuroderechos）を明記した動きと並んで比較法上注目されるが、ペルーは法律改正によらず施行規則レベルでこの組込みを行った点で手法が異なる。AI技術の発展に伴い、ブレイン・コンピュータ・インターフェースを通じた神経データの商業利用が現実味を帯びるなかでの立法的対応である。

（2）自動的意思決定と「客観的処理を受ける権利」の射程拡大

　LPDP第23条は、「客観的処理を受ける権利」（derecho al tratamiento objetivo）として、データ主体に対し、人格又は行為の特定側面を評価するためのデータ処理に「のみ基づく」（sustentada únicamente）法的効果を伴う決定に服さない権利を保障していた。新規則第87条はこの権利を具体化するにあたり、対象を「自動的であるか否かを問わず」（automatizadas o no）法的効果、差別、又は著しい影響を生じさせる決定にまで拡大している。EU一般データ保護規則（GDPR）第22条が「もっぱら自動化された処理に基づく決定」に対象を限定しているのに対し、ペルーの新規則は人の関与がある場合であってもデータ主体の権利保護を及ぼす点で、より広い射程を有する。

　この規律の実効性を担保する仕組みとして、新規則は事前と事後の二段構えを採用する。事前の段階では、新規則第6条第1項第8号が、同意取得の際に自動的意思決定の存在を含むプロファイリングの有無及びその帰結について情報提供すべきことを定める。事後の段階では、新規則第87条第2項が、データ主体が関与しない意思決定過程においてデータが処理された場合に、データ管理者がデータ主体に対して速やかにその旨を通知する義務を課す。

　もっとも、LPDP第23条自体が「のみ基づく」としている文言を、新規則が「自動的であるか否かを問わず」と拡張した点については、法律の授権範囲を施行規則が超えていないかという疑義が生じうる。LPDP第23条の趣旨が人格評価に基づく機械的な決定からデータ主体を保護することにあるとすれば、新規則はその保護目的を具体化したと読む余地はある。しかし、この点は今後のANPDの運用及び司法判断を待つ必要があると思われる。

（3）プロファイリングと域外適用

　新規則第III条第11号はプロファイリング（elaboración de perfiles）を定義し、第VI条第3号第2項は、ペルー領域内のデータ主体の行動分析やプロファイリングを行う外国事業者にもペルー法の適用を及ぼすことを明定した。GDPR第3条第2項(b)と同型の規律であり、ペルー市場向けにAIベースの行動分析サービスを提供する外国事業者は、ペルーのデータ保護法制の遵守が求められることになる。

（4）セキュリティインシデント通知の48時間ルール

　新規則第34条は、データ管理者に対し、個人データのセキュリティインシデントをANPDに最長48時間以内に通知する義務を課す。GDPRの72時間ルールよりも短い期限を設定した点は、ペルーの立法者がインシデント対応の迅速性に高い価値を置いていることを示す。

Ⅱ　抽象的規範と具体的事案の接合――解釈基準の公開

　法規範は必然的に抽象性を帯びるため、現実のデータ処理環境に適用する際、データ管理者の側には常に不確実性が生じる。本大要の後半部分を占めるANPDの解釈基準意見（opiniones consultivas）は、その懸隔を埋める機能を果たしている。

1　データ処理の同意とインフォームド・コンセントの峻別

　意見書第027-2022号は、医療機関における個人データの処理に関する同意について、LPDP上のデータ処理の同意と医療法上のインフォームド・コンセントとが異なる法的概念であることを明確にした〔注3〕。データ保護法上の同意はあくまで個人データの処理に対する承諾であり、医療行為についてのインフォームド・コンセントは医療行為そのものに対する承諾であって、両者の目的と要件は異なる。AI搭載の医療機器やデジタルヘルスの文脈においては、データ処理の同意と医療行為の同意が実務上混同されやすいだけに、この峻別は有用である。

2　職場における監視ソフトウェアと同意免除の限界

　意見書第035-2022号は、児童ポルノ犯罪の予防を目的として従業員に支給するPCに検知ソフトウェアを導入する場合のデータ処理について検討した〔注4〕。結論として、当該処理は労働契約の履行に付随する使用者の管理監督権限の範囲内として、LPDP第14条第5号に基づき同意を不要とされた。一方で、当該ソフトウェアの存在とその作動条件、処理されるデータの内容について、従業員への明確な情報提供義務があるとされている。この判断は、同意免除が認められる場面であっても情報提供義務が免除されるわけではないことを示す点で、職場におけるAI監視ツールの適法性を検討する際の枠組みを提供する。ただし、ANPDは本意見の射程が児童ポルノ防止という限定された目的に限られ、使用者の指揮命令権を根拠とするあらゆる監視措置を正当化するものではないことを明言している。

3　ビデオ監視とハラスメント防止の比例原則

　意見書第07-2022号は、学内でのセクシャルハラスメントの告発を受けた教育機関が教室にビデオ監視カメラを設置する場合について、繰り返しの告発又は合理的な疑いが存在する状況下では比例原則を充たすとして、適法性を認めた〔注5〕。ビデオ監視によるデータ収集が個人データの処理にあたることを前提としつつ、データ主体の権利保護とハラスメントからの保護という二つの法益の均衡を具体的な事実関係に即して判断する姿勢が読み取れる。

4　公的アクセス可能情報源の限界　移民情報登録簿

　意見書第001-2024号は、移民情報登録簿（Registro de Información Migratoria）に含まれるデータが公的アクセス可能情報源（fuentes accesibles para el público）にあたるかを検討した〔注6〕。結論として、移民情報登録簿は新規則第11条が列挙する情報源にも含まれず、これを公的アクセス可能情報源と認める法律上の根拠もないとして、当該データの処理にはLPDP上の制限が及ぶと整理された。行政機関が保有するデータが公的アクセス可能であるか否かは、当該データのセンシティビティと利用目的に応じて個別に判断される必要があるという原則を確認した判断である。

　行政当局が自らの解釈を体系的に公開することは、データ管理者にとって適法な体制を設計する際の直接的な指針となる。プライバシーの保護と他の社会的利益との均衡をいかに図るかという問いに対し、規制当局が具体的事案に即した判断枠組みを提示することは、実務上のコンプライアンス費用を低減させる。条文を並べるにとどまらず、解釈基準を便覧として統合するペルー法務・人権省の手法は、法制度の予見可能性を高めるうえで合理的であると筆者は考える。

Ⅲ　ラテンアメリカのデータ保護法制のなかで

　ペルーの新規則をラテンアメリカのデータ保護法制の動向に位置づけると、固有の特徴が浮かぶ。ブラジルのLGPD（2018年制定・2020年施行）がGDPR型の包括的データ保護法制をラテンアメリカに持ち込み、アルゼンチンはEU十分性認定を受けた長い実績を有し、チリは2024年にデータ保護庁の設置と「神経権」の憲法明記という独自路線を採った。ペルーの手法は、2011年のLPDPという既存の法律を維持しつつ、施行規則の全面改廃によってGDPR水準に接近するものである。法律本体の改正を経ずに施行規則で制度の近代化を図ることには、法律改正に伴う政治的コストの回避と対応の迅速化という利点がある反面、先に述べた第87条のように法律と施行規則との間の整合性をどこまで維持できるかという問いは残る。

　もう一点注目されるのは、新規則が定めるデータ保護責任者（Oficial de datos personales）の設置義務の段階的適用である。年間売上高2,300 UIT超の大企業には新規則公布から1年以内の設置が義務づけられる一方、年間売上高150 UIT以下の零細企業には4年の猶予が与えられている（補充最終規定第1条）〔注7〕。GDPRがデータ保護責任者の設置に猶予期間を設けなかったのとは対照的に、経済規模の格差を考慮した段階的履行の仕組みを採用した点は、発展途上の経済圏における法規制の実効性を確保するうえでの工夫として理解される。

Ⅳ　むすびにかえて

　ペルーにおける新たな個人データ保護枠組みは、データ管理者に対する予防的義務の強化と、解釈基準の明文化を通じた予測可能性の向上という方向性を示している。積極的責任を制度の中軸に据えつつ、機微データの範囲拡張、自動的意思決定に対するGDPRより広い規制射程、48時間のインシデント通知期限という具体的な規律において、ラテンアメリカのデータ保護法制がGDPRの後追いにとどまらない姿が見える。

　技術の発展がもたらす未知のリスクに対し、法制度がいかに適応し基本的人権を保護していくのか。データ管理者に積極的責任を課しつつ、その運用基準を具体的な事例に即して公開するアプローチは、アジア太平洋地域を含む他国の法制度の設計を分析するうえでも比較検討の対象となりうると筆者は解する。詳細は、上記原典をご確認いただきたい。何かの考えるきっかけになれば幸いである。

他の国のAIガバナンス動向についても網羅的にまとめている。目次を活用ください。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。