データ保護法1998

1998年データ保護法第1条では、「個人データ」を生存する個人を特定できる情報と定義した。これには、氏名、住所、電話番号、電子メールなどの詳細が含まれる。同法は、電子的に保存されたデータ、または「関連ファイリングシステム」に保存されたデータに適用され、関連ファイリングシステムとは、個人情報を容易に検索できる整理された紙の記録を指す。^{[ 16 ]}

この法律は、顧客データベースをフォルダに整理するなど、個人情報に容易にアクセスできるような方法で整理された紙文書も対象としていた。つまり、企業はデータがデジタル化されていないと主張して法令遵守を免れることはできなかった。

2000年情報公開法は、後にDPAと連携して、人々が公的機関が保有するデータにアクセスできるようにした。一方、デュラント対金融サービス機構事件は、「個人データ」という用語がどのように使用され、解釈されるべきかを明確にした。^{[ 17 ]}デュラント事件では、個人の名前の言及すべてが個人データに該当するわけではなく、その情報が真にその個人に関するものであるか、何らかの形でその個人のプライバシーに影響を与えたり、暴露したりするものでない限り、個人データには該当しないと判決が下された。これは定義を絞り込むのに役立ち、英国のデータ保護の歴史の中で最も引用される判例の1つとなった。

同法の付則1には8つの保護原則が列挙されている。これらの原則は、データは公正、合法、かつ安全に取り扱われなければならず、その本来の目的と矛盾する方法で使用されてはならないことを要求している。^{[ 18 ]}

1. 個人データは公正かつ合法的に処理されなければならない。
2. それは、正当かつ合法的な目的のためにのみ取得されなければならない。
3. それは適切で、関連性があり、過剰であってはならない。
4. 正確かつ最新の状態に保たれていなければならない。
5. 情報は不必要に長期間保管すべきではない。
6. それは個人の権利に従って処理されなければならない。
7. 不正アクセス、紛失、または損傷から保護されなければならない。
8. 適切な保護措置なしに欧州経済領域外へ移転してはならない。

これらの原則は英国のプライバシー法の基礎であり、2018年データ保護法およびGDPRに基づく現行の規則にも影響を与え続けている。^{[ 19 ]}これらの原則は、個人データの収集には、それを保護する法的責任も伴うことを明確にした。これらの考え方の多くは後にGDPRの下で6つのコア原則に簡略化されたが、1998年法の元の構造は、公平性と説明責任に対する明確な期待を設定するのに役立った。^{[ 20 ] [ 21 ]}

同法は、特定の例外が適用されない限り、すべての個人データの処理がその規則の対象となることを規定した。^{[ 3 ]}同法の第IV部に記載されているこれらの例外により、必要に応じて特定の活動がデータ保護原則の一部または全部を回避することが可能になった。^{[ 35 ]}

• 第28条 – 国家安全保障。国家安全保障の目的で行われる処理は、8つのデータ保護原則すべて、ならびに第II部（データ主体のアクセス権）、第III部（通知）、および第V部（執行）から免除される。^{[ 36 ]}
  • この例外規定は、規則を全面的に適用するとセキュリティ調査に支障をきたす可能性がある、限られた状況においてのみ適用された。
• 第29条 – 犯罪と課税。犯罪の防止または発見、犯罪者の逮捕、または税金の査定および徴収に使用される個人データは、最初のデータ保護原則の適用対象外とされた。
  • これは、法執行機関が、犯罪捜査や税務関連の義務を直接的に支援する情報であれば、同意なしに要求または使用できることを意味していた。
• 第36条 – 家庭内目的。個人の家族または家庭内活動のみに使用される個人データは、すべてのデータ保護原則および法律の正式な通知規則から免除される。
  • 一般的な例としては、個人の住所録、自宅の写真コレクション、あるいは業務や職業上の用途とは関係のない私的な通信などが挙げられる。

これらの例外規定は、個人のプライバシーとより広範な公共の利益とのバランスを取るように設計されました。これにより、この法律が国家安全保障業務や犯罪捜査などの重要な活動を妨げないようにしつつ、日常的な個人データが不必要に悪用されるのを防ぐことができました。^{[ 37 ]}

この法律は、個人データの取り扱いまたは要求に関して、警察や裁判所に特定の権限を与えた。

• 第29条では、犯罪の防止や発見、犯罪者の訴追、または税金徴収義務の履行のために情報が処理される場合、データ主体の同意は必要ないとされていた。^{[ 38 ]}
  • これは、警察が捜査に関連する場合、電話記録や財務情報などのデータを入手できることを意味する。また、裁判所は法的手続きに必要な場合、記録の開示を命じることもできる。
• 第35条では、法律または裁判所命令により必要とされる場合にデータの共有が認められた。これにより、法的プロセスがデータ保護の主張によって妨げられることがなくなった。^{[ 39 ]}
  • これらの権限が与えられたとしても、公的機関は機密性を保護することが求められた。これらの条項に基づいて共有されたデータは、安全に保管され、明示された目的のみに使用されなければならなかった。その後、情報コミッショナーオフィス（ICO）は、法執行機関がこれらの規則を公平に適用できるよう支援するためのガイダンスを公表した。

この法律は、データの不正使用に対する民事および刑事上の複数の違反行為を規定した。これらは主に、情報を無責任に扱った組織または個人に適用された。

• 第21条(1)は、適切な登録なしに個人データを処理することを犯罪とした。^{[ 40 ]}
• 第21条(2)項は通知要件に従わなかった場合に罰則を科した^{[ 40 ]}
• 第55条は、許可なく個人データを取得または開示することを違法とし、ハッカー、なりすまし犯、許可なくファイルにアクセスした従業員などが対象となった。^{[ 41 ]}
• 第56条では、採用または雇用調査中に犯罪歴を明らかにするための情報開示請求を強制することを犯罪行為とした。^{[ 42 ]}この規則は2015年3月10日に施行された。

これらの違反のほとんどは罰金刑で処罰されるが、重大な違反や繰り返しの違反はより強力な法的措置につながり、組織の評判を損なう可能性がある。多くのケースは情報コミッショナーからの公的な警告や裁判所命令で終わった。^{[ 43 ]}

これらのセクションでは、DPAが単なる勧告ではなく、実際の法的効力を持つことが強調されました。^{[ 44 ]}組織はデータ保護を真剣に受け止めていることを示さなければ、刑事責任を問われるリスクがありました。実際には、多くの企業は当初、自社の義務を理解するのに苦労しました。^{[ 45 ]}その後、トレーニング プログラムやコンプライアンス 監査が罰則を回避する一般的な方法となりました。

1998年データ保護法は、特に法務チームや技術チームを持たない小規模組織にとっては非常に複雑であることが知られていました。多くの人がその文言を理解するのが難しいと感じ、規則が日常的な状況でどのように適用されるかが必ずしも明確ではありませんでした。^{[ 46 ] [ 47 ]}

当初、企業や公的機関は「個人データ」とは何か、また情報をどのくらいの期間保持できるかについて誤解することが多かった。一部の組織は、公開されている情報の共有を拒否する理由としてこの法律を利用することさえあり、当時のガイダンスがいかに混乱を招くものであったかを示している。^{[ 48 ] [ 49 ]}情報コミッショナー事務局は後に、組織が規則を正しく遵守できるよう、簡略化された説明と例を公表した。これらのガイドは、一般市民とのより明確なコミュニケーションと、より良い記録管理慣行を奨励した。

時が経つにつれ、特に学校、病院、地方議会において、研修会やコンプライアンスチェックがより一般的になった。^{[ 50 ]}これらの取り組みは、法律への認識を高めるのに役立ったが、同時に、多くのグループにとって変化するプライバシーの期待に追いつくことがいかに困難であるかをも示した。

同法では、個人データとは、データ単独で、または他の情報と組み合わせることで識別できる生存する個人に関する情報を指す。例としては、氏名、住所、電話番号、財務情報などが挙げられる。^{[ 51 ]}

この法律は、特別な保護を必要とする機密性の高い個人データも認識していた。これには、個人の人種や民族的背景、政治的見解、宗教的信条、労働組合への加入、健康記録、性的生活、犯罪歴に関する情報、つまり個人を特定する以上のあらゆる情報が含まれていた。^{[ 52 ]}

デュラント対金融サービス機構事件では、個人データの意味が狭められ、単に名前をさりげなく言及するだけでは不十分で、その情報は個人と密接に関連していなければならないとされた。^{[ 53 ]}この判決は、組織が法律を解釈する方法に数年間影響を与えた。^{[ 54 ]}

これらの定義は、より多くのデータが電子的に保存されるようになるにつれて重要になった。これらは、特に職場、医療、政府機関において、一般的な情報とより強力な保護を必要とする詳細情報との違いを確立するのに役立った。^{[ 50 ]}

この法律の最も重要な部分の一つは、データ主体と呼ばれる個人に与えられた一連の権利でした。これらの権利により、人々は自分の個人情報がどのように使用されているかを理解し、管理できるようになりました。

個人情報開示請求（SAR）：

• 第7条に基づき、個人は組織が保有する自身の情報を確認するために、個人情報開示請求（SAR）を行うことができた。企業は通常、定められた期間内に回答する必要があり、特定のケースでのみ少額の手数料を請求することができた。SARは、誤りのチェック、意思決定プロセスの理解、個人データが他者と共有されたかどうかの確認などに広く利用された。これは、職場、医療現場、オンラインサービスにおいて、人々がプライバシーを保護するための重要な手段となった。

本法に基づくその他の権利

個人には、以下のような追加の権利もいくつかあった。

• 誤ったデータの訂正を求める権利（第14条）。^{[ 55 ]}
• 損害や苦痛を引き起こす可能性のある処理を停止する権利（第10条）。^{[ 56 ]}
• ダイレクトマーケティングのためのデータ利用を阻止する権利（第11条）。^{[ 57 ]}
• データの不正使用により損害を受けた場合、補償を請求する権利（第13条）。^{[ 58 ]}

これらの権利は、企業が大量のデジタルデータを収集していた時代に、人々が自分の情報をよりコントロールできるようにしました。ICOが処理した初期の苦情の多くは、不正確な記録、望まないマーケティングメッセージ、または不明瞭なプライバシー通知に関するものでした。GDPRと2018年データ保護法が施行された後、これらの権利のいくつかは拡大または強化されましたが、その基礎は1998年データ保護法に遡ります。^{[ 59 ]}

情報コミッショナー事務局（ICO）は、1998年データ保護法の監督と執行を担当していました。^{[ 60 ]} ICOは、ガイダンスを提供し、一般からの質問に答え、組織が個人データをどのように扱っているかについての苦情を調査し​​ました。^{[ 61 ]}

多くの苦情は、記録の不正確さ、迷惑なマーケティング、不明瞭なプライバシー通知といった問題に関するものでした。一般市民と企業双方を支援するため、情報コミッショナーオフィス（ICO）は、法律の遵守方法を説明する実践的なガイドと事例を公開しました。

ICOはまた、データ処理方法を通知することが法的に義務付けられている組織をリストアップしたデータ管理者の公開登録簿も維持していた。^{[ 62 ]}登録を怠ったり、基本的な義務に従わなかったりすると、警告や罰金が科せられる可能性がある。^{[ 63 ]}

学校、企業、医療現場でのデータ利用が増加するにつれて、ICOは個人情報の偶発的な損失や不正アクセスを減らすために、より強力なセキュリティ対策を奨励した。^{[ 64 ]}

第29条作業部会は、EU加盟各国のデータ保護機関の代表者で構成される欧州諮問グループでした。^{[ 65 ]} 1995年データ保護指令の解釈を支援する意見やガイダンスを発行し、同意、公平性、国際データ転送に関する規則の適用方法についても示しました。^{[ 66 ] [ 67 ]}その意見は、特に法律の文言が不明確な分野において、英国における1998年データ保護法の理解を形成するのに役立ちました。英国の組織は、法律の要件を満たす方法を決定する際に、これらの文書に頼ることがよくありました。

作業部会は後に、指令に代わる一般データ保護規則（GDPR）への準備においてEU諸国を支援した。 ^{[ 68 ]} GDPRが2018年に施行されると、DPA 1998は廃止され、データ保護法2018に置き換えられた。^{[ 69 ]}

1998年の法律は現在では効力を持たないものの、現代の英国プライバシー法の基礎を築き、今日まで続く多くの概念を導入した。