個人情報保護委員会事務局

個人情報保護委員会事務局

個人資料私隱專員公署
法定機関の概要
形成された	1996年8月1日 ( 1996-08-01 )
管轄	香港
本部	香港、湾仔、クイーンズロードイースト248、ダーシンファイナンシャルセンター12階。
モットー	個人データのプライバシーを保護し、尊重する
担当大臣	個人情報保護コミッショナー、エイダ・チャン氏
担当副大臣	ファニー・ウォン氏、個人情報保護担当副コミッショナー プライバシーコミッショナー補佐: ジョイス・ライ氏 (企業コミュニケーションおよびコンプライアンス)、 セシリア・シウ氏 (法務、国際問題および調査)、 ビリー・クワン氏 (苦情および犯罪捜査)
重要な文書	個人情報（プライバシー）条例
Webサイト	ホームページ

個人情報保護コミッショナー事務局 (PCPD) は、個人情報(プライバシー) 条例を施行する 香港の法定機関です。

プライバシーコミッショナーは個人のプライバシーを保護する責任を負っている。同局は、個人データプライバシーコミッショナーのエイダ・チャン氏が率いている。^[1]

このオフィスは、苦情処理課、刑事捜査課、コンプライアンスおよび問い合わせ課、法務課、国際問題および調査課、企業コミュニケーション課、企業サポート課など、さまざまな機能ユニットに分かれています。^[2] 調査および執行権限を持ち、組織や一般の人々に対してベストプラクティスやその他のガイダンスを公開しています。^[1] このオフィスは、世界プライバシーアセンブリ（GPA）、APEC越境プライバシー執行取り決め（CPEA）、世界プライバシー執行ネットワーク（GPEN）など、さまざまな多国籍組織のメンバーです。^[3]

個人データのプライバシーの保護と遵守を保証するために、個人データの遵守を奨励し、強制するために、1996 年 12 月に個人データプライバシーコミッショナー (PCPD) が設立されました。

PCPD のビジョンは、個人データに関するプライバシー権を尊重し、擁護する社会を育成することです。まず、PCPD は、広報活動や教育活動を通じて、個人データのプライバシーに関する市民の意識を高め、啓発することを目指しています。次に、PCPD は、提案やガイドラインを提供することで、個人データの合法的かつ責任ある使用を促進します。最後に、PCPD は、コンプライアンスを熱心に監視および監督するために、効果的な施行手段を使用します。最後に、PCPD は、個人データのプライバシー保護に関する世界標準に合わせるために、継続的に見直しと改善を行っています。

PCPD は、個人データのプライバシー、誠実さ、技術の進歩の受け入れ、独立性の尊重などの中核的な価値観に基づいて機能します。PCPD は中核的な価値観を堅持することで、その行動と決定において専門性と公平性を提供します。

したがって、PCPD は、その中核的な価値と目的を達成するために、さまざまな重要な分野で計画と戦略を策定しました。PCPD は、他の規制当局やデータ保護機関と協力して、国境を越えたプライバシーの懸念を管理し、公平性と公正性を確保するために苦情を効率的に解決します。また、PCPD はコンプライアンスを監視および監督し、重大なプライバシー リスクを積極的に調査し、組織のデータ ユーザーが中核的な価値を満たすのを支援します。

PCPD は、1996 年 8 月 1 日に設立された独立した法定機関であり、その設立を承認し、1996 年 12 月 20 日に発効した法定要件に対応しています。PCPD の前身は「法制改革委員会のプライバシー小委員会」です。「プライバシー コミッショナーの概要 1999-2000」によると、小委員会の設立は 1980 年代初頭の「OECD プライバシー ガイドライン」に影響を受けました。^[4]このガイドラインでは、マイケル カービー判事が個人データの取り扱いに関する重要な原則を示し、香港の初代プライバシー コミッショナーから OECD (経済協力開発機構) の個人データ保護原則の「父」とみなされました。^[5]

1989年から、小委員会は香港の法律の見直しを行い、個人のプライバシーを不当な干渉から保護するための勧告を行った。この見直しプロセスは、1995年8月3日の個人情報（プライバシー）条例の制定で最高潮に達した。1996年初頭、小委員会は、私有地の合法的占有者の同意なしに監視装置を設置したり使用したりすることを犯罪とするなど、違法な監視活動に対処するための措置を提案する諮問文書を発表した。^[6]

1997年、スパム電話、ピンホールカメラ、不正な録音などの問題をめぐる議論は、個人データが不正または偶発的なアクセス、処理、消去、紛失、または使用のリスクにさらされる可能性があるという認識につながりました。この認識により、小委員会の焦点は、ビジネス部門における不公正なデータ収集慣行の防止、正当な収集手段と目的、データの正確性と保持、データの公開性とセキュリティ、データへのアクセスと修正などの原則の確保、個人データの保護と尊重の文化の促進にまで拡大されました。^[6]

その結果、データ収集の目的と方法、データの保持、データへのアクセスと修正、個人データの開示と転送、およびそのようなデータの適切な使用に関する要件がすぐに導入されました。PCPDの役割には、これらの規定を施行し、個人データ（プライバシー）条例の遵守を促進することが含まれますが、これには公共機関、ビジネス部門、日常生活におけるデータの収集が含まれますが、これに限定されません。^[7]

プライバシーコミッショナーは香港行政長官によって任命され、行政長官に対して責任を負う。コミッショナーの主な責任は、条例に定められた規制の遵守を監督し、確保することである。これらの責任には、苦情の調査、ガイドラインや行動規範の発行による指導の提供などが含まれる。証券先物委員会（SFC）の最高経営責任者と同様に、プライバシーコミッショナーは他の法定機関とは異なり、香港特別行政区政府内の主要職員の地位に就くことなく、犯罪捜査と執行の法定権限を持つ委員会を率いている。^[8]

個人データ担当副プライバシーコミッショナーはファニー・ウォン氏です。3人のアシスタントプライバシーコミッショナーは、ジョイス・ライ氏（企業コミュニケーションおよびコンプライアンス）、セシリア・シウ氏（法務、国際問題および調査）、ビリー・クワン氏（苦情および犯罪捜査）です。

PCPDはプライバシーコミッショナーが率いる独立した法定機関であり、苦情処理部門、犯罪捜査部門、コンプライアンスおよび問い合わせ部門、法務部門、国際問題および調査部門、企業コミュニケーション部門、企業サポート部門の7つの機能部門を有しています。^[9]

プライバシーコミッショナーが議長を務める個人データ（プライバシー）諮問委員会（PDPAC）は、個人データ（プライバシー）条例第11条に基づいて設立され、個人データのプライバシー保護と条例の機能に関してプライバシーコミッショナーに指導と助言を提供することを目的としています。^[10]この委員会は、香港における個人データのプライバシーを保護するための効果的な枠組みを確保することを約束しています。

同時に、データ処理の進歩とコンピュータ技術が個人データに関する個人のプライバシーに与える影響に特に取り組むために、技術開発常任委員会（SCTD）が設立されました。その主な役割は、データ処理の進化する状況に関連する関連事項についてコミッショナーに助言し、急速な技術進歩の時代に個人のプライバシー権を保護することの重要性に関するコミッショナーの理解を更新することです。^[11]

PDPAC と SCTD は、プライバシーコミッショナーに助言する上で重要な役割を果たし、個人データのプライバシーの進化と技術の進歩に合わせた情報に基づいたポリシーと実践の策定を可能にします。

1. スティーブン・ラウ・カーマン（1996年8月1日 – 2001年10月31日）
2. レイモンド・タン・イーボン（2001年11月1日～2005年7月31日）
3. ロデリック・ウー・バン（2005年8月1日～2010年7月31日）
4. アラン・チャン・ヤムワン（2010年8月1日～2015年8月3日）
5. スティーブン・ウォン・カイイー（2015年8月4日～2020年9月3日）
6. エイダ・チョン・ライリン（2020年9月4日以降）

香港の個人情報保護コミッショナー事務局（PCPD）の発展は、個人および組織による個人データの収集、使用、開示を規制することを目的とした、1995 年の個人情報（プライバシー）条例（PDPO）の制定にまで遡ります。

PDPO は、香港におけるプライバシー保護の発展における重要なマイルストーンでした。PDPO は、個人データの保護に関する法的枠組みを確立し、データ ユーザーとデータ主体の責任を規定しました。しかし、条例の遵守を監督および強制する独立した規制機関がありませんでした。PDPO を強制する独立した機関の必要性を認識し、個人データ (プライバシー) 条例 (PDPO) の制定時に、条例の第 5 条 (1) に基づいて PCPD が設立されました。PCPD には、苦情を調査し​​、強制通知を発行し、PDPO の遵守を促進する権限が与えられました。PCPD は政府から独立して運営され、行政長官によって任命されたプライバシー コミッショナーに対して責任を負います。長年にわたり、PCPD は現代の複雑な社会で新たに発生する課題に対応するために進化と発展を遂げてきました。

注目すべき進展の1つは、PDPOの改正です。領土内での個人データ保護を強化するために法律を改正する議論が行われてきました。改正された条例は、個人データ（プライバシー）（改正）条例（PDPAO）として2021年後半に発効しました。PDPAOは、ドクシング行為（つまり、名前、住所、職業などの個人のプライベートな個人データを公然と公開すること）を犯罪とする主な特徴によってPDPOと区別されています。改正条例の第64条（3A）には、「データ主体の同意なしにデータ主体の個人データを開示した場合、その人は犯罪を犯す」と記載されています。

したがって、PCPD の管轄範囲は拡大され、個人情報漏洩を含む犯罪行為の捜査権限が付与され、関連する犯罪に対する訴追手続きを開始する権限も付与されました。さらに、プライバシー コミッショナーには、個人情報漏洩メッセージの共有の停止を確実にする法定権限も付与されました。改正条例により、PCPD には、犯罪捜査から証拠収集、訴追まで「ワンストップ」で個人情報漏洩事件を処理できる新たな犯罪捜査および訴追権限が与えられました。

世界中で進化するプライバシーの状況に対応するため、PCPD は国際的なプライバシー関連の取り組みにも取り組んでいます。たとえば、PCPD は、国境を越えた情報移転に関するデジタル経済運営グループのデータプライバシーサブグループに参加しています。また、PCPD はアジア太平洋プライバシー当局のメンバーが開催するフォーラムにも積極的に参加し、プライバシーとセキュリティに関する幅広い問題について議論し、情報を共有しています。これらの取り組みにより、PCPD はアイデアや知識の交換を通じてより包括的な組織に発展し、香港内外のプライバシー ポリシーと基準の開発にさらに貢献できるようになります。

香港とシンガポールはどちらも高度に発達したアジアの金融ハブであり、よく発達した経済、完璧なインフラ、好ましいビジネス環境で有名であり、世界的に同様の地位にありますが、両国のプライバシー法は若干異なります。

香港のプライバシー法は前述の通りPDPOによって管理されているが、シンガポールでは個人データ保護法（PDPA）が管轄となる。PDPAに準拠して、個人データ保護委員会（PDPC）が執行機関として機能している（PCPDに類似）。PDPCはシンガポールにおける個人データの収集、使用、開示、管理を統制している（チェスターマン、2012年）。^[12]

主な違いは、その執行にある。抑止の方法と性質は、香港とシンガポールでは非常に異なっている。香港では、不遵守は刑事犯罪として起訴され、罰金が科せられる。これは、PDPOの第64条(3B)に規定されている。「(3A)項に基づく犯罪を犯した者は、有罪判決を受けた場合、レベル6の罰金と2年の禁固刑に処せられる。」シンガポールの場合、罰則は行政的な側面が強い。第48I条は、不遵守に対する指示を定めており、「当該規定の遵守を確実にするために、委員会が状況に応じて適切と考える指示を、組織または個人（場合に応じて）に与えること」である。これは、香港の規定に比べて寛大で柔軟である。

改正法案の提案は、個人情報のプライバシーを侵害する侵害的なドクシング行為の問題に対処するため、ドクシング行為を刑事犯罪とし、ドクシング内容の開示を即時に停止または制限することを要求する停止通知を発行する法定権限をコミッショナーに与えることである。^[13]しかし、この改正案はPCPDに刑事捜査を開始する権限や起訴する権限など過度の権限を与えていると批判された。^[14]アジア太平洋地域の大手インターネット・テクノロジー企業の業界団体であるアジアインターネット連合（AIC）は、「ドクシング行為」の定義が曖昧であることに懸念を表明した。

「改正案における「doxxing 行為」の定義は、問題のある曖昧さを生み出している。特に、現時点では「doxxing」の普遍的に受け入れられた、または認められた定義がないことを考えると、改正案における「doxxing」の解釈が過度に広範になり、オンラインでの情報共有という無害な行為でさえも PDPO の下で違法とみなされる可能性があるという正当な懸念が生じている。」^[15]

AICはまた、提案された個人情報漏洩防止規定は、公共の利益のために個人情報を開示するなど、データ主体の同意なしに個人情報が開示される正当な状況を考慮していないと示唆した。

2019年、PCPDの職員を名乗る人々から、社会的な事件に関する意見を表明する匿名の公開書簡が発行されました。この書簡に対してPCPDは声明を発表しました。^[16]

2010年には、オクトパスカード発行会社が過去4年間で4,400万香港ドルを稼いだと報告された。+同社はカード会員のデータを販売することで、1年半にわたって個人情報を不正に取得していた。これは、個人情報保護コミッショナーが行った特別聴聞会で明らかになった。オクトパス・ホールディングスの最高経営責任者プルデンス・チャン・ビクワー氏は、影響を受けたカード会員に「心から謝罪したい」と述べた。 ^[17]

2010年8月、香港金融管理局は、CITIC Bank International、Citibank、Fubon Bank、Industrial and Commercial Bank of China、Wing Hang Bank、Wing Lung Bankがマーケティング目的で顧客データを無関係な第三者に転送していたことを公表した。別の調査では、個人情報保護委員会は、一部の銀行の行為は個人情報の販売に相当すると結論付けた。^[18]

2017年3月、行政長官選挙の直後、選挙管理委員会は370万人の有権者の個人情報が入ったノートパソコン2台を紛失したと報告した。香港の人口が800万人未満であることを考えると、これは香港史上最も重大なデータ侵害の一つとなる可能性がある。^[19]

2019年以来、「HK Leaks」と呼ばれるウェブサイトは、2,000人以上の民主派の個人情報を公開している。2021年8月に同サイトが法律に違反したかどうか尋ねられたとき、香港警察は個別のケースについてはコメントしないと答え、2023年5月にも同じ回答を繰り返した。^[20]

2023年、このドキュメンタリー「19歳の自分へ」は、ドキュメンタリーの撮影に関する学生の同意に違反していたとされた。個人情報保護委員のアダ・チュン・ライ・リン氏は、PCPDが学校に詳細について問い合わせたと述べた。また、個人情報（プライバシー）条例によれば、収集されたデータの目的が変わった場合は、データ主体から同意を得る必要があると述べた。データ主体には、自分が与えた同意を撤回する権利もある。^[21]この事件に対するPCPDのメディア声明では、PCPDは事件に関する苦情や問い合わせを受けていないとしている。^[22]

2022年、選挙管理委員会（REO）が関与した2件の個人情報漏洩事件がPCPDによって調査された。最初の事件では、REOの職員が約15,000人の有権者のデータを含むファイルを誤って未知の受信者に送信した。PCPDは、この事件は主に人為的ミスによるものだと述べた。^[23]

2件目の事件では、選挙管理委員会が選挙管理委員会（EC）委員とその補佐官の個人情報（氏名、メールアドレス、電話番号）を記載した返信用紙を、選挙管理委員会委員38名と補佐官26名に送ったメールに添付していた。調査の結果、PCPDはこの事件も人為的ミスによるものだと結論付けた。プライバシー保護委員のアダ・チョン・ライリン氏によると、この2件の事件で、選挙管理委員会が個人情報への不正アクセス、偶発的アクセス、処理、消去、紛失、使用から個人情報を保護するための実用的措置を講じていなかったことが明らかになり、個人情報（プライバシー）条例に基づく個人情報のセキュリティに関するDPP4(1)に違反しているという。

顔を覆うことの禁止によって生じた懸念に応えて、PCPDは、容疑者の権利が警察の適時かつ効果的な予防、検出、逮捕または起訴に対する公共の利益に優先することはないという理由で、顔を覆うことの禁止規則は個人データ（プライバシー）条例と矛盾しないと述べた。^[24] PCPDは、プライバシーの権利は公共の秩序と国家安全保障上の懸念によって制限されることもあると示唆した。

香港政府は2021年に、取締役や会社秘書の住所や身分証明書番号を一般に公開しないこと、^[25]氏名や香港ID番号などの個人識別情報の検索を要求すること^[26]、運輸局での車両登録の検索により登録された個々の車両所有者に通知することなど、企業検索の強化を提案した。^[27]

PCPDは、運輸局による厳格な取り決めは、個人情報（プライバシー）条例の観点からは問題ないと述べた。^[28]捜索取り決めを厳格化するための政府によるいくつかの措置に対して、個人情報保護コミッショナーのAda Cheung Lai Ling氏は、制限が適切かどうかは捜索取り決めの目的によると述べた。^[29]

2022年から2023年にかけて、28のオンラインプラットフォームに1000件以上の停止通知が送られた。その多くは海外のサービスプロバイダーによって運営されており、約2万件^[30]のドクシングメッセージの削除を要求している。これらのメッセージの削除の遵守率は高かったが、サービスプロバイダーに削除を依頼するまでに長い時間を要した。コンテンツが削除されたとしても、被害者は長期間にわたって被害を受け続けることになる。

最高5万香港ドルの罰金と最長2年の懲役刑は1996年に導入されたが、この罰則が犯罪を抑止する効果は比較的低いと広く考えられている。プライバシーコミッショナーのチョン・ライリン氏はインタビューで、プライバシー条例の原則は自発的で明確であると述べた。企業が顧客に個人データが転送されることを通知し、使用目的を明記すれば、状況は合法である。以前に発生した事件は単なる独立した出来事だった。しかし、彼女は抑止効果がもはや十分ではないと考えており、PCPDは政府と協力して関連する罰則を検討している。^[31]

• 公式サイト
• 個人データ（プライバシー）条例（第486条）