個人情報保護および電子文書法

個人情報保護および電子文書法（PIPEDA、フランス語: Loi sur la protection des renseignements personnels et les documents électroniques ）は、データプライバシーに関するカナダの法律です。^{[ 2 ]}この法律は、民間企業が商業活動において個人情報を収集、使用、開示する方法を規定しています。さらに、この法律には、電子文書の使用を促進するためのさまざまな規定が含まれています。PIPEDAは、電子商取引における消費者の信頼を高めるために、2000年4月13日に法律として制定されました。この法律はまた、カナダのプライバシー法が欧州市民の個人情報を保護するのに十分であることを欧州連合に保証することも目的としていました。PIPEDA第29条に従い、同法第1部（「民間部門における個人情報の保護」）は、5年ごとに議会によって見直されなければなりません。 ^{[ 3 ]}最初の議会による見直しは2007年に行われました。 ^{[ 4 ]}

PIPEDAは、 1995年に策定されたカナダ規格協会の個人情報保護モデル規約を組み込み、その規定を義務付けています。ただし、この規約には、個人の同意なしに情報を収集、使用、開示できる例外がいくつかあります。例としては、国家安全保障、国際情勢、緊急事態などが挙げられます。この法律の下では、個人情報は、連邦、州、または外国の法執行機関に関連する調査に対して、本人の認識や同意なしに開示されることもあります。 ^{[ 5 ]}また、個人が自身の個人情報にアクセスできるという一般原則にも例外があります。例外には、第三者の個人情報を明らかにする可能性のある情報、特定の法的、セキュリティ、または商業上の所有権上の理由で開示できない情報、および弁護士・依頼者間の秘匿特権の対象となる情報などが含まれます。^{[ 6 ]}

PIPEDAで規定されている「個人情報」とは、識別可能な個人に関する情報を指しますが、組織の従業員の氏名、役職、勤務先住所、電話番号は含まれません。

この法律は個人に以下の権利を与える

• 組織が個人情報を収集、使用、または開示する理由を知る。
• 組織が個人の個人情報を合理的かつ適切に収集、使用、開示し、同意した目的以外には使用しないことを期待する。
• 組織内で誰が個人情報の保護責任者であるかを把握する。
• 組織には、適切なセキュリティ対策を講じることで個人情報を保護することを期待する。
• 組織が保有する自身の個人情報が正確、完全、かつ最新のものであることを期待する。
• 自分の個人情報にアクセスし、必要に応じて訂正を求める権利。
• 組織が個人情報をどのように取り扱っているかについて、プライバシー権が尊重されていないと感じた場合に苦情を申し立てる。

この法律は組織に以下のことを要求している。

• 個人情報を収集、使用、または開示する際には、同意を得ること。
• たとえ個人があなたの個人情報の収集、使用、または開示に同意しなかったとしても、その情報が取引に不可欠でない限り、個人に製品またはサービスを提供する。
• 公正かつ合法的な手段で情報を収集すること。
• 明確で分かりやすく、容易に入手できる個人情報保護方針を策定すること。

PIPEDA の実施は 3 段階で行われました。^{[ 7 ]} 2001 年、この法律は連邦規制産業 (航空会社、銀行、放送など) に適用されました。2002 年に、この法律は医療分野にも拡大されました。最後に 2004 年に、商業活動の過程で個人情報を収集する組織はすべて PIPEDA の対象となりましたが、「実質的に類似した」^{[ 8 ]}プライバシー法を持つ州は例外です。2018 年 10 月現在、7 つの州には、連邦総督評議会によって PIPEDA と実質的に類似していると宣言されたプライバシー法があります。^{[ 9 ]}

• 民間部門における個人情報保護に関する法律（ケベック州）^{[ 10 ]}
• 個人情報保護法（ブリティッシュコロンビア州）^{[ 11 ]}
• 個人情報保護法（アルバータ州）^{[ 12 ]}
• オンタリオ州の個人健康情報保護法、「健康情報管理者に関して」
• ニューブランズウィック州の個人健康情報プライバシーおよびアクセス法^{[ 13 ]}「個人健康情報管理者に関して」
• ニューファンドランド・ラブラドール州の個人健康情報法^{[ 14 ]}「健康情報管理者に関して」
• ノバスコシア州の個人健康情報法、「健康情報管理者に関して」
• 覚書^{[ 15 ]}

2015年6月18日、デジタルプライバシー法（上院法案S-4 ^{[ 18 ]}）が成立し、PIPEDA ^{[ 19 ]}が改正され、ビジネス取引の免除、義務的な侵害通知要件、プライバシーコミッショナーの権限強化、その他さまざまな更新が盛り込まれた。

PIPEDAは、民間企業が商業活動において個人情報を収集、使用、開示する際の基本ルールを定めています。PIPEDAは、従業員の個人情報に関して、連邦政府の事業、企業、および事業体にも適用されます。この法律は、個人に対し、これらの組織が収集した自身の個人情報にアクセスし、訂正を求める権利を与えています。

一般的に、PIPEDAは、独自のプライバシー法を有し、かつ連邦法と実質的に同等であると宣言されている州内で個人情報の収集、使用、開示を行う組織を除き、すべての州における組織の商業活動に適用されます。このような場合、PIPEDAの代わりに実質的に同等の州法が適用されますが、PIPEDAは連邦の事業、企業、事業、および州間または国際的な個人情報の移転には引き続き適用されます。

最近、カナダのプライバシーコミッショナー事務局、学者、市民社会のメンバーは、プライバシー法が現代の課題に十分に対応していないと主張し、AIを考慮してPIPEDAを改革するよう求めている。^{[ 20 ]}カナダ政府はこれらの要求に応え、現在議会で審議中の包括的な改革プロジェクトを策定した。^{[ 21 ]}

R. v. Bykovets (2024)事件において、カナダ最高裁判所は、個人はカナダ権利自由憲章第 8 条に基づく検索に関して、IP アドレスに関して合理的なプライバシーの期待権を有すると判決を下した。裁判所は、IP アドレスはインターネットユーザーをオンライン活動、その他のオンラインデータ、そして最終的にはその身元に結びつけることで、極めてプライベートな情報を明らかにすることができると判断した。さらに裁判所は、IP アドレス情報へのアクセスには、要求を正当化する十分な証拠によって裏付けられた事前の司法許可が必要であると判断した。^{[ 22 ] [ 23 ]}法学者は、この判決が個人のプライバシー法にとって重要であると指摘し、IP アドレスが個人を特定するために使用できるという概念を強化し、識別可能性は PIPEDA の個人情報の定義の中核的な特徴であると認識している。^{[ 24 ]}

この法律は、法律上の義務違反に対する訴訟権を自動的に付与するものではありません。代わりに、PIPEDAはオンブズマン制度を採用しており、苦情はカナダプライバシーコミッショナー事務局に申し立てられます。コミッショナーは苦情を調査し​​、調査終了後に報告書を作成する義務があります。この報告書は当事者を拘束するものではなく、勧告に近いものです。コミッショナーには、遵守を命じたり、損害賠償を命じたり、罰金を科したりする権限はありません。苦情の対象となった組織は、勧告に従う義務はありません。苦情申立人は、報告書を手に、カナダ連邦裁判所に訴訟を起こすことができます。報告書は決定ではなく、PIPEDAは対応組織に訴訟を起こす権利を明示的に付与していないため、対応組織は訴訟を起こすことはできません。

PIPEDA第14条では、苦情申立人は苦情の対象事項に関してカナダ連邦裁判所に審理を求める権利を有すると規定している。裁判所は、組織に対しその慣行を是正するよう命じ、是正のために講じる措置を公表させ、損害賠償を命じる権限を有する。^{[ 25 ]}

カナダのプライバシー保護における長年にわたる重大な欠陥の結果、^{[ 26 ]} 2013 年 2 月に国会議員シャーメイン・ボーグにより法案 C-475 が提出され、同法に対するいくつかの修正が提案された。^{[ 27 ]} 法案 C-475 は 2014 年 1 月に否決された。^{[ 28 ]}

• インターネットおよび無線スパム対策法
• 情報プライバシー法
• 情報プライバシー

• 個人情報保護および電子文書法
• PIPEDA（個人情報保護および電子文書法）に基づく監視カメラ映像開示請求の例。
• カナダのプライバシー法ブログ：カナダのプライバシー弁護士であるデイビッド・TS・フレイザー氏が執筆する、プライバシー法およびPIPEDA（個人情報保護および電子文書法）に関連する問題について定期的に更新されるブログです。