1998年データ保護法

1998年データ保護法

議会法
英国議会
長いタイトル	個人に関する情報の取得、保有、利用、開示など、個人に関する情報の処理を規制するための新たな規定を制定する法律。
引用	1998年頃 29
領土の範囲	イングランドとウェールズ スコットランド 北アイルランド
日付
王室の裁可	1998年7月16日
その他の法律
廃止/取り消し	1984年データ保護法 1987年個人ファイル公開法
廃止	2018年データ保護法
ステータス: 廃止
制定当初の法令文

1998 年データ保護法( c. 29) (DPA) は、コンピューターまたは組織化された紙のファイリング システムに保存されている個人データを保護するために制定された英国議会の法律です。この法律は、データの保護、処理、移動に関する 1995 年欧州連合 (EU)データ保護指令の規定を制定したものです。

1998年DPAでは、個人は自分に関する情報を管理する法的権利を有していました。この法律の大部分は、個人アドレス帳の保管など、家庭での使用には適用されませんでした^[1]。他の目的で個人データを保有する人は、一部の例外を除き、この法律に従う法的義務がありました。この法律では、情報が合法的に処理されることを保証するために、8つのデータ保護原則を定義しました。

これは、2018年5月23日に2018年データ保護法（DPA 2018）に置き換えられました。DPA 2018は、2018年5月25日に発効したEU一般データ保護規則（GDPR）を補足するものです。GDPRは、個人データの収集、保管、使用を大幅に厳しく規制しています。^[2]

1984年データ保護法
議会法
英国議会
長いタイトル	自動的に処理された個人に関する情報の利用および当該情報に関するサービスの提供を規制する法律。
引用	1984年頃35歳
日付
王室の裁可	1984年7月12日
廃止	2000年3月1日
その他の法律
廃止	1998年データ保護法
ステータス: 廃止
制定当初の法令文

1987年個人ファイル公開法
議会法
英国議会
長いタイトル	特定の当局が保持する自分自身に関する情報への個人のアクセスを提供し、個人がそのような情報のコピーを入手し、修正を要求することを可能にする法律。
引用	1987年頃 37
日付
王室の裁可	1987年5月15日
廃止	2000年3月1日
その他の法律
廃止	1998年データ保護法
ステータス: 廃止
制定当初の法令文

1998年の法律は、1984年データ保護法（第35章）および1987 年個人ファイルアクセス法(c. 37)。さらに、1998 年の法律により、1995 年の EUデータ保護指令。

2003 年のプライバシーおよび電子通信 (EC 指令) 規制により、ほとんどの電子マーケティングの同意要件が、オプトイン ボックスなどの「積極的な同意」に変更されました。既存の顧客や問い合わせ者に対する「類似の製品およびサービス」のマーケティングについては例外が残っており、オプトアウト ベースで許可される場合があります。

ジャージーのデータ保護法、2005年データ保護（ジャージー）法は英国の法律をモデルにしています。^[3]

1998年DPA第1条では、「個人データ」を、生存する個人を特定するために使用できるあらゆるデータと定義しています。匿名化または集約されたデータは、匿名化または集約が可逆的に行われていない限り、この法律による規制が緩やかでした。個人は、名前と住所、電話番号、または電子メールアドレスなど、さまざまな方法で特定できます。この法律は、コンピューター（「その目的で与えられた指示に応じて自動的に動作する機器」）に保存されている、または保存されることが意図されているデータ、または「関連するファイリングシステム」に保存されているデータにのみ適用されます。^[4]

場合によっては、住所録や営業担当者の日記など、商業活動をサポートするために使用される紙の記録が関連するファイリングシステムとして分類される可能性があります。^[5]

2000年情報公開法は公的機関や当局に対する同法の修正をもたらし、デュラント事件は判例や前例を提供することで同法の解釈を修正した。^[6]

データを処理された人には以下の権利がある：^{[7] [8]}

• 第7条に基づき、合理的な料金で組織が保有するデータを閲覧することができる。最高料金は、信用調査機関への請求の場合は2ポンド、健康および教育に関する請求の場合は50ポンド、その他の場合は1人あたり10ポンドであった。^[9]
• 第14条に基づき、不正確な情報の訂正を要求する権利がある。企業が要求を無視した場合、裁判所はデータの訂正または破棄を命じることができ、場合によっては賠償金が支払われることもあった。^[10]
• 第10条に基づき、個人データが損害や苦痛を引き起こす可能性のある方法で使用されないように要求する。^[11]
• 第11条に基づき、個人情報がダイレクトマーケティングに使用されないように要求する。^[12]

スケジュール 1 には、8 つの「データ保護原則」が記載されています。

1. 個人データは公正かつ合法的に処理され、特に以下の場合を除き処理されないものとします。
   1. 附則２の条件の少なくとも１つが満たされ、かつ
   2. 機微な個人データの場合、附則3の条件の少なくとも1つも満たされます。
2. 個人データは、1 つ以上の特定の合法的な目的のためにのみ取得され、その目的またはそれらの目的に反する方法でさらに処理されることはありません。
3. 個人データは、処理される目的に関連して適切かつ関連性があり、過剰であってはなりません。
4. 個人データは正確であり、必要に応じて最新の状態に保たれるものとします。
5. 何らかの目的のために処理された個人データは、その目的に必要な期間を超えて保持されることはありません。
6. 個人の権利について、例えば^[13]個人データはデータ主体（個人）の権利に従って処理されるものとする。
7. 個人データの不正または違法な処理、および個人データの偶発的な紛失、破壊、または損傷に対して適切な技術的および組織的措置が講じられるものとします。
8. 個人データは、その国または地域が個人データの処理に関してデータ主体の権利および自由に対する適切なレベルの保護を確保しない限り、欧州経済領域外の国または地域に転送されることはありません。

大まかに言えば、これらの8つの原則は、2016年のGDPRで定められた6つの原則と類似しています。^[14]

第一原則に関連する条件

個人データは公正かつ合法的にのみ処理される必要があります。データが「公正に処理された」と分類されるためには、これらの 6 つの条件のうち少なくとも 1 つがそのデータに当てはまる必要があります (スケジュール 2)。

1. データ主体（データが保存される人物）が処理に同意している（「許可を与えている」）こと。
2. 処理は契約の履行または開始に必要である。
3. 処理は法的義務（契約に記載されているもの以外）に基づいて必要となる場合;
4. 処理はデータ主体の重大な利益を保護するために必要である。
5. 処理は公的機能を実行するために必要である;
6. 処理は、「データ管理者」または「第三者」の正当な利益を追求するために必要である（データ主体の利益を不当に害する可能性がない限り）。^[15]

同意

下記の例外を除き、個人は個人情報の収集^[16]と問題の目的での使用に同意しなければなりませんでした。欧州データ保護指令では、同意を「…データ主体が、自分に関する個人データの処理に同意することを示す、自由に与えられた特定の希望の表明」と定義しており、個人は書面以外の方法で同意を示すことができたことを意味しています。 ^[要出典]しかし、コミュニケーションがないことは同意と解釈されるべきではありませんでした。

さらに、同意は個人の年齢や能力、その他の状況に適切なものであるべきだった。組織が「個人との関係が終了した後も個人データを保持または使用し続けることを意図している場合、同意はこれをカバーするものでなければならない」。同意が与えられた場合、それは永久に続くとは想定されていなかったが、ほとんどの場合、同意は個人データを処理する必要がある限り継続し、個人は同意の性質と個人情報が収集され使用された状況に応じて、同意を撤回できたかもしれない。^[17]

データ保護法では、機密性の高い個人データはより厳格な条件に従って処理されなければならないと規定されており、特に、いかなる同意も明示的でなければならないとされている。^[17]

この法律は、個人データのすべての処理が法律の対象となるように構成されていますが、第4部ではいくつかの例外が規定されています。^[1]注目すべき例外は次のとおりです。

• 第 28 条 – 国家安全保障。国家安全保障の保護を目的とした処理は、すべてのデータ保護原則、ならびにパート II (対象者のアクセス権)、パート III (通知)、パート V (施行)、および第 55 条 (個人データの違法取得) の適用除外となります。
• 第 29 条 – 犯罪と課税。犯罪の防止または検出、犯罪者の逮捕または起訴、または税金の評価または徴収のために処理されるデータは、最初のデータ保護原則の対象外となります。
• 第 36 条 – 家庭内目的。個人による、その個人の個人的、家族的、または家庭内の事柄の目的のみでの取り扱いは、すべてのデータ保護原則、ならびにパート II (対象者のアクセス権) およびパート III (通知) の適用除外となります。

この法律は、警察や裁判所にさまざまな権限を付与または承認しました。

• 第29条 – 犯罪の防止や発見、犯罪者の逮捕や起訴、税金や関税の評価や徴収、法定機能の遂行のために個人データを処理する場合、データ主体の同意は必要とされなかった。^[18]
• 第35条 – 法律で義務付けられた開示、または法的手続きに関連して行われた開示。これには裁判所命令やその他の法律の遵守が含まれ、法的手続きの一部でした。^[19]

この法律では、データ管理者がデータ主体から適切な同意を得なかった場合にデータ管理者が責任を負う可能性のある民事および刑事犯罪が数多く規定されています。ただし、同意は法律で具体的に定義されておらず、慣習法上の問題でした。

• 第21条(1)は、登録せずに個人情報を処理することを違法としている。^[20]
• 第21条(2)は、国務大臣^[20]（情報コミッショナーが同法第25条に基づいて提案）が制定した通知規則に従わないことを犯罪と定めた。^[21]
• 第55条は、個人データの取得を違法とし、ハッカーやなりすまし者など組織外の人物（他者）による個人データへの不正アクセスの取得を犯罪とした。^[22]
• 第56条は、採用、継続雇用、またはサービスの提供の目的で、警告または有罪判決に関連する個人情報アクセス要求を個人に要求することを犯罪としました。 ^[23]この条項は2015年3月10日に施行されました。^[24]

英国データ保護法は、複雑なことで知られる大規模な法律でした。^[25]プライバシーを保護するための基本原則は尊重されていましたが、法律の解釈は必ずしも簡単ではありませんでした。多くの企業、組織、個人は、この法律の目的、内容、原則について非常に不確かなようでした。中には、この法律を制約として挙げ、非常に基本的な公開資料の提供さえ拒否する人もいました。^[26]この法律は、電話やダイレクトメールだけでなく、電子的にも、マーケティング目的で誰に連絡を取るべきかという点で、組織のビジネス運営方法にも影響を与えました。これが、許可ベースのマーケティング戦略の開発につながりました。^[27]

個人データの定義は、識別可能な生存する個人に関するデータである。

• そのデータから、または
• そのデータに加え、データ管理者が所有していた、または所有する可能性のあるその他の情報から得られます。

センシティブな個人データとは、対象者の人種、民族、政治、宗教、労働組合の地位、健康、性歴、犯罪歴などに関するものであった。^[28]

情報コミッショナー事務局のウェブサイトでは、個人情報へのアクセス要求について次のように述べている。^[29]「あなたには、組織があなたの個人情報を使用または保管しているかどうかを知る権利があります。これはアクセス権と呼ばれます。この権利を行使するには、データのコピーを要求します。これは一般に『個人情報へのアクセス要求』を行うと言われています。」

2018年5月25日に一般データ保護規則（GDPR）が発効する前は、ほとんどのリクエストに対して、組織はSARへの対応に最大10ポンドの指定料金を請求することができた。GDPRでは、「個人データのコピーは無料で提供されるべきです。組織は追加のコピーに対して料金を請求することができます。組織は、リクエストが「明らかに根拠がない、または過剰」であると判断した場合にのみ料金を請求することができます。その場合、組織はリクエストに関連する管理コストとして合理的な料金を請求することができます。」と規定されている。^[29]

この法律の遵守は、独立した機関である情報コミッショナー事務局によって規制され、執行され、同局は同法に関するガイダンスを維持した。^{[30] [31]}

2017年1月、EU情報コミッショナー事務局は、EU第29条作業部会によるデータ保護法の改正案と、同法の解釈の拡張の導入が予想される「一般データ保護規則ガイド」について一般からの意見を募集した。^[32]

• 2012 年データ保護法(ガーナ)
• 1990年コンピュータ不正使用防止法
• データのプライバシー
• データ保護指令（EU）
• 2000年情報公開法
• ガスキン対イギリス
• 英国政府のデータ損失リスト
• プライバシーおよび電子通信（EC指令）規則2003
• 一般データ保護規則– 2016年EUデータ保護規則
• スミス対ロイズTSB銀行
• デュラント対金融サービス局[2003] EWCA Civ 1746
• 2018年データ保護法。英国公法第2018巻第12号。2018年5月23日。データ保護法案2017-19HL法案[104]より。2024年4月26日閲覧。

Wikiversityには1998年データ保護法に関する学習リソースがあります

• 情報コミッショナーオフィス
• 憲法省
• 欧州評議会 – ETS No. 108 – 個人データの自動処理に関する個人の保護に関する条約 (1981) – 1984 年データ保護法の基礎
• 1995年10月24日の欧州議会および理事会の指令95/46/EC、個人データの処理に関する個人の保護およびそのようなデータの自由な移動に関するもの – 1998年データ保護法の基礎

• 英国内で現在施行されている 1998 年データ保護法のテキスト (修正を含む) ( legislation.gov.ukより)。