ブルネイの個人情報保護法（PDPO）を弁護士が解説

東南アジア諸国連合（ASEAN）全域においてデジタル経済が急速に発展する中、各国の法制度整備はかつてないスピードで進展しています。特に個人データの保護に関する法制化は、国境を越えてビジネスを展開する企業にとって最も注視すべきコンプライアンス課題の一つとなっています。ブルネイ・ダルサラーム国（以下、ブルネイ）においてビジネスの展開を検討する日本人の経営者や法務部員にとって、現地の最新の法制度に対する深い理解は不可欠です。ブルネイでは、民間セクターにおける個人データの収集、利用、および開示を規律する包括的な法制度として、「個人データ保護命令2025（Personal Data Protection Order 2025：以下「PDPO」）」が2025年1月8日に制定されました。この法律の実質的な規定の多くは、1年間の移行期間を経た2026年1月1日から施行されています。本法律は、ブルネイ政府が推進する「デジタル経済マスタープラン2025」における中核的な柱の一つとして位置付けられており、国家のスマートネーション化を支えるための信頼、プライバシー、および説明責任の堅牢な枠組みを提供しています。

本記事では、この新たに施行されたPDPOの全体像と、日本企業が直面する実務上の留意点を詳細に解説します。記事全体を通して特に注目すべき要点は以下の通りです。第一に、ブルネイ情報通信技術産業局（AITI）が主管機関として強力な監督および調査権限を有し、ブルネイ国内外を問わず同国内で個人データを取り扱う民間企業に法律が広く適用される点です。第二に、日本の個人情報保護法（APPI）とは異なり、企業に対してデータ保護責任者（DPO）の選任が法的に明確に義務付けられている点です。第三に、データ侵害（漏洩等）が発生した際、組織は影響評価後3暦日以内という極めて短期間にAITIへ通知する厳格な義務を負う点です。第四に、違反時には国内年間売上高の最大10パーセント、または最高100万ブルネイドルという、日本の法律とは比較にならないほど高額な制裁金が課されるリスクが存在する点です。日本の法律とほぼ同様の基本原則を共有しつつも、執行の厳格さやコンプライアンス体制の要求水準において独自の要件が設けられています。

さらに、PDPOの適用範囲に関する重要な特徴として、政府機関自体は直接の適用除外とされているものの、政府に代わって個人データを処理する民間受託業者に対しては厳格に規制が適用されるという構造が挙げられます。ブルネイにおいて公共部門のデジタル化支援やインフラ整備に関わる日本企業は、自社がデータ処理者としてPDPOの直接的な義務を負うことを強く認識しなければなりません。くわえて、情報の越境移転に関しても厳格なルールが設けられており、ASEANモデル契約条項（ASEAN MCCs）の活用など、国際基準に準拠した契約実務が求められます。このように、ブルネイのPDPOは、個人の権利保護を徹底すると同時に、企業に対してデータライフサイクル全体を通じた高度な説明責任を要求する野心的な法制度です。

本記事を通じて、日本の法律との決定的な違いを把握し、ブルネイ市場における安全かつ円滑なビジネス展開のための戦略的な法務体制構築の足がかりとしていただければ幸いです。

ブルネイPDPOの法律制定背景と適用範囲

ブルネイにおけるPDPO（個人データ保護命令2025）の制定は、単なる規制の強化ではなく、国家のデジタル化を推進するための基盤整備という文脈で理解する必要があります。ブルネイ政府は、デジタルイノベーションを促進し、国際的な接続性と経済成長を後押しするために、データ保護に関する法律が必要不可欠であると判断しました。

デジタル経済マスタープラン2025と法の位置付け

本法律は、ブルネイの「デジタル経済マスタープラン2025」の成功に向けた戦略的なイネーブラーとして位置付けられています。これまでブルネイには特定の分野に限定されたプライバシー条項は存在していましたが、分野横断的な一般法はありませんでした。PDPOの導入により、ブルネイはASEAN域内におけるデータガバナンスのリーダーとしての地位を確立しようとしており、企業に対する明確な義務と高い基準を提示しています。

対象組織の広範さと域外適用の性質

PDPOの主要な規制当局（Responsible Authority）として指定されているのは、ブルネイ情報通信技術産業局（AITI）です。PDPOは、商業的組織であるか非営利組織（NPO等）であるかを問わず、民間セクターのあらゆる組織に適用されます。ここで日本企業にとって最も重要な点は、対象となる組織がブルネイの法律の下で設立されているか否か、あるいはブルネイ国内に物理的な拠点を持っているか否かにかかわらず適用されるという域外適用の性質を持っている点です。すなわち、日本からインターネットを通じてブルネイ居住者の個人データを収集または処理する越境ビジネスを展開する場合であっても、PDPOのコンプライアンス要件を完全に満たす必要があります。

政府機関の適用除外と民間受託業者の責任

ブルネイのPDPOは、政府機関（公的機関）を直接の適用除外としています。政府機関が保有するデータは、公的秘密法（Official Secrets Act：第153章）や個人データ共有に関するガイドラインなどの既存の法的および政策的枠組みによって別途管理されます。しかしながら、政府機関から業務を受託し、政府に代わって個人データを処理する民間企業（データ処理者）は、例外なくPDPOの規定の対象となります。したがって、ブルネイ政府のシステム開発や公共サービスのデジタル化プロジェクトに参画する日本企業は、公的な業務であっても自社にはPDPOの義務が適用されることを念頭に置く必要があります。なお、作成後100年以上経過した記録に含まれる個人データや、死後10年を超える個人のデータについては法律の適用対象外とされています。

ブルネイのPDPOと日本の個人情報保護法との比較

ブルネイのPDPOと日本の個人情報保護法（APPI）は、ともにOECDプライバシーガイドラインなどの国際的な原則を基礎としているため、基本的な枠組みには類似性があります。しかし、実務面で企業に及ぼす影響には重大な違いが存在します。経営者や法務部員が把握しておくべき主要な相違点は以下の表の通りです。

これらの違いの中でも特に注意を要するのは、データ保護責任者（DPO）の選任義務と、売上高に連動する巨額のペナルティ制度です。日本の個人情報保護法では、民間企業に対するDPOの法的な設置義務は規定されておらず、社内の管理体制構築はあくまで企業の自主的な取り組みやガイドラインに基づく推奨事項に留まっています。これに対し、ブルネイではDPOの任命が法律によって直接義務付けられており、企業はコンプライアンスの責任の所在を明確にしなければなりません。

また、罰則についても、日本の法律が定額の罰金（法人で最大1億円）を上限としているのに対し、ブルネイでは企業の規模に応じた制裁金（国内売上高の最大10パーセント）が課される可能性があり、違反時の財務的リスクが桁違いに大きいと言えます。

ブルネイ企業に課される主要な義務とデータ主体の権利

PDPOは、組織に対して説明責任（Accountability）を強く求めており、個人データの収集から廃棄に至るライフサイクル全体を通じて適切な管理を行うことを義務付けています。

同意の取得と目的外利用の制限

組織は、個人データの収集、利用、開示にあたり、原則として本人の有効な同意を得る必要があります。同意を取得する前、または取得する際に、データ収集の目的を明確に通知しなければなりません。日本の法律においても利用目的の特定と通知または公表は求められますが、ブルネイでは特定の例外（正当な利益、事業資産の取引、事業改善目的など）に該当しない限り、明示的な同意の取得がより厳格に求められます。ダイレクトマーケティングのメッセージを送信する際には、オプトイン方式による明示的な同意を取得することが強く推奨されており、日本のオプトアウト方式に慣れた企業はプロセスの見直しが必要です。

データ主体の権利（アクセス権、訂正権、同意の撤回）

データ主体（本人）は、組織が保有する自己の個人データに対するアクセス権、不正確なデータの訂正権、およびいつでも同意を撤回する権利を有します。同意が撤回された場合、組織は法的な保持要件がない限り、速やかにデータの処理を停止しなければなりません。この個人の権利に関する枠組みは、日本の法律とほぼ同様の構造を持っているため、日本ですでに適切な対応プロセスを構築している企業であれば、大きな混乱なく現地の運用に乗せることが可能です。

データ保護責任者（DPO）の選任義務と実務対応

前述の通り、日本法との最大の運用上の違いの一つが、データ保護責任者（DPO）の選任義務です。PDPOでは、組織が法律を遵守し、必要なポリシーや慣行を策定および実施する責任を担うDPOを任命することが法的に義務付けられています。DPOは、組織内のコンプライアンスを推進するだけでなく、苦情の受け付けやAITIとの窓口としての役割も果たします。ブルネイに進出する日本企業は、現地の事業規模やデータ処理の複雑さに応じて、適切な知識と権限を持つDPOを任命する必要があります。AITIは、この制度を実効性のあるものにするため、「DPOコンピテンシープログラム」などの業界認定トレーニング（CIPM等）を提供しており、企業に対して積極的な受講を推奨しています。

ブルネイの安全管理措置と越境データ移転の制限

デジタル経済の進展に伴い、サイバー攻撃や内部不正によるデータ漏洩のリスクが高まっています。PDPOは、データの保護と越境移転に関して詳細な安全管理要件を定めています。

データ保護管理プログラム（DPMP）と安全管理

組織には、保有または管理下にある個人データを不正なアクセス、収集、利用、開示、コピー、変更、廃棄等のリスクから保護するための「合理的な安全管理措置」を講じる義務が課されます。また、収集した目的が達成された後、あるいは法的およびビジネス上の必要性がなくなった場合には、個人データを含む文書の保持を直ちに中止するか、匿名化する義務（保持制限）があります。AITIは、組織がこれらの義務を体系的に果たすためのベストプラクティスとして、「データ保護管理プログラム（DPMP）」の策定を強く推奨しており、そのための実務的なインフォキット（AITI PDP Essentials Infokit）を提供しています。詳細や最新のガイドラインについては、以下の公式ポータルを参照することが推奨されます。

参考：AITI公式ポータル

第24条に基づく越境データ移転の制限とASEANモデル契約条項

日本企業がブルネイで収集した個人データを日本国内のサーバーや他国のクラウドインフラに転送する場合、越境データ移転の規制が適用されます。PDPO第24条の下では、移転先の国または地域が、PDPOと同等の保護水準を有していることを担保する処置を講じない限り、個人データの国外への移転は原則として禁止されています。これに対応するための実務的な手段として、AITIは「ASEANモデル契約条項（ASEAN MCCs）」の採用を推奨しています。データ移転元と移転先の間でASEAN MCCsを契約に組み込むことで、適切な保護水準が確保されていると見なされます。この仕組みは、国際的なデータ流通を維持しながらプライバシーを保護するための極めて重要な実務対応となります。ASEANモデル契約条項に関する公式なガイドは、ASEANの公式ウェブサイトで確認することができます。

参考：ASEAN公式ウェブサイト

ブルネイにおけるデータ侵害発生時の対応と厳格な通知義務

企業にとって最も緊迫した対応が求められるのが、データ侵害（漏洩、滅失、毀損等）が発生した際の初動対応です。この点において、日本の法律とブルネイのPDPOには実務上極めて大きな違いがあります。

重大な危害または規模に基づく評価

PDPOでは、データ侵害が発覚した場合、組織はその侵害が影響を受ける個人に「重大な危害（significant harm）」を及ぼす可能性が高いか、または「重大な規模（significant scale）」であるかを評価しなければなりません。すべての軽微な漏洩が通知対象になるわけではありませんが、財務情報や医療情報など、個人の権利利益に重大な影響を及ぼす性質のデータが含まれている場合は、速やかに評価プロセスを完了させる必要があります。

3暦日以内の通知義務とその重要性

重大な危害または規模に該当すると評価された場合、組織は評価後できるだけ早く、いかなる場合であっても「3暦日以内」にAITIに対してデータ侵害の通知を行わなければなりません。さらに、個人に重大な危害を及ぼす可能性が高い場合は、影響を受ける個人に対しても直接通知を行う義務があります。日本のAPPIにおける「速やかに（概ね3〜5日以内）」という速報基準と比較して、ブルネイの「3暦日（calendar days）」という基準は土日や祝日を含んだ絶対的な期限です。

正当な理由のない通知の遅延は、それ自体がPDPO違反とみなされるため、企業はインシデント発生時の初期対応フローを極めて迅速に行える社内体制とエスカレーションルートをあらかじめ構築しておく必要があります。

ブルネイ執行機関の権限、巨額の罰則、および不服申立手続き

ブルネイにおけるPDPOの最大の特徴は、AITIに与えられた強力な執行権限と、欧州のGDPR（一般データ保護規則）を彷彿とさせるような巨額の制裁金制度にあります。

第43条等に基づくAITIの強力な調査権限

AITIは、個人からの苦情を受けた場合、または自己の裁量により、組織がPDPOを遵守しているか否かについて詳細な調査を行う権限（PDPO第43条）を有しています。この調査権限の行使にあたり、AITIは書面による通知に基づく特定の文書や情報の提出要求（第44条）、事実関係を知る立場にある人物に対する口頭での尋問（第45条）、事前の通知に基づく立ち入り調査（第46条）を行うことができます。さらに、重大な違反が疑われる場合には、捜索令状を取得した上での強制的な立ち入り調査（第47条）を実施することも法的に認められています。

国内売上高の最大10パーセントに及ぶ制裁金

AITIの調査の結果、組織が故意または過失によりPDPOの主要な規定に違反したと判断された場合、AITIは違反状態の是正を命じるだけでなく、莫大な金銭的制裁（Financial Penalty）を科す権限を持っています。制裁金の額は、ブルネイ国内での年間売上高が1000万ブルネイドルを超える企業の場合、「国内年間売上高の最大10パーセント」、それ以外の場合は「最大100万ブルネイドル」のいずれか高い方が上限として設定されています。日本のAPPIにおける法人への罰金上限（最大1億円）とは異なり、売上高に連動する制裁金制度は企業の存続そのものを脅かすほどのインパクトを持ちます。

さらに、特定の違反行為に対しては、状況に応じて経営幹部等への刑事罰（罰金や禁錮刑）が科される可能性もあるため、コンプライアンスの不徹底は極めて高い経営リスクをもたらします。

第40条および第41条等に基づく不服申立手続き

AITIによる決定や指示、または課された制裁金に対して不服がある場合、企業には法的な救済手段が用意されています。PDPO第40条に基づき、企業や個人はAITIに対して決定の再考を求める書面による申請を行うことができます。また、第41条に基づき、独立した機関である「データ保護不服申立パネル（DPAP）」に対して直接控訴することも可能です。DPAPによる審理を経てもなお、法律上の解釈の問題や制裁金額に関する不服が解決しない場合は、最終的にブルネイ高等裁判所（High Court）へ控訴する道が開かれています。

ブルネイの判例動向とAITIのガイドラインから読み解く留意点

本件テーマに関して、司法の判断基準を知る上で判例の調査は重要ですが、PDPOの実質的な規定は2026年1月1日に施行されたばかりです。そのため、現時点においてブルネイ高等裁判所などの司法機関で争われた、当事者名や判決年月日を伴う公開された判例や制裁事例は存在しません。

しかしながら、判例が存在しない現状においても、主管機関であるAITIの動向から実務上の重要な指針を読み取ることができます。AITIは法の施行と並行して「データ保護管理プログラム（DPMP）策定ガイド」や「PDP Essentials Infokit」といった詳細な実務ガイドラインを次々と発行し、民間企業を対象とした啓発活動や能力構築ワークショップを積極的に展開しています。AITIのこうしたガイドライン策定や専門人材育成の動きから、当局が単なる形式的な法律の導入に留まらず、実効性を伴う法執行を厳格に行うための基盤整備を急いでいるということが言えるでしょう。

日本企業は、判例の蓄積を待つのではなく、AITIが公開しているテンプレートやインフォキットを積極的に活用し、自社のデータ処理活動を可視化するデータインベントリ（データ台帳）の作成や、新規プロジェクトにおけるデータ保護影響評価（DPIA）のプロセスを早期に社内に定着させることが不可欠です。

まとめ

ブルネイにおける個人データ保護命令2025（PDPO）の施行は、同国におけるデータガバナンスの歴史において極めて重要な転換点となります。日本企業がブルネイ市場に参入し、あるいは現地の企業と提携してビジネスを展開するにあたっては、この新しい法制度がもたらす影響を正確に評価し、経営戦略の根幹に組み込むことが不可欠です。本記事で詳細に解説した通り、PDPOは日本の個人情報保護法と基本理念を共有しつつも、企業に対する要求水準や違反時のペナルティにおいて著しい違いを見せています。特に、データ保護責任者（DPO）の法的な選任義務、データ侵害発生時の3暦日以内という極めて厳格な報告期限、そして国内売上高の最大10パーセントに達する可能性のある巨額の制裁金制度は、企業のコンプライアンス体制に対してこれまでにない高い緊張感を要求するものです。また、政府機関に対する直接の適用除外と、その裏返しとしての民間受託業者への厳格な適用、さらには第24条に基づく越境データ移転の制限など、実務上陥りやすい落とし穴が多数存在しています。

これらの複雑な法規制に対応するためには、単に日本の社内規程を翻訳して流用するのではなく、ブルネイ情報通信技術産業局（AITI）が発行する各種ガイドラインやASEANモデル契約条項などを深く理解し、現地の法務慣行に即した実効性のあるデータ保護管理プログラム（DPMP）を構築する必要があります。モノリス法律事務所は、海外進出を検討される日本企業の皆様に対し、現地の最新の法改正やガイドラインの動向を踏まえたコンプライアンス体制構築に関するサポートを行っております。ブルネイにおけるビジネス展開において、現地の法令に適合した個人データ管理体制の整備や契約実務、リスク評価について少しでもご不安がある場合は、ぜひ当事務所にご相談ください。読者の皆様の安全で円滑なグローバルビジネスの推進をサポートいたします。