チュニジアの個人情報保護法を弁護士が解説

北アフリカに位置するチュニジア共和国（以下、チュニジア）は、中東およびアフリカ地域の中でも早期に個人情報保護の法制化に取り組んだ先進的な国であり、データ主体のプライバシー権を基本的人権の一環として強力に保護する姿勢を打ち出しています。チュニジアにおける個人情報保護の基本となる法令は、2004年7月27日に制定された「個人データの保護に関する基本法第2004-63号（Loi organique n°2004-63）」です。詳細な法制度の概要については、日本の個人情報保護委員会の外国制度に関する情報提供ページ等にもまとめられていますが、日本企業が現地の法規制に確実に対応するためには、条文のより深い理解と司法機関における実務上の運用実態の把握が求められます。

本記事の全体的な要点として、まずチュニジアの個人情報保護法が、日本の「個人情報の保護に関する法律」と比較して、公的機関による強力な「事前規制」を採用している点が挙げられます。日本の法律では、事業者が利用目的を特定し、本人に通知または公表したうえで個人情報を取得するという事後的なガバナンスが原則とされています。しかし、チュニジアの法律では、個人情報の処理を行うにあたって、原則として監督機関である国家個人情報保護機関に対する事前の申告が義務付けられており、特定のデータや処理方法については厳格な事前許可が必要とされています。ここから、チュニジアでの事業開始前には日本国内での展開以上に周到な法的準備が求められるということが言えるでしょう。

さらに、重要な相違点として未成年者の保護の厳格さが挙げられます。日本法においては、未成年者から個人情報を取得する際の親権者の同意取得に関してガイドライン上の規定が存在するものの、司法機関の直接的な介入は予定されていません。これに対し、チュニジアの法律では、未成年者のデータを取り扱うにあたって、保護者の同意に加えて「家事裁判官の認可」を取得することが法定されています。事業において未成年者のデータに触れる可能性のある企業は、行政だけでなく司法機関の関与という非常に高いハードルを越えなければなりません。

加えて、個人情報の国外移転に関する規制も日本法とは大きく異なる構造を持っています。日本の法律では、十分性認定を受けた国への移転や本人同意などの条件を満たせば柔軟に国外移転が可能ですが、チュニジアの法律では、移転先国の保護水準にかかわらず、国外へのデータ移転には国家個人情報保護機関の事前許可が原則として不可欠とされています。チュニジアで収集した顧客データや現地の従業員データを日本の本社で一元管理するようなケースでは、この許可取得の手続きがビジネスのスピードに直結するため、法務部門による迅速かつ精緻な対応が求められます。

本記事では、これらの日本法との重要な違いについて、具体的な条文番号や実際の裁判例を交えながら詳細に解説していきます。

チュニジアの個人情報保護に関する基本法令と監督機関

個人データ保護に関する基本法第2004-63号の概要

チュニジアにおける個人情報保護の中核をなすのは、2004年7月27日に制定された「個人データの保護に関する基本法第2004-63号」です。この法律は、個人のプライバシーの保護を基本的人権と明確に位置付け、個人データの処理に対する厳格な規制を設けることを目的としています。同法第1条では、すべての人が自らの私生活に関する個人データの保護を受ける権利を有することが明記されており、データ処理が適法かつ明確な目的のためにのみ行われるべきであるという基本方針が規定されています。さらに、同法第10条および第11条において、個人データの収集は、適法かつ明確で特定された目的のためにのみ行われなければならず、収集の目的に照らして必要な範囲内で、公正に処理されなければならないと厳格に定められています。

この基本法に関する公式な条文は、チュニジアの安全保障・法制ポータルサイトで確認することができます。

参考：チュニジア安全保障・法制ポータルサイト

国家個人情報保護機関の役割と権限

この基本法の適正な運用を監視し、法規制の執行を担う独立した監督機関として、同法第75条に基づき「国家個人情報保護機関（INPDP）」がチュニスに設置されています。国家個人情報保護機関は、チュニジア国内の個人情報保護に関する最高権威であり、データ処理の申告の受理、特定の処理に対する事前許可の付与、事業者の調査、および重大な法違反に対する検察機関への告発など、極めて広範な権限を有しています。日本の個人情報保護委員会に相当する組織ではありますが、日本においては事後的な指導や勧告を主軸としているのに対し、チュニジアの国家個人情報保護機関は、事業者がデータ処理を開始する前の段階から直接的に介入する強力なゲートキーパーとしての役割を果たしています。

チュニジア法と日本の個人情報保護法の重要な違い

チュニジアの法制を理解するうえで、日本の個人情報保護法との構造的な違いを把握することが有益です。以下の表は、企業法務の観点から特に留意すべき両国の法制度の差異をまとめたものです。

事前申告および事前許可制度の存在

日本企業がチュニジアで事業活動を開始するにあたり、最も注意を払うべき違いの一つが、個人データ処理の開始前に要求される行政手続きの重さです。日本の法律においては、事業者が個人情報を取り扱う際、利用目的を特定して公表または通知すれば原則として適法に処理を開始することができます。オプトアウト手続きなどの例外を除き、行政機関に対する事前届出を求める一般的な制度は設けられていません。

これに対して、チュニジアの法律では、同法第7条において、すべての個人データの処理作業は、国家個人情報保護機関に対する事前の申告の対象となると規定されています。事業者は、データの処理を開始する前に、同機関に対して詳細な申告書を提出し、機関が1か月以内に異議を唱えない場合に限り、当該処理が承認されたものとみなされます。さらに、同法第8条および第15条の規定により、人種、遺伝情報、宗教的・政治的信条などの要配慮個人情報の処理や、特定の技術を用いた処理については、単なる申告ではなく、国家個人情報保護機関の明示的な「事前許可」を取得することが義務付けられています。事前許可の申請には、データ管理者の身元情報、データの種類、処理の目的、保存期間、セキュリティ対策などに関する広範かつ詳細な報告が求められます。このように、事業を開始する前段階で行政機関によるスクリーニングが行われるため、法務部門は事業部門と連携して早期から申告・許可取得の準備を進める必要があります。

未成年者の個人情報保護における家事裁判官の関与

日本とチュニジアの個人情報保護制度において、とりわけ劇的な違いが見られるのが未成年者（子供）の個人情報の取り扱いです。チュニジアの法律第28条は、子供に関する個人データの処理を行う場合、保護者の同意を得ることに加えて、家事裁判官の認可を得なければならないと明確に定めています。家事裁判官は、子供の最善の利益を考慮して司法的な観点から判断を下し、場合によっては保護者の同意がない場合でも認可を与えることができ、またいつでもその認可を取り消す権限を有しています。

さらに、同法第30条により、子供の個人データを広告やマーケティング目的で使用することは原則として禁止されており、例外的に使用する場合であっても、前述の保護者の同意と家事裁判官の認可という極めて厳しい手続きを経なければなりません。チュニジアにおいて、教育サービス、子供向け製品の販売、オンラインゲームなど、未成年者をターゲットとする事業を展開する場合、裁判所での認可手続きという大きな時間を要するステップを事業計画に確実に組み込む必要があります。ここから、チュニジアにおいては未成年者のプライバシー保護に対して、国家が司法制度を通じて後見的な役割を果たしているということが言えるでしょう。

個人情報の国外移転に関する厳格な規制

グローバルに事業を展開する日本企業にとって、チュニジアで収集した顧客データや従業員情報を日本の本社や第三国のクラウドサーバーに移転する機会は多く存在します。日本の法律では、外国にある第三者への個人データの提供について、複数の柔軟な選択肢が用意されています。しかし、チュニジアの法律は、国外へのデータ移転に対して非常に保守的かつ厳格な姿勢をとっています。

同法第50条では、国家の安全やチュニジアの重大な利益を損なう恐れのある場合、外国への個人データの通信または移転はいかなる場合においても禁止されています。そのうえで、第51条により、移転先の国が適切な保護水準を確保している場合にのみ移転が可能であると規定されています。さらに特筆すべきは、同法第52条の規定です。この規定によれば、移転先の国が適切な保護水準を有しているかどうかにかかわらず、個人データを国外に移転するためには、すべての場合において国家個人情報保護機関の事前許可を取得しなければならないとされています。

つまり、企業間でデータ移転契約を締結しただけでは不十分であり、必ず行政機関の明示的な許可が必要です。加えて、移転対象となるデータが子供に関するものである場合、同条に基づき、許可の申請は国家個人情報保護機関ではなく、前述の家事裁判官に対して行わなければなりません。こうした厳格な規制の存在から、データフローの設計段階から現地の法務要件を満たすための専門的な対策が不可欠です。

映像監視に関する特則

企業が店舗、工場、またはオフィスに防犯カメラを設置することは日常的に行われていますが、チュニジアの法律では映像監視を通じたデータの収集についても特別な事前規制が設けられています。同法第69条に基づき、映像監視手段の使用は国家個人情報保護機関の事前許可の対象となります。さらに、同法第73条では、監視目的で収集されたビデオ録画データを第三者に提供することは原則として禁止されており、刑事事件の捜査など、法律で定められたごく一部の例外的な状況においてのみ許可されます。録画データに子供が含まれている場合は、映像の取り扱いに関しても家事裁判官の許可が必要となるケースがあります。

日本においては防犯カメラの運用には利用目的の掲示などで足りる場合が多いですが、チュニジアでは物理的セキュリティ対策を講じる際にもプライバシー法制への対応が先決となります。

チュニジアの罰則規定および司法機関における判例の動向

違反に対する刑事罰と民事上の責任

チュニジアの個人情報保護法は、法規制の実効性を担保するため、違反行為に対して強力な刑事罰を直接的に規定しています。日本法では、個人情報保護委員会からの改善命令等に違反した場合や、不正な利益を図る目的でデータベースを提供する行為に対して罰則が適用される構造が中心ですが、チュニジア法はより直接的かつ重い自由刑を含んでいます。

同法第86条では、第50条の規定（国家の安全や重大な利益を損なう恐れのある国外移転の禁止）に違反した者に対して、2年から5年の禁固刑、および5,000ディナールから50,000ディナールの罰金が科されることが明記されています。また、この犯罪については未遂も罰せられると規定されています。国家個人情報保護機関は、職務の枠組みの中で認識したすべての違反行為について、管轄の共和国検察官に通知する義務を負っており、行政機関と刑事司法機関が密接に連携しています。

司法機関における実際の判例と実務上の運用

チュニジアの司法実務においては、国家個人情報保護機関による積極的な法的措置の提起が実際に確認されています。現地の法規制が形骸化しておらず、厳格に運用されていることを示す代表的な裁判例が存在します。

2022年10月21日、チュニス第一審裁判所（Tribunal de première instance de Tunis）において、国家個人情報保護機関を当事者とする注目すべき事案が提起されました。この事件において、国家個人情報保護機関は、シェアリングモビリティサービスを提供する外資系企業であるボルト（Bolt）を相手取り、個人情報保護に関する法要件を遵守していないとして、チュニス第一審裁判所の検察官に対して正式に提訴を行いました。この事案から、現地で事業を展開する外資系サービスやプラットフォーム企業であっても、チュニジアの個人情報保護法の遵守状況が厳しく監視されており、要件を満たさないと判断された場合には迅速に司法的手段がとられるリスクがあるということが言えるでしょう。

また、公にされている情報は限定的であるものの、チュニス第一審裁判所においては2018年9月にも個人情報保護法関連の非公開判決が下されていることなどが報告されています。現地の裁判所は、個人情報に関連する紛争において国家個人情報保護機関の決定や方針を重要な根拠として判断を下す傾向にあります。したがって、同機関に対する事前申告や許可手続きを遺漏なく遂行し、良好な関係を構築しておくことが、企業にとって最大の防衛策となります。

チュニジアにおける法改正に向けた最新の動向

チュニジアは、個人情報保護の分野においてアフリカおよび中東地域をリードする地位を維持・強化しようとしています。その一環として、2017年には欧州評議会の「個人データの自動処理に関する個人の保護に関する条約（第108号条約）」に正式に批准しました。これに伴い、現在チュニジア国内では、欧州連合（EU）の一般データ保護規則（GDPR）の基準に合わせた新たな個人情報保護法の草案が長らく議論されています。現在の2004年法は事前申告や事前許可という強力な「事前規制」を中心としていますが、議論されている新法案では、GDPRと同様に事業者の説明責任（アカウンタビリティ）を重視する体制への移行、高額な行政罰の導入、データ保護責任者（DPO）の設置義務付け、本人の同意要件のさらなる厳格化などが含まれているとされています。

法改正が実現した際には、現行の厳格な事前手続きの一部が見直される可能性がある一方で、企業の自主的なコンプライアンス管理能力に対する要求は格段に高まることになります。日本企業は、現行法の遵守を徹底すると同時に、今後の法改正の動向にも継続的に注意を払う必要があります。

まとめ

チュニジアにおける個人情報保護法（第2004-63号）の全体像と、日本法との実務上極めて重要な相違点について解説いたしました。本記事の要点として最も強調すべきは、チュニジアにおいて個人データを取り扱う事業を行う場合、事後的な対応だけでは不十分であり、国家個人情報保護機関に対する事前の申告や許可の取得が不可欠であるという点です。また、未成年者のデータを取り扱う際やデータを国外へ移転する際には、保護者の同意や事業者の独自判断にとどまらず、家事裁判官の認可や監督機関の特別な許可が必要となるなど、非常に厳格なハードルが設けられています。さらには、法違反に対しては重い禁固刑や罰金といった刑事罰が直接的に適用されるリスクがあり、実際の運用においてもチュニス第一審裁判所におけるボルト事件の事例に見られるように、監督機関が検察機関と連携して積極的な法的措置を講じている実態があります。

これらの法環境は、現地のコンプライアンス要件に対する十分な調査と綿密な事前準備を怠った場合、事業の停止や刑事訴追といった致命的なリスクを企業にもたらす可能性があります。チュニジア市場はその地理的優位性やデジタルインフラの普及率の高さから魅力的なビジネス拠点となり得ますが、それに伴う法的責任の重さを正確に認識することが、安全で持続可能な事業運営の前提となります。日本における個人情報保護の枠組みや一般的な法規範をそのまま持ち込むのではなく、チュニジア独自の司法制度や行政手続きに合わせたローカライズされた法務戦略を構築することが求められます。

モノリス法律事務所では、こうした内容についてサポートいたします。企業が海外という未知の法領域において安全にビジネスを展開できるよう、複雑な現地の規制環境を正確に読み解き、現行法の遵守にとどまらず、将来的な法改正をも見据えた柔軟かつ強固なコンプライアンス体制の構築を支援することが求められています。現地での事業立ち上げから運用フェーズに至るまで、経営層や法務部員が抱える法的な不安を解消し、ビジネスの成長に専念できる環境を整えるための的確な対応を提供いたします。チュニジアへの進出をご検討の際は、現地の最新の法的動向を踏まえた確かな方針策定をお手伝いいたします。