台湾の個人情報保護法（PDPA）解説

台湾でのビジネス展開を検討されている日本の経営者や法務担当者の皆様にとって、現地の個人情報保護法（Personal Data Protection Act, PDPA）への理解は不可欠です。台湾PDPAは、EUの一般データ保護規則（GDPR）に類似した厳格な原則を掲げています。特に「2025年改正により、監督体制・漏えい報告・行政検査・罰則の強化が予定されており、施行後は規制がさらに厳格化する見込みです。

台湾のPDPAは、日本の個人情報保護法と比較して、いくつかの決定的な違いが存在します。まず、保護対象となる「個人資料」の定義は、日本の「個人情報」や「個人データ」よりも包括的で、日本法のような段階的な概念区分とは異なる整理が採られています。また、これまで各省庁に分散していた監督権限が、日本の個人情報保護委員会（PPC）と同様の独立した機関である個人資料保護委員会（PDPC）に一元化される方向で段階的な移行が進められています。

この独立した監督機関の設立は、憲法裁判所の判決を契機とする、台湾政府のデータ保護強化への強い意志の表れです。さらに、個人データの越境移転は「原則許可」ではあるものの、主管機関の公告・命令・処分等により、特定分野又は特定移転先への移転が制限され得るため、日本法のような明確なルールに慣れている企業にとっては予期せぬリスクとなり得ます。加えて、違反に対する罰則は、高額な行政罰金に加えて、懲役刑を含む刑事罰や、集団訴訟による高額な損害賠償請求も可能であり、日本の個人情報保護法に比べてより重いリスクを個人・法人に科す体系となっています。

本記事では、これらの違いに焦点を当て、単なる法令知識を超えた、実務上のリスクとコンプライアンス上の課題を詳細に掘り下げていきます。

なお、台湾の包括的な法制度の概要は下記記事にてまとめています。

台湾個人情報保護法（PDPA）の基本原則と「個人資料」の定義

台湾PDPAにおける「個人資料」の概念

台湾の個人情報保護法は、その根幹をなす概念として「個人資料」（Personal Data）を定めています。これは、自然人を直接的または間接的に識別することができる情報を指し、氏名、生年月日、身分証番号、パスポート番号、病歴、医療に関する情報、犯罪前科などが含まれます。また、台湾PDPAでは、こうした個人資料に加えて、検索・整理が可能な個人資料の集合である「個人資料檔案」という概念も定められています。

日本法は、「個人情報」（氏名など特定の個人を識別できる情報）と、そのうち個人情報データベース等を構成する「個人データ」を区別し、それぞれに異なる義務を課しています。一方、台湾PDPAでは、日本法の「個人情報」「個人データ」「保有個人データ」のような段階的な概念区分とは異なり、「個人資料」を中心に、これを検索・整理可能な形で保有する「個人資料檔案」などの概念を用いて規律している点に特徴があります。

個人資料の収集、処理、利用に関する基本原則

台湾PDPA第5条は、個人資料の収集、処理、利用は、誠実かつ信義に則った方法で、データ主体の権利利益を尊重し、特定の目的の必要範囲を超えてはならないと定めています。

また、収集時には、データ主体に対し、収集目的、個人資料の種類、利用期間、地域、データ主体の権利（閲覧、複製、訂正、利用停止、削除の権利など）を明確に通知する義務があります。この通知義務は、日本個人情報保護法の「利用目的の特定・公表」と類似していますが、台湾PDPAでは「収集時」の「明示的な通知」が原則であり、より積極的な情報提供が求められます。特に、データ主体が個人資料を提供しない場合の権利・利益への影響についても通知しなければなりません。したがって、日本のプライバシーポリシーを単純に翻訳するだけでは不十分であり、台湾の法要件に合わせたローカライズが不可欠となります。例えば、台湾でウェブサービスやアプリを展開する場合、ユーザー登録時などに、PDPA第8条に準拠した通知画面や文章を設ける必要があります  

機微な個人資料の取り扱い

台湾PDPA第6条は、医療記録、ヘルスケアデータ、遺伝子データ、性生活、健康診断、犯罪記録などの機微な個人資料の収集、処理、利用を原則として禁止しています。これは、EUのGDPRにおける「特別カテゴリーの個人データ」と同様に、特に厳格な保護が求められる情報です。例外的に許容される可能性があるのは、「法律で明示的に定められている場合」や「当事者の書面による同意がある場合」など、特定の条件が満たされた場合に限られます。

日本の個人情報保護法でも、人種、信条、病歴などの「要配慮個人情報」は、原則として取得が制限されており、両法とも同様の保護レベルにあるといえるでしょう。

2025年の台湾PDPA改正による監督体制の強化

監督権限のPDPCへの一元化

2025年11月に公布されたPDPA改正は、台湾の個人情報保護ガバナンスを根本的に変える、最も重要な変化をもたらしました。これまで各事業分野の主管官庁（例：金融監督管理委員会、交通部など）が担っていた監督権限が、独立した監督機関である「個人資料保護委員会（PDPC）」に一元化されることになったのです。

この変更は、国家健康保険研究データベース事件に関する台湾憲法裁判所の判決（111年憲判字第13號判決）を受けて行われました。この判決は、個人情報とプライバシーの憲法上の権利を保護するためには、独立したデータ保護メカニズムを確立する必要があると判断したものです。監督機関が一つにまとまることで、事業者にとっては問い合わせ先が明確になるというメリットがある一方、専門機関による厳格な監督と制裁のリスクが高まります。PDPCは、データ侵害事件の報告を一元的に受け付け、迅速な調査と対応を促進する役割を担います。

PDPCによる今後の監督強化と移行期間

2025年の改正法は総統により公布されたものの、施行日は行政院が別途定めることとされており、現在は未施行の段階です。PDPCの設立は、データ保護責任者（DPO）の任命義務化（公務部門）や、PDPCへのデータ侵害時の報告義務化、高リスク産業への優先的な検査など、新たなコンプライアンス義務の導入を伴います。民間部門への監督権限の移管には、新制度に接続するための経過措置期間が設けられています。

この移行期間は、企業に準備期間を与えていると解釈できますが、コンプライアンス対応を先延ばしにすることは賢明ではありません。PDPCの準備処は、すでに法規の改正や解釈、監督体制の企画、国際協力など、広範な業務を掌っています。これは、PDPCが全面稼働するまでに、監督体制や下位法令が着々と整備されていくことを示唆しています。また、台湾政府はGDPRの「適足性認定（adequacy decision ）」の獲得を目指し、独立した監督機関の設立を進めてきました。この動向は、台湾が国際的なデータ保護基準に準拠していくという強い意志の表れであり、今後、台湾法がよりGDPRに類似した厳格な方向へと進化していくと見られます。

台湾における越境データ移転の制限

台湾では、個人データの国際移転は原則として禁止されておらず、これは日本企業にとって一見すると利便性が高いように感じられます。しかし、PDPA第21条は、以下の4つの状況下では、中央目的事業主管官庁がデータ移転を制限できると規定しています。

1. 重要な国家利益に関わる場合
2. 国際条約や協定に特別な規定がある場合
3. 受領国に適切な保護規制がなく、データ主体の権利・利益を侵害する恐れがある場合
4. 法律を回避するために、迂回的な方法で第三国へデータを移転する場合

日本の個人情報保護法では、個人データの越境移転について、(1)個人情報保護委員会（PPC）による十分性認定国への移転、(2)データ主体からの同意、(3)PPC規則が定める基準に適合する措置（例：APEC CBPRシステム認定、契約による義務付けなど）を講じること、という明確な要件が定められています。これに対し、台湾の第21条は、明確な法的基準というよりは、リスクに基づく「制限権限」を規制当局に与えているという側面が強いです。この「原則許可、例外禁止」のルールは、実務的には「グレーゾーン」や「不確実性」を内包しています。特に、当局が「受領国に適切な保護規制がない」と判断した場合、移転が突然制限されるリスクがあります。実際に、労働部が人力仲介業者の個人データを中国大陸へ移転することを制限した事例が存在します。これは、抽象的な条文が具体的な行政処分に繋がることを示唆しています。

したがって、日本企業は、単に法律が禁止していないからと安易にデータを台湾外に移転するのではなく、自社の事業分野を管轄する主管官庁に事前に確認を行うなど、慎重な対応が求められます。

台湾PDPAの罰則と実例

行政罰・刑事罰・民事賠償

台湾PDPAの最も厳格な側面の一つは、その多岐にわたる罰則体系です。違反者には、行政罰、刑事罰、そして民事賠償の三つの法的責任が同時に科される可能性があります。

• 行政罰：適切な安全管理措置を怠った事業者に対しては、情状が重大な場合、直接15万〜1,500万台湾ドル（約70万〜7,000万円）の高額な罰金が科されます。
• 刑事罰：違法な利益を得る目的や、他人の利益を損なう目的で個人データを不正に取得、処理、利用した場合、最大で5年以下の懲役・100万台湾ドル以下の罰金併科の可能性があります。
• 民事賠償：被害者は、証明が困難な場合でも、1人あたり500〜20,000台湾ドルの法定損害賠償を請求でき、集団訴訟の場合には、原則として総額2億台湾ドル（約9.4億円）までですが、当該原因事実に係る利益が2億台湾ドルを超える場合は、その利益額を上限として賠償請求することが可能です。

この罰則体系は、日本の個人情報保護法との違いを示すものです。日本法でも、不正なデータ提供等には懲役刑が科される場合があり、2026年改正により課徴金制度も導入される予定です。もっとも、台湾PDPAでは、重大な安全管理義務違反等について、主管機関が直接高額な行政上の罰鍰（台湾法における行政上の罰金）を科すことができる点に特徴があります。また、故意や不正目的による違法な個人資料の収集・処理・利用には刑事責任が問題となり得ます。さらに、非公務機関に罰鍰が科される場合、代表者や管理者等も、必要な防止措置を尽くしたことを証明できない限り、同額の罰鍰を科される可能性があります。そのため、日本の本社は、台湾子会社や現地責任者に対する教育・管理体制を慎重に整備する必要があります。

個人情報保護法違反に関する実例

台湾では、医療関連の特種個人資料を不法に取得・利用した事案について刑事責任が問題となった例があり、また、会員アプリや小売・サービス業における個人資料漏えい事案について、主管機関が行政調査や改善要求を行った例も確認されています。これらの事例は、台湾の規制当局が、単なる形式的な違反だけでなく、データ侵害や不正利用といった実質的なリスクに対して厳格な姿勢で臨んでいることを物語っています。

まとめ

2025年の改正を経て、台湾の個人情報保護法は、日本の個人情報保護法と比較して、より厳格で独立した監督体制へと移行し、直接的な高額な行政罰や、懲役刑を伴う刑事罰を科すなど、その法的リスクを大幅に高めています。また、越境データ移転についても、形式的な許可制とは異なり、主管官庁の裁量による制限リスクを常に考慮に入れる必要があります。

台湾のPDPAは、保護対象となる「個人資料」の範囲が広く、また、2025年の改正により、独立した監督機関であるPDPCが所管することが定められ、これまで各省庁に分散していた監督権限が一元化されることになりました。現在は移行期間中ではあるものの、これにより、日本のPPCと同様に、より専門的かつ厳格な監督と執行が期待されます。また、越境データ移転は、受領国に適切な保護法規がない場合に当局が制限できるため、日本法のように明確なルールがあるわけではなく、実務上はより高い不確実性が存在します。最も重要な点は、違反した場合の罰則が極めて厳しいことです。最高1,500万台湾ドル（約7,000万円）の行政罰金に加えて、不正目的のデータ利用には最大5年の懲役刑が科される可能性があり、日本よりも行政罰が直接的かつ高額であるという重いリスクを意味します。

これは、日本の個人情報保護法に準拠しているからといって、台湾でも安全であるとは限らないという明確な警鐘です。台湾での事業を成功させるためには、日本の基準を上回る、現地の法規制に特化した厳格なコンプライアンス体制を構築することが不可欠です。