ルワンダのデータ保護法：法律 Nº 058/2021 を遵守するために企業がなすべきこと

の ルワンダのデータ保護法 は、もはや将来のコンプライアンス課題ではありません。既存事業者向けの二年間の経過期間は終了し、規制当局はすでに組織の登録、国際移転の許可、侵害報告の受理を行っています。本ガイドでは、同法の要件、適用対象、違反した場合の代償、今とるべき措置を解説します。実務面の支援については、当社の データ保護・サイバーセキュリティチーム があらゆる業種の組織に助言を提供しています。

ルワンダのデータ保護法とは

根拠となる法律は 個人データ及びプライバシーの保護に関する法律 Nº 058/2021（13/10/2021 付）であり、 2021 年 10 月 15 日付官報特別号に掲載されました。同法は公布日に施行されました。すでに事業を行っていた企業には、公布から二年を超えない範囲で業務を同法に適合させる期間が与えられていましたが、その猶予期間はすでに終了しています。

同法は、サイバーセキュリティを所管する公的機関を「監督機関」と定めています。実務上、これは 国家サイバーセキュリティ庁(NCSA)であり、同庁はデータ保護・プライバシー局（DPO）を通じて同法を監督しています。

同法は誰に適用されるか

同法は、データ管理者、データ処理者または第三者による、自動化の有無を問わないあらゆる個人データの処理に適用されます。対象となるのは次の者です。

• ルワンダに拠点を置き、または居住し、ルワンダ国内で個人データを処理する者
• ルワンダに拠点も居所もないが、ルワンダ所在のデータ主体の個人データを処理する者

したがって、ルワンダに事務所を持たない企業であっても、ルワンダの顧客にサービスを提供していれば同法の適用を受けることがあり、書面によりルワンダ国内の代理人を指定しなければなりません。

個人データと機微な個人データ

個人データとは、氏名、識別番号、位置データ、オンライン識別子など、識別された、または識別可能な自然人に関するあらゆる情報をいいます。 機微な個人データは、健康状態、犯罪歴、宗教的信条、政治的意見、遺伝データを明らかにする情報を含み、より厳格な条件と最も重い刑事罰の対象となります。

データ管理者および処理者の中核的義務

NCSAへの登録

データ管理者またはデータ処理者として活動しようとする者は、監督機関に登録しなければなりません。申請書には、処理する個人データ、データ主体の類型、処理目的、受領者、データの移転先国、関連するリスクとその対応策などを記載する必要があります。監督機関は、要件を満たす申請者に対し、申請受領から 30 営業日 以内に証明書を発行します。 DPOの登録ガイド および申請様式はオンラインで公開されています。

登録は一度で完結する手続ではありません。変更は 15 営業日以内に届け出る必要があり、更新は有効期限の 45 営業日前から申請できます。

適法性の根拠、透明性および記録

処理が適法となるのは、同意、契約の履行、法的義務、重大な利益、公共の利益に係る業務、正当な利益、許可を受けた研究など、同法に列挙された根拠のいずれかに基づく場合に限られます。データを収集する際、管理者は、収集の理由、受領者、保存期間、本人が有する権利などを個人に通知しなければなりません。

管理者および処理者はまた、すべての処理活動の記録を保持し、適切な技術的・組織的安全管理措置を講じ、処理が高リスクをもたらすおそれがある場合にはデータ保護影響評価（DPIA）を実施しなければなりません。実施が必要となる場面には、機微なデータの大規模処理、自動化されたプロファイリング、新技術の利用が含まれ、データ分析を導入する企業や次の分野に携わる企業に直接関係します： AI・データセンターインフラ.

データ保護責任者

データ保護責任者は、公的または私的な法人その他の法的主体（裁判所を除く）が処理を行う場合を含め、いくつかの場合に指定しなければなりません。文言どおりに読めば、ほとんどの企業が対象となります。責任者は従業員でも外部の事業者でもよく、その連絡先を公表し監督機関に届け出なければなりません。DPOはこの手続を支援するため、 指定ガイド を公表しています。

企業が尊重しなければならないデータ主体の権利

同法は個人に明確な一連の権利を与えており、書面または電子的方法で行使できます。

• アクセス権： 処理目的に関する情報、自己のデータの写し、その取得元、国外に移転されたかどうか。
• 異議申立権： ダイレクトマーケティングのための処理の停止を無条件に求める権利を含みます。
• データポータビリティ権： 構造化された判読可能な形式で自己のデータを受け取り、または別の管理者に送付させること。
• 処理の制限、訂正および消去（列挙された例外に服します）。
• 自動処理のみに基づく決定に服さないこと（プロファイリングを含み、限定的な例外があります）。
• 相続人の指定 （自己の個人データについて）および 代理（例えば 16 歳未満の子どもについて）。

ほとんどの権利について、管理者は請求から 30日間 以内に回答しなければなりません。不服のある個人は 30 日以内に監督機関に不服を申し立てることができ、監督機関は 60 日以内に回答します。したがって、人事、顧客サービス、マーケティングの各部門には文書化された手続が必要です。使用者はこれを自社の 雇用契約および従業員規程と整合させるべきです。従業員の記録も個人データに当たるためです。

国境を越える移転、保存および侵害通知

ルワンダ国外への移転と国外での保存

原則として、個人データはルワンダ国内に保存されます。ルワンダ国外での保存は、管理者または処理者がそれを認める有効な登録証明書を有する場合にのみ許されます。国外の第三者への移転は、適切な保護措置の証明後の監督機関の許可、本人の同意、契約または法的請求のための必要性など、特定の根拠に基づき認められます。書面による契約で各当事者の責任を定めなければならず、監督機関は移転を停止または禁止することができます。

海外のクラウドホスティングやグループの人事システムを利用する企業は、DPOの 移転許可サービス を確認し、これらの条件を自社の 商事契約に盛り込むべきです。より広い政策的背景については、当社の次の分析をご覧ください： アフリカにおける国境を越えるデータフロー.

個人データ侵害

侵害対応のスケジュールは厳しく、誤って説明されることも少なくありません。

• の データ管理者 は、個人データ侵害を監督機関に通知しなければならず、その期限は認識した時から 48 時間 以内です。
• A データ処理者 は、管理者に通知しなければならず、その期限は認識した時から 48 時間 以内です。
• その後、管理者は 侵害報告書 を監督機関に提出しなければならず、その期限は 72 時間以内です。報告書には、侵害の性質、影響を受けた人と記録、講じた措置、影響を受けた個人への通知案を記載します。
• 侵害が個人に高いリスクをもたらすおそれがある場合、法定の例外に該当しない限り、管理者は本人にも通知しなければなりません。

DPOは データ侵害を報告するための窓口を運営しています。これらの期限を守るには、意思決定者をあらかじめ定めた対応計画が不可欠です。

ルワンダのデータ保護法に基づく罰則

行政上の違反。 処理記録を保持しない、登録証明書なしで事業を行う、有効期限切れの証明書を使用する、データ保護責任者を指定しない、侵害の通知または報告を怠るといった違反には、RWF 2,000,000 以上 RWF 5,000,000 以下の行政罰金、または前事業年度の全世界売上高の 1% が科されます。法人その他の法的主体については、同法は前事業年度の全世界売上高の 1% を定めています。

刑事犯罪。 個人データへの違法なアクセス、収集、使用、共有または開示は、一年以上三年以下の拘禁刑および RWF 7,000,000 以上 RWF 10,000,000 以下の罰金、またはそのいずれかに処せられます。データの違法な販売や機微なデータの違法な処理には、より重い刑が科されます。有罪となった法人は前事業年度の年間売上高の 5% の罰金に処せられ、重大な損害を被った個人は裁判所に損害賠償を請求することができます。

実務的なコンプライアンス・チェックリスト

• データを把握する： 保有するデータ、その保存場所、移転先を把握します。
• 自らの役割を確認して登録する ：管理者、処理者またはその両方として登録し、更新期限を管理します。
• データ保護責任者を任命する ：その詳細を監督機関に届け出ます。
• 通知文と同意を更新する ：ウェブサイト、アプリ、各種フォーム、従業員向け文書が対象です。
• 記録台帳とDPIAの手順を整備する ：高リスクのプロジェクトが対象です。
• 移転および保存の許可を取得する ：あわせて、ベンダーと書面による移転契約を締結します。
• 侵害対応計画をテストする ：48 時間および 72 時間の期限に照らして検証します。
• 関連資産を保護する： 顧客データベースやソフトウェアは、次の法律による保護も必要となることが多くあります： ルワンダの知的財産法.
• ガバナンスを整備する： 健全な コーポレート・ガバナンスの一環としてデータリスクを取締役会に報告し、買収および次の分野のデューデリジェンスにデータ保護を組み込みます： 国際投資.

よくある質問

ルワンダのデータ保護法の名称は何ですか？

個人データ及びプライバシーの保護に関する法律 Nº 058/2021（13/10/2021 付）です。同法は 2021 年 10 月 15 日の官報への掲載により施行され、既存事業者向けの二年間の経過期間はすでに終了しています。

ルワンダでデータ保護を規制しているのは誰ですか？

国家サイバーセキュリティ庁（NCSA）が、データ保護・プライバシー局を通じて同法を監督しています。同庁は管理者および処理者の登録、国外移転の許可、苦情の処理、行政処分を行います。

外国企業はNCSAへの登録が必要ですか？

同法は、ルワンダ所在の人の個人データを処理するルワンダ国外の管理者および処理者にも適用されます。こうした企業は、書面によりルワンダ国内の代理人を指定しなければなりません。したがって、ルワンダの顧客にサービスを提供する外国企業は、登録が必要かどうかを検討すべきです。

ルワンダではデータ侵害をどのくらい早く報告しなければなりませんか？

データ管理者は侵害を認識してから 48 時間以内に監督機関に通知しなければならず、処理者も同じ期間内に管理者に通知しなければなりません。完全な侵害報告書は 72 時間以内に提出する必要があります。高リスクの侵害は、影響を受けた個人にも通知しなければなりません。

個人データをルワンダ国外に保存できますか？

はい。ただし、管理者または処理者がルワンダ国外での保存を認める有効な登録証明書を有している場合に限られます。国外の第三者への移転も、同法に定める根拠のいずれかを満たし、書面による契約で規律される必要があります。

結論

ルワンダのデータ保護法の遵守は、いまや事業運営上の必須要件であり、対応を先送りする企業は現実の行政上・刑事上のリスクにさらされます。最も有利な立場にある組織は、インシデントが起きる前に登録を行い、データ保護責任者を任命し、処理を文書化し、侵害対応を訓練しています。

WAYANの ルワンダのデータ保護・サイバーセキュリティ弁護士 が、貴社の状況を評価し、NCSAへの登録や各種許可の手続を管理し、事業に適したコンプライアンス・プログラムを構築いたします。まずは WAYANとのご相談をご予約 ください。