インドのデータ保護委員会の独立性に疑問の声

インドが2023年にデジタル個人データ保護法（DPDP法）を可決したとき、それは住民に対し、企業や政府機関が個人情報をどのように扱うかを管理するための近代的な枠組みを約束した。その約束の中心にあるのが、法律の執行、苦情の調査、違反者への罰則を担うインドデータ保護委員会だ。しかし、法学の専門家の間からは、疑問の声が高まっている。この委員会は、政府自身を含む強力な組織に責任を問うことができるだけの独立性を本当に備えているのか、と。

この懸念は仮定の話ではない。規制機関の独立性は、政権とつながりのある企業や政府機関に対して、報復を恐れずに措置を取れるかどうかを左右する。あなたのデータプライバシーを守るはずの機関が、自らが調査対象とする可能性のある行政府に主に従属しているなら、執行の枠組み全体が実質的というより象徴的なものになる危険性がある。

データ保護委員会のメンバーはどのように選ばれるのか

他の法域の独立規制機関とは異なり、データ保護委員会の構成と機能は、中央政府が自ら起草し管理する規則によって大きく左右される。政府は、委員会の委員長と委員の選考プロセス、任期の条件、解任される条件を決定する。この仕組みは、委員会のリーダーシップに対する大きな影響力を、まさにその行政府の手中に集中させる。その行政府とは、国営データベース、公共部門の銀行、政府と密接な関係を持つ民間企業であれ、いずれ監視の目を向けなければならないかもしれない相手である。

批評家は、真の規制独立性には通常、固定任期、透明性が高く干渉を受けない任命手続き、政治的干渉を防ぐ解任保護が必要だと指摘する。これらの安全策がなければ、委員会は名目上は存在しても、データ権利の中立的な裁定者としてではなく、行政府の意向の延長として機能する可能性がある。

より強力な法律の下でも見られるおなじみの問題

これはインド特有のジレンマではない。EUの一般データ保護規則（GDPR）は、プライバシー施行のゴールドスタンダードとしてよく引き合いに出されるが、そのデータ保護当局でさえ、特に規制の緩やかな国に本社を置く巨大テクノロジー企業に対する執行の不均衡、慢性的な資金不足、調査の遅さについて、何年にもわたって批判に直面してきた。EUの経験からの教訓は、強力な法文だけでは強力な執行を保証しないということだ。独立性は、法律の前文で謳うだけではなく、制度設計、資金調達、任命の仕組みに組み込まれなければならない。

インドの状況はさらに複雑だ。DPDP法の実務的な枠組みの多くは、委員会の日々の具体的な運営方法も含めて、法律成立後に政府が発出する規則や告示に委ねられている。これにより、法律が可決された後もずっと、行政府は執行の厳格さ、あるいは緩さに対して継続的な影響力を持つことになる。

なぜこれが法律の専門家以外にとっても重要なのか

この議論は学術的なものではない。インドではすでに、約200万人の学生の記録を露出させたCBSEクラウドストレージの設定ミスといった事例を含め、機密性の高い個人データの大規模な露出が発生している。政府関連の機関が関与する侵害が発生した場合、執行機関が公平に調査できるかどうかという問題は、即座に理論から実務へと変わる。データを不適切に扱った政府機関と同じ政府に従属していると見なされる委員会には、説明責任、透明性、改善を要求する信頼性が低くなる。

あなたにとって何を意味するのか

あなたがインドの居住者であれば、DPDP法が無意味であるという意味ではない。特に政府や準政府機関が関与するケースにおいて、規制による保護が迅速に、あるいは強力にやって来ると思い込むべきではないということだ。データ保護委員会の独立性が実際の執行措置を通じて試されるまでは、個人が自分のデータを守る第一防衛線であり続ける。

つまり、アプリやウェブサイト、政府ポータルと共有する個人情報に慎重になること、強力で固有のパスワードを使用すること、可能な限り二要素認証を有効にすることを意味する。また、学校、銀行、医療提供者など、あなたが関わる組織がどのようにデータの取り扱い方針を開示しているかに、より注意を払い、開示が曖昧または不完全な場合には異議を唱えることも意味する。