2025年データ（利用及びアクセス）法（Data (Use and Access) Act 2025 (DUAA)）は、一般データ保護規則（(EU) 2016/679）の維持されたEU法（retained EU law）版である英国一般データ保護規則（英国GDPR）および2018年データ保護法（Data Protection Act 2018 (DPA)）と並び、英国のデータ保護制度を構成する重要な法令の一部です。
DUAAにより、データ管理者による個人データの処理に不満を持つデータ主体のために、データ管理者が苦情処理手続を整備することが義務付けられました。英国データ保護機関（Information Commissioner’s Office (ICO)）は、ほとんどの場合、未解決の問題をICOに申し立てる前に、データ主体がまずデータ管理者に苦情を申し立てることを求めるとしています。そのため、堅牢な苦情処理手続を導入しなかった場合、当該不備およびデータ管理者の事業やプライバシーコンプライアンスといったその他の側面についても調査対象となるリスクがあります。企業は、自らの義務を理解し、これらの要件を満たすための適切な手続を整備することが重要です。
データ管理者にはどのような義務があるのか
DUAA第103条により、DPAに第164A条が追加されます。この新たな規定は、データ管理者がデータ主体の個人データに関して英国GDPRに違反したとデータ主体が考える場合に、データ管理者に対して苦情を申し立てる権利を定めています。
- データ管理者は、電子的な方法その他の方法により記入できる苦情申立てフォームを提供するなどの措置を講じ、この条項に基づく苦情申立てを容易にしなければなりません。
- データ管理者は、苦情を受領してから30日以内に、受領した旨を通知しなければなりません。
- データ管理者は、不当に遅滞することなく、苦情に関する追加調査など当該苦情に対応するための適切な措置を講じるとともに、苦情を申し立てたデータ主体に進捗状況および結果を通知しなければなりません。
実務上の事例
新たな制度に基づき、データ主体による苦情申立てにつながり得る状況は数多くあります。以下では、苦情の原因となり得るプライバシー上の問題を示すため、いくつかの事例を取り上げます。なお、以下は網羅的な一覧ではありません。
- データ主体アクセス要求（Data Subject Access Request (DSAR)）
英国GDPR第15条に基づき、個人は自らの個人データにアクセスする権利を有します。企業がデータ主体アクセス要求を無視した場合、法定の1か月の回答期限を徒過した場合（またはその権限がないにもかかわらず情報の提供を拒否した、もしくは情報を編集・削除した場合）、DUAAに基づく正式な苦情を申し立てることができます。
- ダイレクトマーケティングおよびオプトアウト
英国GDPRに基づき、個人はいつでもダイレクトマーケティングに異議を申し立てる絶対的な権利を有します。個人がオプトアウトを選択した後、または同意を撤回した後も、企業がマーケティング目的のメールやテキストメッセージの送信を継続した場合、これは英国GDPR違反となり、データ主体は当該企業に苦情を申し立てることができます。
- データ侵害
英国GDPR第33条および第34条に基づき、企業は、当該侵害が個人の権利および自由にリスクをもたらす可能性が低い場合を除き、個人データ侵害を認識してから72時間以内に（実行可能な場合には）当該侵害についてICOへ通知しなければなりません。また、当該侵害が個人の権利および自由に高いリスクをもたらす可能性がある場合、企業は影響を受けるデータ主体に不当に遅滞することなく通知しなければなりません。企業がこれらの期限内に通知しなかった場合、当該侵害の影響を受けたデータ主体から苦情を申し立てられる可能性があります。なお、企業がICOへ報告する必要のないデータ侵害であっても、データ主体が当該侵害について苦情を申し立てることは可能です。
企業はこれらの要件を満たすために何をすべきか
これらの新たな要件を満たすため、企業はDPAの規定に準拠した苦情処理の仕組みを整備するとともに、スタッフが必要に応じて苦情を認識し、対応できるよう、十分な研修およびガイダンスを用意する必要があります。
- 電子形式その他の形式で利用できる苦情申立てフォームを用意することが重要です。
- 苦情申立てフォームが用意されている場合でも、データ主体にその使用義務はないため、別の方法で苦情が申し立てられた場合にも、それを苦情として認識できるようスタッフを研修する必要があります。
- 苦情の受領確認、進捗状況の報告および最終的な結果の通知を、所定の期限内にデータ主体へ行うための適切なガバナンス体制を整備する必要があります。
- 受領したすべての苦情、講じた調査措置およびその結果について記録を保管する必要があります。
- 苦情処理手続を反映し、連絡先情報などを提供するため、必要に応じてプライバシー通知やポリシー、その他の文書を見直し、更新する必要があります。
- 企業において、苦情その他のプライバシーコンプライアンスに関する問題に対応するため、専任のプライバシー担当者（データプライバシーオフィサーやデータプライバシーマネージャーなど）や専門部署が必要かどうかを検討する必要があります。
3CSにできること
新たな苦情処理に関する要件により、データ管理者が対応すべきプライバシー上のリスクが新たに生じます。既存のガバナンス体制を更新する場合でも、新たに構築する場合でも、3CSは、企業にとって実務的で、法令に準拠し、各企業に適した苦情処理手続の整備を支援します。
また、コンプライアンス監査、スタッフ研修、ガバナンス体制の見直し、プライバシー通知・データ処理契約・処理活動記録その他の主要なデータ保護関連文書の作成支援を含む、さまざまなプライバシー法上の問題について助言を提供しています。
アドバイスおよびガイダンスをご希望の場合は、お気軽にお問合せください。
