Financial and Social System of Information Security

インターネットに代表されるIT社会の影の部分に光をあて、金融詐欺・サイバー犯罪予防等に関する海外の最新情報を提供

最近のEU加盟国におけるGDPR違反に基づくDPAの制裁処分、解釈の明確化ならびに独自の裁判所制度をつくり上げたハンガリーの司法制度の実態を探る

2021-07-31 16:12:01 | プライバシー保護問題

 筆者は7月29日付けの”GDPR HUB”を読んだ。このサイトはわが国ではほとんど言及されていない。しかし、7月29日の記事を読んだだけでも次のような記事がとりあげられている。

 ちなみに、GDPR hub .eu は以下示すように①係属裁判所名、②管轄国、③GDPRの関係条文、④決定日、⑤事件番号、⑥下級審の決定情報、⑦原データの言語などが表示されている。

 運営主体は”noyb”である。代表者はオーストリア国籍のマクシミリアン・シュレムス(Maximillian Schrems:通称Max Shrems)氏であり、筆者はブログで取り上げている。

ベルギー:2021.7.29 GDPR Today

 ベルギーのブリュッセル控訴裁判所は、検索結果の上場廃止に関する事件でベルギーDPAが課した是正措置は、ベルギーの設立された(Googleベルギー)の活動がGoogle LLCと密接に関連していることを十分に説明していなかったため、Googleベルギーではなく、コントローラである(Google LLC)に課されるべきであると判断した。

フランス:CNIL - SAN-2021-010 

 フランスのDPAであるCNILは、DGPR第5条のデータ保持原則に違反したとして、保険会社および補充年金会社€1,750,000(約2億2750万円)の罰金を科した。

ドイツ:ラインラント=プファルツ州高等行政裁判所判決(2021.6.25)j 10 A 10302/21 

 ドイツ高等行政裁判所は、切替式監視カメラがGDPRの適用範囲内に収まらないと判示した。さらに、GDPR第58条(2)(f)は、DPAが(電源を切った)カメラの取り外しを命じるためまでの権限を与えないと判示した。

 なお、ドイツ裁判制度全体図を参照されたい。

ハンガリー:NAIH - NAIH-2894-3/2021 

 ハンガリーのDPA(Nemzeti Adatvédelmi és Információszabadság Hatóság (Hungarian National Authority for Data Protection and Freedom of Information:NAIH)は、そのようなデータへのアクセスを許可されていない一般の実務家にパスワード保護なしで健康データを転送することは、自然人の権利と自由に高いリスクをもたらす個人データの侵害を構成するという考えを保持した。Covid-19パンデミックによって引き起こされる緊急事態中でも、公的機関が適切なデータセキュリティ対策を取ることおよび合法的に個人データを処理する義務を免除しないと決定した。(注1)

ハンガリー:NAIH - NAIH-4495-1/2021 

 ハンガリーのDPAである(National Authority for Data Protection and Freedom of Information:NAIH)は、従業員の電話での会話の記録は、有効な法的根拠なしに、申立人にデータ処理に関する情報を提供することなく行われたと述べた。会社が従業員の電話での会話を録音したい場合は、個人データへの影響が少ない他の措置を講じることができるかどうかを評価する必要がある。

 いずれグローバルな情報を有するローファーム”One TRust LLP”の”Data uidance”(注2)(注3)等がとりあげるであろうが、筆者が毎日Watchしている作業が効率化できそうである。しかし、さらに進んで実際その記事内容を正確に理解しようとするとかなりの障害があることもはっきりした。

 すなわち、各国の裁判制度の最新かつ正確な説明が伴わないと、翻訳解説作業が停滞することもはっきりした。

 ちなみに、今回はEU加盟国の中で独自の裁判制度を有するハンガリーの裁判制度を取り上げ、解説を試みる。

1.ハンガリーの裁判所制度(概要)

Judicial system 英語版仮訳する。

 司法組織は、ハンガリーの法の支配の基本的な柱の1つである。現在、4層の階層には、憲法裁判所(curia )、地方控訴裁判所(Regional Courts of Appeal)、地方裁判所(Regional Courts)、地区裁判所(District Courts)、労働裁判所(Labour Curts)、行政裁判所(Administrative Courts)の計158の裁判所がある。

 異なる裁判所レベルは密接に相互に関連しているが、それぞれのレベル間に従属はない。つまり階層の上位に位置する裁判所には、指示を与える権利はない。裁判官は独立しており、裁判官の裁定活動に関する指示に従わないものとし、適用法および彼ら自身の信念に従って決定を下す。主要な司法機関は、法廷を拘束する一貫した正義の分配のために決定を下し、一貫した正義の分配を保証する司教機関である。

 全国で約11,000人がの法廷制度で働いており、裁判官の数は3,000人をわずかに下回っている。この人員数は、完了を待つ大幅に増加したワークロードとは対照的に、2011年以降基本的に変更されていない。 

2.国家司法庁(NOJ)長官の権限の範囲と国家司法評議会(NJC)の中央行政監督の関係

(1)ハンガリー裁判所の自治制度の運営の始まり

 1997年の改革によって作られた司法制度は、国家司法評議会(NNational Council of Justice :NCJ)を裁判所の行政に自治機関として委託し、ヨーロッパにおける斬新でユニーク制度である。1990年代の前例のない機能を考えると、その形成と機能の方法は、改善の方法でいくつかの改正が必要であった。

(2)2012年の新しい裁判所自治の形成

 2012年1月1日に施行された新しい規則は、新しい司法自治制度を導入し、NCJに属する権限と新たに設立された2つの司法機関の間で権限を分割した。それ以来、裁判所の中央管理の任務は、副長官と事務局によってサポートされた「国家司法庁(NOJ)」の長官によって行われる。NOJ長官の行政業務は、「国家司法評議会(NJC)」によって監督される。

 NOJ長官は、国家司法評議会の議長の能力を維持し、更なる権利は、操作性を確保するために、長官に与えられる。後者の一部に言及すると、規制、決議、勧告を発布する権利は、通常、国家の能力範囲を持つ機関の長によって行使される権利であるが、NOJの長官は、司法の独立の憲法上の原則に関して、中央行政及びその効果的な運営、すなわち、議会法に定められた長官の職務を遂行する重大な個人的責任を負う。

(ⅰ)NOJ長官は、次の業務を重大な管理下で行う。

①長官は、裁判所の運営及び関連する意思決定の広報活動を行う。

②長官は、NOJ長官の決定、規制、勧告、報告書に関して出版および通知の義務を負う。

③委任の終了にかかる規則にもかかわらず、協調制御は優先される。NOJ長官の就任後の権限剥奪は、NJCによる3分の2の過半数の投票で採択された決議で開始される可能性がある。

④予算の見出し作成の担当としての慣習的な制御。

⑤長官は、擁護団体の権利を保障する

⑥裁判所が受け取った新しい事件に関してのみ、

⑦受領後15日以内に行われた動議に対してのみ、

⑧裁判所の動議に対してのみ(または刑事事件における検事総長の動議に基づき)

⑨ケース数、スタッフ番号等に関する特定のデータに基づき、

⑩関係する裁判所(検事総長)の意見を求める際に。

(ⅱ)NOJ長官の決定は、以下につき憲法裁判所によって裁かれた事案につき関係者によって控訴される可能性がある。

①情報提供の義務

②長官は、半年ベースで自身の活動に関してNJCに通知しなければならない

③長官は毎年、憲法裁判所、高等裁判所、審判裁判所(tribunals)の長官に通知しなければならない。

④長官は、毎年、議会に対し一般的状況について報告しなければならない。

⑤裁判所および裁判所の行政的活動に関して、そして議会の司法委員会の間に年次報告書を報告する。

⑥裁判所幹部の任命

 なお、裁判所幹部の任命に関し、司法機関が任命に関する意見を形成する権利は変わらない。裁判所の幹部の一部はNOJの長官によって任命され、幹部の大部分は高等裁判所および審判裁判所の長官によって任命されなければならない。

 また、意見を形成する司法機関の権限は、すべての幹部の任命に関してそのまま残っている。確かに、NOJの長官の権利は、高等裁判所や裁判所の長官の権限よりも制限されている。NOJの長官は、任命に関する意見を形成する司法機関の過半数の票を得ていない幹部を任命したい場合は、NJCの事前意見を取得する必要がある。NOJ長官は、任命と同時に、NJCに書面による通知を行い、意見を述べる機関が提案したものよりも別の人を任命する場合には、NJCの次のセッションで決定の理由を提示しなければならない。

 NOJ長官は、裁判所に影響を与える法律の利益のために法律を開始することを提案することができる。

3.国家司法評議会(NJC)の中央行政監督権 

 NJCは、以下のとおり、NOJの長官に対する中央行政監督権を有する。

①NOJ長官の中央司法行政活動を監督し、必要に応じて通知を行う。

②裁判所に影響を与える法律の作成に関しNOJ長官への提案を行う。

③NOJ長官が発布した規則・勧告に関する意見を述べる。

④裁判所サービスの手続き規則を承認し、中央のウェブサイで公開する。

⑤見出しの予算に関する提案と予算の実施に関する報告書に関し意見を形成する。

⑥詳細な条件とその他の利点の量に関し意見を形成する。

⑦個人的なインタビューに基づいて、NJO長官および憲法裁判所長官に指名された人に対する予備的な意見を表明する。

⑧ランキングの2番目または3番目のポジションにいる申請者にポジションを授与するために、彼らの権限を使用して、アプリケーションを裁定する際に、NJO長官と憲法裁判所長官によって適用される諸原則を決定する。

⑨NJO長官または憲法裁判所長官がランキングの2番目または3番目の位置の申請者にポジションを授与することを希望するアプリケーションの裁定に同意する権利を有する。

⑩審査委員会の承認を得られなかった裁判所指導者の任命に関し同意の権利を行使する。

⑪毎年、NOJ長官のイニチアティブに関し、司法ポストおよび裁判所の執行役の申請の評価に関するNOJ長官長および憲法裁判所長官に関連する実務慣行に関し意見を公表する。

⑫裁判官の財産申告に関連するチェックを行う。

⑬事務局が既に2回の申請者によって満たされている場合特定の上級事務官の繰り返しの任命を決定する。

⑭NOJ長官または憲法裁判所長官が任命に関する意見を形成した機関の多数意見を延期したい場合は、重要ポストの申請に関する事前意見を形成する。

⑮審査員の研修制度および研修義務の履行に関する規則について意見を述べる。

⑯NJCのメンバー委員は、NOJおよびNOJ長官の運営に関する書類を遵守し、NOJ長官にデータおよび情報を要求することができる。

⑰NOJ長官の職務の由来は、NJCによって開始される可能性がある。 

4.ハンガリー:国立司法管理庁(NOJ)

 それはハンガリー裁判所制度の中央管理責任を持つ。

NOJの長官は、憲法の原則を十分に考慮して、司法の独立–裁判所の管理の中心的な義務を遂行する。

①NOJの長官候補は、共和国大統領によって提案される。

②NOJの長官候補は、共和国大統領によって提案される。

 a.長官の候補者は、少なくとも5年の司法実務を伴う無期限に任命された裁判官でなければならない。 

③司法問題を担当する議会の委員会が候補者から意見を聞く。

 全国司法評議会(NJC)は候補者の意見を聞き、候補者について意見を述べる。

議会は、任期9年間の投票の2/3の過半数で候補者を選出する。なお、再選はできない。 

5.ハンガリー憲法裁判所

ハンガリー憲法裁判所の解説仮訳する。

○憲法裁判所の管轄権

 ハンガリー基本法第25条(Courts)によると、憲法裁判所はハンガリーの最高司法機関である。それは法律の統一された適用を保証し、統一された管轄権に関するその決定は他の裁判所を拘束する。

「裁判所の組織と管理に関する2011年の法律CLXI(ACT CLXI OF 2011 ON THE ORGANISATION AND ADMINISTRATION OF COURTS OF HUNGARY )」

に基づいて、憲法裁判所の責任は次のとおり。

a)法律で定義されている場合、郡裁判所および地方控訴裁判所の決定に対して提出された控訴を審理する。

b)特別な救済策によってこれらが異議を唱えられた場合、最終決定を見直す。

c)他のすべての裁判所を拘束する統一的決定を採用し、

d)均一性に関する苦情を聞き、決定する。

e)司法慣行を調査および調査するための最終決定を分析し、

f)地方自治体の法令が法的規則に違反した場合、決定を下す。

g)地方自治体に関する法律に定められているように、地方自治体が立法に失敗した場合の決定を下す。

h)法律によりその権限に言及された他の義務を遂行する。 

***************************************************************************

(注1)EU の EUデータ保護会議(EDPB)は「 ハンガリーのDPAである”Nemzeti Adatvédelmi és Információszabadság Hatóság (Hungarian National Authority for Data Protection and Freedom of Information:NAIH”が2020年9月8日、ハンガリーForbes publicationに対しGDPR違反を理由に計 450万forints(約163,000円)の罰金を課したと報じた

 NAIHは、2020年7月23日の決定番号NAIH / 2020/1154/9で、9月に発行された最大の家族事業を含むForbes出版物の印刷版およびオンライン版に関して適切な利害関係評価を実施しないことを命じた。 2019年、および2020年1月に発行された50人の最も裕福なハンガリー人を含むForbes出版物の印刷版とオンライン版、および申立人(データ主体)に自身の正当な利益を比較した結果について事前に通知しなかったため、出版社は、第三者(一般の人々)および申立人の、一般データ保護規則の第6条(1)(f)に違反したとされた。

 さらに、NAIHは、データ処理のすべての本質的な状況および個人データの処理に異議を唱える申立人の権利についての適切な情報を申立人に提供しなかったこと、およびその可能性に関する情報を提供しないことを確認した。申立人は、データ主体としての権利を行使するという申立人の要求に応じて権利を行使するため、出版社は一般データ保護規則第5条(1)(a)、第5条(2)、第12条(1)および(4)、第4条、第14条、第15条および第21条(4)を侵害したとしたのである。 

(注2)  特記すべき記事をData Guidanceから抜粋引用し、仮訳する。なお、AEPD決定やLGT等原データへのリンクは筆者の責任で行った。検索画面は以下のとおり、決定番号を入力する際は5桁(00223)で入力すること。

(1)スペインDPAである”Agencia Española de Protección de Datos:AEPD”は、事前承諾のないテレマーケティングを行ったとしてVodaphone Ono, S.A.U.に10万ユーロ(約1,300万円)の罰金を命じた

 スペインのデータ保護当局(AEPD)は、2021年7月27日に罰金手続きを進める決定PS/00223/2021を発出し、Vodaphone Ono, S.A.U.(以下”Ono”)に対して、一般電気通信法 ( Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.(以下、LGT)の第48条(1)(b)に違反して事前承諾のないダイレクトマーケティングに対して10万ユーロ(約1300万円)の支払を命じた。

 特に、AEPDは、EU一般データ保護規則(EU)2016/679('GDPR')の第21条第2項(データ主体の異議を述べる権利)において特に規定されているように、直接マーケティング目的でデータ処理に異議を唱える権利を行使したにもかかわらず、苦情の申立者が”Ono”から電話で商業マーケット通信を受けたことを発見した。

 また、AEPDは、義務的な義務の絶対的な不作為と同様に、その行為の金銭的動機を完全に欠いて、実施された組織的および技術的措置の不備に起因する”Ono”の行為の永続的な性質を考慮して、LGTの第77条(7) (注4)に従い”Ono”の行為を「重大」に分類すべきと判断した。

 最後に、このAEPD決定では、”Ono”側の自発的な罰金を支払うという性質に鑑み罰金額が80,000ユーロ(約1,040万円)に減額されたことを概説している。

(2)7月30日ドイツ連邦カルテル庁(Bundeskartellamt)は、2021年7月29日にモバイル・アプリ部門に関する報告書を発表した。特に、カルテル庁 は、Android または iOS オペレーティング・システムを搭載したモバイル・デバイスに関連して、次の問題を特定し、分析した。

①ユーザーに対する情報提供の不足、つまり、アプリを使用する際に第三者企業が個人データをどの程度受信するか、および実際に関与しているデータについて不十分な情報が得られる。

②契約パートナーに関するユーザー説明の透明性の欠如。

③個人データの処理に対するユーザーの制御性の欠如。

 さらに、カルテル庁は、明確な情報を簡単な設定オプションと組み合わせて、消費者がアプリを通じてデータへのアクセスを効果的にオフにし、システムに関連しないすべてのアプリを削除できるようにする必要があることを主張した。

 カルテル庁のアドレアス・ムント(Andreas Mundt)長官は、「ユーザーは個人データへのアクセスに関する情報をほとんどまたはまったく受け取らず、データが誰に向かっているのか分からない。我々の調査・研究は、プロバイダーがより透明性と消費者に優しくなる必要があることを明らかにした。この文脈では、新しい規則だけでなく、効果的な法執行機関の可能性についても議論する必要がある」と述べた。

Andreas Mundt 氏

(注3)”Data Guidance”は1週間で10記事が無料で読める。また、簡単な概要解説はあるが、判決原本は原語で読む必要がある。

(注4) 「LGT第77条 重大な犯罪」を仮訳する。

LGT第77条

以下の行為は重大な違反行為と見なす。

第7項.この法律の立法のための規則によってその目的のために確立した要件に従わずに、公共の無線電気ドメインを使用する目的を持つ有効な所有権の譲渡または権利の譲渡行為。 

Artículo 77.  Infracciones graves.

Se consideran infracciones graves:

  1. La  transferencia  de  títulos  habilitantes  o  cesión  de  derechos  de  uso  del  dominio 

público radioeléctrico, sin cumplir con los requisitos establecidos a tal efecto por la normativa 

de desarrollo de esta Ley.

********************************************************************

【DONATE(ご寄付)のお願い】

本ブログの継続維持のため読者各位のご協力をお願いいたします。特に寄付いただいた方で希望される方があれば、今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中でございます。 

◆みずほ銀行 船橋支店(店番号 282)

◆普通預金 1631308

◆アシダ マサル 

◆メールアドレス:mashida9.jp@gmail.com

【本ブログのブログとしての特性】

1.100%原データに基づく翻訳と内容に即した権威にこだわらない正確な訳語づくり

2.本ブログで取り下げてきたテーマ、内容はすべて電子書籍も含め公表時から即内容の陳腐化が始まるものである。筆者は本ブログの閲覧されるテーマを毎日フォローしているが、10年以上前のブログの閲覧も毎日発生している。

このため、その内容のチェックを含め完全なリンクのチェック、確保に努めてきた。

3.上記2.のメンテナンス作業につき従来から約4人態勢で当たってきた。すなわち、海外の主要メディア、主要大学(ロースクールを含む)および関係機関、シンクタンク、主要国の国家機関(連邦、州など)、EU機関や加盟国の国家機関、情報保護監督機関、消費者保護機関、大手ローファーム、サイバーセキュリテイ機関、人権擁護団体等を毎日仕分け後、翻訳分担などを行い、最終的にアップ時に責任者が最終チェックする作業過程を毎日行ってきた。

 このような経験を踏まえデータの入手日から最短で1~2日以内にアップすることが可能となった。

 なお、海外のメディアを読まれている読者は気がつかれていると思うが、特に米国メディアは大多数が有料読者以外に情報を出さず、それに依存するわが国メデイアの情報の内容の薄さが気になる。

 本ブログは、上記のように公的機関等から直接受信による取材解析・補足作業リンク・翻訳作業ブログの公開(著作権問題もクリアー)が行える「わが国の唯一の海外情報専門ブログ」を目指す。

4.他にない本ブログの特性:すべて直接、登録先機関などからデータを受信し、その解析を踏まえ掲載の採否などを行ってきた。また法令などの引用にあたっては必ずリンクを張るなど精度の高い正確な内容の確保に努めた。

その結果として、閲覧者は海外に勤務したり居住する日本人からも期待されており、一方、これらのブログの内容につき著作権等の観点から注文が付いたことは約15年間の経験から見て皆無であった。この点は今後とも継続させたい。

他方、原データの文法ミス、ミススペリングなどを指摘して感謝されることも多々あった。

5.内外の読者数、閲覧画面数の急増に伴うブログ数の拡大を図りたい。特に寄付いただいた方で希望される方があれば今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中である。

【有料会員制の検討】

関係者のアドバイスも受け会員制の比較検討を行っている。移行後はこれまでの全データを移管する予定であるが、まとまるまでは読者の支援に期待したい。

                                                        Civilian Watchdog in Japan & Financial and Social System of Information Security 代表                                                                                                            

***************************************************************************************************************

Copyright © 2006-2021 芦田勝(Masaru Ashida).All Rights Reserved.You may reproduce materials available at this site for your own personal use and for non-commercial distribution.

 

 

 

 

 

 


インド準備銀行(RBI)が ”Mastercard”の2018年命令不遵守に伴う新規顧客獲得禁止命令を発布

2021-07-16 08:46:05 | 国際的な金融監督機関・金融制度改革

 インドの中央銀行であり、かつインドの決済システムの規制当局である「インド準備銀行(RBI)」は7月14日、Mastercard Asia / PacificPte Ltd(以下、”Mastercard”という)にあらたな遵守制限を課す命令(diective)を出した。すなわち、2021年7月22日以降、新規のインドの国内顧客(デビット、クレジットおよびプリペイドカード)をカードネットワークに取り込むにつき、オン・ボーディング(注1)を実施したのである。

  今回のブログは、(1)RBIの命令の内容、(2)米国の大手クレジット会社のインドの銀行等への影響等を概観し、最後に(3)2018年4月6日付け各金融機関の会長兼常務取締役/最高経営責任者宛て通達内容を概観する。

  なお、RBI命令はデータ保存場所の問題のみを問題視しているのか、2018年4月の各金融機関のトップ宛ての法令遵守の中身とも関連する問題があるのか、さらにナレンドラ・モディ(Narendra Modi)首相によって推進されている国内決済ネットワーク”Rupay”との関連など範囲は極めて広い問題である。この点は機会を改めて述べたい。

1.RBIの命令の内容

 2018年4月からというかなりの時間の経過と十分な機会が与えられていたにもかかわらず、Mastercardは依然RBIのインド国内金融機関向け命令(directive)の不遵守・非準拠であることが判明した。Mastercardに対し7月22日以降インド国内の顧客に新しいデビットカードやクレジットカードを発行することを無期限に禁止した。主要市場での米国企業に打撃を与えるものである。

 このような動きは、2021年4月23日、RBIが5月1日からAmex, Dinersに対し新規カードの販売を禁止したことに始まる(Reserve Bank of India bans Amex, Diners from selling new cards from May 1)

 しかし、インドでは比較的小さなプレーヤーであるアメリカン・エキスプレスとは異なり、MastercardやVisaなどの大手カード企業は、米国企業の支払いネットワークを使用してカードを提供する多くのインドの銀行と提携している。

 実際、2019年にMastercardは「インドに対する強気」であると述べたほか、2014年から2019年までの10億ドル(約1,090億円)の投資に加えて、今後5年間で10億ドルの投資を発表している。 

  今回のRBIの命令(directive)は、Mastercardの既存の顧客には影響しない。一方、Mastercardは、すべてのカード発行銀行およびその他の銀行にこれらの指示に従うようにアドバイスすることが命じられた。「 2007年支払および決済システム法( Payment and Settlement Systems Act, 2007 ;PSS法」第17条に基づいてRBIに付与された権限の行使において今回の監督強化措置が講じられたのである。

 この命令は、MastercardやVisaなどの企業も、ナレンドラ・モディ首相によって推進されている国内決済ネットワーク”Rupay” (注2)との競争の激化に直面している問題につながる。

Narendra Modi首相

 なお、Mastercardは、PSS法に基づいて国内でカードネットワークを運用することを許可された決済システムオペレーターである。

【RBI命令のデータ保存場所以外の影響】 

 2018年4月6日付けの決済システムデータの保存に関するRBI通達に関して、すべてのシステム・プロバイダーは、6か月以内にデータ全体(完全な終端間のトランザクションの詳細/収集/実行/処理された情報を含む)を確保するよう指示された。

 彼らが運営する決済システムに関連するメッセージや決済指示の一部としてインド国内でのみシステムへの保存が義務化された。

 さらに、MastercardはRBIにコンプライアンス状況を報告するとともに、 Indian Computer Emergency Response Team (CERT-IN) (注3) の名簿から選ばれた監査人が指定したタイムライン内に実施する取締役会承認のシステム監査レポートを提出する必要が出てきた。 

2.2018年4.月6日RBI通達”Storage of Payment System Data”の概要

 以下の金融機関の会長兼常務取締役/最高経営責任者宛て発出した。

*認可された支払いシステム(Authorised Payment Systems)/

*RRBを含むすべての指定商業銀行(All Scheduled Commercial Banks including RRBs )/

*都市協同組合銀行/州協同組合銀行(Urban Co-operative Banks / State Co-operative Banks )/

*地域中央協同組合銀行/支払銀行(District Central Co-operative Banks )/小規模金融銀行および地域銀行(Small Finance Banks and Local Area Banks)(注4)

(1) 決済システムデータのインド国内保存場所の義務

A..2018年4月5日付けの2018-19年の最初の「隔月金融政策声明の開発および規制政策に関する声明(Statement on Development and Regulatory Policies of the First Bi-monthly Monetary Policy Statement) 」の第4項 (注5)を参照されたい。最近、国内の決済エコシステムはかなり成長している一方で、このようなシステムは技術に大きく依存しているため、クラス最高クラスの安全およびセキュリティ対策を継続的に採用する必要がある。

B.すべての金融機関のシステム・プロバイダーが支払いデータをインドに保存していないことが観察されている。

 より良い監督・監視を確実にするために、これらのシステム・プロバイダー、およびそれらのサービス・プロバイダー、システムの仲介者、サードパーティ・ベンダー(コンピューター本体を製造している企業やその系列企業以外の、ソフトウエアや周辺機器などを作るメーカーの総称)および支払いエコシステム(payment ecosystem) (注6)の他の企業等が保存するデータへの無制限の監督アクセスを持つことが重要であり、したがって、RBIは次のことを決定した。

(ⅰ)すべてのシステム・プロバイダーは、それらが運用する支払いシステムに関連するすべてのデータがインド国内にのみのシステムに保存されることを保証するものとする。このデータには、メッセージ/支払い指示の一部として収集/伝達/処理された完全な終端トランザクションの詳細/情報が含まれている必要がある。トランザクションの外国法令に基づく取引データについては、必要に応じて、データを外国に保存することもできる。

 システム・プロバイダーは、今後6か月以内に上記(i)の遵守を確保し、2018年10月15日までに準備銀行に遵守を報告するものとする。

 システムプロバイダーは、上記(i)の要件が完了したら、システム監査レポート(System Audit Report :SAR)を提出する必要がある。監査は、上記(ⅰ)の活動の完了を証明するCERT-INにエンパネリングされた監査人によって実施されるべきである。システムプロバイダーの取締役会によって正式に承認されたSARは、2018年12月31日までに準備銀行に提出する必要がある。

C.本指令(directive)は、「2007年支払および決済システム法(2007年法律第51号)」の第18条(Power of Reserve Bank to give directions generally. )で引用される第10条第(2)項(注7)に基づいて発布する。 

**************************************************************************************************

(注1)「オン・ボーディング(on-boarding)」とは、欧米ではすでにさまざまな企業が取り入れている教育・育成プログラムの1つで、新しく組織に入ったメンバーに対して手ほどきをおこない、早期の即戦力化を促し離職。離脱等を防ぐ方法を意味する。

(注2) 日本発唯一の国際カードブランド運営会社である株式会社ジェーシービーの海外業務を行う子会社、株式会社ジェーシービー・インターナショナル(以下:総称してJCB)は、インド決済公社(National Payments Corporation of India)(以下:NPCI)との提携により、NPCI傘下の銀行であるインドステイト銀行(State Bank of India)(以下:SBI)と、2020年12月よりインド国内で非接触型決済対応の新券種である「SBI RuPay/JCBデビットカード」の発行を開始しました。

  SBIは、同国内で約3億のデビットカード会員、約5.8万台のATM、約2.2万の支店を有するインド最大の銀行です。JCBとSBIは2019年7月から接触型決済に対応したデビットカードを発行しておりますが、本カードはインド国内のRuPay加盟店で接触型決済および非接触型決済に対応したデビットカードとなります。将来的にJCBコンタクトレス(タッチ決済)の搭載も検討しております。 (JCB 2020.12.18 リリースから抜粋)

(注3) Indian Computer Emergency Response Team(CERT-IN)は、インド政府の電子情報技術省内の局である。 ハッキングやフィッシングなどのサイバーセキュリティの脅威に対処するのは接点機関(nodal agency)(注8)である。これにより、インドのインターネット・ドメインのセキュリティ関連の防御を強化している。 

 CERT-INは、通信情報技術省が管理する「2000年情報技術法(Information Technology Act 2000)」 第7条(Retention of  electronic records.  )第1項B 号に基づいて、2004年にインド政府によって設立された。 CERT-INは、首相官邸の下にある「国家技術研究機関(National Technical Research OrganisationNTRO)」の下にある「国家重要情報インフラストラクチャ保護センター(National Critical Information Infrastructure Protection Centre :NCIIPC」や内務省の下にある「国家災害管理局(National Disaster Management Authority :NDMA)」などの他の機関との責任が重複している。

(注4)インドの金融機関一覧はRBI年報等を調べたがREPORT ON TREND AND PROGRESS OF BANKING IN INDIA等に基づき丁寧にあたっていくしかないように思える。

すなわち、①Operations and Performance of Commercial Banks 、②Developments in Co-operative Banking 、③Non-Banking Financial Institutionsを参照されたい。

(注5)”Statement on Developmental and Regulatory Policies” 第4項を仮訳する。

4.決済システムデータの保存

 近年、インドの決済エコシステム(payment ecosystem )は、新しい決済システム、プレーヤー、プラットフォームの出現により大幅に拡大している。 最高のグローバルスタンダードを採用することで決済システムデータの安全性とセキュリティを確保し、その継続的なモニタリングと監視は、デジタル決済の健全な成長ペースを維持しながら、データ侵害によるリスクを軽減するために不可欠である。

 現在、特定の決済システム事業者とそのアウトソーシングパートナーのみが、決済システムデータを部分的または完全にインド国内に保存していることが観察されている。 監督目的ですべての支払いデータに自由にアクセスできるようにするために、すべての支払 決済システムのオペレーターは、自分たちが運用する支払いシステムに関連するデータが6か月以内に国内でのみ保存されるようにすることが決定された。 この点については、1週間以内に詳細な説明が発出される。

(注6) わが国で”payment ecosystem”に関する本格的な解説レポートは極めて少ないか極めて高額である。

(注7) 第10条第2項 :第1項の規定の反さない範囲で、準備銀行は、一般的に、または特定の支払いに関して、支払いシステムの適切かつ効率的な管理に必要であると考える場合がある場合、そのようなガイドラインを随時発行することができる。

(注8)インド電力情報技術省の”State-wise Nodal Officers for promotion of Electronic Hardware Manufacturing and applicable policy/incentives”を参照されたい。わが国のModalの解説は皆無である。

 **************************************************************************

【DONATE(ご寄付)のお願い】

本ブログの継続維持のため読者各位のご協力をお願いいたします。特に寄付いただいた方で希望される方があれば、今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中でございます。 

◆みずほ銀行 船橋支店(店番号 282)

◆普通預金 1631308

◆アシダ マサル 

◆メールアドレス:mashida9.jp@gmail.com

【本ブログのブログとしての特性】

1.100%原データに基づく翻訳と内容に即した権威にこだわらない正確な訳語づくり

2.本ブログで取り下げてきたテーマ、内容はすべて電子書籍も含め公表時から即内容の陳腐化が始まるものである。筆者は本ブログの閲覧されるテーマを毎日フォローしているが、10年以上前のブログの閲覧も毎日発生している。

このため、その内容のチェックを含め完全なリンクのチェック、確保に努めてきた。

3.上記2.のメンテナンス作業につき従来から約4人態勢で当たってきた。すなわち、海外の主要メディア、主要大学(ロースクールを含む)および関係機関、シンクタンク、主要国の国家機関(連邦、州など)、EU機関や加盟国の国家機関、情報保護監督機関、消費者保護機関、大手ローファーム、サイバーセキュリテイ機関、人権擁護団体等を毎日仕分け後、翻訳分担などを行い、最終的にアップ時に責任者が最終チェックする作業過程を毎日行ってきた。

 このような経験を踏まえデータの入手日から最短で1~2日以内にアップすることが可能となった。

 なお、海外のメディアを読まれている読者は気がつかれていると思うが、特に米国メディアは大多数が有料読者以外に情報を出さず、それに依存するわが国メデイアの情報の内容の薄さが気になる。

 本ブログは、上記のように公的機関等から直接受信による取材解析・補足作業リンク・翻訳作業ブログの公開(著作権問題もクリアー)が行える「わが国の唯一の海外情報専門ブログ」を目指す。

4.他にない本ブログの特性:すべて直接、登録先機関などからデータを受信し、その解析を踏まえ掲載の採否などを行ってきた。また法令などの引用にあたっては必ずリンクを張るなど精度の高い正確な内容の確保に努めた。

その結果として、閲覧者は海外に勤務したり居住する日本人からも期待されており、一方、これらのブログの内容につき著作権等の観点から注文が付いたことは約15年間の経験から見て皆無であった。この点は今後とも継続させたい。

他方、原データの文法ミス、ミススペリングなどを指摘して感謝されることも多々あった。

5.内外の読者数、閲覧画面数の急増に伴うブログ数の拡大を図りたい。特に寄付いただいた方で希望される方があれば今後公開する筆者のメールアドレス宛にご連絡いただければ個別に対応することも検討中である。

【有料会員制の検討】

関係者のアドバイスも受け会員制の比較検討を行っている。移行後はこれまでの全データを移管する予定であるが、まとまるまでは読者の支援に期待したい。

                                                           Civilian Watchdog in Japan & Financial and Social System of Information Security 代表                                                                                                             

*****************************************************************************************************************************

Copyright © 2006-2021 芦田勝(Masaru Ashida).All Rights Reserved.You may reproduce materials available at this site for your own personal use and for non-commercial distribution.