グローバル決済プラットフォームのための法的・技術ガイド
決済データのローカライゼーションは、グローバルな決済プラットフォームがインフラを構築し、コンプライアンスを管理し、規制対象市場にサービスを提供する方法を再構築しつつあります。インド、日本、ブラジルはそれぞれ独自の法的枠組みを設けており、現在ではこれらに違反した場合、実際の執行措置が講じられるようになっています。
規制のハードルは高まりつつあります。コンプライアンスの対応期間は短縮されています。そして、国境を越えて事業を展開する決済プラットフォームにとって、今日下されるアーキテクチャ上の決定が、将来にわたって市場への参入が可能かどうかを左右することになります。
現在、世界最大級の決済市場のうち3つでは、強制力のあるデータローカリゼーションやデータ移転制限の制度が導入されており、これらは決済インフラの構築方法、決済データの保管場所、および規則違反時の対応に直接的な影響を及ぼしています。本記事では、インド、日本、ブラジルにおける具体的な法的枠組みを検証し、データ保管場所の要件が、規制当局による監査後に後付けで対応するのではなく、決済システムの構築当初から設計に組み込まれる必要がある理由を解説します。
2026年、決済プラットフォームがデータローカリゼーションについて知っておくべきこと
インド
インドの「RBI 」の規定では、すべての決済データを国内に保存することが義務付けられており、「DPDP 」法では、違反1件につき最大25億ルピー（為替レートにより2,900万～3,000万米ドル相当）の罰金が科されることになっています。
日本
日本のAPPI およびFSAの枠組みは、多層的な国境を越えた資金移動の制限と監督当局によるアクセス要件を通じて、機能的なローカライゼーションを実現している。
ブラジル
ブラジルの「LGPD 」に基づく移籍制度は2025年8月に完全に施行され、ほとんどの組織において、ANPDが定める標準契約条項が主要な実務上の移籍メカニズムとして義務付けられた。
PCI DSS 適用範囲
PCI DSS カード保有者データが保存、複製、または保持されている管轄区域が増えるごとに、その範囲は拡大します。
アーキテクチャレベルのデータ最小化
アーキテクチャレベルでのデータ最小化は、組織がローカライゼーション、主権、およびPCI DSS の義務により効果的に対応するのに役立ちます。
最初から居住を念頭に置いて設計する
事後的なコンプライアンス対応は、最初からアーキテクチャにデータ居住要件を組み込むよりも、はるかにコストがかかります。
vaultless （tokenization ）が、御社のプラットフォームにおけるデータローカリゼーションにどのように対応しているかについて議論してください。
インド：二重の規制体制下におけるローカライゼーションの義務化
インドは、ここで検討している3つの市場の中で、最も明確に規定された決済データの現地化制度を運用しており、この制度は、互いに重複しつつも異なる2つの法的枠組み、すなわちインド準備銀行によるセクター別の義務付け（RBI ）と、最近施行された2023年デジタル個人データ保護法（DPDP ）によって規定されている。
「RBI 」保管指令（2018年）
その基礎となる法令は、2007年「決済・清算システム法」に基づき発行された、2018年4月6日付のインド銀行（RBI）の通達であり、これにはすべての決済システム運営者（PSO）に対し、「自らが運営する決済システムに関連するすべてのデータが、インド国内のシステムにのみ保存されるよう確保すること」が指示されている。 この指令では、対象となるデータを広範に定義しており、支払者から受取人までのエンドツーエンドの取引データ、支払指示、および決済システムプロバイダー自身が生成したデータが含まれる。
この通達では、国境を越えた取引の流れを目的として、インド国外でデータを処理することが認められているが、これには重要な条件が課されている。すなわち、そのようなデータは、処理後24時間以内に海外のシステムから削除され、インドへ返還されなければならない。これはミラーリングやバックアップを許可するものではない。あくまで、時間制限付きの処理に関する例外措置である。主要かつ唯一の記録用データは、国内に保管されなければならない。
コンプライアンス違反がもたらす結果は、実際の事例によって実証されている。
RBI 2021年7月、インド銀行監督庁（RBI ）は、「決済・清算システム法（Payment and Settlement Systems Act）」に基づく監督権限を行使し、マスターカード・アジア・パシフィック（Mastercard Asia Pacific）が2018年のデータ保管指令を遵守していないことを理由に、同社の国内における新規顧客の受け入れを禁止した。この制限は、マスターカードがインド銀行監督庁に対し、完全な遵守を裏付ける十分な証拠を提示して初めて解除された。 同期間中、アメリカン・エキスプレスおよびダイナースクラブ・インターナショナルも同様の制限措置を受けた。この一連の出来事は、金融サービス庁（RBI）の現地化義務に実効性のある執行力があることを、疑いの余地なく明らかにした。
2023年「DPDP 法」および2025年「DPDP 規則」案
インド憲法第246条に基づき議会で可決され、2023年8月11日に公布された「2023年デジタル個人データ保護法」は、インドにおける個人データ保護のための初の包括的な法的枠組みを確立するものである。RBIが特定のセクターを対象としているのとは異なり、「DPDP 法」は、すべての業界およびインド国内の個人の個人データを処理するあらゆる事業体に適用される。
同法は、機密性が高く重要な個人データの厳格な国内保管を想定していた以前の立法案とは一線を画している。その代わりに、第16条では「ネガティブリスト」方式が採用されている。すなわち、中央政府が告示により当該管轄区域への移転を制限しない限り、個人データはインド国外のいかなる国または地域へも移転することができる。中央政府は、受入管轄区域におけるデータ保護の適切性やインドの戦略的利益などの要素を考慮した上で、移転先を制限する裁量権を留保している。
しかし、この一般的な開放性は、決済分野においては、特定の分野に限定され、より厳格な基準を課す「RBI 」指令が依然として効力を有していることから、実質的に制約を受けている。 特別法（lex specialis）の解釈原則（特定の法律が一般的な法律に優先する）に基づき、また『2025年DPDP 規則』（2025年1月の草案に関する意見募集を経て、2025年11月にMeitYにより告示された）で確認されているように、規則第15条は、RBI などの規制当局によるセクター固有のローカライゼーション義務は影響を受けず、引き続き優先されると規定している。両制度が抵触する場合、より厳格な規範が適用される。
2025年「DPDP 」規則では、「重要なデータ受託者（SDF）」に分類される事業体に対して、より強化された義務が導入されています。SDFは、MeitYが告示により指定するカテゴリーであり、大規模にデータを処理する主要な決済処理業者、デジタルウォレット、および金融仲介業者が含まれる見込みです。 SDFは規則第12条(4)に基づき、通常のデータ受託者に適用される一般的な枠組みを超えるデータローカリゼーション要件を含む、追加の義務を負うことになる。国境を越えたデータ移転の制限やデータ保護責任者（DPO）の任命義務など、SDFの義務は2026年11月に発効する。
インドの「2025年DPDP 規則」は、2025年11月13日にMeitYにより告示され（官報告示 G.S.R. 846(E)）、現在は段階的な実施スケジュールに基づき施行されています。 データ保護委員会はすでに活動を開始しており、同意管理者および重要なデータ受託者の義務（国境を越えるデータ移転の制限、データ漏洩時の通知要件、データ保護責任者の任命義務など）は2026年11月に発効し、データ受託者に対する実質的なコンプライアンス義務の全面的な適用は2027年5月に予定されています。組織は、この段階的な実施期間を活用して、重要なデータ受託者の義務および全面的なコンプライアンス要件への準備を進める必要があります。
インドにおける実務的な法律体験
RBIのPSO指令とDPDP 法が融合した結果、2つの異なる執行メカニズムと2つの異なる罰則体系を備えたコンプライアンス体制が構築されています。RBI への違反は、Payment and Settlement Systems法に基づく金銭的罰則に加え、前述の通り、業務上の制限を招く可能性があります。DPDP 法への違反には、1件あたり最大25億ルピー（為替レートにより約2,900万～3,000万米ドル）の金銭的罰則が科され、インドデータ保護委員会が裁決機関として機能します。
RBI 保管に関する指針
DPDP 法律・規則
二重コンプライアンスが求められる
決済プラットフォームは、RBI が定める業界別の決済データ要件と、インドのより広範なデータ保護の枠組みの両方を考慮しなければならない。
日本：明確なローカライズ法がない状況下での機能的なデータのローカライズ
日本は、概念的に異なるモデルを示している。すなわち、法的に支払データの現地保存要件を直接課してはいないものの、個人データ保護法、業界別の金融規制、国家安全保障関連法にまたがる多層的な法的枠組みにより、実際には機能的な現地保存要件が生じている。
個人情報保護法（APPI ）
日本の主要なデータ保護法は「個人情報保護法」（平成15年法律第57号）であり、2022年4月に施行された改正により、国境を越えたデータ移転に関する義務が大幅に強化された。APPI は個人情報保護委員会（PPC）によって管理・運営されており、同委員会は一般的なガイドラインに加え、金融庁（FSA）と共同で金融セクター向けの業界別ガイドラインを公表している。
改正APPI 第24条に基づき、個人情報取扱事業者は、以下のいずれかの条件を満たさない限り、海外に所在する第三者に対して個人情報を提供してはならない。(a) データ主体から、当該移転および移転先の法域の法的環境について、別途取得した明示的な同意を得ていること、または (b) 受領者が、PPCにより日本の保護水準と同等の法制度を有すると指定された国に所在していること、もしくは受領者が同等の組織的措置を講じていることが確認されていること。
PPCが指定する「適切な管轄区域」のリストは限定的である。欧州連合（EU）と英国は相互に「適切」と認められており、日本とEU間の適切性決定は、2023年3月に「GDPR 」第45条に基づき更新された。一方、米国とはこのような相互承認が存在しないため、米国へのデータ移転は、同意に基づく仕組みや個別に交渉された契約上の枠組みに依存せざるを得ない。これは、インフラが米国のクラウドプロバイダーを経由している可能性があるグローバルな決済機関にとって、重大な制約となっている。
同意要件には、主に以下の3つの例外があります：
妥当性の認定：
PPCが、同等の個人情報保護水準を提供していると指定した管轄区域への移転。現在、欧州経済領域（EEA）および英国は、十分性認定を受けています。
同等の措置：
APPI に準拠する基準を満たす体制を整備している受領者への移転。通常、契約上の取り決めや拘束力のある企業内部規則を通じて行われる。
法定の例外：
法的義務、生命または財産の保護、および適用法令で認められている範囲内での政府当局への協力など、限定的な状況。
2022年の改正により、重要な継続的義務が追加されました。すなわち、データ移転が「同等の措置」の例外規定に基づく場合、日本のデータ管理者は、受領者が引き続き当該措置を維持していることを定期的に確認するとともに、データ主体からの要請に応じて当該措置に関する情報を提供しなければなりません。これは、単発的な契約上の手続きではなく、継続的なコンプライアンス上の負担をもたらすものです。
FSAによる監督と機能の現地化
金融庁は、「銀行法」（昭和56年法律第59号）、「決済サービス法」（平成21年法律第59号）、および「犯罪収益移転防止法」に基づき、銀行、クレジットカード会社、および認可を受けた決済サービス事業者に対して監督権限を行使している。 金融庁の監督指針では、認可を受けた金融機関に対し、金融庁が過度な支障を受けることなく記録にアクセスし、検査を実施できるようなデータガバナンス体制を維持することが求められている。
実際には、これにより、いわば「機能的な現地化要件」が生じることになります。支払データが外国の法制度に基づく外国の管轄区域に保存されている場合、金融庁が監督検査において資料の提出を命じたり、捜査当局からの要請に迅速に対応したりする能力が損なわれる可能性があります。データが物理的にどこに保存されているかに関わらず、規制当局がデータにアクセスできることを十分に立証できない金融機関は、監督上のリスクに直面することになります。
2025年6月、「決済サービス法」が改正され、暗号資産取引所事業者に対して、顧客資産の一部を国内で保有することなどを含む追加要件が課されることになった。金融庁の作業部会は現在、施行規則の最終調整を行っているが、その方向性（業務上重要な資産およびそれに関連するデータを国内で保有すること）は、日本の金融規制の全体的な流れと一致している。
経済安全保障促進法と決済インフラ
日本の「経済安全保障促進法」（平成44年法律第43号）は、金融サービスを含む特定の重要インフラ分野を、サプライチェーンのセキュリティ要件が強化される対象として指定した。「特定重要インフラ事業者」に指定された事業者は、重要インフラへの機器やソフトウェアの導入がサプライチェーン上のリスクをもたらす場合、その導入について事前に届出を行い、政府の承認を得なければならない。
2025年5月16日、「経済安全保障情報の保護に関する法律」が施行され、重要インフラや金融システムに関する情報を含め、国家安全保障上重要と指定された情報にアクセスする個人を対象としたセキュリティクリアランス制度が確立された。この法律と決済インフラとの関係、特に日本政府機関やシステミック・インポータント・金融機関にサービスを提供する機関については、法的解釈が依然として流動的な分野である。
日本における実務的な法律体験
日本には、インドやブラジルの枠組みに類似した、データローカライゼーション違反に対する単一の罰則表は公表されていない。『銀行法』および『決済サービス法』に基づく金融庁の監督上の制裁措置には、業務改善命令、業務停止、免許取り消しなどが含まれる。『APPI 』の違反については、個人に対しては懲役1年以下または100万円以下の罰金、法人に対しては1億円以下の罰金が科される可能性がある。 2022年の改正以降、PPCの執行姿勢は著しく積極的になっている。
ブラジル：LGPD 移転規制およびANPD標準契約条項
ブラジルの「個人情報保護総則（Lei Geral de Proteção de Dados Pessoais）」（LGPD 、法律第13,709号／2018年）は、EUの一般データ保護規則（GDPR）を大部分のモデルとして、個人情報保護のための包括的な枠組みを定めています。LGPD は2020年9月から施行されているが、2024年8月23日に公表されたANPD決議第19号により、国際的なデータ移転に関する標準契約条項（SCC）が義務付けられ、国境を越えたデータ移転に関する規制が実質的により厳格化された。
LGPD 国境を越えた送金枠組み
LGPD の第33条から第36条は、個人データの国際的な移転について規定しています。第33条では、いくつかの特定の法的仕組みのいずれかが適用される場合に限り、移転を認めています。これには、ANPDが適切なデータ保護水準を提供していると認定した国または国際機関への移転、適切な契約上の保護措置が講じられている移転、拘束力のある企業規則に基づく移転、データ主体からの具体的な同意に基づく移転、および限定的な法定の例外が含まれます。
2026年現在、ANPDは、欧州委員会の十分性認定に匹敵するような包括的な十分性リストを公表していない。したがって、ほとんどの組織にとって、契約上の保護措置が、合法的な国際移転を行うための主要な実務上の仕組みとなっている。
ANPD標準契約条項
決議第19/2024号は、組織が国際的なデータ転送を規定する契約に組み込むことができる一連の標準契約条項を導入した。これらの条項は、ブラジル国外に転送される個人データが、転送先の法域にかかわらず、「LGPD 」に準拠した保護を受けることを確保することを目的としている。
契約上の保護措置に依存する組織は、2025年8月23日までに、ANPDが承認した条項を関連するデータ移転契約に盛り込むことが義務付けられた。これらの条項は、発行された内容を実質的にそのまま採用しなければならず、データ主体の権利、セキュリティ対策、第三者への転送、透明性、規制当局間の協力、および輸出者と輸入者の間の責任に関する義務を定めるものでなければならない。
その実施期限はすでに過ぎています。2026年時点で、契約上の保護措置に基づき個人データを国際的に移転する組織は、関連する契約にANPD条項をすでに盛り込んでいる必要があります。
決済プラットフォームへの影響
決済プラットフォームにとって、「LGPD 」に基づくデータ移転制度は、契約書類の締結にとどまらない義務を課しています。組織は、個人データがどこへ移転されるかを特定し、各移転を支える法的枠組みを決定し、コンプライアンスを証明する記録を維持し、下流の処理業者やサービスプロバイダーが適用される保護措置を遵守していることを確保できなければなりません。
決済データ環境は、1件の取引に、複数の管轄区域にまたがって事業を展開する決済処理業者、アクワイアラー、発行会社、不正防止システム、クラウドインフラ、分析プラットフォーム、その他のサービスプロバイダーが関与する可能性があるため、特に複雑です。各送金関係ごとに、個別のコンプライアンス上の依存関係が生じる可能性があります。
ブラジル中央銀行およびOpen Finance ブラジル
LGPD とは異なり、ブラジルのBanco Central do Brasil（BCB）は、「Open Finance Brazil」エコシステムを監督しています。これは、世界で最も先進的な消費者主導型のopen finance の実装事例の一つであり、2020年5月4日付のBCB決議第1号に基づき立ち上げられ、その後、BCBおよびConselho Monetario Nacional（CMN）による一連の規範的指示によって管理されています。
「Open Finance 」ブラジルにおいては、支払開始サービス提供者（PISP）および口座情報サービス提供者（AISP）は、データ共有の範囲、同意の有効性および撤回、データ保存期間、ならびにデータ交換の技術基準に関する厳格な要件の対象となります。BCBの規範的枠組みは、「LGPD」のより広範な要件とは無関係に、「open finance 」エコシステム内の金融データに特化して適用される、並行したデータガバナンスの層を構築しています。
LGPD とBCBの規制が交差することで、二重のコンプライアンス義務が生じます。ブラジルOpen Finance 内で事業を行う機関は、データ共有に関するBCBの運用上および技術上の要件と、データ保護に関するANPDの要件を同時に満たさなければなりません。これらが重複する場合（同意、利用目的の限定、データ主体の権利といった問題においてそうであるように）、より保護水準の高い基準が適用されます。
ブラジルにおける実践的な法律実務体験
LGPD 違反行為に対しては、違反を行った事業体の前会計年度のブラジルにおける総売上高の最大2％に相当する行政制裁が科され、1件あたりの制裁額は5,000万レアルを上限とする。ANPDは、執行権限を行使する姿勢を強めていることを示唆している。BCBの規定違反については、「決済システム法」（法律第12,865号/2013年）およびBCBの監督規則に基づき、別途行政処分が科される。
決済システムのデータは、インド国内に保存されなければなりません。
海外での処理については、RBI の24時間要件が適用されます。
RBI 操業制限および金銭的罰則に加え、別途DPDP の罰則が科される。
一律の現地化義務はないが、国境を越える資金移動には多層的な規制が課されている。
APPI 同意、十分性、同等の措置、または法定の例外が、データの移転を正当化する可能性がある。
PPCによる執行措置に加え、規制対象金融機関に対するFSAの監督措置。
国際送金には、LGPD に基づき、有効な仕組みが必要となります。
ANPD標準契約条項は、実務上主要なデータ移転の仕組みである。
ANPDによる行政処分およびBCBによる別途の監督上の罰則。
インド、日本、ブラジルでは、決済データの居住地要件や国際送金について、それぞれ異なる法的枠組みが適用されており、これにより、グローバルな決済プラットフォームには、国ごとに異なるコンプライアンス要件が生じている。
決済アーキテクチャおよびPCI DSS への準拠に関する構造的な影響
前述の法的分析は、大規模な国境を越えた決済インフラを構築・運用するあらゆる機関にとって、構造的な影響を直接もたらすものである。
建築上の中心的な課題は次の通りである。現代の決済インフラは、通常、一元化されたデータシステム、単一の不正検知エンジン、統合された取引台帳、グローバルな分析プラットフォームを中核として設計されている。データのローカライゼーションやデータ移転制限の規制は、このモデルと構造的に相容れない。これらの規制により、金融機関はデータアーキテクチャのレベルで、各カテゴリーの決済データが恒久的にどこに保存されるか、そのデータの移動を規定する法的根拠は何か、そして要求に応じてその法的根拠を規制当局にどのように証明できるかを決定しなければならない。
これにより、いくつかの絶対的な設計要件が生じます：
データの保存場所に関する要件は、規制当局による監査を受けた後に後付けで導入するのではなく、当初からデータモデルに組み込まれていなければならない。
取引データを取り込む不正検知およびリスクスコアリングシステムは、コンプライアンスが遵守されている管轄区域内で運用されなければならず、国境を越えて共有される情報は、集計済みまたは完全に匿名化されたものに限られる。
同意およびデータ転送の管理インフラは、すべての国境を越えるデータフローについて、その法的根拠をリアルタイムで追跡できるとともに、法的根拠が失われた場合には、当該データフローを一時停止または迂回させることができるものでなければならない。
規制対応インフラ（国内の規制当局が課す対応要件windows に基づき、完全かつ正確な記録を当該規制当局に提出できる能力）は、運用上の後付けの対策ではなく、最優先のシステム要件として設計されなければならない。
すでに一元化されたインフラを構築済みで、これらの市場に参入しようとしている機関にとって、事後的なコンプライアンス対応にかかるコストは、当初から適切に構築する場合のコストよりも大幅に高くなります。インド、日本、ブラジルにおいて、法規制を完全に遵守したサービスを提供するために必要なアーキテクチャへの投資は多額に上ります。しかし、これは必須の要件です。
カード会員データが保存、複製、または保持されるすべての管轄区域において、カード会員データ環境にシステムが追加され、PCI DSS の監査範囲が拡大し、評価コストが増加します。
ローカライゼーションの規則により、複数の地域にデータを複製することが求められる場合、PCIの対象範囲はそれに応じて拡大します。データ最小化に向けたアーキテクチャレベルのアプローチ、特に管轄区域間で保存される機密データの量を削減するものは、この状況を根本的に変える可能性があります。組織は、採用する技術アーキテクチャにかかわらず、適用されるデータローカライゼーション、プライバシー、金融サービス、記録保存、および規制上のアクセス要件を遵守する責任を負い続けます。
Vaultless （Tokenization ）が、データローカリゼーションの課題にどのように取り組んでいるか
vaultless 、keyless 、tokenizationといったアーキテクチャは、まさにこの種の問題の解決を支援するために設計されています。 機密性の高い決済データは一時的に変換され、フォーマット互換性のある「tokens 」に置き換えられます。これらは、元の機密値に関する意味のある情報を一切開示せず、承認された取得ワークフローを通じてのみ利用可能です。この「token 」は、元の機密値を露出させることなく、ビジネス処理、分析、ルーティング、および運用ワークフローに使用できます。これにより、組織は、管轄区域間で保存、複製、管理しなければならない機密データの量を削減し、データ居住要件やローカライゼーション要件を簡素化することができます。
組織は、機密性の高い決済データを指定された管轄区域内に保持しつつ、ポリシーに従ってシステムやリージョンをまたいでフォーマット互換性のあるtokens を利用できるよう、デプロイメントを設定できます。リージョン固定型のtokenization デプロイメントを利用することで、機密データの処理を指定された管轄区域内に限定し、データの取得場所や取得者を制限するポリシーベースのアクセス制御を行うことにより、組織はデータ居住要件への対応を支援できます。
インド、日本、ブラジル、あるいはこれらの規制市場の組み合わせで事業を展開する決済プラットフォームにとって、このアーキテクチャ的アプローチは、複雑化するコンプライアンス上の問題を設計上の利点へと転換するのに役立ちます。ローカライゼーション、コンプライアンス管理、およびPCI DSS の評価対象となる機密データの範囲が大幅に縮小されるため、組織は、保存される機密データの範囲が拡大し続ける状況への対応にリソースを割くのではなく、残された管理措置や義務にリソースを集中させることができます。
結論
決済データの国内保管は、一時的な規制上の流行ではありません。これは、国家安全保障、規制当局によるアクセス、および市民の金融データの保護における、長期にわたる国家の利益を反映したものであり、こうした利益が後退する可能性は低いでしょう。 グローバルなカードネットワークに対するインドの執行措置、金融サービス分野への経済安全保障の法的枠組みの拡大を図る日本の動き、そしてSCCの義務化を伴う包括的な国境を越えたデータ移転制度を運用開始したブラジルの事例は、いずれも同じ方向性を指し示している。すなわち、規制のハードルは高まり、コンプライアンスの期限は短縮され、執行はより体系的なものになりつつあるということである。
データのローカライゼーションを、設計上の制約としてではなく、最小限に抑えるべき法的負担とみなす企業は、コンプライアンス上のリスクを蓄積しており、それは最終的には規制当局による制裁、強制的な是正措置、あるいは市場からの撤退という形で現れることになる。市場規模があまりにも大きく、規制当局の期待も極めて明確であるため、このような姿勢は商業的に正当化できない。
インド、日本、ブラジルの法的枠組みは、具体的な要件においてそれぞれ異なるものの、ある点において共通しています。それは、決済機関に対し、自社のデータがどこにあるか、誰がアクセスできるか、そしてどのような法的根拠に基づいてデータが移動するかを、正確かつ立証可能な形で把握することを求めているという点です。
こうしたデータガバナンスの基準は、単なるコンプライアンス上の義務にとどまりません。むしろ、市場に参加するための条件として、その重要性をますます高めています。
データローカライゼーションのアーキテクチャについて話し合う
Rixon が、御社のプラットフォームにおいて、データのローカライゼーションおよびPCI適用範囲の縮小にどのように対応しているかについて議論してください。
よくある質問
決済データのローカライゼーションとは、特定の管轄区域内で生成された決済データを、その管轄区域の境界内で保存、処理、または保持しなければならないという法的要件を指します。この要件が重要なのは、これに違反した場合、（インドにおけるマスターカードの事例に見られるように）事業上の制限が課されるほか、「DPDP 法」に基づき1件あたり最大25億インドルピー（為替レートに応じて約2,900万～3,000万米ドル）の罰金が科され、市場へのアクセスが失われる可能性があるためです。 国境を越えて事業を展開するfintech 企業にとって、ローカリゼーション要件は、インフラストラクチャのアーキテクチャ、クラウド導入戦略、およびPCI DSS の監査範囲に直接的な影響を及ぼします。
はい。インド決済・金融サービス委員会（RBI）の2018年データ保存指令では、すべての決済システム運営者に対し、決済システムに関連する全データをインド国内のシステムにのみ保存することが義務付けられています。国際的な取引フローについては国境を越えた処理が許可されていますが、すべてのデータは24時間以内に海外のシステムから削除され、インドへ返還されなければなりません。 2025年11月に公布された「DPDP 規則（2025年）」は、データ保護義務に新たな層を追加するもので、違反1件につき最大25億ルピー（為替レートに応じて約2,900万～3,000万米ドル）の罰則が科されます。 国境を越えたデータ移転の制限を含む重要なデータ受託者義務は2026年11月に発効し、実質的なコンプライアンス義務の完全な履行は2027年5月に予定されている。「RBI 」指令および「DPDP 」制度はいずれも積極的に施行されている。
日本には、決済データのローカライゼーションを明示的に義務付ける法的要件は存在しません。しかし、「APPI」の越境移転制限（第24条）、金融庁の監督上のアクセス要件、および「経済安全保障促進法」が相まって、実務上は事実上のローカライゼーション要件が生じています。決済データの物理的な保管場所にかかわらず、規制当局によるアクセスが可能であることを証明できない金融機関は、業務改善命令や免許取り消しの可能性を含む監督上のリスクに直面することになります。
ブラジルの「LGPD 」は第33条を通じて国境を越えるデータ移転を規制しており、ANPDの決議CD/ANPD第19/2024号により、義務的な標準契約条項（SCC）が主要な移転メカニズムとして正式に定められています。施行期限は2025年8月23日に過ぎました。 ANPDは、米国を含むいかなる国に対しても十分性認定を行っていないため、現在、ほとんどの組織において、国境を越えたデータ移転を支える主要な実務上の仕組みはANPDのSCCとなっている。違反した場合、ブラジル国内の総売上高の最大2％に相当する罰金が科され、違反1件あたりの上限は5,000万レアルとなっている。
カード会員データが保存、複製、または保持される各管轄区域は、カード会員データ環境（CDE）にシステムを追加することになり、PCI DSS の監査範囲が拡大し、評価コストが増加します。ローカライゼーションの規則により複数の地域でのデータコピーの保存が義務付けられる場合、PCIの対象範囲は飛躍的に拡大します。vaultless 、keyless 、tokenization など、管轄区域間に保存される機密データの量を削減するアーキテクチャレベルのアプローチを採用することで、ローカライゼーション、コンプライアンス管理、およびPCI DSS の評価活動の対象となる機密データを大幅に削減することができます。
Vaultless,keyless tokenization は、機密性の高い決済データを一時的に変換し、フォーマット互換のtokens に置き換えます。これにより、元の機密値に関する意味のある情報は一切開示されず、承認された取得ワークフローを通じてのみ利用可能となります。機密データは一時的に変換される上、組織は特定の管轄区域内にtokenization サービスを展開できるため、データの居住要件やローカライゼーション要件は、機密データの広範な複製ではなく、アーキテクチャやポリシーの設計を通じて対応できる場合が多くあります。 リージョン固定型のtokenization の導入により、機密データの処理を指定された管轄区域内に限定することで、組織はデータ居住要件への対応が可能になります。採用する技術アーキテクチャにかかわらず、適用されるすべての規制要件への準拠責任は組織が負い続けます。
はい。PCI DSS は、決済カードデータのセキュリティを規定していますが、地域ごとのデータ主権やプライバシー規制については扱っていません。組織は、PCI DSS の要件を満たしている一方で、インドの「RBI 」におけるデータ保存に関する指令、DPDP 法におけるデータ保護義務、日本のAPPI における国境を越えたデータ転送の制限、あるいはブラジルのLGPD におけるデータ転送要件に違反している可能性があります。国際的に事業を展開する組織は、PCI DSS と、地域ごとのプライバシーおよびローカライゼーションに関する義務の両方を同時に満たすようなシステムを構築する必要があります。
はい。PCI DSS は、決済カードデータのセキュリティを規定していますが、地域ごとのデータ主権やプライバシー規制については扱っていません。組織は、PCI DSS の要件を満たしている一方で、インドの「RBI 」におけるデータ保存に関する指令、DPDP 法におけるデータ保護義務、日本のAPPI における国境を越えたデータ転送の制限、あるいはブラジルのLGPD におけるデータ転送要件に違反している可能性があります。国際的に事業を展開する組織は、PCI DSS と、地域ごとのプライバシーおよびローカライゼーションに関する義務の両方を同時に満たすようなシステムを構築する必要があります。
免責事項：本記事は、2026年6月時点の公開されている規制情報を反映したものです。本記事は法的助言を構成するものではありません。各機関は、コンプライアンス上の判断を行う前に、管轄区域に応じた法的助言を求める必要があります。