「【レポート】 EUの一般情報保護法制定の動きとその影響」

はじめに

１．EUの法改正の動き

（１）GDPR（General Data Protection Regulation）

EUの「一般データ保護規則（GDPR）」がいよいよ現実のものになろうとしています。EUは永らく1995年に制定された「データ保護指令（95/46/ECと名付けられている）」で運用されてきました。これはEC全体のデータ保護方針であり、実際は各国でバラバラに解釈運用されたものになったため"パッチワーク"のような体系と言われていました。

しかしここで述べるまでもなく、それからの20年間、インターネットは爆発的に広まり、ECなどネットを使った商業活動も一般に普及しました。さらにソーシャルネットワークにより個人の発信が瞬時に世界中に拡散される時代になりました。それは個人に関わる情報（個人情報やプライバシーに関わる情報など）がネット上に拡散することも意味し、それが様々な問題をきたす原因にもなっています。

一方「ビッグデータ」の時代を迎え、ITテクノロジーの進展と共に膨大な個人に関わると考えられる情報（例えば、Webサイト閲覧履歴やEC購入履歴など）がインターネット広告や電子メールによる販売促進などに盛んに活用されるようになりました。この状況は米・欧・日本ともにまったく同様です。

「データ保護指令」は、当然ながら今日のような環境変化を想定しておらず、また加盟各国にその解釈と運用が任されていたため、様々な問題が生じていました。
そのためにEUではEU加盟国により、データ保護指令に置き換わる新たな統一的データ保護規則の確立が議論され、最初の指針が2012年に提示された後、様々に議論されてきました。
「GDPR」とは「General Data Protection Regulation」の略で、「個人データのセキュリティと管理、顧客と従業員の両方を管理する規則のセット」と説明されています。
欧州委員会が「一般データ保護規則案」を提案したのは2012年1月。この後修正が施され、欧州議会が修正案を可決したのが2014年3月、以後閣僚理事会にて合意がなされるまで1年以上の時間がかかりました。欧州閣僚理事会は、2015年6月15日に内相・法相会議を開催し、欧州データ保護規則案を承認しました。

計画では2015年末から2016年初頭にかけて、欧州議会と閣僚理事会の共同採択を目指しEUの35の加盟国の間で調整が進められる予定です。最終的に欧州議会で採決された場合、その後2年間の移行期間を設けて完全施行されるスケジュールになっています。（現時点では、2017年末から2018年初頭にかけてのある時点と予想されています。）

200ページにも及ぶその原案が（2015年6月11日ブリュッセルで発行）が公開されています。（まだ所々空欄があります）
"Proposal for a Regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data （General Data Protection Regulation） - Preparation of a general approach"
http://data.consilium.europa.eu/doc/document/ST-9565-2015-INIT/en/pdf

Council of the European Union

今回の法改正の目的は「一大陸一法」、「データ所有者（個人）の権利強化」、「ワンストップショップ」など、申請や事務手続きの簡素化・合理化や個人の権利の強化が中心で、これに加え、データを管理する者の責任やデータ保護機関の権限強化を盛り込んだものになっています。

（１）GDPRの概要

以下に基本的な特徴をピックアップします。

■ GDPRは指令ではなく規則である

現在の「データ保護指令」の運用の細目は各国の任意のスケジュールに任されていましたが、GDPRでは一斉に強制適用され、各国個別の法律制定を必要としません。

■ 対象となる組織

当初は従業員250名以上で年間5000件のデータを処理する中小企業以上の組織に適用される見込みですが、これを拡張する（対象を拡大する）時期は明確にされていません。重要なことは、EU以外に拠点のある企業であってもEU域内の情報を扱う限り適用されるという点です。

■ データガバナンス

組織は、個人情報の物理的な格納場所、状態、データ品質の担保などを識別、証明できなければなりません。これは管理上大きな負担となりますが、将来的には収集したデータを最小化し、その正確性が確保されるためにその組織の利益になる、と説明されています。

■ データ保護官の設置

250名上の従業員がいる組織には、データ保護官（DPO:Data Protection Officer）を置くことが必須となりそうです。DPOは独立してその組織のデータガバナンスを評価する任務を持つ、とされています。しかし、国ごとに必ずしも義務付けられるとは限らず、骨抜きになる可能性も取り沙汰されています。

■ 新規制はグローバルに影響する

GDPRは、EUの国民や居住者に関するデータが存在しうる世界中の組織に影響します。「EU」とか「ヨーロッパ」という条件に惑わされ、"対岸の火事"といった姿勢は戒めるべき、といわれています。

■ EU域外にEU住民に関するデータを転送する場合、より厳しく規制される

たとえ情報共有が許されるとしても（組織の情報管理者が、これが合法的であると考えたとしても）、情報管理者がプライバシー保護（適切性条件）の十分なレベルを保証できない限り、GDPRは個人情報を欧州経済地域（EEA）外に移転することを禁じます。
クラウドプロバイダーと契約する際には、彼らがEU域内で入手した個人情報をどのような方法で正当に入手し、どのような経路でどこに保持するのかを確認する必要が生じます。

■ 忘れられる権利

GDPRは「個人情報所有者の申し出による、情報を消去する権利」を盛り込んだ模様です。これはいわゆる個人の「忘れられる権利（Right to be forgotten）」を明文化したもので、この背景には、2014年5月に欧州司法裁判所で出された、「データ保護に関する判決」が影響しているようです^*1。当時個人情報に関してEUで最も論争を生んだ事例でした。
日本でも"個人に不都合な事実"を（場合により）削除するよう命じる判決が続いており、この権利が確立しつつあります。

■ 違反通知とレポート

もし情報漏えいをきたした場合、発見した時点から72時間以内に地域のデータ保護局に届け出ることが義務化されました。これは将来24時間以内に短縮される可能性もあるようです。その場合、当該組織は最大全世界売上の２％もしくは1百万ユーロ（約1.34億万円）のいずれか大きい方の金額が罰金として科される、となっています（このパーセンテージは流動的です）。しかしどのようなインシデントの際にどこまで適用されるのかはまだ明確になっていません。
また、情報漏えいによって「世評の損害」を被った場合などは、GDPRではおおむね「漏えい者の名前の公表」方針で各国が一致している模様です。

■ ワンストップショップ

これはGDPRの目玉の一つです。EU全域で一つの欧州データ保護委員会（EDPB: European Data protection Board）の傘下に各加盟国のデータ保護局（DPA: Data Protection Authority）を置き、相互に連携させることにより、EU市民がデータ保護やプライバシーの侵害を申し立てる場合、近くのデータ保護局一か所に申し出ればよいという仕組みです。これは申し立てられた方の企業や組織にも適用され、EUをまたがる複数の機関に対応する必要がなくなるという意味では時間とコストの節約にはなるでしょう。
ただ、最終案では、複数の国をまたがる情報侵害が発生した際には、当事国の監督機関の判断が取り入れられる余地を残したため、実際に機能するかは流動的になっています。

２．個人情報流通に神経を尖らせるEU

（1）セーフハーバー協定無効判決

このような中、2015年10月に驚くべき判決が欧州司法裁判所で下されました。それは「セーフハーバー協定は無効とする」という判決です。
EUの「データ保護指令」には、"十分な情報保護の仕組みが担保されていない第三国への、欧州内の個人情報を移転することを禁ずる」とする「第三国への情報移転禁止条項」が含まれています。しかし、これを厳密に運用しようとすると、例えば欧州内でクレジットカードを使った買い物をする際の信用情報照会も不可能になる可能性があります。

そこで、1999年に欧州と米国商務省の間で"データ保護指令に準じたデータ保護ができていること（これを「十分性認定」といいます）を宣言し、登録した事業者に限って情報移転を許す"、という例外的な協定が設けられました。これが「セーフハーバー協定（Safe harbor Agreement）」です。
欧州司法裁判所の無効判決は、Facebookに上げた個人情報が欧州内で処理されず、米国のデータセンターで処理されていることに異議を申し立てたオーストリアの青年の申請をダブリンのデータ保護機関が却下したために提訴されたもので、直接データ転送を差し止めるものではなく、ダブリンのデータ保護機関に申請に基づく再審査を命じるものでしたが、この結果は米国の5，000に及ぶとみられる事業者に大きな衝撃を与えました。
この判決には別の伏線が影響していると考えられています。
それは記憶に新しい「スノーデン事件」です。

（2）スノーデン事件

「セーフハーバー協定」は、ある意味、米国欧州間で盛んな商業活動を円滑にするための"妥協の産物（または抜け道）"とも考えられますが、その根底には米国欧州間の揺るぎない信頼関係が確立していたからこそ成立したものと言えます。
しかし、こうした"信頼"を根底から覆す事件がおこりました。
それが有名な「スノーデン事件」でした。この事件については数多く報道されているため詳細は割愛しますが、2013年にスノーデンによって暴露されたNSA（国家安全保障局）とCIA（中央情報局）在任中に経験したとするリークされた情報には驚くべき内容が含まれていました。

特に欧州で問題になったことは、「同盟国に対する諜報活動」（ドイツのメルケル首相ら外国首脳の電話盗聴、フランス大使館、ドイツ大使館など日本を含む38か国の大使館の盗聴など）と「米国IT企業の協力」（Microsoft、yahoo!、Google、facebook、Youtube、Skype、Apple、Verizonなど大手IT企業のほとんどが協力させられていた事実）の2点でした^*2。米国オバマ大統領は「諜報機関を持つ国ならどの国でもやっていることだ」と追認せざるを得ない結果となり、要するに米国の国家戦略のためには個人情報の保護は無関係（無視する）とする米国の姿勢が明らかとなりました。
この結果、米国と米国企業に対する不信感が増大し、欧州議会をはじめとするセーフハーバー協定に批判的な世論が優勢になったと考えられます。

３．米国の対応

米国・欧州間の商業取引量は世界最大で、年間約7，000億ドルにも達し^*3、多くの人・モノ・お金・情報が飛び交っています。GDPR制定の影響は、単にECやインターネットに依存する様々な産業のみならず、多くの国々に従業員を抱える多国籍企業や上記で触れたようにソーシャルネットワークなど広範に及びます。
米国でもGDPRの動向は観察されていましたが、それほど深刻には受け止められていませんでした。しかし、上記の「セーフハーバー協定無効判決」が出て以降、慌てている様子もうかがえます。楽観論も垣間見られる中、様々な憶測が交錯しながらも"EUは本気のようだ"と受け止められ、真剣に対策が検討され始めています。

現在の状況は、"GDPRを正しく理解すること"が主体です。
米国から発展したインターネットによる「ターゲティング」と呼ばれるネット上の個人の動きを追跡・記録し、個人の嗜好に合わせたディスプレイ広告や動画広告を配信するアドテク、SNSのソーシャルログイン機能を使った商品リコメンデーションなどの"あなたにおススメ商品"をビッグデータ分析から瞬時に割り出す技術等はここ数年急激に発展しました。そのための商業エコシステムとも言うべき専門業者の巨大なネットワークが確立しており、この中には"データアグリゲータ"と呼ばれる、匿名個人情報を売買する仕組みも組み込まれています。

GDPRが発効すると、これらの仕組みがすべて"違反"となり、根底から見直しや再構築、戦略の転換を迫られる可能性があります。最悪の場合、現在のITインフラやビジネスモデルが覆される恐れすらあります。
まさしく米国は、"GDPRの与える深刻な影響にどのように対応するべきかを研究している最中"、と言い換えることができそうです^*4。

４．日本の個人情報保護法との相違点

• 「EDIにおける電子帳簿保存法の考え方」 前の記事へ
• 「SysMLによるシステムモデリングの実際　－システムモデリングに取り組む動機（１）－」 次の記事へ

『WEBマガジン』に関しては下記よりお気軽にお問い合わせください。

• お問い合わせ