データプライバシー法律｜世界と日本その違いとは
DX（デジタルトランスフォーメーション／以下：DX）とは、「デジタル技術とデータを活用し、既存のモノやコトを変革させ、新たな価値創出で人々の生活をより良くする」ことであり、現代ビジネスにおいては欠かせない要素です。
ただし、高度なデジタル技術を活用してDXを進める上で、データプライバシーは非常に重要なポイントとなります。なぜなら、データの取り扱いが企業の信頼やブランドイメージに直結するからです。
世界各国ではデータプライバシーに関する法律が制定されており、日本も例外ではありません。
そこで本記事では、DXを進める上で絶対に避けては通れないデータプライバシーに関する法律に関して、世界と日本の違いを解説します。
世界の主要なデータプライバシー法律
まずは、世界の主要なデータプライバシー法律について解説します。
GDPR（EU一般データ保護規則）
GDPRとは「EU一般データ保護規則」の略称であり、EU加盟国における個人データの取り扱いに関するルールを定めた法律です。この法律は2018年5月25日に施行されました。
GDPR以前にもEUデータ保護司令がありましたが、さらに厳格化した法律であり、EU市民のプライバシーを保護し、データの取り扱いに関する透明性を高めることを目的としています。
主要なポイント
GDPRの主な規制には次のようなものがあります。
- 自身の個人データの削除をデータの管理者に要求できる
- 自身の個人データを簡単に取得し、他のサービスに再利用できる（データポータビリティ）
- 個人データの侵害を迅速に知ることができる
- 個人データの管理者は個人データ侵害に気付いたときから、72時間以内に規制当局へ当該個人データ侵害を通知することが義務付けられる
- サービスやシステムはデータ保護を基本概念として設計され、データ保護されることを基本概念とする
- 法令違反時の罰則強化
- 監視、暗号化、匿名化などセキュリティ要件の明確化
日本企業への影響
EUの法律ではありますが、どの国の企業であってもEU加盟国でサービスを提供する際には遵守する必要があるルールです。
そのため、日本でも多くの企業がGDPRの要件を満たすための変更を迫られました。これには、プライバシーポリシーの更新や、データ処理の方法の見直しなどが含まれます。
違反した場合の罰則は厳しく、年間売上の最大4%または2,000万ユーロの罰金が科される可能性があります。
これは、EU市民を対象としたビジネスであればEU以外の企業にも適応されるため、日本も例外ではありません。
ただし、2017年5月30日から全面施行された「改正個人情報保護法」が、2019年1月23日に欧州委員会から「個人情報保護法の対象範囲内に限っては、『個人データの取扱いについて十分な保護水準を満たしている』」という認定を受けたため、特別に個別の契約を結ぶなどの煩雑な手続きなしで、EU内のユーザーから個人データを求めることができるようになっています。
CCPA（カリフォルニア州消費者プライバシー法）
CCPA（カリフォルニア州消費者プライバシー法）とは、米国カリフォルニア州における個人データの取り扱いに関するルールを定めた法律です。この法律は2020年1月1日に施行されました。
米国は州ごとのプライバシー法が定められているだけで、2023年9月段階では米国全体を網羅する保護法は存在していません（現在、米国データプライバシー法「ADPPA」の施行が検討中）。
そんな米国で最も注目されているプライバシー法がカリフォルニア州のCCPAであり、カリフォルニア州に居住する消費者のプライバシーを保護することを目的としています。
主要なポイント
CCPAの主な規制には次のような事項があります。
- 略式開示請求権
- 拡張開示請求権
- アクセス及びポータビリティの権利
- 事業目的で個人情報の販売又は開示を行う事業者に対する情報請求権
- 個人情報の販売に関するオプトアウト権
- 子供のためのオプトイン権
- 削除権
- CCPA上の消費者の権利の行使を理由として差別されない権利
日本企業への影響
このルールも、カリフォルニア州内の企業だけでなく、カリフォルニアでサービスを提供する州外の企業もCCPAの要件を満たす必要があるため、日本企業であっても例外ではありません。
インターネットを通してカリフォルニア州に居住する消費者とビジネスを行う企業であれば、一様に適用されます。
違反した場合の罰則も存在し、企業は法律の要件を厳格に遵守しなければなりません。
中国の個人情報保護法
近年まで個人情報に関する保護法が存在しなかった中国でも、2015年の国家安全法を皮切りに、国民の間でもプライバシー保護を求める意識が強まりました。
その流れの中で生まれたのが、2017年のサイバーセキュリティ法です。
これは、個人情報保護だけでなく、インターネットを含む通信、データ保護、セキュリティ対策などの情報セキュリティ分野に関する法令や実施規則が制定されている基準法として設立されています。
ただし、中国のサイバーセキュリティ法はオンライン上のセキュリティ全般に対して、ネットワークサービスの提供者や運営者を対象としていますが、政府や公的機関は対象外となっています。
つまり、中国では個人情報の保護よりも国家の安全を守ることのほうが優先されているのです。
その後、2019年にはデータセキュリティ法が施行され、個人データも含むデータ全般の処理活動やデータセキュリティが規範化されました。
そして、2021年11月には、ようやく個人情報保護法が施行され以下のようなルールが定められています。
- 合法性、正当性、必要性、信義誠実
- 取扱目的の明確性と合理性、取扱目的との直接関連性、本人権利利益への影響が最小となる方法、最小範囲の個人情報の収集
- 公開、透明性、ルールの明示
- 情報の質の保証
- 責任、安全確保
- 法令遵守、国家安全、公共利益保護
その他の国々の主要な法律や動向
世界各国でデータプライバシーに関する法律が制定されており、これらの規制の対象やルールは国ごとに異なっています。
例えば、韓国の「データ3法」やシンガポールの「PDPA」などはその代表格でしょう。
こうした法律は、国際的なビジネスを行う企業にとっての重要事項となっており、その国の居住者を対象にビジネスを行う場合は、必ず遵守しなければなりません。
企業は、法律の要件を満たすための対策を講じるとともに、データプライバシーに関する最新の動向や変更を常に確認する必要があります。
日本の改正個人情報保護法
日本のデータプライバシーに関する法律と言えば、「改正個人情報保護法」が該当します。
この法律はもともとあった「個人情報保護法（2003年5月制定、2005年4月全面施行）」が、ICT（情報通信技術）の発展や市場のグローバル化の影響で、立法時には想定していなかった問題が生じていたことを受けて、2020年に全面改正したものです。
その後もこの法律は、官民両面から個人情報の保護と活用の強化が求められた背景を受けて、2021年にはデジタル社会形成整備法に基づく一部改正、さらに2022年4月には次の観点からの見直しも行われました。
【2022年4月の改正ポイント】
- 個人の権利・利益の保護による権利の拡充
- 技術革新の成果による保護と活用の強化による企業や事業者の責務を追加
- 国際的な制度調和と連携による外国事業者に対する規定の変更
- 越境データの流通増大に伴う新たなリスクへの対応と外国事業者に対しての規定変更
- AI・ビッグデータ時代への対応による新しいデータ分類の定義
個人情報保護法が改正されたことにあわせて、企業は個人情報の利用状況を改めて確認しなければなりません。
また、問題が発生したり問い合わせがあったりした際の、対応手順を整えておく必要があるのです。
ここでは、そのポイントを3つ紹介します。
個人情報利用状況の確認
社内でどのような情報を取り扱い、どのような目的でそれを利用しているのか。また、適切な管理が行われているかなどを把握し、必要に応じた見直しを行うことは非常に重要なポイントです。
社内での個人情報の利用だけでなく、情報の提供先がある場合は、その提供先に関する情報やそこでの利用状況も確認しておかなければなりません。
また、取り扱い方法や配慮の指針となるプライバシーポリシーが、改正個人情報保護法に適合していない場合は、新たな改正ポイントに合わせた変更を行うことが求められます。
情報漏えいが発生したときの対応手順の整備
どれだけセキュリティ対策を万全に整えておいたとしても、何らかの原因によって情報漏えいなどの事故が起こる可能性はあります。
そこで、情報漏えいが起こってしまった場合を想定して、あらかじめ対応策や手順を整備しておくことが重要です。
こうしておくことで、万が一の情報漏えいが起こってしまった場合でも、迅速な対応で被害や損失を最小限に収め、企業のイメージダウンや経済的損失を防ぐことができます。
また、そのためのマニュアル整備と同様に、全従業員に対する適切なリテラシー教育を行っておくことも重要な施策となるでしょう。
データの開示要求や利用停止要求に対する対策準備
改正された個人情報保護法では、個人情報の開示や利用停止の請求対象が拡大されました。そのため、改正前では予想できなかった対応を要求される可能性が発生しました。
こうした状況に対応するには、要求されてからその対応を考えるのではなく、あらかじめ対応手順を決めたマニュアルを整備しておくことが望ましいでしょう。
そして、そのマニュアルを社内で周知徹底しておくことで、請求依頼を受けた従業員がその場でスムーズに対応することができますので、対応に時間がかかったせいで企業のブランドイメージを損なってしまうような可能性を最小限におさえることができます。
まとめ～DXではデータプライバシー法律の遵守が要
データプライバシー法律の遵守は、現代のビジネス環境において、企業の信頼性やブランドイメージを維持・向上させるための最重要課題の1つです。
特に国際的なビジネスを展開する際には、異なる国々のデータプライバシー法律の遵守は避けて通れない課題となります。
また、各国のデータプライバシー法律は、テクノロジーの進化や社会のニーズの変化に応じて、今後も更新・進化していくことが予想されます。
中小企業、特にDXを進める企業にとって、これらの法律の変化にしっかりとキャッチアップし、適切に対応していくことは、企業の持続的な成長や競争力を維持する上での必須事項なのです。
この記事を通じて、データプライバシー法律の基本的な知識やその重要性についての理解を深めていただければ、インターネットを活用したグローバルな市場で貴社が活躍する一助となってくれるはずです。
もしも貴社の持つ知見だけで対応が難しい場合は、ITを活用した世界の法規に詳しい外部のアドバイザーなどに協力を得ることも視野に入れて、継続的な企業成長を目指した世界を相手とするグローバルなビジネスを展開してください。
The post データプライバシー法律｜世界と日本その違いとは first appeared on DXportal.