The Essential Lawyer

個人情報流出――そのとき企業は？

米国では、データ流出が発生した場合、企業に課せられた義務は州によってまちまちだ。万一に備えて米国の州法のことを知っておきたい。

公開 2007年02月23日 07時00分

更新 2012年09月04日 19時53分

著者

Matt Karlyn

[TechTarget]

印刷する

　個人情報流出は毎日のように発生し、影響は何百万人にも及ぶ。企業が個々の個人情報のセキュリティに関して最大限の対策を取っていたとしても、セキュリティ問題と無縁ではいられない。多くは単純な人為ミスに由来するのだ。企業はセキュリティ問題を防ぐために包括的な対策を取る必要があるが、万が一に備えてそれぞれに適用される州法を理解し、こうした法律の遵守に備えておく必要がある。

　セキュリティ侵害報告法では、情報が流出した場合、州の住人の個人情報を保持／収集／ライセンスしている者に対し、当事者や場合によっては各種機関に通告することを定めている。しかし各州の法律にどう従うかをめぐっては相当の混乱がある。ここではこうした法律に関する3つの俗説について解説する。

俗説1：情報が流出したコンシューマー全員に通告しなければならない

　実際はこの逆で、33州の法律のうち幾つかは、特定の条件を満たせば通告義務が緩和される。例えば流出した情報が暗号化などの形でアクセスできないようになっていたり、情報流出による損害発生の可能性は低いと会社が判断した場合、通告せずに済むことも多い。

俗説2：情報が流出した州、または会社のある州の法律にのみ従えばいい

　情報流出が発生した州、会社が拠点を置いている州のいずれも該当しない。どの州の法律を適用すべきかは、情報が流出した個人の居住地によって決まるものであり、それぞれの州法はその州の住人のみに適用される。例えばオハイオ州とテネシー州の住人の情報が流出したら、オハイオ州の住人についてはオハイオ州法、テネシー州の住人についてはテネシー州法に従わなければならない。

俗説3：カリフォルニア州法に従えば、全州の法律に従ったことになる

　カリフォルニア州のセキュリティ侵害報告法は最初に制定され、そしておそらく最も有名だが、必ずしも最も厳格とは言えない。この州の法律に従えば全州の法律に従ったことになるというような州法は存在しない。すべての面において最も厳格といえる州法もない。従って、自社の状況に応じて各州の法律に従うことが肝心だ。

　例えば、定められた期間内に個人に通告しなければならないと規定している州もあれば（フロリダ州は最大で45日）、「できる限り早期に」（テキサス州）通告すべきとのみ規定している州もある。一部の州では個人情報が流出した当事者だけでなく、捜査当局と消費者相談当局への報告を義務付けている。例えばニュージャージー州の州法では、コンシューマーに連絡する前に州警察への通報を義務付けており、一定数以上の住人が影響を受ける場合は、消費者相談機関に通告することを定めている州も幾つかある。

　どんな形の流出であれ、個人の身元情報が犠牲になる可能性がある。こうした問題を防ぐため、以下のことを検討してほしい。自社のインフラを見直して保存された個人情報のセキュリティをしっかり確保し、保持している個人情報を暗号化し、自社の場合どの州の法律が適用されるのかを前もって知っておき、各州の法律を迅速かつ正しく守るために具体的なアクションプランを策定する。こうした取り組みには時間と金がかかるが、リスクを犯すよりも備えをしておいた方が、優位な立場に立つことができるだろう。

本稿筆者のマット・カーリン氏は法学士、経営学修士で米シカゴにあるニール、ガーバー＆アイゼンバーグ情報技術プラクティスグループの会員。

印刷する