今からでも間に合う「GDPR」対策【第1回】

いまさら聞けない「GDPR」（一般データ保護規則）の真実　“罰金2000万ユーロ”の条件は？（4/4 ページ）

公開 2017年08月17日 05時00分

更新 2017年12月26日 15時49分

著者

手柴雄矢

[デロイトトーマツサイバーセキュリティ先端研究所]

印刷する連載新着通知を受け取る

巨額な制裁金

　GDPRの規則で大きく注目されているものとして、その制裁金の大きさがあります。個人データを取り扱う管理者または処理者が当該規則に違反した場合、最大2000万ユーロ（日本円で約25億円）または前会計年度の全世界年間売上高の4％以下の、どちらか高い方を上限とする巨額の制裁金を科される可能性があります。GDPRは、制裁金を科すかどうかや制裁金額がいくらになるかの決定に際して、違反の性質、重大さ、期間、個人データの種別、個人データ数など個別案件の状況を考慮することと規定しています。そのため実際に制裁金が科せられるかどうか、またその金額がいくらになるかの想定は難しいところです。以下に制裁金とその違反の内容を示します。

表5　制裁金と違反内容（出典：デロイトトーマツリスクサービスGDPRセミナーの大場敏行氏による講演資料から抜粋・整理）
制裁金	違反項目
最大「1000万ユーロ」または企業の全世界年間売上高の「2％以下」のどちらか高い方を上限	・子どもの同意に適用される条件に従わなかった場合・GDPR要件を満たすために適切な技術的・組織的な対策を実施しなかった、またはそのような措置を実施しない処理者を利用した場合・義務があるのにEU代表者（管理者や処理者の代表者）を選任しない場合・責任に基づいて処理行為の記録を保持しない場合・監督機関に協力しない場合・リスクに対する適切なセキュリティレベルを保証する適切な技術的・組織的対策を実施しなかった場合・セキュリティ違反を監督機関またはデータ主体に通知しなかった場合・データ保護影響評価（取り扱い作業が個人データ保護へ与える影響の評価）をしなかった場合・データ保護影響評価によって示されていたにもかかわらず、処理の前に監督機関に助言を求めなかった場合・データ保護責任者（DPO）を選任しなかった、またはその職や役務を尊重しなかった場合
最大「2000万ユーロ」または企業の全世界年間売上高の「4％以下」のどちらか高い方を上限	・個人データの処理の原則を順守しなかった場合・適法に個人データを処理しなかった場合・同意の条件を順守しなかった場合・特別な個人データの処理の条件を順守しなかった場合・データ主体の権利およびその行使の手順を尊重しなかった場合・個人データの移転の条件に従わなかった場合・監督機関の命令に従わなかった場合

GDPR関連のガイドライン

　前述のように違反項目として挙げられているものの、実際にどのような対応が違反だと判断されかねないのか、その線引きについては不明瞭な部分があります。この点については、前述の第29条作業部会が判断を助ける共通の解釈をガイドラインで示すことにしており、2017年6月時点では以下3つの概念にかかわるガイドラインを採択しています。さらに2017年5月、もう1つのガイドラインがパブリックコメントの募集を終了したところです。

採択済みのガイドライン
- データポータビリティ： Guidelines on the right to data portability
- データ保護責任者： Guidelines on Data Protection Officers（‘DPOs’）
- 主たる監督機関： Guidelines for identifying a controller or processor’s lead supervisory authority
パブリックコメントの募集を終了したガイドライン案
- データ保護影響評価： Guidelines on Data Protection Impact Assessment（DPIA）

　このように、GDPRの要件にはまだ解釈が不明瞭な部分もあります。GDPR対応を推進する企業の担当者は、現行法であるデータ保護指令を参考にしつつ、今後第29条作業部会がリリースするガイドラインにも引き続き注視していくことが望まれます（参考：第29条作業部会のWebサイト）。

　本連載第1回では、GDPRとはそもそも何なのか、登場の背景、個人データの考え方、制裁金を中心に基本的な部分について解説しました。第2回では、実際にどのような日本企業がGDPRの影響を受け、そして今何をすべきかについて解説します。

手柴雄矢（てしば・ゆうや）

デロイトトーマツサイバーセキュリティ先端研究所　主任研究員

国内大手金融・製造業をはじめ、さまざまな業種のクライアントに対して、リスクマネジメント領域のコンサルティング業務に従事。規制対応を含め、サイバーリスク領域を重要な経営課題と位置付け啓発活動に力を入れている。クライアント企業におけるセキュリティ戦略立案、組織立ち上げ、制度設計など、実績多数。公認情報システムセキュリティプロフェッショナル（CISSP）。

印刷する

今からでも間に合う「GDPR」対策

欧州連合（EU）で2018年5月に適用開始となる「EU一般データ保護規則」（GDPR）。欧州の規則だからといって、国内企業にとっても決して“対岸の火事”ではない。それはなぜなのか。必要なシステムとは。IT部門が知っておくべきGDPRの基礎知識と対策を示す。GDPR対策のガイドラインとして活用していただきたい。

連載新着通知を受け取る

この連載の記事をもっと見る