EU全市民と、EU域内にデータを保存する人々の個人データが、GDPRの保護対象になる。データを収集する企業が、EU域内に拠点を置いているかどうかは関係ない。企業は重大な侵害を検出した場合、その影響を受ける個人と規制当局に、72時間以内に通知しなければならない。GDPRでは個人を特定できるユーザー情報の該当範囲が広く、こうした情報を処理する企業に課すハードルも高い。GDPRの要件に従えなかった場合、最高2000万ユーロ、または全世界での年間売り上げの4％の罰金が科される恐れがある。

　米国の大手クラウドベンダーは、機密情報を保護するために暗号化機能や鍵管理機能を実装するなど、数年に渡ってGDPRに備えてきた。こうしたベンダーは既にAICPA（米国公認会計士協会）やISO（国際標準化機構）といった団体による、既存の数多くのセキュリティ認証を既に受けている。そのためGDPRへの準備を整えることは、大きな飛躍というよりも、一歩前進といった程度だろう。

　ベンダー各社が、GDPR順守に関連して恐らく最も注力してきたのは、クラウドサービスの透明性向上だ。Amazon Web Services（AWS）は、仮想マシンやストレージボリュームなどのリソースにタグ（メタデータ）を付けるツールでこれをリードし、最近になって他のベンダーも追随し始めた。クラウドサービスでアプリケーションを構築し、規制当局に顧客データの追跡記録を提示しなければならない企業にとっては、こうした機能が不可欠になる可能性がある。

　クラウドセキュリティのベストプラクティスを推進する非営利組織Cloud Security Alliance（CSA）は2018年4月、会員であるAWSとMicrosoftも対象に含めた調査結果を公開した。この調査によると、GDPRに対してあまり準備が整っていないと感じる企業が83％、コンプライアンスの計画を明確に定めている企業が31％、GDPRに対して全く対策を取っていない企業が10％だった。「完全な対策ができている企業は全くないか、あるとしてもごくわずかだろう」と、CSAで最高技術責任者（CTO）を務めるダニエレ・カテデュー氏は語る。

GDPRへの準備には費用がかかる

　企業のGDPR対策が遅れた大きな原因は、順守に必要な費用の問題だ。デジタル領域のコンサルティングを手掛けるDeloitte Digitalで最高クラウド戦略責任者を務めるデイビッド・リンティカム氏によると、多くの企業はGDPR対策に手間取り、費用の高さにひるんでいる。

　リソースを追跡し、変更を管理するツールを追加する必要があるだけではない。流入するデータを監視するスタッフ、個人を特定できる情報を追跡するスタッフ、要件に従っていることを検証するスタッフ、規制機関とコミュニケーションを取るスタッフなど、不足する人材を補う必要もある。「EU域内で事業を営む企業が要件を満たすには、多くの人手が必要になり、膨大な費用がかかるだろう」（リンティカム氏）

　Deloitte Digitalの推定では、EU域内で事業を営む企業は、GDPR施行を受けて10～15％のコンプライアンス費用が追加で必要になるという。経済誌Forbesが毎年発表する、世界の有力企業2000社ランキング「Global 2000」に名を連ねる企業は、EU域内が非常に大きな市場であるため、撤退は難しい。だが一部の小企業はこの市場から撤退するか、個人を特定できる情報の収集を避けるためにユーザーデータを匿名化することになると、リンティカム氏は言う。

　EUはGDPR順守にかかる費用を下げるために順守要件を引き下げるのか、それとも企業がEUから撤退することになっても方針を変えないのか――。リンティカム氏はEUの動向を見守っている。