一方、特定市場や特定の種類のデータを対象とするSaaSサービス事業者は一般に、この新条項を活用してテーラーメード型、ターゲット型のセキュリティ対策やリスク評価プロセスの提供をアピールできるかもしれない。こうしたサービスは特定の種類のデータを対象とするのが一般的であり、リスク評価とテーラーメード型のセキュリティ対策という要件を比較的容易に満たすことができる。

情報流出の通知義務

　EUデータ保護規則案31条と32条は、セキュリティが破られた場合の通知義務について規定している。ほとんどの米国企業にとって、これは非常に身近な概念だ。しかし米国の法律と大きく違うのは、EU規則案では「個人情報流出」に該当する範囲がはるかに広いという点だ。

　同規則案で定義する個人情報流出とは、セキュリティが破られたことに起因する個人情報の偶発的あるいは不正な破壊、紛失、改ざん、無断公開、不正アクセスを指す。これは極めて広範な定義だ。このEEAの個人情報の定義の中に、「データの持ち主に関するあらゆる情報」という文言があることに留意したい。これは真に「あらゆるデータ」を意味する。米国の大半の州のセキュリティ侵害法が対象としているような、社会保障番号やクレジットカード情報、医療情報などにとどまらない。つまり、電子メールアドレスや電話番号などを紛失したり不正に改ざんされたりした場合も、個人情報の流出に該当する。

　個人情報が流出した場合に適用されるルールも、米国に47あるどの情報流出公開法と比べてもはるかに厳格だ。規則案では個人情報の流出が起きた場合、可能であれば24時間以内に、データ管理者（ほとんどの場合はクラウドサービスの顧客）から国の監視当局に情報流出の発生を報告しなければならない。さらに、もしその情報流出が「個人情報の保護、あるいはデータの持ち主のプライバシーに悪影響を及ぼす可能性がある」場合は監視当局に連絡後、遅滞なくデータの持ち主にも通知することを、第32条でデータ管理者に対して義務付けている。この要件も、現在の米国の法律に比べてずっと厳しい。

　今後の施行文書によってこの要件が緩和され、明確化されない限り、同条項は流出通知の洪水状態を引き起こし、一般市民に不必要なトラブルと混乱を引き起こす公算が大きい。この混乱が翻って、企業に不必要な追加コストを生じさせる可能性もある。企業は事態を公表したことで発生する不安に対処するため、コールセンターやサポートの手配、通信手段の確保を迫られるからだ。

今後の展開

　新しいEUデータ保護規則の最終版は2012年に調印され、2年後の2014年半ばから後半ごろに施行される見通しだ。規則案の取りまとめには1年以上を要していることから、現行案は最終版に極めて近いと思われる。つまり最終版が現行の案と大きくことなることはなさそうだ。米国のクラウドサービス事業者とクラウドサービスのユーザーは、欧州の新しいデータ保護規制がより厳しく複雑になり、要件が増えて厳格化される時代に備えた準備と予算が必要だ。

　保護規則案の全文に関する包括的な分析は、IT Law GroupのWebサイトで参照できる。

（※）本稿は2012年1月25日に公表された規則案の微修正を反映して、2012年2月2日に改訂された。