Initiative行き過ぎたデータ利活用が引き起こしたプライバシー侵害を反省し、GDPR(一般データ保護規則)をはじめとして、世界中で個人データ保護の規制がより厳しいものになりつつある。違反した企業には莫大な制裁金が課され、信用格付けや株価の低下も追い打ちをかける。リスクをゼロにすることは難しいが、リスクをコントロールすることはできる。2つの制裁事例をもとに、今後考えるべきセキュリティ対策とコンプライアンス対策を考察する。(UNCTAD)によると個人データ保護・プライバシー関連法がある国は、世界全体(調査対象:185ヵ国)の58%にあたる107ヵ国にのぼる。規制強化が世界に広がる背景には、行き過ぎたデータ利活用を反省し、個人の情報と権利を守るという狙いがある。個人データの囲い込みは自国産業の保護につながり、他国との交渉も有利に進められるという政治的な理由も見え隠れする。Directive(eプライバシー指令)などが代表的だ。ロシア、中国、ベトナムなど社会主義圏ではサーバ設備などの国内設置を求めるデータローカライゼーション規制が拡大している。米カリフォルニア州ではCCPA(カリフォルニア州消費者プライバシー法)が2020年1月から、ブラジルでも2020年8月から個人情報保護を目的とした新たな法制が施行される。このように各国で様々な法制整備が進んでいるが、なかでも世界に大きなインパクトを与えたのがGDPRである。その後に続く各国の個人データ保護・プライバシー関連法も、これをお手本にしているものが少なくない。GDPRの概要と想定されるリスクGDPRはEEA(欧州経済領域)に参加する31ヵ国に適用される経済法である。一般データとあるが、基本的には「個人データの保護」を目的とし、その処理と移転のルールを定めたもの。販売代理店などを含めてEEAに拠点のある企業、拠点がなくともEEA所在者に物やサービスを提供もしくは監視している企業が対象になる。「現地に拠点がなくてもEEA内の企業と直接・間接的に取引している企業、EEA内のユーザーにオンラインサービスなどを提供する企業も対象になるため、グローバルにビジネスを展開している企業であれば、ほぼすべてが対象になります」と小川は話す。どのような対応が求められるのか。個人情報の取得には、本人の明確な同意が必要になる。その同意はいつでも撤回可能だ。AIによる意思決定のこと。本人の明確な同意がない限り、AIによる個人データの活用を禁止しているのです」(小川)。透明性の高い厳格な情報の管理と運用を求めているわけだ。このルールに違反すると莫大な制裁金を課される。制裁金は全世界売上の4%以下もしくは2000万ユーロ以下のいずれか高い金額が適用される。1兆円企業なら制裁金は400億円相当になる。ビジネス上のリスクも大きい。EU域内での直接的販売機会を損失し、社会からは個人データを大切にしない企業とのレッテルを貼られる。「顧客離れ、パートナーの取引停止、株価や信用格付けの低下は避けられないでしょう。善管注意義務違反による訴訟リスクもあります」と小川は指摘する。したリスクに備えるためにも、法令の定める対応を遵守することは必須の取り組みである。違反が発覚した場合、対応を遵守しているか否かで“量刑”の明暗が分かれることもある。次に紹介する2つの事例は、これを如実に物語る教訓と言えよう。Airways(以下、BA)は50万人に及ぶ顧客情報の漏えいを発表した。原因は自社WebサイトのITセキュリティの不備を突かれたこと。いつからいつまで旅行をしているといった二次被害につながる重大なプライバシー情報が含まれていた。Office)は、2019年7月8日、全世界売上の1.42%に相当する約250億円の制裁金を課すと発表した。2018年9月、世界屈指のホテルチェーンであるマリオット・インターナショナル(以下、マリオット)は全世界3億3000万人(EEA所在の個人は約3000万人)に及ぶ顧客情報の漏えいを発表した。2016年に買収したスターウッドグループの予約サイトの脆弱性を突いた不正アクセスにより、顧客データベースがコピーされていたことが原因だ。英ICOは大規模なプライバシー侵害度合いを鑑み、2019年7月9日、全世界売上の約0.62%にあたる約135億円の制裁金を課すと発表した。BAは50万人の顧客情報漏えいで約250億円の制裁金なのに、マリオットは3億3000万人で約135億円。マリオットの方が被害規模は大きいのに、制裁金がBAより遥かに低いのはなぜか。「理由は両社のセキュリティ対策・体制の違いによるものです」と小川は指摘する(図1)。情報漏えいの規模はマリオットの方が大きいのにセキュリティ対策・体制の優劣が制裁金に大きく影響を及ぼしたBAはSOCを導入しておらず、情報漏えいは不審なメールを受信した顧客の指摘によって発覚した。クレジットカード番号を含む顧客情報も平文で管理していた。それに対し、マリオットは不正アクセスを自社のSOCで検知し、自ら通報。顧客情報もすべて暗号化して管理していた。この違いがポジティブ要因となり、制裁金に大きな差が生まれたわけだ。「仮にBAが0.6%の制裁金なら150億円程度は減額される計算です。年間数千万円のコスト負担で済むSOCを入れていなかったために傷口を広げてしまったのです。暗号化はほとんどコストをかけずに実装できます。手付かずの企業は、直ちに顧客情報を暗号化すべきです」と小川は訴える。規制強化の流れをリーガル面/IT実装面の両面から支援2つの事例から法制対応の重要性と教訓を紹介したが、冒頭で述べたようにプライバシー保護やサイバーセキュリティを目的とした規制強化は世界的な流れである。GDPR以外にも、その執行力とリスクを理解しておくべき法制がある。CCPAはカリフォルニア州の州法にも関わらず、アメリカでビジネスをしている日本企業の多くが対応を迫られる。「一人最低100ドルの損害賠償を法律で保証しているため、法令に違反すると巨額の賠償金は避けられない。2020年1月より施行のため、速やかな対策が必要です」と小川はアドバイスする。英国、フランス当局から広告Cookieに関する規制強化のアナウンスが相次いで発表された。オンラインターゲティング広告の監視を強め、本人の同意の意思表示に関するガイドラインを2019年7月に公開。半年の猶予期間後、2020年1月より実施される。こちらの対応も待ったなしの状況になってきた。Officer:データ保護責任者)を任命し、当局に届ける義務がある。実際の管理業務を行わない名義貸しの“フェイクDPO”が横行。当局が監視の目を強めているため、注意が必要だ。プライバシー保護の規制強化に伴い、データローカライゼーションの動きにも変化が見られる。Shield」の無効問題である。情報漏えい対策を届け出て米国商務省からお墨付きを得た米国企業は、EUから個人データを移転することができる「セーフハーバー」という枠組みがあった。Shieldという名前で同様の仕組みが引き継がれているが、2018年8月に欧州議会から、この停止勧告が出された。特例は認めないというわけだ。Shieldが無効になる可能性があります。なると、当然EUから米国へのデータ移転は違法となり、現在利用しているクラウドサービスやその運用を抜本的に見なさなければなりません」と小川は話す。Rules)」に準拠するルールを策定し、2016年10月にGDPRの監督機関に提出。まもなくその承認が下りる見込みだ。承認が得られれば、世界展開するクラウドベンダーとしては世界初となる。IIJサービスがGDPRに完全に法的対応していると認定され、世界中のどこにでもEUの個人データを適法に移転可能となる。GIO(ジオ)によるマルチクラウド構成が有効です。SOCサービス』で対応可能です」と小川は語る。ビジネスリスクマネジメントポータル」も運営している(図2)。「すでに1400社以上の利用実績があります。課題を抱えるお客様は、ぜひ活用してほしい」(小川)。弁護士を含む経験豊富なコンサルタントが中心となって、各国の個人データ保護法・サイバーセキュリティ法対応をリーガル/IT実装の両面から支援することも可能だ。世界のプライバシー保護法制の専門家による最新動向レポート、実務で使えるアドバイスのほか、テンプレートなどの対策ツールも提供する世界に広がるプライバシー保護やサイバーセキュリティの規制強化の流れにいかに対応するか。IIJは今後も世界動向を注視し、日本企業のITセキュリティ対策やコンプライアンス対策をトータルにサポートしていく。10の更新プログラム。10の更新プログラム。~世界情勢に応じたスピーディーな海外拠点展開と各国レギュレーション対応の両立を実現するソリューションとは~IIJの法人向けサービス・ソリューションについては、お気軽にお問い合わせください。Blogこのサイトは株式会社インターネットイニシアティブが運営しています。