最新バージョンが必要です。原文(英語)はこちらをクリックして下さい。スーナ・ピアス/マリアン・ワルドマン/ルティ・スミスライン第三者と取引を開始するにあたりデューディリジェンスを実施する企業が増えている。違反するリスクを軽減するためにこのような手続を行うものであるが、そのデューディリジェンスの内容により、知らず識らずのうちに世界中で個人情報・データ保護法上のリスクに曝される可能性がある。腐敗行為防止法と個人情報保護法の両方を遵守することは、困難ではあるが対処可能である。Breuer氏は、コンプライアンス担当の役員や担当者で満員の会場で先ごろ行われたスピーチにおいて、米国の規制機関が「かつてないほど強力にFCPAの執行を進めており、その傾向はますます強まっている」と強調した[1]。米国司法省(「DOJ」)は、過去2年間だけをみても50名を超える個人に対してFCPA関連の違反を調査し、20億ドル近い罰金を徴収した。腐敗行為防止に取り組んでいるのは米国だけではない、と同氏は明言した。世界中で贈収賄禁止法の整備が拡がり、諸政府間で協調的な贈収賄防止の取組みが増えていると述べた。同氏が言うとおり、FCPAは「[DOJが]歴史的に正しい施策を行っていることのみならず、その歴史を前進させる手段」である。腐敗行為防止を徹底する取組みが積極的に行なわれる状況にあって、グローバル企業におけるコンプライアンスの考え方は大きく変化した。贈収賄リスクに対処する包括的なポリシーや手続を採用するなど、腐敗行為防止法を遵守するためのベストプラクティスを採用する多国籍企業が増えている。その他の取引先などの第三者の使用に係るリスクである。結局のところ、FCPAや英国贈収賄禁止法などの法によれば、賄賂の支払元が第三者であったとしてもその使用者が刑事・民事責任を問われる可能性は排除されない。一定の状況下では、第三者の行動について使用者である企業が責任を負う可能性がある。そのため、企業は取引をする第三者を入念に調べ、当該第三者の取引相手を知るために最大の努力を行うべきである。デューディリジェンス企業は、候補先の第三者につき、リスクに重点を置いた適正なレベルのデューディリジェンスを実施すべきである。どの程度のデューディリジェンスが必要かは、特定のリスク要因(その第三者が提供する業務の種類、業態、関与する国および地域、取引の規模および性質ならびにその第三者との過去の関係など)により異なる。デューディリジェンスの目的は、取引先や仲介業者が信頼に足るか否かの判断を試み、その取引先や仲介業者が不正な支払いに関与していないか(または関与する可能性がないか)を判断することである。デューディリジェンス(通常は質問書により行う)は、情報を収集し、これを市販または公的な監視リスト(ウォッチリスト)、データベース、ニュースアーカイブその他の情報と付き合わせてチェックを行うよう計画される。質問書その他の調査方法においては、通常、事業体そのものについてのみならず、その主要人物及びその他の重要人員についての情報も入手する。監視項目一覧への掲載の有無および公務員との公的または私的な関係に関する情報を収集する。企業は腐敗行為防止法を遵守する取組みを行う一方で、デューディリジェンス実施時における質問内容の性質上、適用のある個人情報・データ保護法の遵守についても考慮する必要がある。個人情報保護に関する課題デューディリジェンスは個人情報の収集を伴うため、デューディリジェンスの実施に際しては個人情報の収集および使用について規制を課す多くの法域の個人情報・データ保護法の規制対象になる。データ保護法を有している。多くは、個人情報を収集、使用および共有する者に対し、当該情報の対象である個人に通知することを義務付けている。よって、デューディリジェンスを行う企業は、たとえその情報の出所が法務監査を受ける事業体の主たる担当者であろうと、または外部のデューディリジェンス業務の提供者であろうと、デューディリジェンスの一環として情報を収集する対象の個人に対し、通知を行う責任を負う場合がある。個人情報が「クロスボーダー」(すなわち、当該情報が収集された国の国境を越えて)共有されること、を記載しなければならない。第三者情報源が個人情報を提供する場合、当該個人にはその旨が知らされるべきである。同意要件デューディリジェンスを行う企業は、通知に加え、クロスボーダーでの個人情報の収集、使用、開示および移転につきその対象の個人から同意を得なければならない場合がある。通知義務と同様、同意要件(例:同意が必要か否か、およびその形式)は、国ごとに異なる。デューディリジェンスにおいて明らかにしようとする情報そのものの保護を目的とするものが少なくない。取り扱うべき情報とみなされる。個人の犯罪歴や司法制度との関与についての情報もまた、多くの国で特に慎重に取り扱うべき情報と考えられている。裁判上の情報は、刑事訴追や有罪判決、個人が罪を犯したという容疑またはその捜査、および個人に科される行政処分や刑事制裁を含むのが一般的である。要するに、慎重に取り扱うべき情報は多岐にわたり、これについて多くの個人情報保護法は、その個人による明示的な同意書の取得を義務付け、国によってはさらに強力な保護措置を設けている。下記は、全てを網羅することを意図するものではないが、追加的に求められ得る義務の例である。ドイツでは、EUの制定法が義務付ける場合に限り企業は個人の犯罪データを収集することができるが、そのような義務がある場合、当該情報は、ドイツ法に定める形式および方法によってのみ収集することが可能である。収集および使用につき事前の許可を得る必要がある。イタリアおよびギリシャでは、慎重に取り扱うべきデータの収集および使用についてデータ保護当局の事前の許可が必要である。オーストリア法では、規制当局の承認に加え、企業が国外移転につき十分な正当性を有する場合を除き、犯罪歴情報を個人が特定できる形で国外に移転することを禁止している。よって、非EU諸国の腐敗行為防止法を遵守するだけでは十分ではない。ポーランドでは、使用者は、使用人の犯罪歴情報の収集、使用または共有ができないため、デューディリジェンスを行う代理人は、たとえそれらの情報収集を行うつもりであっても、また、使用人が当該代理人による当該情報の使用に同意したとしても、関連情報を提供することができない。ロシアおよびウルグアイでは、権限を有する公的機関または法により指定された個人のみが、犯罪歴情報を収集および使用することを許されている。法令遵守のすすめ腐敗行為防止法を遵守すべくデューディリジェンスを遂行する一方、企業は個人情報保護法も同時に遵守するために以下の点を考慮すべきである。過度に多岐に渡らない程度に概要を示した通知を作成する。過度に多岐に渡る内容を記載した通知は、現地規制当局がこれを不適当として却下する可能性があるが、デューディリジェンスの結果、使用され得る個人情報に関して予測される使用方法に対処する通知を作成すべきである。ある企業が自らの代理者がその時点で実施しているデューディリジェンスにおいて、調査の必要および法的分析を行う者または政府機関と情報を共有する必要があることが判明した場合、当該企業は、個人に対して行われた通知に確実に依拠できるようにすべきである。当該企業は、おそらく、対象となる個人に対して通知するために第三者の協力を必要とするため、個人情報の取り扱いについて第三者にきちんと知らせるべきである。同意書取得のための戦略を立てる。デューディリジェンスを行う対象の各個人から同意を得ることは不可能な場合もあるが、企業は、個人が必要に応じて同意したことを確認する努力を行うべきである。そのような取組みには、例えば情報を提供する第三者から証明書その他契約上の保証を取得することや、第三者が受領した同意書の写しの閲覧を定期的に要請することが含まれる。慎重に取り扱うべきデータの収集に関する現地の制約を遵守するよう、慎重にデューディリジェンスの質問項目を策定する。犯罪歴もしくは裁判歴または公務員との関係に関する質問を用意するにあたり、企業は、デューディリジェンスの目的に必要な回答のみを得るようにするべきである。重要人員が公務員であるか否か、または公務員と何らかの関係があるか否かを尋ねるような質問は、政治的見解の問題に触れないよう慎重に文言を選ぶ必要がある。回答は、審査に関連しまたは必要がある情報に絞られることが理想的である。リスク上の観点から許容できる場合、企業は、特定可能な個人に関連する裁判上の情報の取得を避けるべきである。画一的なアプローチは機能しないことに注意が必要である。デューディリジェンスの質問書は、特定の法域に合せて作成する必要があり、必ずしも同じ質問書が全ての関係国で使えるものではない。個人情報・データ保護法には、上記の義務に加え、他の種類の義務または制限を定めるものもある。収集した情報の保護につき一定レベルのセキュリティを義務付けるものもある。企業が複数の国のデューディリジェンス情報を集中データベースに統括することを予定する場合、情報の国外移転に関する法的要件を遵守しなければならない。この場合には、個人情報に関する規制機関に対する登録の届出およびデータにアクセスできる関連会社や業務提供者との間でのデータ移転契約の締結が必要となる場合がある。係る取組みが積極的に行なわれる今日の規制状況において、グローバル企業は、責任を問われる可能性を最小限に留めるため、そのリスクに応じたポリシーや対応手続を実施すべきである。取組みにおいては、企業は適用のある個人情報・データ保護法の遵守にも慎重に配慮すべきである。これらの法は相矛盾するようにみえるものの、腐敗行為防止法と個人情報・データ保護法の両方を遵守することは、対処不能な課題ではない。多くの企業がこれらの課題に対応し、腐敗行為防止法および個人情報・データ保護法の要件を充足することに成功している。:「先般発表されたFCPA指針についてFCPA規制当局がコメント-今後も断固たる姿勢でFCPAの執行に取り組む考えを改めて強調」モリソン・フォースターのFCPAおよび腐敗防止タスク・フォースに関する実務の詳細情報につきましては、下記窓口にご連絡ください。フェイスブック(http://www.facebook.com/MoFoPrivacy)もご利用頂ければと思います。本稿は一般的なもので、ここに含まれる情報はあらゆる事案に適用されるものではなく、また個別の事案に対する具体的な法的アドバイスを提供するものでもありません。