「ＧＤＰＲ(一般データ保護規則)」とは、EUが2016年に制定したプライバシー保護の法律であり、2年間の周知期間を経ていよいよ2018年5月25日に施行される。 欧州に拠点のない日本企業などに対しても、制裁金を科すなど厳しい規則が適用される。
たとえば、日本企業のウェブサイトをEU域内の利用者が閲覧し、その個人情報——自動収集されるＩＰアドレスさえも個人情報になる可能性がある——が適切に取り扱われていない場合には、全世界での年間売上高の4%もしくは2000万ユーロ(約25億円)のいずれか高い方が、制裁金として科せられる恐れがあるのだ。
これから企業価値を高めていくには、プライバシー保護対策、サイバーセキュリティ対策が絶対不可欠となってくる。
そこで、最新刊『ＧＤＰＲガイドブック』（足立照嘉、ヘルマン・グンプ著、実業之日本社刊）の一部から、その概要を紹介したい。
今回はシリーズ3回のうちの1回目となる。
■はじめに
なんだかまた厄介な決まりごとができてしまった……。
「ＥＵ一般データ保護規則（ＧＤＰＲ）」が5月25日から施行されると、たしかに2000万ユーロといった莫大な制裁金を課されることもあるし、警告や遵守命令が出されたり、行政罰を伴うこともある。
しかし、ちょっと考えてみてほしい。
日本における「個人情報保護法」など、これまで国や地域ごとにデータやプライバシー保護の規則は存在していたものの、世界共通の決まりごとはなかった。
インターネットによってこの20年あまりで世界中が急速に近づき、多くの個人データが国境を越えるようになったにもかかわらず、だ。
なにせ同じＥＵ域内の国であっても、データ保護に関する国内法はてんでんバラバラ。
例えば、東京に本社があって、横浜に工場がある企業には、同じ日本の法律が適用される。
しかし、同じくらいの距離感なのに、スイスに本社があって、イタリアに工場があると、法律だって異なっていたのだ。
すると、こっちの国では問題ないことが、あっちの国では問題になることだってある。
だから、それが共通の認識の下で統一されることに喜んでいる人たちも当然いるわけだ。
もともとプライバシーに関する法律の厳しかった英国やドイツでは、それ以外の国が同じ基準で個人データを扱ってくれるようになるので、ＧＤＰＲを歓迎する声も多く聞く。
そして、今やサプライチェーンはグローバル規模で拡大し、インターネットや様々な通信手段を介して世界中のビジネスが協調しながら拡大を続けている。
東京の会社が企画した商品であっても、フランスでデザインされた設計データが、アメリカのサーバを経由して、横浜にある工場の製造装置に配信されているかもしれない。
そして同時に、個人に紐づく様々なデータが瞬時にして世界中を駆け巡っている。
顧客もそうだし、自社の従業員、取引先の従業員などもだ。
だからこそ、今回のＧＤＰＲを歓迎しているのは欧州企業の経営者だけではない。
顧客や従業員、そして取引先までもが大歓迎している。
逆の言い方をすれば、自身の個人データを雑に扱うような企業を、好き好んで選ぶ人などいない。
それは、投資家や金融機関であっても同じことだ。
企業の資産である「人」を大事に扱えない企業に、お金なんて預けられない。
ＧＤＰＲに対する感情は、その人の置かれた立場や環境によっても様々だろう。
しかし、いずれにしても2年間の移行期間を経て適用開始されるわけだから、避けて通ることはできない。
そして、強調されなければならないのは、これが欧州だけでなく地球の裏側まで追いかけていく強力な規則ということだ。
日本で個人情報保護法が施行された２００５年から数えて13年。
ＧＤＰＲの前身となるＥＵデータ保護指令から数えても23年ぶりの大幅な改定。
顧客からのブランド価値を向上させるチャンス。
従業員からの信頼を得られるチャンス。
投資家から資金を調達できるチャンスにもなるかもしれない。
そのように考えるとＧＤＰＲとは、10年に一度訪れるかどうかの大きなオポチュニティのひとつであることは間違いない。
そこで、この連載では、単なる制裁金対策としてのＧＤＰＲガイドではなく、企業の資産を最大限活用するための方法と、ベストプラクティスのひとつとしてのＧＤＰＲ活用法について考えていきたい。
■著者
足立照嘉 (Teruyoshi Adachi)
サイバーセキュリティ専門家
欧州および北米を拠点に活躍し、2018年現在で30カ国以上でサイバーセキュリティ事業を展開。
主に航空宇宙産業のサイバーセキュリティに取り組んでおり、日本を代表する企業経営層からの信頼も厚い。
ヘルマン・グンプ(Dr.Hermann Gumpp)
データ保護専門家
ミュンヘン(ドイツ)を拠点に欧州で活躍し、ミュンヘン大学(LMU)や日系企業などのアドバイザーも務める。
東京の国立情報学研究所(NII)での研究開発経験もあり、日独産業協会(DJW)ITワーキンググループの中心人物である。
■協力
浅田 稔
（大阪大学大学院工学研究科 教授）
安藤類央
（国立情報学研究所 サイバーセキュリティ研究開発センター 特任准教授）
Dr．Jamie Saunders
（元・英国国家犯罪対策庁 国家サイバー犯罪局長・機密情報局長）
中川博貴
（株式会社フィスコIR 取締役COO・フィスコファイナンシャルレビュー編集長）
八子知礼
（株式会社ウフル 専務執行役員・IoTイノベーションセンター所長）
松田章良
（岩田合同法律事務所 弁護士）