IIJ DPO/CPO補佐サービスはこんな課題を解決したい方におすすめです
社内のDPO/CPOだけでは
対応が困難
各国のプライバシー保護法及びITセキュリティに関して、高い専門性が求められる。
海外子会社からDPO/CPOを選任するのは不安
海外子会社が選任したDPO/CPOの対応に不安がある。現地の専門家から選任すると、コストがかかる。
日本の統括DPO/CPOを
サポートしてほしい
海外子会社の対応を監督する日本の「統括DPO/CPO」を、専門家に補佐してほしい。
IIJ DPO/CPO補佐サービスは、 IIJのプライバシー保護法コンサルタントがお客様のGDPR、及び各国プライバシー保護法により企業に求められるDPO(Data Protection Officer:データ保護オフィサー)とCPO(Chief Privacy Officer:最高プライバシー保護責任者)をサポートするアウトソーシングサービスです。
IIJのプライバシー保護法コンサルタントは、プライバシー保護法とITセキュリティに高い専門性を持っています。
特長1 各国のプライバシー保護法への対応
近年、巨大プラットフォーマーなどによる個人データの利活用がグローバルで活発化しています。これに伴い、個人データ保護の必要性が各国で認識され、プライバシー保護法が制定されてきています。しかし、各国固有の法制度、政治的事情などから、共通化されずに個別に制定されているのが実情です。
この各国のプライバシー保護法の中には、企業に対してDPOやCPOの設置を要求しているものが増えています(EU、韓国、シンガポール、タイ、ブラジル、ベトナム、メキシコ、トルコ、ロシア、インドなど)。更に、GDPRや米国カリフォルニア州のCalifornia Consumer Privacy Actのように、違反した企業に多額の罰金を課すものも増えてきており、企業のコンプライアンスリスク管理が重要になっています。
特長2 DPO/CPOを補佐する専門家の確保
このように各国で異なるプライバシー保護法が施行されている状況は、グローバルにビジネスを展開している、またはこれから展開しようとしている企業にとって、時間やコストの観点から、多大な負担となります。
既に各国にビジネスを展開している企業は、DPO/CPOの選任など、各国のプライバシー保護法の要件を遵守し、グループ企業におけるコンプライアンス体制を整備し続けていかなければなりません。
また、これから各国にビジネスを展開しようとしている企業は、それらの国のプライバシー保護法を調査する必要があります。そして、それに対応するためのリスクやコストをビジネス展開によるメリットと比較した上で、ビジネス展開の実施について検討しなければなりません。
IIJはお客様の個人データをお預かりするインターネットサービスプロバイダとしての立場から、GDPR施行前からEUをはじめ各国のプライバシー保護法への対応を進めて参りました。IIJはこの知見を生かし、グローバルにビジネスを展開している、またはこれから展開しようとしている企業及び企業のDPO/CPOに対し、各国のプライバシー保護法の調査とその対応をサポートします。
特長3 様々なグローバルガバナンスをサポート
各国のプライバシー保護法で求められるDPO/CPOを、どのように貴社グループで設置するかは、貴社のグローバルガバナンスポリシーによって決定される事項です。
本サービスは、各国拠点のプライバシー保護法コンプライアンスを管理するために、日本本社に統括DPO/CPOを設置する形式も、日本本社及び各国拠点にDPO/CPOを設置する形式もサポートします。
お見積もりの上、申込書をお送りします。お問い合わせフォームから見積もりをご依頼ください。
GDPR上では、企業が一定の要件を満たす場合、データ保護オフィサー(DPO)を選任する義務があると定められています。また、企業に選任義務がなくても、DPOの選任はより良い企業のGDPR遵守維持・向上のために推奨されています。
GDPRにおけるDPOの役割には、GDPR遵守とITセキュリティ対応という法務・IT両面の対応が必要となり、広範な分野の専門知識も必要になります。
また、欧州とのコミュニケーションに関しては、欧州市民のようなデータ主体からのGDPRに基づく個人情報の照会や、個人データ権利行使に適切かつ速やかに応じられなければ、監督機関に通報されかねません。欧州の監督機関とのDPIA(データ保護影響評価)や難解な解釈の問題の相談、データ保護違反時の72時間以内の報告やその後の追加報告という密なコミュニケーションもまた、適切かつ速やかに行う必要があることから、DPOの負担は重いものとなります。
更に、社内においてDPOは、GDPRに基づき独立性を保障され、企業から業務上の指示を受けず、職務遂行を理由に解雇または罰則を受けることがありません。また、企業の取締役会レベルに直接報告を求められる等、企業がコントロールできない立場となります。役員や管理職、事業部門や人事・IT部門など、個人データを扱う管理者の方々は、利害の対立のためDPOになることはできません。社員で、DPOの要件を満たす適任者を探すことは難しく、また解雇もできないため、DPOはアウトソースすることが一般的です。
近時、EUのみならず世界各国に、GDPRを参考にDPO/CPOの選任義務が広がっている(例えば、シンガポール、ブラジル、タイなど)ことから、日本本社でグローバルガバナンスを利かせるために、日本に統括DPOを置くことも1つの方法として採用されはじめてきています。
EU以外の国のプライバシー保護法においては、GDPRのDPOのような独立性の保障や、利益相反禁止のような規律が定められておらず、個人データの取り扱い責任者を企業に設置することが求められています。
もっとも通常の企業でCPOを設置するときには、プライバシー保護法への対応に責任を有し、通常は企業の執行役員として経営会議レベルに直接報告を行うなど、DPOと同様の職務を行う必要があります。また、CPOもDPOと同様、プライバシー保護法の遵守とITセキュリティへの対応という法務とIT両面の対応が必要となり、広範な分野の専門知識が必要です。
CPOは、管理者である会社の執行役員としてプライバシー保護法への対応に責任を負うことになるため、補佐する立場の専門家が求められています。