前編：諸外国のプライバシー保護法制について日本本社はどう取り組むべきか?（2019年5月21日 東京）

2.「個人情報」の定義

宮岡：GDPR、中国CS法、CCPA（及び米国連邦法）を含めたプライバシー保護法制の世界的潮流について杉本先生から、また、中国の状況について松本先生からコメントをいただけますでしょうか。

杉本弁護士：法制化についてはGDPRの影響が大きく、タイで法制化され、インドでも法制化が検討されています。執行については世界的に強化の傾向です。GDPRに基づく執行事例が加速度的に増えてくる可能性があります。その間に、米国FTC（Federal Trade Commission）による某米国IT企業に対する30-50億米ドル（約3,300-5,500億円）の制裁金事例が出現すると言われています。この制裁金事例は、GoogleへのGDPR制裁金決定によってある程度高まっていたGDPRに基づく制裁金の相場をさらにもう一段階押し上げる可能性があります。プライバシー保護法制についてですが、EUと日本の十分性の相互認定は、「data free flow with trust」というG20大阪サミットで大阪トラックとして宣言されることになる新しいイニシアティブの開始につながっていくと考えています。今後は個人データ保護のみならず、非個人データの自由流通にも議論のフォーカスが当たるようになるでしょう。

松本弁護士：中国CS法は2017年に発効してからわずか2年であり、具体的な実施に関する法令及び基準が制定されつつある段階です。今後の動向としては、CS法の運用方法を含め、より詳細かつ具体的な規定が制定されていくと思われます。特に2018年の全人代（及びその常務委員会）において、立法計画に入れられた「個人情報保護法」には注目が必要です。今後制定される「重要情報インフラ安全保護条例」、「個人情報及び重要データ国外移転安全評価弁法」等の法令、及び全国情報安全標準化技術委員会が定める「情報安全技術　個人情報安全規範」他の個人情報保護に関する国家基準、ガイドライン等にも注意する必要があります。また取締事例が多く出始めていることからすると、CS法の適用も今後はより厳格になっていくと思われます。その際、施行から時間が経過していることから、何も対応できていない場合は処罰されるリスクが高まります。

宮岡：GDPR対応をようやく終えた日本企業にとって、今後重視すべきプライバシー保護法制はどこか、その理由と併せてお伺いできますでしょうか。

石川弁護士：ビジネスのタイプによりますが、世界で消費者向けに商品・サービスを提供し、その過程で個人データを取得する場合には、省けるところはないと考えます。GDPRの次にリスクが高いのは、地域としては、カリフォルニア州を含むアメリカにおける個人情報の取扱い、アジアでは中国CS法、さらにシンガポール、マレーシアなど法制化されて時間が経過し、当局の執行実績が豊富な国の重要性が高いでしょう。またグローバルでのデータ共有はインパクトが大きく、また、複数の拠点が関係することになるため各国の拠点に対応を任せるのは非現実的で、日本本社主導で対応するべきだと考えます。

宮岡：杉本先生はいかがでしょうか。

杉本弁護士：石川先生のご意見に同意です。追加してブラジルのGDPRの採択、及び長期的にはインドにもGDPRと同等の厳しい制裁金制度を持つデータ保護法の立法がなされる可能性が高いでしょう。但し、グローバルのプライバシー保護法制については、現地法が立法・改正されてから、一つ一つコンプライアンス対応を進めるやり方が本当にコスト効率が良く、ビジネスフレンドリーなのかは疑問です。企業グループがグローバルで比較的厳しいデータ保護のコンプライアンスプログラムを構築し、現地法への対応についてはマイナーチェンジで足る形とする方が効率的・効果的にデータ保護コンプライアンスを高めることにつながるのではないかと思います。

ツギハギのデータ保護コンプライアンスプログラム（日本の個人情報保護法を基に構築した日本本社のデータ保護コンプライアンスプログラムを、GDPR対応ということで改訂する、そしてその改訂版のプログラムをCCPA対応ということで改訂する）VS企業グループに一つのデータ保護コンプライアンスプログラム（例えば、可能な限り全世界の拠点でGDPRを遵守する）プラス現地法の特殊性を踏まえたマイナーチェンジです。

理由としましては最近新たに立法されるプライバシー保護法には域外適用の規定が入っていることが多く、これにより、例えば、カリフォルニア州の居住者の個人情報の処理を規制対象とする法律に対しても、米国内及び米国外からそのような個人情報を処理する拠点においては、同法を遵守する必要があり、そのため、域外適用の規定を持つ新しいプライバシー保護法の立法または改正法が成立するたびに、データマッピングという事実調査を行わなければならなくなりますが、これには相当の人的・金銭的なコストがかかります。

したがって、やり過ぎのように見えて、GDPR上の拘束的企業準則（BCR: Binding Corporate Rules）は、意外に合理的なグローバルデータ保護コンプライアンスのためのツールであると考えられます。データ保護のような規制分野において管轄当局のお墨付きをもらっておくことの意味合いは小さくないと考えます。