後編：諸外国のプライバシー保護法制について日本本社はどう取り組むべきか?（2019年5月21日 東京）

3. 日本本社としての役割と責任

宮岡：日本本社が直面する課題として、海外拠点に原則任せているものの、本当に適切な対応ができているか日本本社として把握できていない、もしくは国毎に異なる対応を日本本社がどこまでモニタリングすべきか、その関与度合いもよく分からないというものがあります。過去の経験なども踏まえて、小川さんから日本本社の役割と責任についてコメントいただけますか。

小川：どこまで本社が主導するか、現地に任せるかはそれぞれの企業文化、設立の経緯、体制、体力等によって異なりますので「これです」という正解はありません。しかし現地の対応状況をチェックするにあたり、日本本社が現地から情報収集する場合、前提条件として各国法に関する正確な情報を事前に把握する必要があります。そのうえで海外拠点から報告されてくる情報を日本本社に集約し、その情報が適切かどうか評価する体制を構築することが最初に必要なことだと思います。

宮岡：石川先生から補足がありましたらお願いします。

石川弁護士：少なくとも現地拠点のプライバシー保護法制の対応状況に関するモニタリングと監査、これは是非やってください。モニタリングと監査の実施にあたっては現地の法制に関する情報収集がとても重要になります。現地の法制がどのようになっているのかということを本社で把握しないと、現地拠点からのレポートをそのまま鵜呑みにするしかなく、実効的なモニタリングと監査は難しいと思いますし、日本企業の場合には、現地拠点で対応する方が日本人であることも多く、本社から現地法制に関する情報が日本語で提供されることが重要であることが多いです。
どういった対象項目が必要かという調査と、その調査を踏まえた上での現地拠点のモニタリングと監査については本社で行い、グローバルに、プライバシー保護法制のコンプライアンスを仕上げていくというのが非常に有益かつ現実的な対応であると思います。その上で、現地拠点での態勢整備や法定のドキュメント作りをどこまで現地拠点に任せるか、本社で対応してあげるかは、現地で主導できる機能があるか次第だと思います。

宮岡：中国拠点側の観点で松本先生からコメントをお願いします。

松本弁護士：中国のコンプライアンスについては現地法人に任せているところが多いと思われますが、本社としても最低限現地法人のコンプライアンス状況が法制度の要求を満たしているかどうかモニタリングする必要があります。CS法の規制対象はあくまで現地法人ですが、違反等の指摘を受けた際の本社へのレピュテーションリスクを踏まえると、本社としても正確な情報を取得することと、リスク（特に重大なリスク）を監督できる仕組みにしておくことが最低限必要だと考えます。現地法人に対してコンプライアンスを単に標語として伝えるだけではなく、現地法人がどこまでできていて、どこから対応が難しいのかといった情報を、現地法人と本社サイドで温度差のないようにしていく必要があろうと思います。

宮岡：B to CビジネスとB to Bビジネス間の対応の違いについて、B to Cのリスクが高いのはよく分かりますが、B to Bはどうなのかという点について杉本先生からコメントをお願いします。

杉本弁護士：B to Cビジネスの場合、B to Bビジネスの場合よりもGDPRとCCPAへの対応の必要性がより高いと言えます。理由としましては、 個人データの処理が事業に直結しており個人情報保護法の違反が事業の継続性や利益に直接影響を与える可能性が高いということ。 プライバシー性の高い個人データの処理を伴うケースが多いので 関連するデータ主体の数も多く、データ主体から苦情申立てがなされる可能性がより一層高くなるということがあります。一方B to Bビジネスについては、予算をあまりかけるべきではないという先入観は危険で、従業員と人事管理で揉めた場合にデータ保護法の一種が取り沙汰されたり、欧州の現地拠点でフェイクDPOを選任してしまうリスクもあることを本社側で認識する必要があります。

宮岡：同じく中国からみた日本本社の対応で留意すべきポイントについて李さんの方からお願いします。

李：内部統制・リスクマネジメントと比較して、海外法人におけるコンプライアンス遵守の優先順位はさほど高くない傾向もあるなか、先生方のご指摘通り、本社リードは非常に重要なことだと思います。さらにいかに現地法人と認識合わせをはじめとする企画立案、さらに体制構築、継続運用までサポートし、本社が現地法人に推進させるかという点も非常に大事な課題だと思います。 また、 「ことが起きてから対応すればよい」という考え方を意識改革することも必要です。グローバル対応の実効性を高めるために、各国の既存コンプライアンス・フレームワークを比較分析し、平準化するために、足りない要素を一部の国に対して追加するという組織横断的な対応は、日本本社がリードした方が有効だと思います。