データ主体への個人データ侵害の通知

管理者は、個人データ侵害が自然人の権利および自由に対して高リスクを引き起こし得る場合、不当な遅滞なしにデータ主体に個人データ侵害について通知しなければなりません。当該通知義務に違反した場合、1000万ユーロ以下または前会計年度の全世界年間売上高の2%以下のいずれか高い方の制裁金が課される可能性があります。管理者は、次のいずれかの状況に合致する場合には、上記通知を行う必要はありません。つまり、管理者がデータ主体に対して個別に個人データ侵害の通知を行わなければならない場合は限定されているということです。管理者としては、個人データ侵害があった場合の対応が以下の列挙事由に該当することを確保できるようにすることが、負担を軽減する上では重要となります。

個人データ侵害の監督機関への通知について、通知義務違反の場合に制裁金が課せられるという制度はGDPRが初めて導入するものではありません。代表的なものとしては、既にイギリスやオランダが導入しており、実際にイギリスでは豊富な執行事例があります。したがって、GDPRの施行を待たずに対策を採ることが重要な点になります。
また、侵害を認識してから72時間以内に監督当局へ通知するという義務は、平時から準備がなされていなければ時間内での対応は難しいというのが実情ではないかと考えられます。具体的には、サイバーアタックがあった場合にEEA所在者の個人データが漏洩したかどうかを確認し、実際にEEA所在者の個人データの漏洩が確認された場合には制限時間内に監督当局へ通知を行うためのプロセスをマニュアル化しておくといった対応が考えられます。
個人データ侵害の監督機関への通知義務への対応をきっかけとして貴社内で個人データのセキュリティ対策を改めて評価し直し、有事の場合に迅速に動けるように準備をしておくことが肝心と考えます。