インバウンド関連企業は必見！　GDPRなどの海外個人データ保護法制は中小企業も対象

2019年夏号 2019.05.31

対象企業は意外に多く、指摘されてからでは遅い
　ー海外の個人データ保護法制に対応するには？

Q 欧州からの旅行者向けにネットで予約を受け付けている。もし、予約サイトで情報漏えいが起きたら自社の責任は？

A 管理者として欧州のプライバシー保護法「GDPR」違反となり、制裁金を求められる可能性がある。

「まさかそんなことが」と思っていないだろうか。
インターネットの登場で海外との取引チャンスは増えた。同時にリスクもしっかりと認識しておきたい。特にいま重視すべきは、各国が制定するプライバシー保護法制である。

その筆頭が「GDPR」（General Data Protection Regulation：一般データ保護規則）である。

2018年5月25日にEUで施行された、世界で最も厳しいプライバシー保護法で、違反すると最高で全世界売上高の４％もしくは2000万ユーロ（約27億円）のいずれか高い金額が制裁金として課せられる。
「欧州に店を構えていないから、ウチは関係ない」と思うかもしれないが答えは「NO」だ。

EU域内に店舗がなくても法規制の対象になり得る

GDPRはEU域内における個人データの取り扱いだけでなく、EUに所在する人に商品・サービスを提供する場合などにも適用される。
EU内に拠点がなくても、提供時に金銭の授受がなくても対象となるため、例えば観光での来日を見込んでEU地域に向けて情報提供や予約受付を行っているだけでも、適用対象になる危険性がある。
また取引先や関連企業の違反、利用するクラウドサービス事業者の摘発で、管理者として処罰されるケースもあり得る。

EU以外にも、中国やロシア、ベトナムがサイバーセキュリティ法の中で個人情報保護を規定し、ブラジルや米カリフォルニア州なども法制化を予定するなど、動きは世界中に広がっている。
しかも、これらの法令は情報漏洩などの事件・事故自体ではなく、個人情報の保護に関する対策の不備を罰するものなのだ。

世界の法制をカバーする豊富な情報とツールを提供

思ったより対象企業が多く、厳しいことがご理解いただけたのではないだろうか。
世界のプライバシー保護法制をきちんと把握し、適切な対策を打ちたい。法務とITの両面があるため専門家に依頼するケースが多いが、かなりの費用がかかるので、中小企業には悩みの種である。

この声に応え、手軽な費用で専門的な情報の収集と相談対応を実現したのが、インターネットイニシアティブ（IIJ）の「IIJビジネスリスクマネジメントポータル」https://www.bizrisk.iij.jp/である。
IIJは、世界のプライバシー保護法への対応に関するコンサルティングで豊富な実績を有している。その経験・ノウハウを生かし、対策支援のWebサイトを開設したのである。

月額1万円の「アドバンスド会員」には、各種情報や最新ニュースとともに、GDPRをはじめ各国・地域の法令対応用の「テンプレート」を提供。記載項目にYES・NOで順に答えることで自社の課題と改善点が簡単に把握でき、具体的な取り組みをスムーズに進められる。
対応方法などでわからない点や判断に迷う場合には、チャット形式でコンサルティングを受けられる「アドバイザリーサービス」（利用時間に応じた従量/固定課金）も利用できるので便利だ。
また、「世界のプライバシー保護法制の最新動向に関するレポート」の有料メニューとして提供される主要な国・地域の法令一覧表も非常に有益。利用企業から「ビジネス展開に合わせて複数の国を比較しながらチェックできる」と高評価を得ている。