これまでに科された GDPR 罰金：重要なポイント

GDPRを一目で

General Data Protection Regulation (GDPR) が施行されてから1年が経ちました。これは、デジタル時代にふさわしい data security について、何年も議論が重ねられてきたことを受けてのものです。現時点で最も厳格な規制の一つであるGDPRは、EU居住者の個人データを収集、処理、または保存するあらゆる企業や公共機関に適用されます。これには、EU内のすべての雇用主だけでなく、世界のどこにあってもEU居住者に製品やサービスを提供するすべての組織、さらに他の組織に代わってその個人データを処理する企業も含まれます。GDPRはグローバルに適用されるため、その結果としてEU内だけでなく域外においても、個人データ保護に大規模な変化がもたらされました。

European Data Protection Board (EDPB) は、GDRPが施行されてから最初の1年間で、89,000件を超える data breach が記録され、データ保護当局によって446件の越境事案が調査されたと報告しています。さらに European Commission は、自身のデータのセキュリティに関して個人から寄せられる問い合わせや苦情の数が増えていることに言及しており、これはGDPRによって与えられるデータ保護の権利について、一般の認識が高まっていることを示唆しています。

GDPRのもう一つの大きな影響は、インターネットの巨大企業、ソーシャルメディアのプラットフォーム、そして他業種の企業がデータをどのように処理しているのかを明らかにするのに役立っていることです――これは世界中の人々が多くの不安を抱えているテーマです。たとえば、アイルランドのデータ保護委員会（Irish Data Protection Commission：DPC）は年次2018年報告書の中で、Facebook、Apple、Twitter、LinkedIn、WhatsApp、Instagramを含む、アイルランドを拠点とする複数の多国籍インターネットおよびテクノロジー企業のデータ処理活動について調査を開始したと述べています。

GDPR 非準拠の事例：私たちが学んだこと

GDPR が施行された後の最初の9か月をカバーした EDBP report によると、欧州の11か国の規制当局は罰金として5,600万ユーロ超を科しました。この金額の大半は、単一の制裁措置——巨額の5,000万ユーロの罰金——フランスのデータ保護当局がGoogleに課したもの——によるものです。

これはこれまでで最大の GDPR fine ですが、Googleがその“疑わしい”記録をどれくらいの期間保ち続けるかは、まだ判断が難しいです。現在、いくつかの深刻な data privacy 違反について調査が進められており、罰金の発表はまだ行われていません。そのうちの1つが、英国航空（British Airways）で発生したデータ侵害で、英国の情報コミッショナー事務局（ICO）が調査しています。GDPRの下では、同社は全世界の年間売上高の最大4%に相当する罰金を科される可能性があり、これは5億6000万ユーロ（€560 million）の罰金に当たります。つまり、Googleの罰金よりも桁違いに大きい金額です。

また、罰金がはるかに低い小規模組織を対象とした、数多くの執行（enforcements）もありました。これは、当局が概ね最初の1年を、すべての違反を追及して最高額の罰則を科すというよりも、企業に警告を行い、GDPR compliance に向かう過程で企業を支援するための移行期間だと見なしていたことを示唆しています。

それでもなお、多くの組織がすでに相当額の GDPR の罰金を科されています。ここでは、そのいくつかの事例を紹介します：

適切な技術的および組織的管理策を実装しなかったこと

対象： Centro Hospitalar Barreiro Montijo（ポルトガルの病院）

時期：2018年7月

金額：€400.000

違反内容： 病院には、「doctor」プロフィールに紐づけられ、過剰なアクセス権を付与していたユーザーが689人存在していたが、病院にいる医師は296人のみだった。さらに、すべての医師が、医師の専門分野にかかわらず、すべての患者ファイルに無制限にアクセスできる状態だった。病院がユーザーアカウントを無効化したのは2016年11月が最後である。病院には、ユーザーのアクセス権を説明する文書もなく、情報システムのユーザー作成ルールを定義した文書も存在しなかった。

要点：GDPR（一般データ保護規則）第25条では、組織に対し、機微データ（センシティブデータ）が適切に処理され、アクセスできるのは適切な人だけであることを確実にするための、適切な技術的および組織的措置を講じることが求められています。ここでは、最も重要な手順を紹介します：

• どのような機微データ（センシティブデータ）を保有しているか、そして誰がそれにアクセスできるのかを特定します。data classification の自動化ソリューションを活用することで、最も重要な資産を、より機微度の低いデータから切り分けることができます。
• GDPRで規制されるデータのうち、過度に公開（過剰に露出）されているものを見つけます。タスクや職務の要件に基づいて、アカウントの特権を最小限に抑えます。定期的なアクセスレビューを実施し、principle of least privilege が遵守されていることを確認してください。
• 規制対象のすべてのデータが、その価値と機微性に応じて安全な場所に保管されていることを確認してください。
• セキュリティ対策（コントロール）を常に最新の状態に保ち、貴社が個人データを安全に処理していることを示す証拠を提示できるようにしておきましょう。

データ侵害の報告漏れ

対象： UAB MisterTango（リトアニアの決済サービス事業者）

時期： 2019年5月

金額：€61.500

違反： 最近の報道の一つは、2018年7月9〜10日に発生した個人データ漏えいについて、報告を怠った企業に関する内容です。その2日間の間、技術的・組織的な対策が不十分だったため、決済データがインターネット上で公開されていました。データには、異なる国々の12の銀行と、9,000件の決済取引が含まれていました。さらに同社は、支払いの実行に必要以上の個人データにアクセスし、収集したことにより GDPR に違反しました。また同社は、GDPRで規制されるデータを必要以上に長く保管しており、10分ではなく216日でした。

要点： 今回の事例で科された罰則は、GDPR の規制当局が、データ漏えいについて通知しなかったことを特に重く受け止めることを示しています。とりわけ、漏えいが金融情報を含む場合は、その傾向が強くなります。組織は、個人データの漏えいを検知し、報告し、調査するために必要なすべての管理策を用意しておく必要があります。正しいデータ漏えい通知の手順や、それが適用されるタイミングが分からない場合は、Articles 33 および 34 について法律顧問に相談してください。

業務プロセスに必要な最小限の情報だけを収集し、保持できるようにするには、各データの種類をどれくらいの期間保持するのか、また、不要になった、または法的に保持できなくなった場合にどうするべきか（削除する、またはアーカイブするなど）を明確に示す保管ポリシーを作成する必要があります。

個人に対して、自分のデータが処理されることを知らせなかったこと

対象: ポーランドにおける匿名のデータ管理者

時期: 2019年3月

金額: €200.000

違反内容: GDPRの下では、個人には、個人データが収集され、どのように使用されるのかについて知らされる権利があります。本件の組織は、メールアドレスを把握していた顧客ベースの9万人には適切に通知していたものの、メールアドレスを持っていなかった残りの600万人には、高い運用コストを理由に直接連絡しませんでした。その代わり、組織は、データの収集および利用に関する情報を自社のウェブサイトに掲載することを選択しました。

要点: 規制当局は、このアプローチは不十分だと判断しました。会社には、電話番号や住所など、顧客に直接連絡するために使えた他の連絡先情報があった点が指摘されています。また、規制当局は、会社が個人に直接知らせる義務を認識していたにもかかわらず、侵害を終わらせようとする試みがまったくなく、さらには侵害をやめる意図さえ宣言されていなかったことから、この違反は意図的なものだとみなしました。

今回の決定は、GDPRの執行に対する寛容さが終わったことを示唆しています。同社は、個人データを適切に取り扱うことに関する法律の主要要件に違反し、厳しい罰金を科されました。

EU 外における規制システムへの GDPR の影響

GDPRが施行されて以来、世界各地で同様の法律が制定されているのを目にしてきました。United Nations Conference on Trade and Development (UNCTAD)によると、現在100以上の国がデータ保護に関する法律を整備しています。ブラジルの新しい規制も、よく似た名称を持っています。General Data Protection Law (GDPL)。今後数年の間に、国際的なデータ交換に関する取り締まりがさらに強化されていくことを私たちは見込んでいます。

EUは、ePrivacy Regulation（eプライバシー規則）を導入するために取り組んでいます。これは ePrivacy Directive 2002/58/EC（「Cookie Law」）に代わるものであり、メタデータやクッキーの使用を含め、電子通信サービスに関するプライバシーを規制することで GDPR を補完します。

データプライバシー も米国で取り組みが進められています。たとえば California Consumer Privacy Act（CCPA）は GDPR と共通点が多く、2020年1月1日から施行されます。マサチューセッツ州は、州の居住者の個人データを収集する企業を対象に新たな要件を盛り込むため、データ侵害に関する法律を強化・更新しています。またオレゴン州は、データ侵害を被った組織に対してサイバーセキュリティ関連の法律を強化するための改正案を検討しています。

専門家が語る GDPR の影響

複数の専門家に、GDPR が企業にどのような影響を与えたのかを聞きました。以下は彼らの見解です。

Douglas Crawford（デジタル・プライバシー専門家）、ProPrivacy.com

最大の成果は、GDPR によって企業がユーザーの同意や、ユーザーのプライバシー権について慎重に考えることを“強いられた”点だといえるでしょう。実際には、消費者が得られる本当の利益がはっきりと見えてくるまでには数年かかるかもしれませんが、最終的な結果は世界中の一般のインターネット利用者にとってプラスになるはずです。ユーザープライバシーを二段（またはそれ以上）に分けて扱うアプローチは現実的ではないため、企業は、EUに住んでいるかどうかにかかわらず、すべての顧客に GDPR のプライバシー上の恩恵を拡大せざるを得なくなりました。

最初の1年は「移行期間（transition year）」と呼ばれているものの、これまでGDPRはデータ侵害（data breach）報告の分野で目立った成果を上げています。EU内では、GDPRが導入されてから最初の8か月間で、このような報告がほぼ倍増しました。これは、米国政府に対して、州単位の立法という非効率で混迷した状態に頼り続け、自主申告されるデータ侵害が低水準にとどまってしまう状況ではなく、連邦レベルで同様の法律を導入するよう圧力をかけることにつながる可能性があります。

今後数年にかけて、欧州の規制当局はGDPRの執行について、より強い（より踏み込んだ）アプローチを取る可能性が高いでしょう。まずは自分たちの「裏庭」を片付けるところから始めるのは理にかなっていますが、それが終われば、規制当局がヨーロッパで事業を行う国際企業に対して、より全面的に注意を向けることはほぼ確実です。

Monica Eaton-Cardone（共同創業者兼COO、Chargebacks911）

グローバルな起業家として、私は多くの企業がデータに関して助言を得るために弁護士を雇っていることに気づきました。GDPRが施行されると、人々は自分のデータを守ることの重要性をより意識するようになりました。

GDPRは一部のビジネスの成長に役立ったものの、適切な透明性が欠けていることに関しては、驚くほど多くの苦情が数千件寄せられましたが、それは当然の結果でもありました。というのも、GDPRが本稼働した当時、GDPRが求めるだけの詳細さでデータを解析できるインフラを整えていた加盟店（マーチャント）は多くなく、今でもその状況は大きく変わっていないからです。

データ主体間のコミュニケーションは、今後何年にもわたり私たちのプライバシーを守るのに役立つよう、時間とともに変化する可能性があります。しかし、消費者データへのアクセスがますます制限されるかもしれないため、それが長期的に詐欺にどのような影響を与えるのかは、まだ見通せていません。

Simon Fogg（データ・プライバシーの専門家、法務アナリスト）、Termly.io

米国企業は、EUの顧客をターゲットにする際、いまかなり慎重になっています。GDPRが発効してから1年以上経っているにもかかわらず、 1,000を超える主要な米国の出版物 は依然としてEUユーザーに利用できません。理由としては、そうした出版物がコンプライアンスの取り組みを最後まで完了していない場合もあれば、必要な（そして費用のかかる）変更を行うだけの価値が自社の欧州の顧客基盤にはないと感じた場合もあります。米国の企業はかつて、データ収集の実務において幅広く網を張っていましたが、GDPRによって、多くの企業がより高い警戒心をもってデータの境界を扱うことを余儀なくされています。

GDPRに違反したことによる罰金の件数は、大きく急増すると見込むべきです。これまでのところ目立った罰則は多く出ていませんが、規制当局はいまなお、大量のデータ侵害案件が積み残された状態に対処しています。追いついた段階で、当局はより強い力をもって権限を行使し始めるため、米国の企業もその影響を受ける可能性が高いでしょう。

Sweeney Williams（Vision Critical セキュリティ、プライバシー＆コンプライアンス担当副社長）

GDPR以前は、欧州に物理的な拠点を持たない米国企業は、執行の範囲が限られており、想定される罰金も低かったため、EUのプライバシー要件をほとんど、またはまったく意識せずに運用できる場合がありました。GDPRは、米国企業に対してEUの要件を認識するだけでなく、自社の業務の中でそれらの要件を積極的に制定し、施行することを強く求めることになり、しばしば多大な費用がかかりました。何千もの企業がデータ保護責任者を採用し、複雑なデータフローの地図を作成し、接続されていない多数のアプリケーションにまたがってデータ主体のアクセス（利用）プロセスを導入し、データセキュリティとプライバシー運用を大幅に強化しました。一方で、米国企業の中には、EU内に所在していた、またはEUに対して製品・サービスを提供していた事業を停止することを選んだところもあります。これは、失われる売上によるコストが、コンプライアンスと潜在的な罰金のコストよりも低いと考えたためです。さらに、一部では、欧州のIPアドレスが自社のWebサイトに接続することをブロックするところまで行われています。

GDPR の、米国の内外を問わず最も重要で有益な単一の影響は、その中に盛り込まれている データ主体のアクセス権と透明性の権利 により、一般の人々へ与えた影響力です。GDPR に含まれる根本的な考え方そのものは新しいものではありませんが、導入以来この規制が生み出してきた前例のない量の報道の結果として、データ・プライバシー権に対する認識は急激に高まってきました。個人は今や、GDPR に含まれるのと同じレベルの透明性、データへのアクセス権、そしてコントロール権を受けられることを期待しています。また世界各国の規制当局は、自国で GDPR に類似したデータ・プライバシー立法を制定するよう、自分たちの構成員から大きな圧力を受けています。特に米国においては、新たに提案されるデータ・プライバシー規制の立案率が過去最高となっており、数年前には不可能だと見なされていた初の 米国連邦のプライバシー法 の創設へとつながっていく可能性が高いと考えられます。

Aki Estrella（プライバシー・アドバイザー、Stellae Legal and Risk Advisors）

概ね、GDPR は企業が情報をどのように扱うか、そしてその利用計画の立て方を変えました。情報の分離、通知の送付、そして EU 市民からの要求に対応するための従業員/部門への研修が、最も一般的な影響でした。とはいえ、見てきたとおり、うまく対応できていない企業がいくつかあり、GDPR に関連する途方もない額の罰金への対応を迫られています。EU におけるデータの利用や EU への販売を縮小する動きは、私は見ていません（ほぼ同一の内容のデータ規制を自国で定めた英国についても同様です）。

よくある質問（FAQ）

サイバーセキュリティにおける GDPR とは？

サイバーセキュリティにおける GDPR（General Data Protection Regulation）は、個人データをサイバー脅威や不正アクセスから保護するために、特定の技術的・組織的措置を義務付ける包括的な枠組みを指します。サイバーセキュリティの観点では、GDPR は組織に対し、「設計による保護（by design）」および「初期設定による保護（by default）」の実装を求めています。これは、セキュリティ対策を後付けで追加するのではなく、システムの最初から組み込む必要があるという意味です。主なサイバーセキュリティ要件には、転送中および保管中の個人データの暗号化、データアクセスを認可された担当者のみに限定する堅牢なアクセス制御、定期的なセキュリティ評価およびペネトレーションテスト、ならびに 72 時間以内の侵害通知を可能にするインシデント対応手順が含まれます。さらに GDPR は、仮名化（pseudonymization）技術、安全なデータのバックアップと復旧手順、そして「いつ・誰が・どのデータにアクセスしたか」を追跡できる包括的な監査ログ（監査証跡）も義務付けています。アイデンティティおよびアクセス管理（IAM）の観点では、GDPR は強力な認証メカニズムの導入、定期的なアクセスレビュー、ならびに不正なデータアクセスを防ぐための自動化されたプロビジョニング／デプロビジョニングを求めています。規則の「privacy by design（設計によるプライバシー）」の原則は、サイバーセキュリティが単なるコンプライアンス対応にとどまらず、個人データ保護を基本となる設計要件として組み込んだ、レジリエント（回復力のある）システムを構築することを意味します。

GDPR は誰に適用されますか？

GDPR は、組織が物理的にどこに所在しているかにかかわらず、EU（欧州連合）居住者の個人データを取り扱う（処理する）あらゆる組織に適用されます。つまり、米国企業、アジア企業、そして世界中の組織がすべて GDPR の管轄に該当し得ます。規制は 2 種類の事業体を対象としています。データ管理者（data controllers：個人データの処理の目的および手段を決定する者）と、データ処理者（data processors：管理者のためにデータを処理する者）です。貴社が EU 居住者に対して商品またはサービスを提供している場合、EU 居住者のオンラインでの行動を監視している場合、または多国籍企業において EU の従業員データを取り扱っている場合、貴社は GDPR の対象になります。たとえ貴社に EU 内での物理的な拠点がなくても、EU ユーザーに対するターゲティング広告の実行、EU 顧客の注文処理、あるいは Cookie による EU Web サイト訪問者の追跡といった活動は、GDPR の義務を発生させる可能性があります。重要なのは個人データの処理であり、EU 居住者を特定できる情報であれば何でも対象です。たとえば氏名、メールアドレス、IP アドレス、位置情報、オンライン識別子などが含まれます。これらの基準を満たすのであれば、小規模事業者も免除されません（ただし、一部の処理活動は免除の対象になり得ます）。アイデンティティ管理（identity management）に携わる専門家にとっては、組織の所在地の地理的条件にかかわらず、EU の個人データを保存するあらゆるシステムに GDPR 準拠のアクセス制御、監査証跡（audit trails）、およびデータ主体の権利（data subject rights）を実現するための機能が必要になる、ということを意味します。

GDPR 準拠（コンプライアンス）とは何ですか？

GDPR 準拠（コンプライアンス）とは、一般データ保護規則（General Data Protection Regulation）のすべての要件を満たす包括的なデータ保護対策を実施することを意味します。単なるプライバシー・ポリシーにとどまらず、技術的な保護措置、組織的な手順、そして個人の権利の保護までを含みます。真の準拠には、多層的なアプローチが必要です。たとえば、すべてのデータ処理活動について適法な根拠を特定すること、高リスクな処理に対するデータ保護影響評価（data protection impact assessments）を行うこと、必要に応じてデータ保護責任者（Data Protection Officers）を任命すること、さらに、アクセス、訂正、消去、データポータビリティ（portability）など、情報主体の権利を実装することです。技術面での準拠対策には、暗号化、仮名化（pseudonymization）、アクセス制御、監査ログ（audit logging）、およびデータ最小化（data minimization）の実践が含まれます。これにより、指定された目的のために必要な個人データのみを収集・保有することが保証されます。組織面での準拠には、スタッフの研修、ポリシー策定、ベンダー管理、ならびに 72 時間以内の通知要件を満たせるインシデント対応手順が含まれます。アイデンティティ管理の観点では、GDPR 準拠とは、ロールベースのアクセス制御、定期的なアクセスレビュー、自動化されたユーザーのライフサイクル管理、そして規制当局の調査中に準拠を示せる包括的な監査証跡（audit trail）を実装することを意味します。準拠は一度達成して終わりではなく、ビジネスや規制環境の変化に合わせて保護基準を維持するために、定期的な評価、ポリシー更新、継続的な監視を必要とする継続的なプロセスです。

GDPR 準拠の監査はどのように実施しますか？

GDPR 準拠の監査では、データ処理活動、技術的な保護措置、組織的な手順を体系的に評価し、ギャップを特定して規制要件との整合性を確認する必要があります。まずデータマッピングから始め、組織が収集・処理・保管・共有する個人データの包括的な棚卸し（インベントリ）を作成します。これには、データソース、処理目的、法的根拠、保管期間、および第三者との共有に関する取り決めの特定が含まれます。アクセス管理システム、暗号化の実装（encryption implementations）、バックアップ手順、セキュリティ監視の機能などの技術的統制を評価し、GDPR の「適切な技術的措置」（appropriate technical measures）の要件を満たしていることを確認してください。スタッフ研修プログラム、データ保護ポリシー、ベンダー契約（vendor agreements）、インシデント対応手順（incident response procedures）などの組織的な措置も見直し、GDPR 上の義務を支援する内容になっているかを検証します。情報主体の権利の実装については、定められた期限内にアクセス要求、訂正要求、消去要求へ対応できるかをテストして評価します。文書化の運用を確認し、処理活動記録、データ保護影響評価、侵害（ブリーチ）インシデントのログ（breach incident logs）によって準拠を説明できるようにします。アイデンティティ管理システムでは、ユーザーのアクセス制御、 privileged account management、アクセスレビューのプロセス、監査証跡（audit trail）の完全性を監査し、「誰がいつ、どの個人データにアクセスしたのか」を追跡できるようにします。すべての発見事項は、明確な是正（リメディエーション）の優先順位、実装のタイムライン、責任分担とともに文書化してください。定期監査は少なくとも年1回、または重要なシステム変更の後に実施し、高リスクなデータ処理活動については継続的な監視を行うべきです。

アイデンティティ管理のための GDPR 実装チェックリスト？

Identity management に対する GDPR の実装には、個人データがライフサイクル全体を通じて保護されるように、アクセス制御、監査機能、およびデータ主体の権利を支援する仕組みを体系的に導入する必要があります。まずはアクセス制御フレームワークの導入から始めましょう。最小特権の原則を強制するロールベースのアクセス制御を確立し、機微なデータへのアクセスに対しては多要素認証を含む強固な認証メカニズムを導入し、従業員の入社・異動・退職に応じて適時にアクセス権を変更できるよう、自動プロビジョニングおよび自動ディプロビジョニングを展開します。誰がいつどの個人データにアクセスしたのかを記録する包括的な監査ログを実装し、改ざん防止のログ保管と定期的なログ分析によって、不正アクセスの試行を検知できるようにします。環境内のどこに個人データが存在しているかを特定するためにデータの発見（ディスカバリー）および分類ツールを導入し、そのうえで、個人データへのアクセスを承認されたロールのみに制限するアクセス制御を実施します。データ主体の権利の履行能力を確立してください。アクセス要求に対する自動検索・取得、訂正要求に対する安全なデータ修正手順、消去要求に対する信頼できるデータ削除プロセスを含めます。法定の保管期間が満了した際に個人データを自動的にパージ（削除）するデータ保持ポリシーを構成し、法的保留（legal hold）要件に対する例外処理もあらかじめ用意します。プライバシーを保護する技術として、開発・テスト環境向けの仮名化（pseudonymization）、保管時および転送中の個人データの暗号化、過剰な個人データ収集を防ぐデータ最小化の制御を導入します。Identity に関連するデータ侵害に特化したインシデント対応手順を作成し、迅速な封じ込め、影響評価、規制当局への通知（レギュラトリー・ノーティフィケーション）能力を含めます。すべての Identity management 手順を文書化し、定期的なアクセスレビューを実施し、アイデンティティ基盤が変化していく中でも継続的に GDPR 準拠を維持できるよう、継続的なモニタリングを確立してください。