一般データ保護規則（GDPR）の罰則：何を想定すべきですか？

The General Data Protection Regulation (GDPR) は、グローバルな標準であり、従来のデータ保護指令 95/46/EC（DPD）に基づいていた場合よりも、データ保護当局により強い執行権限を与えるだけでなく、より実質的な罰金を科す権限も付与します。DPD では、コンプライアンス違反に対する行政罰金の正確な金額は明示されていませんでしたが、GDPR 違反に対する最大罰金は、直前の会計年度における組織の世界的な年間売上高の 4% または 2,000万ユーロ（€20 million）まで到達し得ます。これらの罰則は、他の現行基準（例：HIPAA、GLBA、SOX）に比べて大幅に高いものです。

GPDR はまだ施行されていませんが、組織は標準（基準）への準拠を示せないことが原因で、すでに問題に直面しています。最近の例としては Flybe と Hondaがあり、マーケティングメールに関するルールを破ったとして Information Commissioner’s Office から罰金を科せられました。両社は、マーケティング情報を受け取りたいかどうかを尋ねるメールを送ることで、GDPR に従い、顧客の同意を事前に取得しようとしました。しかしその行為により、英国の Privacy and Electronic Communication Regulations (PECR) に違反しました。PECR では、適切な同意がない場合、この種のメールは禁止されています。これは、そうしたメールがマーケティング資料とみなされるためです。

このブログ記事では、Netwrix が GDPR の罰金（制裁金）に関する最も一般的な質問への回答を提供し、罰金がどのように決定されるのか、またどの要件が最も大きな罰則につながるのかを、より詳しく理解できるようにします。

罰金はどのように決定されますか？

GDPR 第 83 条によると、監督当局（SAs）または自然人の権利を保護する責任を負う独立した公的機関は、GDPR の遵守 を証明できない組織に対して罰金を科す権利を有します。これらの罰金は「効果的で、比例的で、かつ抑止力のあるもの」でなければなりません。監督当局が、組織が罰金を支払う必要があるかどうか、またその罰金がどの程度の大きさであるべきかを判断するのに役立つ基準はいくつかあります：

• 侵害（違反）の性質 — 影響を受けた人数とその人々が被った損害。侵害（違反）の性質、重大性、期間。そしてデータ処理の目的
• 意図 — その侵害（違反）が意図的だったのか、それとも過失（不注意）によるものだったのか
• 軽減 — データ管理者またはデータ処理者が、データ主体への損害を軽減するために取った対応
• 予防措置 — コントローラーおよびプロセッサが負う責任の度合いと、不遵守（非コンプライアンス）を防ぐために組織が講じた技術的・組織的な措置
• 履歴 — コントローラーまたはプロセッサによる関連する過去の侵害（違反）
• 協力 — 侵害を是正し、その潜在的影響を軽減するために、企業が SA とどの程度進んで協力してきたか
• データの種類 — 侵害が影響を与える個人データのカテゴリ
• 通知 — 管理者または処理者が、侵害を積極的に報告したかどうか
• 認証 — その企業が認証を取得していたか、または承認された行動規範を遵守していたか
• その他 — 当該事件の状況に適用されるその他の加重または軽減要因（例：得られた経済的利益、回避された損失など）

GDPRの罰金（制裁金）の段階はどのようになっていますか？

第83条では、GDPRへの適合（コンプライアンス）を証明できない場合に組織が直面しうる罰金の2つの段階についても説明しています。段階は主に、どの要件が違反されたかに基づいて決まります。

レベル1。このレベルでは、組織は最大 1,000万ユーロ、または直前の会計年度の全世界の年間売上高の2% までの罰則に直面します。レベル1は、以下の要件の違反に適用されます：

• 管理者（Controller）と処理者（Processor）の義務 —— GDPR の中で最大級のセクションの1つは、適切なデータ処理と保護に関するデータコントローラーおよびデータプロセッサーの責任に充てられています。これには、設計段階およびデフォルト設定によるデータ保護（第25条）、処理のセキュリティに関する規則（第32条）、そして data breach を SA（第33条）およびデータ主体（第34条）に対して、適時に通知することが含まれます。さらに、コントローラーとプロセッサーの双方には、データ処理に関連するセキュリティリスクを特定し、軽減するために、データ保護影響評価（第35条）を実施することが求められています。
• データ侵害の通知（第33〜34条） — GDPR 第33条では、個人データの侵害が発生した場合、データ管理者（data controller）は、正当な理由なく遅滞することなく、かつ当該個人データ侵害を認識した時点から72時間以内に監督当局（supervisory authorities）へ通知することを求めています（ただし、その侵害が自然人の権利および自由を危険にさらす可能性が低い場合を除きます）。第34条では、個人データ侵害をデータ主体（data subject）へ通知することを扱い、組織が提供しなければならない詳細（侵害の性質、連絡窓口、見込まれる結果など）を明記しています。
• 監督機関の義務（第41条） — 第41条では、承認された行動規範（codes of conduct）の監視を対象とし、その監視は、関連する専門性を有し、かつ適切な監督当局（competent supervisory authority）によってその目的のために認定（accredited）された機関によって実施されるべきであると定めています。
• 認証機関の義務（第42条および第43条） — 第42条によれば、加盟国および監督当局は、データ管理者（data controller）やデータ処理者（processor）がGDPRへの適合を示せるようにするため、データ保護の認証メカニズムの設立を促進しなければなりません。認証は、認定された認証機関（accredited certification body）または European Data Protection Board のいずれかが発行できます。第43条では、認証機関に対する認定は、一定の事情がある場合に限り利用可能だとしています。たとえば、その機関が一定の独立性や専門性を示す場合、または侵害に関する苦情を取り扱う手順を設けている場合などです。

レベル2。このより高い段階では、データ管理者およびデータ処理者による、より重大な違反に対して罰金が科されます。たとえば、データ主体の権利の侵害や、同意の条件の違反などです。このレベルの罰金は 2,000万ユーロまたは会社の直前会計年度の世界的な年間売上高の4% です。レベル2には、次のGDPRの規定の違反が含まれます:

• データ処理の基本原則 — これには、データ処理に関する一般的な規則（第 5 条）、処理の適法性（第 6 条）、同意の条件（第 7 条および第 8 条）、およびセンシティブなデータの特別なカテゴリーの処理（第 9 条〜第 11 条）が含まれます。
• データ主体の権利（第 12 条〜第 22 条） — これらの条文は、組織が個人データを保存し処理できる方法に大きく影響する、データ主体の複数の権利を定義しています。例としては、個人データが処理されているかどうかを確認する権利（第 15 条）、不正確な個人データを訂正する権利（第 16 条）、 忘れられる権利（第 17 条）、処理の制限を受ける権利（第 18 条）、データを他の管理者に容易に送信する権利（第 20 条）、およびデータ処理活動に異議を申し立てる権利（第 21 条）などがあります。
• 個人データの移転（第 44 条〜第 50 条） — 第 5 章では、第三国または国際機関へのデータ移転を規定します。これには、データ移転の一般原則（第 44 条）、EU 法で認められていない移転または開示（第 48 条）、および個人データ保護のための国際協力に関する規則（第 50 条）が含まれます。
• 監督当局からの命令 — 最後に、組織が、データの処理を制限または停止するよう監督当局が出した命令に従わない場合（第 58 条）、第 2 段階の制裁金の対象となる可能性があります。

インフォグラフィックを表示（画像をクリックして、新しいタブで高解像度版を開きます）

情報主体に対して追加の補償はありますか？

DPD と同様に、GDPR では情報主体が、自らの権利を侵害した管理者および処理者に対して、裁判所で金銭的損害賠償を求めることを認めています。これには、組織がデータ侵害について責任を負う場合、GDPR の処理者特有の規定に違反する場合、または管理者の適法な指示の範囲を超えて行動する場合が含まれます（第 79 条および第 82 条）。

概要

罰金の賦課に加えて、監督当局は不遵守の場合にその他の是正措置権限も有しており、警告や厳重注意の発出を含みます。また、極端なケースでは、組織が個人データを処理することを禁止することさえあります（第 58 条）。そのため、組織は、明確な同意を確保し、違反（ブリーチ）を特定して報告し、GDPR のその他の規定を遵守できるよう、効果的な方針と手順が整備されていることを確認する必要があります。まずは、最も高額な罰則が科される領域に注意を向け、適切なデータ処理の基本ルールに従い、情報主体の権利を侵害しないようにするのが賢明です。

よくある質問

GDPR の罰金はどのように計算されますか？

GDPR の罰金は、打撃が大きくなり得る 2 段階の構造に従います。軽微な違反については、最大 1,000 万ユーロまたは世界の年間売上高の 2%、より重大な侵害については、最大 2,000 万ユーロまたは世界の売上高の 4% です。ですが重要なのは上限額そのものよりも、規制当局が実際のペナルティを算定する際に考慮する 10 の具体的な要素です。侵害の性質や深刻さ、故意か過失かどうか、そして最も重要なのは、それを防ぐために講じていた技術的・組織的な対策です。

計算は恣意的ではありません。当局は、調査中の協力状況、侵害について迅速に通知しているかどうか、そして影響を受けた個人への被害を軽減するための措置を講じているかどうかを評価します。堅牢な Identity および Access の統制、適切な data classification、および明確な侵害対応手順を示せる企業では、通常、罰金が大幅に引き下げられます。 Data security that starts with identity isn’t just good practice – it’s your best defense against maximum fines when things go wrong.

GDPR の罰金の上限はいくらですか？

GDPRの最高額の罰金は、2,000万ユーロまたは前の会計年度の組織の総世界年間売上高の4%のいずれか高い方です。この区分は、処理のための不十分な法的根拠、データ保護の原則の違反、適切な技術的および組織的なセキュリティ対策の不実施といった、最も重大な違反に適用されます。

1,000万ユーロまたは2%という基準は、「軽微な」違反に適用されます。たとえば、適切な記録の維持を行っていないこと、影響評価を実施していないこと、または必要な場合に Data Protection Officer を任命していないことなどです。ですが、「軽微な」という言葉に惑わされないでください。これらの罰金でも、多くの組織に深刻なダメージを与え得ます。重要なポイントは何でしょうか？ 規制当局は、積極的なセキュリティ対策を実証できる企業に対して、継続的に罰則を引き下げる傾向があります。特に、個人データへの不正なアクセスを防ぐことを本気で重視していることを示す identity-based controls は効果的です。

GDPRの罰金を回避するには？

GDPRの罰金を回避するには、まず identity を正しく整えることから始まります。ほとんどの罰則は、個人データへの不正なアクセスに起因しており、つまり最初の防衛線は least privilege access のコントロールを導入し、「誰が、いつ、なぜ、どのデータにアクセスできるのか」を明確に可視化することです。見えないものは守れず、監視していないものは制御できません。

防御戦略は3つの柱で組み立ててください。①技術的なセキュリティ対策（暗号化、アクセス制御、監視）、②組織的なプロセス（従業員教育、インシデント対応計画、定期的な監査）、③コンプライアンスを証明するためのドキュメントです。侵害が起きたとき（そして必ず起きます）、自動化された侵害検知・対応機能があるかどうかで、軽微な罰則か最大の罰金かが変わることがあります。規制当局は、適切なセキュリティ基盤に投資しており、被害を封じ込めるために迅速に対応できることを示せる組織を好意的に評価します。

最も効果的なアプローチは、Identity management をデータ保護につなげることです。ロールベースのアクセス制御、定期的なアクセスレビュー、自動プロビジョニングを導入し、各担当者が業務に必要な個人データにのみアクセスできるようにします。これは単なるコンプライアンス対応ではありません。書類の上だけでなく、実際に機能するセキュリティを構築することです。

GDPRではどのような罰金（制裁金）を科すことができますか？

GDPRでは、規制当局が2つの区分にわたって行政罰金を科すことを認めていますが、罰則の適用方法については大きな裁量が規定されています。第1区分の違反では、最大で1,000万ユーロ、または世界の年間総売上高の2%までの罰金となり得ます。典型的には、不十分な記録管理、プライバシー通知の欠落、または必要な影響評価の実施失敗などの手続上の不備が含まれます。

第2区分の違反は、最大2,000万ユーロまたは世界の売上高の4%といった大きな見出し級の罰則が科され、焦点は基本的なデータ保護の不備に当てられます。すなわち、法的根拠のない処理、コアとなるデータ保護原則への違反、または不十分な技術的・組織的セキュリティ対策の実装です。ですが、見出しが見落としているのはここからです。規制当局は、暫定的な処理禁止、監査の要求、認証の義務といった是正措置も考慮します。これらは、企業にとって同様に大きな混乱を招き得ます。

実際の執行動向を見ると、規制当局は技術的なセキュリティの不備、特にアクセス制御や侵害（ブリーチ）への対応に、ますます重点を置いていることが分かります。監査証跡が明確で、自動化された対応能力を備えた包括的な identity and access management のプログラムを示せる組織は、違反が発生しても一貫してより低いペナルティを受ける傾向があります。結論は明確です。identity から始まる適切なセキュリティ基盤に投資すれば、規制当局もそれに気づくでしょう。

GDPR に準拠しない場合の罰金はいくらですか？

GDPR に準拠しない場合、あらゆる種類のペナルティが科される可能性があります。罰金は最大 2,000 万ユーロまたは世界売上高の 4% まで、事業運営を止める処理の禁止、数か月にわたりリソースを消費することになる強制監査、高額なシステム刷新を強いる是正命令まであります。しかし、金銭的な罰則は多くの場合「始まり」にすぎず、実際のコストは、事業の混乱、評判の毀損、そして是正に伴う運用上の負担から生じます。

最近の執行データを見ると、「不遵守」は単純に二択ではありません。規制当局は、遵守に向けた善意の努力をしている組織と、義務を完全に無視している組織を区別しています。たとえ完璧でなくても、セキュリティプログラムが文書化されている企業は、通常は最大額の罰金ではなく是正措置の対象になります。適切なアクセス制御、侵害（ブリーチ）検知、インシデント対応能力などの基本的な技術的防御がない場合は、ペナルティの全構造が適用されます。

実務上の現実として、コンプライアンスは「完璧さ」を目指すことではありません。適切な技術的および組織的対策を通じて、個人データを保護するための体系的な取り組みを示すことが重要です。規制当局は一貫して、アイデンティティに基づくセキュリティ制御（identity-based security controls）を導入していること、適切な監査ログ（audit trails）を維持していること、そして問題が発生した際に迅速に対応できることを示せる組織を評価します。Data security that starts with identity は単なるコンプライアンスの見せかけではなく、防御可能な GDPR プログラムの土台です。