社説／ＥＵデータ保護規則案−日本企業はリスクを認識すべきだ

欧州連合（ＥＵ）の欧州委員会や欧州議会が合意した「ＥＵデータ保護規則」が、４月中にも採択される。現行の「ＥＣ指令」を規則に改め、保護機能を強化する。施行は２０１８年の予定。域外にも影響が及び、第三国の企業がＥＵ市民の個人データの扱い方法に違反すると多額の課徴金を科される。日本企業はこのリスクを認識し、対応策を練ることが賢明だ。

注目すべきは「越境データ」の扱いである。現行のＥＵ指令では、域外国への個人データの移転方法を３通りに規定している。すなわち（１）欧州委が十分な水準と認める国に与える「十分性認定」（２）米国向けの例外措置「セーフハーバー」（３）多国籍企業や企業グループ内部でのデータ移転を対象とする「拘束的企業準則」や「標準契約条項」などの例外規定―である。

わが国は現在、（３）の例外規定を適用されている。日本政府は個人情報保護法改正を機に「十分性認定」を求めたが、認められなかった。個人情報の電算運用と、その安全性保護の実績が官民ともに乏しいことが問題視されたという観測がある。ＥＵが新規則になる１８年以降も同じ例外規定の見込みだ。

この規定では、日本企業が本社で欧州の顧客や従業員データを扱えば越境とみなす。個別に合意を取り付けるか、監督機関の承認を得なければならない。対応するには１年程度の準備時間と１カ国当たり１００万円ともいわれる弁護士などの費用がかかる。これが障害となり、顧客管理や現地従業員の労務管理を欧州拠点に任せきりにしているケースもあるようだ。

新規則へ移行すると手続きの一部は簡素化されるが、大筋は同じ。しかも規制強化により、違反した場合の課徴金は最大で２０００万ユーロ（約３０億円）、企業グループの場合には年間連結売上高の４％に及ぶ。

日本企業は、これがグローバル事業展開のリスクになることを認識すべきだ。また政府は法改正で発足した「個人情報保護委員会」をきちんと機能させ、ＥＵから「十分性認定」を獲得すべく努力してほしい。