社説／一般データ保護規則 ビジネス価値の向上につなげよ

個人情報の取り扱いを厳格化する動きは世界的な潮流となってきた。単なる規制対応ではなく、ビジネス価値を高める好機として捉える視点が必要だ。

個人情報の扱いを強化する取り組みとしては、直近では欧州連合（ＥＵ）が５月２５日に施行した一般データ保護規則（ＧＤＰＲ）への対応が取りざたされ、出遅れた企業にとっては喫緊の課題となっている。

ＧＤＰＲとは、ＥＵの市民や訪問者の個人データを扱う企業に対して、義務付けられている規制。やっかいなのはＥＵ内に閉じたルールではなく、ＥＵ域外への個人データの持ち出しも禁止している。違反すれば最大２０００万ユーロ（約２６億円）、または年商の４％の高い方が制裁金として適用される。

ただ、データの域外移転には「十分性認定」と呼ぶ、例外規定があり、欧州委員会が「個人情報の扱いが十分な水準」と認める国や地域に対し個人データの域外持ち出しを認めている。

アジアでは、現時点で十分性認定を得た国や地域はないが、日ＥＵ経済連携協定（ＥＰＡ）の締結に併せ、日―ＥＵ間で継続協議となっていたデータの相互移転に関して１７日に最終合意に至った。

これを受け、欧州委員会は懸案だった「日本に対する十分性認定」について、今秋にも採択する運びだ。

データの相互移転の合意により、課題の一つはクリアしたが、この手の制裁では一罰百戒が付きものであり、油断は禁物。ＧＤＰＲでは個人情報に関して、データの移転のほか、取得や保管についても厳格な規定がある。適切な安全対策の実施や、データ漏えいに義務付けられている監督機関への報告などを怠ると、ＧＤＰＲ違反による制裁金の対象となり兼ねない。

特にＢツーＢ（企業間）ビジネスが主体の企業は注意が必要。ＥＵ内に拠点を持つ企業やＥＵ内で商品を提供している企業は、個人情報の観点で現地の取引先との関係などを再度チェックすべきだ。規制対応に留まらず、自社のブランド力向上につなげる姿勢が求められる。