第47回CY法務セミナー「十分性認定～GDPR対応のその後」

セミナー内容

1. EU一般データ保護規則（GDPR）における十分性の認定​
   十分性の認定で日本企業のGDPR対策は何が変わったのか？－十分性の認定の意義とその射程範囲​​
2. 日本企業のGDPR対策​
   （1）なぜ日本企業の対策は進まないのか？​
   （2）日本企業としてこれから「やるべきこと」と「できること」

スピーカーより

2018年5月25日、EU一般データ保護規則（GDPR）が施行されました。施行当時、高額な制裁金が課される可能性があるとして、マスメディアにも大きく取り上げられ話題になりました。日本企業も適用の例外ではなく、企業によっては、施行以前から準備を開始し、施行のときには対策を終えていた、というところもありました。その一方で、多くの時間を費やして対策を行っていたものの、施行日までに完了にこぎつけなかった日本企業も相当数ありました。
2019年1月23日、欧州委員会により日本は個人データ移転先の保護水準としての十分性が認定されました。この十分性の認定により、実は、かなりの数の日本企業がGDPR対策をやめてしまったのではないかと推測されます。それどころか、GDPR施行当時から、「いずれ近いうちに十分性が認定されるので、GDPR対策は必要ない」と考えていた企業もありました。そのため、現在までに、GDPR対策が完了していない企業は多くあります。
近時、日本企業の個人データの取扱いがGDPRに違反しているとEUの監督機関に申し立てられる実例が出てきています。こうした申立てを契機として、調査、警告が行われるのはもちろんのこと、取扱い制限、制裁へと進んでいく可能性も否定できません。今なお危機感をもって対策をしていく必要があるといえます。もっとも、企業によっては、EU個人データは扱っているもののその量は多いとは言えず、少ない個人データのために費用をかけて大げさな対策をしたくない、というのも正直なところでしょう。企業として、どう優先順序をつけて対策を進めるべきか、具体的で現実的なソリューションを考えていきます。

スピーカープロフィール

弁護士　井口 加奈子（いのくちかなこ）​
当事務所所属弁護士（パートナー）。1998年弁護士登録。知的財産権に関する案件の相談、戦略構築、紛争処理を多く扱うとともに、外資系法律事務所で10年以上に亘って国際案件に取り組んできた。GDPR対策については、EU内の各オフィスと連携して日本企業をサポートしてきた実績がある。近時は、カリフォルニア州のオフィスと連携して同州の消費者プライバシー法に関するアドバイスも行っている。