グローバル

各国のデータ規制の違い。GDPR・米国・中国・日本を比較

データに関する規制は、国によって前提が異なります。国際展開する企業にとって、この違いは実務上の障壁になります。この記事では、主要地域の考え方を比較します。

なぜ国ごとに違うのか

データに関する規制は、国によって考え方が異なります。背景には、価値観の違いがあります。

欧州は、個人の権利として捉えます。自分に関する情報を管理する権利が個人にあるという立場です。

米国は、分野ごとに規制します。包括的な法律ではなく、医療、金融、児童など領域別に定める形が中心です。州レベルの規制も進んでいます。

中国は、国家の管理を重視します。重要なデータの国外移転に制約があり、国内での保管が求められる場合があります。

この違いが、事業を国際展開する際の障壁になります。1つの設計ですべてに対応することが困難です。

GDPRが基準になっている理由

欧州のGDPRは、事実上の国際標準として機能しています。

域外適用があるためです。EU域内の個人のデータを扱えば、どこの企業でも対象になります。

制裁金の水準が高いことも要因です。売上高に対する割合で算定される仕組みがあり、規模の大きい企業ほど影響が大きくなります。

結果として、多くの多国籍企業がGDPRを基準に設計しました。地域ごとに分けるより、最も厳しい基準に合わせるほうが効率的なためです。

この構造が、他国の法整備にも影響しました。類似の枠組みを採用する国が増えています。

国外移転という論点

実務で最も問題になるのが、データを国境を越えて移すことです。

多くの国が、国外への移転に条件を課しています。移転先の国が十分な保護水準を持つか、契約で担保するか、本人の同意を得るか。

クラウドの利用が、この論点に直結します。どこのサーバーで処理されるかを把握していないと、意図せず移転している場合があります。

確認すべきは、データの保管場所と処理場所です。保管は国内でも、処理が国外で行われる構成もあります。

AIサービスでも同じ問題が生じます。入力した情報がどこへ送られ、どう扱われるか。契約条件の確認が必要になります。

日本の制度

国内の枠組みも整理しておきます。

個人情報保護法が基本となる法律です。取得、利用、第三者提供、国外移転について定めがあります。

漏えい時の報告義務があります。一定の要件に該当する場合、個人情報保護委員会への報告と本人への通知が求められます。速報と確報で期限が定められています。

国外移転にも規制があります。移転先の国の制度について、本人への情報提供が求められる場合があります。

制度は改正されます。数年ごとに見直しがあり、要件が変わります。一度確認して終わりにできない領域です。

実務でやるべきこと

国際展開する場合に整えるべき項目を挙げます。

• データの所在を把握する／どの情報が、どこに、どの経路で保管されているか
• 対象となる規制を特定する／事業を行う国、利用者の所在地
• 移転の根拠を用意する／契約、同意、認定。国ごとに手段が異なる
• 保管期間を定める／不要になった情報を消す仕組み
• 事故時の手順を決める／各国で報告義務と期限が異なる

1つ目ができていない組織が大半です。把握していない場所にデータが存在し、事故が起きてから発覚する例があります。

規制をどう扱うか

最後に、姿勢について整理します。

最も厳しい基準に合わせるのが、多くの場合効率的です。国ごとに分けた設計は、運用が複雑になり、誤りも生じやすくなります。

ただし、過剰な対応も費用になります。自社が対象となる範囲を正確に把握することが出発点です。

そして、規制は変わります。定期的に確認する担当と周期を決めておかないと、気づかないまま非適合の状態になります。

技術的な対応より、運用の設計と体制のほうが重要な領域だと考えます。

クラウド利用時の確認事項

実務で最も頻繁に問題になるのが、クラウドサービスの利用です。

確認すべき項目は明確です。データの保管場所、処理が行われる場所、事業者による再委託の有無、政府機関からの開示要請への対応方針。

多くの事業者が、地域を選べる仕組みを提供しています。国内の拠点を選べば、保管は国内で行われます。

ただし、保管と処理は別です。保管は国内でも、一部の処理が国外で行われる構成もあります。

AIサービスでも同じ確認が必要です。入力した情報がどこへ送られるか、学習に使われるか。契約条件で確認します。

これらは技術ではなく契約の問題です。調達の段階で確認する項目になります。

越境移転の実務

国境を越えてデータを移す場合の手続きを整理します。

根拠が必要です。移転先の国が十分な保護水準を持つと認定されているか、契約で担保するか、本人の同意を得るか。

契約による担保が最も一般的です。定められた条項を契約に含める方式があります。

グループ会社間の移転についても、規制の対象になります。海外の親会社や子会社へ従業員情報を送る場合など、見落とされやすい場面です。

記録の保持も求められる場合があります。何を、いつ、どこへ移転したか。

まず自社が越境移転を行っているかを把握することが出発点です。認識していないまま該当している例が少なくありません。