第3回 海外個人情報保護規制への対応2022　GDPR、中国個人情報保護法、CPRA等の法改正動向と実務のトレンド

はじめに

　グローバルビジネスを展開する企業にとって、海外の個人情報保護規制対応は頭の痛い問題です。
　最新動向を把握し、現地当局による執行リスクやデータ主体からの訴訟リスクを評価して、リスクの高い法域の対応から優先的に進めるというリスク・ベースド・アプローチにより、自社にとって特に重要な法域の対応をしっかりと行うことが大事です。

　しかし、すべての法域の個別法令ごとに一つひとつ対応していこうとすると、あまりのTO DOの多さに途方に暮れてしまうということがあります。そこで本稿では、細かな各国制度 ¹ の解説をするのではなく、直近の注意すべき動向と、それに対する効率的な実務対応について解説したいと思います。

欧米およびアジア・BRICsにおける近時および2022年の主な法改正や制度変更

欧州

　欧州では、GDPRの移転規制対応について、2021年6月に新SCC（標準契約条項）² が公表されました。これにより、現時点でも既に、データ移転契約を新規に締結する場合には新SCCを使う必要があります。
　旧SCCに基づいて過去に締結済みの契約は、2022年12月27日まで有効です。そのため、現時点ではまだ旧SCCを維持している企業もあるかと思いますが、この期限に向けた見直しが必須となることに注意が必要です。

　また、GDPRの移転規制対応にあたっては、単に新SCCを締結するだけでは足りず、Schrems Ⅱ判決を踏まえた、いわゆるデータ移転影響評価（Transfer Impact Assessment）も必要となりますので注意すべきです ³。なお、GDPRおよび他の法域のデータ移転規制への実務対応については、3で後述します。

　その他、欧州では、GDPRの特則であるeプライバシー指令に基づく各国法により、いわゆる厳格必須クッキーを除くクッキー等の利用にあたって、原則として同意が必須となっています。また、近時はクッキー等の規制に関する当局による執行が増えており、これは2022年も続くと考えられます。そのため、クッキーポリシーの整備とクッキー同意ツールの実装によって、クッキー等の種類ごとに個別のオプトイン同意を取得するという実務対応が、重要なTO DOの1つといえます。

米国

　米国では、現時点においては連邦の包括的な個人情報保護規制はなく、特に注意が必要な州の包括的な個人情報保護規制として、CCPA（カリフォルニア州消費者プライバシー法）があります。
　2020年11月3日には、CCPAについて規制を強化する（一部は緩和する）改正がなされ、CPRA（カリフォルニア州プライバシー権法）が成立しています。CPRAは2023年1月1日に施行される予定で、同年7月1日には、専任の当局であるカリフォルニア州プライバシー保護局（California Privacy Protection Agency）および州の司法長官による執行開始が予定されています。

　CPRAは、CCPAとは異なり、従業員情報やBtoBの顧客情報について適用が猶予されないため、CCPAよりも多くの日本企業において対応が必須となる見通しです。また、CPRAは2022年1月1日以降に収集される個人情報に適用されることになるので注意が必要です。
　CPRA・CCPAとGDPRの比較については、下表のとおりです。

CCPA・CPRA上の義務概要　GDPRとの比較の視点から

　カリフォルニア州に引き続き、各州において包括的な個人情報保護に関する州法が整備される動きも広がっています（たとえば、ヴァージニア州のConsumer Data Protection Actは2023年1月1日に、コロラド州のColorado Privacy Actは2023年7月1日に施行されます）。
　また、現時点では成立の具体的な目処は経っていないものの、連邦レベルでの包括的な個人情報保護規制についても法案は存在しており、成立の機運は高まっていますので、その動向にも注意が必要です。

中国

　中国では、元々存在していたサイバーセキュリティ法に加えて、新たに、2021年に個人情報保護法およびデータセキュリティ法が成立して施行されており、既に一定の対応を講じている企業も多いかと思います。既に、下位規範の案も一部公表されていますが、2022年にはさらに下位規範も公表・施行されることが想定され、それに応じた対応が必要となることが見込まれます。

　なお、中国個人情報保護法と日本法・GDPRについて簡単に比較したものが下表のとおりであり、中国個人情報保護法はGDPRにかなり近い厳格な規制となっていることがわかります。

中国個人情報保護法と日本法・GDPRの比較

その他アジア・BRICsにおける動き等

　タイでは、2019年にGDPR類似の個人情報保護規制が成立しています。これまで施行延期が繰り返されてきましたが、2022年6月1日に全面的施行予定となっています。
　ほかには、インド・インドネシア・ベトナム等でも、包括的な個人情報保護規制の案が既に公表されています。これらについては、2022年中に成立・施行等されるかは未定ですが、動向の注視が必要です。

具体的な実務対応のトレンド

　グローバルデータ保護規制対応のTO DOとしては、概ね下表のようなものがあげられます。すべての法域のすべての法令について完全な遵守をすることは難しいのが現実といえますので、実務上は、1で前述したリスク・ベースド・アプローチにおける考慮要素等を考慮して、個別対応する法域とTO DOの優先順位付けをすることが考えられます。

　企業において近時増えている対応としては、リスク・ベースド・アプローチによると優先度が低いと考えられるために、法域ごとの個別対応をひとまずはしないこととした法域においても、まったくノーマークとするというわけではなく、グローバルスタンダードでの対応は行っておくことで、基本的には重大な問題はないような状態を作るというような対応です。
　具体的には、たとえば主要なものとして、グループのグローバルプライバシーポリシーの整備・グローバル社内規程の整備・グループ間のグローバルデータ移転契約等の整備があげられます。

グローバルプライバシーポリシーの整備

　グループのグローバルプライバシーポリシーについては、個別法域ごとにプライバシーポリシーを整備していくと数が膨大となり管理が難しくなります。そのため、多くの法域で必要とされるような要素を盛り込んだグローバルスタンダードとしてのポリシーをまず作成し、それで対応しきれない各法域特有の要素について、各法域ごとの別紙をつけることで対応する方法が考えられます。この方式は、事業展開や法整備の状況を踏まえて別紙を追加・修正していくことが可能ですので、維持していくことも比較的容易だといえます。

　従前は、日本用・GDPR用・CCPA用といった形で、プライバシーポリシーを個別に整備していく方式が多かったといえます。しかし最近では、今後対応すべき法域が増えることを想定し、グローバルポリシーとして共通のものを本体に定めたうえで、GDPR用の特則・CCPA用の特則を別紙で定め、優先度が高い他の法域についても同様に別紙を作成するという方式が採用されることが増えています。

　共通化する項目の例としては以下のようなものがあげられます。

　特則の例としては以下のようなものがあげられます。

　なお、1つの共通ポリシーに複数の別紙をつける方法ではなく、ポリシーの共通ひな形を作ったうえで、修正履歴付きで各国法対応のものを作成する方法もあります。この方法も、各国ごとにまったくバラバラに用意するよりはグループ全体で平仄をとりやすくなります。
　また、実務上は、顧客向けのものと従業員向けのものは分けて作成する例が多いといえ、さらに別で、採用関連や株主向けを、顧客向けと分けて用意する例もあります。

グローバル社内規程の整備

　プライバシーポリシーは、データ主体（＝外部）向けのものですが、データ保護に関する社内規程についても整備が必要です。
　こちらについても、プライバシーポリシーと同様、多くの個人情報保護規制で要求されるルールに応じたグローバル共通ルールを作ったうえで、特則として各国法対応の別紙を作成する方法や、特則として手当てが必要な部分について共通ルールに修正を加える形で、修正履歴付きで各国ごとの社内規程を管理しておく方法が考えられます。これにより、グループ全体を通じた社内規程の管理が容易になります。

グループ間グローバルデータ移転契約の整備

　グループ間でグローバルに人事データや顧客データを移転するニーズが高まっていますが、その場合も各国の移転規制に対応することが必要となります。法域により規制はさまざまですが、多くの法域では、データ輸出者とデータ輸入者の間で、データ輸出者の国と同等レベルの保護を行うことを契約上約定し、それを遵守することにより個人データの移転が可能となります。

　そこで、個人データの移転を相互に行うグループ間で、グループ間グローバルデータ移転契約を締結することが考えられます。移転のための契約については、たとえば、GDPRのSCCのようにフォーマットが指定されている法域もあります（タイ・ブラジル・中国等もこれに当たりますが、いずれの法域も現時点ではフォーマットは公表されていません）。しかし、日本を含めて、フォーマット自体の指定は特段ない国も多いといえます。

　そこで考えられる方式としては、OECD8原則や日本の個人情報保護法等を参考にしたグローバルスタンダードをデータ輸入者が遵守するという基本契約を結び、特則として、フォーマットが指定されている法域のフォーマット（例：GDPR上のSCC）を、基本契約に優先するものとして別添するというものがあります。これにより、日本の外国にある第三者への移転規制の基準適合体制も整備できるうえ、各国の移転規制にも対応できることになります。

　また、運用を容易にする工夫として、一般的に、後にグループに加入した企業にも効力を及ぼすことができるようにするための手当てを行ったり、変更の度に各グループ企業の間で逐一契約を結び直さずに、本社の方で事後的な修正ができるような委任を受けておくことが考えられます。
　なお、このような移転契約によってすべての法域の移転規制に対応できるわけではなく、下表のように追加の対応が必要となる国があります。

データ移転にあたり契約以外の対応が必要となる国の例

　グローバルビジネスを展開する企業がグローバルデータ保護規制対応に取り組むうえでは、上記のような手法を用いてできるだけ効率的な対応ができるような工夫をしておくことが有益と考えられます。本稿が、実務対応を検討するうえで役立てれば幸いです。