GDPR施行後、EU域内の委託先から個人データが漏えいした場合に日本企業はどう対応するべきか ファストブッキング社の事例を踏まえた考え方

　2018年6月15日および17日に、ホテル予約システムソリューションを提供するファストブッキング社（Fast Booking。フランス法人）が保有するサーバに対して不正アクセスがあり、個人データが大量に漏えいした ¹。
　日本でも、大手ホテルを中心に約400のホテル施設が、同社に個人データの取扱いを委託しており、本件の不正アクセスにより個人データが漏えいしたとされている ²。
　この事件は、EUの一般データ保護規則（GDPR）が2018年5月25日に施行された後に初めて発生した、日本企業を巻き込んだ大規模な個人データ漏えい事件であり、複数のメディアで大きく報道された。
　この事件を題材に、日本国内でビジネスを行っている日本企業とGDPRの関係について検討する。

日本国内でビジネスを行っている日本企業にGDPRの適用がある場合とは

　本件では、日本国内でビジネスを行っている日本企業が、フランス企業に個人データの取り扱いを委託していたところ、そのフランス企業が個人データを漏えいしている。
　このようなケースで日本企業がどのように対応すべきかを検討する前提として、そもそも日本企業にGDPRが適用されるのがどのような場合かを整理する。

GDPRの適用についてのルール

　GDPRは、3条において、GDPRの地理的な適用範囲を定めている。

　まず、第1項は、EU（EEA）域内のestablishment（拠点）の活動に関連してなされる個人データの取扱いにGDPRが適用されるとしている。EU域内に拠点を有している日本企業は、その拠点の活動に関連して個人データを取り扱う場合には、GDPRの適用を受けることになる。

　次に、第2項は、以下のとおり定めている。本件ではこれが問題となる。

　第2項は、いわゆる「域外適用」を定めた条文である。すなわち、EU域内で設立されていない管理者または処理者（すなわち日本企業）であっても、（a）か（b）のどちらかに該当する場合には、GDPRの適用を受けるのである。

（a）は、EU域内の個人（データ主体）に対して商品またはサービスをoffering（提供）している場合である。
（b）は、EU域内の個人（データ主体）の行動をmonitoring（監視）している場合である。

GDPRの適用についてのルール

　本件は、日本国内でホテルのサービスを提供しているケースであったから、（a）が問題となる（なお、（b）とcookieとの関係が大きな問題となっているが、この点については「eプライバシー規則案が与える日本企業の実務への影響」を参照されたい）。

EU域内の個人に対して商品またはサービスをofferingしているとは

　（a）で、「EU域内の個人に対して商品またはサービスをofferingしている」とは、具体的にはどのような場合であろうか。
　この点については、GDPR前文23条が詳細を定めている。

　つまり、EU域内の個人に対してサービスを提供しようとする意図が明白である場合に、「offering」をしていると評価されるのである。では、どのような場合に意図が明白であるとされるかといえば、EU加盟国で一般的に用いられている言語および通貨を用いていて物品またはサービスの注文（ordering）ができる場合や、EU域内の消費者や利用者に言及しているような場合には、意図が明白であるといわれることになる。

　たとえば、日本企業が日本国内のサーバでインターネット・ショッピングのサイトを開設している場合でも、ドイツ語で注文ができてユーロで決済できるようになっていたり、「ドイツへの発送料は◯◯円」などと記載されていたりすると、EU域内の個人に対してサービスを提供しようとする意図が明白でありGDPRの適用がある可能性が高くなる。

　これに対し、たとえば、地方にある家族経営の民宿が、日本語のウェブサイトだけを開設していて、日本語でしか予約を受け付けていないようなケースでは、GDPRの適用がある可能性は低い。

GDPRの適用は「意図が明白かどうか」で判断される

　この点に関して、しばしば、「EU域内のデータ主体の個人データを取り扱うとGDPRの適用がある」とか、「EU域内に旅行したデータ主体が自社のサービスを利用してしまうとGDPRの適用がある」などという話を聞くが、厳密には違う。「意図が明白かどうか」で判断するのである。

　実際、欧州委員会のウェブサイトでも、以下のケースにはGDPRの適用はない、と明言されている（「Who does the data protection law apply to?」）。 　

　つまり、たとえば、日本企業が日本の顧客に対してスマホのアプリを提供しているようなケースでは、顧客がEU域内に旅行した際にそのアプリを利用しても、EU域内の個人をサービスの特段のターゲットにしていない限り、GDPRの適用はないのである。

　以上から、日本でホテルを運営する日本企業が、英語のウェブサイトを開設して予約を受け付けて日本でサービスを提供しているようなケースにおいて、GDPRの適用があるかどうかは、判断が難しい問題であることがお分かりいただけるであろう。
　これは、最終的には各国の監督当局がどのように判断するかの問題であり、実務的にはEU法の弁護士に確認しなければならないポイントであるが、判断の基準はEU域内の個人に対してサービスを提供する意図が明白かどうかである。これは個別具体的に判断するほかない。

　以上を前提に、多くの日本企業が、「GDPRの適用はないと考えつつも、GDPRが求める個人データの保護のレベルは満たすように運用する」といった形で対応したうえで、今後、監督当局が域外適用の条文をどのように運用していくのかを見守っているのではないだろうか（なお、地理的適用範囲に関するガイドライン（Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)）の案 ³ が2018年11月23日に公開されていることに留意が必要である）。

GDPRが定める漏えい時の対応

　では、以上のように、GDPRの適用はないと考えつつもGDPRの求める水準の対応は行っておく、という方針をとった場合、委託先であるフランス企業からの個人データ漏えいという事態には、どのように対応することになるだろうか。

監督当局へ通知する義務があるか

　具体的には、個人データの漏えい時に、GDPR第33条に従って監督当局へ通知する義務があるかが問題となる（データ主体に対する連絡（34条）も重要な問題であるが、ここでは33条に絞って議論する）。

　この条文によれば、監督当局に72時間以内に報告しなければならないのは、「管理者」である。「処理者」は、管理者に通知する義務があるだけである。

　フランスの委託先は「処理者」に当たるから、「管理者」に当たるはずの日本企業に通知するだけであり、自身がフランスの監督当局に通知する義務は負わない。そうすると、GDPRの適用がない日本企業は33条による通知義務も負わないから、誰もフランスの監督当局に通知しない結果となる。

日本の個人情報保護委員会への報告

　もちろん、日本企業は、日本の個人情報保護法における個人情報取扱事業者である。日本の個人情報保護法は、以下のとおり、外国に居住する本人の個人情報にも適用される（個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』及び『個人データの漏えい等の事案が発生した場合等の対応について』に関するQ＆A」（2017年2月16日策定、2018年7月20日更新））。

　さらに、以下のとおり、委託先が個人データを漏えいした場合、委託先ではなく委託元が、個人情報保護委員会に報告するものとされている。

　したがって、日本企業が、フランスの委託先から、日本国内外に居住する本人の個人データを漏えいさせた場合、当該日本企業は、日本の個人情報保護法および個人情報保護委員会の告示 ⁴ に従って、日本の個人情報保護委員会へ報告する努力義務を負う⁵。

現地の監督当局に通知することも合理的な判断といえる

　問題は、そのうえでフランスの監督当局にもGDPR第33条に従って通知するかどうかである。
　これは法的にはGDPR第3条2項（a）がいう「EU域内のデータ主体に対して商品またはサービスをoffering」しているかどうか、さらにいえば「その意図が明白」といえるかどうかという域外適用の問題であり、EU法の弁護士の助言を必要とする微妙な問題である。実際、本件においても、日本企業の対応は分かれたと報道されている。

　GDPR第3条2項による域外適用がない以上はフランスの監督機関ではなく日本の個人情報保護委員会に報告すべきだというのは、法的には正しい判断であろう。他方、仮にGDPRの域外適用がないとしても、EU域内のお客様の権利を保護するという観点から、フランス当局にも通知しておくという対応もあり得るであろう。

　この点は、より実務的には、通知をしなかったことにより、1,000万ユーロまたは前会計年度の全世界年間売上高の2%までのいずれか高い方が上限となる制裁金（課徴金）が課される可能性（GDPR第83条4項）があるから、このリスクをどのように考えるかである。

　では、制裁金は、どのような場合に課せられるのだろうか。
　この点は、GDPR第83条2項に定められている。同条項によれば、制裁金の有無、および金額を決める際に以下を考慮するとされている。

　アンダーラインを引いた部分を見ると、情報漏えいを監督機関に通知し（h）、データ主体の損害を軽減するために適切な措置を講じて（c）、監督機関と協力していれば（f）、制裁金は課せられないか、課せられるとしても安くなる可能性がある。

　とすれば、域外適用に該当するか明らかではない状況であったとしても、委託先から個人データが漏えいした場合、欧州の監督機関にも（任意に）通知をしておくということも、合理的な判断であるといえよう。大規模な漏えいである場合にはなおさらである。

　万が一EU域内の委託先から情報漏えいが発生してしまった場合にどうするかは、EU法の弁護士の助言を踏まえ、慎重に対応する必要がある問題なのだ（なお、本稿執筆時点において、2018年10月1日に個人データの漏洩を認識しながら、10月30日・31日までデータ主体及び監督機関に通知をしなかったホテルグループが、GDPRの下での課徴金の対象になるのではないかと報道されている。今後の動向に注目する必要がある）。

本件を踏まえた実務的な対応

　以上のとおり、EU（EEA）域内の委託先を利用する場合、GDPR第3条2項による域外適用がない場合であっても、実務的には、情報漏えいの際にEUの監督当局に通知をしなければならない場面が出てくる可能性がある。
　その場合、GDPR第3条2項による域外適用が本当に無かったのかが改めて問われることになる。

　よって、そのときに備えて、GDPR第3条2項による域外適用がないと考えられるケースであっても、GDPRが定める各種の義務を可能な限り果たして「GDPR並み」の対応をしておくことは実務的な対応として合理的である。

　具体的には、日本企業にとって以下が重要であると思われる ⁶。

　①プライバシーポリシーの改訂は多くの日本企業で行われていると思われ、②同意の取得も行っている企業が多いであろう。これらに違反すると、2,000万ユーロまたは前会計年度の全世界年間売上高の4%までのいずれか高い方が制裁金の上限となる（GDPR第83条5項）から、GDPR第3条2項による域外適用の可能性が少しでもあるのであれば、対応しておいた方がよい。
　また、③委託契約（DPA）の改定も行っておいた方が良い。すなわち、委託先（処理者）から個人データが漏えいした場合、管理者に問われるのは、GDPR第28条に従って適切な委託先を利用していたか否かである。これに違反すると、前述した1,000万ユーロまたは売上高の2%を上限とする課徴金の対象となるからである（GDPR第83条4項）。
　GDPR第28条3項は、以下の条項を含む契約を締結することを義務づけている。

　EU域内の委託先を利用している日本企業は、委託契約（DPA）を締結する際に、日本の個人情報保護法22条の委託先の監督義務を満たす条項だけではなく、万が一GDPRの適用があるとされる場合に備えて上記の（a）から（h）までの条項も含めることを積極的に検討すべきであろう。