企業において、個人情報保護のグローバル対応とは、結局何をどこまで準備すればいいのか？専門家が皆答えに窮し逃げていたこの問いに答えようと、一冊で日米欧のデータ保護規制を俯瞰できるようにした、とても便利な書籍が出ました。
日本での個人情報保護法施行のドタバタ劇が一段落したのも束の間、2018年5月25日のEU一般データ保護規則（General Data Protection Regulation：GDPR）適用開始日が近づいてきました。EUから個人データをEU域外に持ち出す場合、個人データ保護のための厳しい義務をEU域外企業が個別に守らなければならない。それを定めているのがGDPRです。ネット上で無料で入手できかつ信頼できる情報源としては、JETRO作成の『実務ハンドブック』がありますので、リンクを張っておきます。
▼「EU一般データ保護規則（GDPR）」に関わる実務ハンドブック（入門編）（2016年11月）
https://www.jetro.go.jp/world/reports/2016/01/dcfcebc8265a8943.html
▼「EU一般データ保護規則（GDPR）」に関わる実務ハンドブック（実践編）（2017年8月）
https://www.jetro.go.jp/world/reports/2017/01/76b450c94650862a.html
このGDPRについては、先行き不透明な話があります。EUが、個人データ保護レベルについての「十分性認定」を日本に対してしてくれるかどうか、という問題です。この「十分性認定」があれば、EU／日本間の個人データの流通が認められ、企業単位の対応は軽減されます。この行く末が気になるわけですが、今年7月に「認定が得られそう」と報じられて以降、音沙汰がありません。
万が一、2018年5月までに十分性認定が得られないとなった場合、企業が自己の責任と負担でGDPRを順守できる状態（具体的には、「標準契約条項（Standard Contractual Clauses：SCC）」、あるいは「拘束的企業準則（Binding Corporate Rules: BCR）」のどちらかに従った状態）にしなければ、当該企業にペナルティが課されるリスクが発生します。
そんなわけで、対策に予算がつく大手企業は別として、多くの企業の法務担当者や情報セキュリティ担当者としては、「企業として、とりあえずGDPR対策に何をどこまで最低限準備しておいたらいいのか」と不安を抱えている状態なのでは。本書は、その不安に応えるべくGDPRを解説するとともに、なんとUSの個人情報保護法制の解説も（州ごとに異なるため可能な範囲でという限定付きではありますが）加え、日本企業が個人データ保護をグローバルレベルの基準で満たすため何が必要か、まとめてくれています。
本書全体の構成は、
第�吃堯‘�米欧の法制度
第�局堯‘�米欧の実務上の留意点
第�敬堯．院璽好好織妊�
の3部。
特に第3部のケーススタディは、
・クラウドサービスを利用して個人データを保管・管理する場合の規制
・モバイルアプリを通じて個人データを取得する場合の規制
・ウェブサイトで行動ターゲティング広告を行う際の規制
・グローバルなグループ会社の従業員情報を一元的に管理する場合の規制
のように、早速直面するであろうケースではあるがはっきりと答えが用意されていない実務的なポイントについて、日本・EU・米国の規制それぞれを分析・解説しており、大きな見どころかと思います。
なお念のため、米国法については連邦法の概説にとどまり、州法については一部言及があるのみにとどまります。それでも、COPPA、GLBA、FCRA/FACTA、HIPAA/HITECH、GINA､Privacy Act of 1974、VPPA、FERPA、DPPA、FTCAといった連邦法がまとめて日本語で解説されている文献は類を見ず、これだけでも非常に価値の高い文献と言えます。
本書の「はじめに」で、著者代表の長嶋・大野・常松法律事務所 森 大樹弁護士が、
実務家による類書がないことを熟知していたので、その責任の重さに躊躇する気持ちがなかったといえば嘘になるかもしれない。
と素直な心情を吐露されています。誰もが逃げていたその作業を率先してチャレンジしてくださり、このような書籍のかたちにしてくださったことに、深く感謝します。
