データ侵害の通知は必要なのか？

第一歩となることとは

「はたして通知の必要があるのだろうか？」

冒頭で提起した疑問に戻ろう。

GDPRの第33条に基づき、データ管理者は過度の遅延なしに72時間以内に監督当局への通知を行う必要がある。ここには、個人の権利と自由に対するリスクをもたらす可能性が低い場合も含まれている。

対照的に、GDPRの第34条（データ主体に対する個人データ侵害の連絡）においては、次のように記載されている。

1. 個人データ侵害が自然人の権利及び自由に対する高いリスクを発生させる可能性がある場合、管理者は、そのデータ主体に対し、不当な遅滞なく、その個人データ侵害を連絡しなければならない。

監督当局への通知について述べる第33条と、データ主体への通知について述べる第34条との大きな違い。それは「自然人の権利および自由に対する高いリスクを発生させる可能性がある場合」かどうかということである。すなわち、監督当局に通知する基準は、影響を受ける個人に通知する基準よりも低いということになる。そしてガイダンスでは、データ管理者（およびデータ処理者）に管轄の監督当局へできるだけ早く通知するように促している。

ここで留意していただきたい点は、「72時間以内に完全に評価された通知は期待していない」ということである。データ管理者には段階的な情報の提供と、最終的にはデータ侵害に対応するための包括的な計画と手順を求めている。

まずは通知することが第一歩というわけだ。

このように、データ侵害が発生した際の通知を求めているのは何もGDPRだけではない。

例えば、EECC（European Electronic Communications Code：電子通信ネットワークとサービスを規制するEU指令）^*7においても、セキュリティーインシデントの通知を要求している。さらに、EECCではGDPRのワンストップショップの原則による恩恵は受けられないため、それぞれの監督当局に通知を行わなければならない。自社の業務などによっては適用される法規制がさらに加わる可能性があるため、事前にそれらを洗い出し、インシデント発生時の対応もあらかじめ整理しておかなかればならない。

また、米FDIC（Federal Deposit Insurance Corporation：連邦預金保険公社）では、対象となる金融機関に対して36時間以内での通知を要求する規則^*8を提案している。

いずれにしても、GDPRで規定されている72時間という期限は、最低ラインであると考えておいた方がいいだろう。これからの季節、日本では異動や、新たな取引の開始などもある。これを機に、今一度プライバシーやデータ保護について見直す機会とされたい。

出典
*1 https://www.dlapiper.com/en/uk/insights/publications/2021/01/dla-piper-gdpr-fines-and-data-breach-survey-2021/
*2 https://www.ppc.go.jp/files/pdf/gdpr-provisions-ja.pdf
*3 https://jp.reuters.com/article/idJP00093300_20190204_00320190204
*4 https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/10/ico-fines-british-airways-20m-for-data-breach-affecting-more-than-400-000-customers/
*5 https://edpb.europa.eu/our-work-tools/public-consultations-art-704/2021/guidelines-012021-examples-regarding-data-breach_en
*6 https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_18.pdf
*7 https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32018L1972&from=EN
*8 https://www.fdic.gov/news/board/2020/2020-12-15-notice-sum-c-fr.pdf