監督当局からの要求

最後に、GDPRに関連したデータ侵害通知が行われた後に、通知を行った企業がどのようなことを監督当局から要求されたのか、その実態を追ってみたい。

今年7月に英国のデータ保護監督当局ICOが公開した年次報告書 *5 によると、2020-2021年度でICOに報告された通知件数は9,532件とのことである。これはGDPRが施行された最初の年度である2018-2019年の13,840件より3割減っており、本報告書では新型コロナウイルスによる影響で報告が減少していると述べている。

新型コロナウイルスがどのように影響したのかその詳細については述べられていないが、業務の形態が変化したことによって報告が行われていなかったり、そもそも被害に気付けていないといったことがあるのではないかと推察される。実際この一年あまりの間に見てきたサイバー攻撃被害においても、自社の異変に在宅勤務で気付くことができず、外部からの指摘で自社の被害に気付いたという企業をいくつも見てきた。

では、通知を行なった9,532件は、その後どのような対応を監督当局から迫られているのだろうか？

意外と思われる方もおられるかもしれないが、なんと71.4%のケースでは追加のアクションを求められることも無く対応が終了している。

実際、サイバー攻撃を受けたものの被害が認められなかったケースや、深刻な影響が生じないと判断されたケースでは、監督当局への通知後に監督当局より通知を受理した旨を知らせる連絡があるものの、特段の追加報告が無いようであればこのケースは終了すると告げられる。もちろん、のちに何らかの事情により被害が確認された場合には、監督当局への通知があらためて必要であるためこの限りではない。

単に法律の話というわけではない

21.6%のケースでは、追加の調査実施を監督当局が要求している。つまり、5件に1件は通知の内容が不十分もしくは不明瞭、または何らかの理由で追加の調査が必要な状況であるということだ。GDPRは法律の話ではあるものの、技術的な状況についても逐一把握して通知していかなくてはならないため、双方への知見が対応には求められることは確かだ。

また、3.9%のケースでは、企業や組織などの通知を行なった主体が講じるべき追加措置について、監督当局からアドバイスを提供されている。

ここで意外だと思われる方もおられるかもしれない。監督当局は企業や組織に制裁を科すことが目的ではなく、被害最小化のために共に歩んでいく姿勢を示している。そのため、第一報の通知に対する返答では、アドバイスが必要であれば尋ねて欲しいといったことも告げられる。例えば英国であれば、ICOだけでなくNCSC（国家サイバーセキュリティセンター）などのサイバーセキュリティに関連した省庁でも窓口を設けて企業や組織の被害最小化を支援している。

そして、多くの方が最も関心をお持ちであること。実際、どれだけの割合で是正勧告や制裁が科されたのかということだろう。これは0.1%のケースで、是正勧告や制裁が科されている（ただし、ここまでで述べてきた以外にも少数のいくつかの対応事例があるため、ここまで出てきた数字を足しただけでは100%にならないことをお断りしておく）。

この数字を多いと思われるか、少ないと思われるかはそれぞれの環境や立場などにもよるだろう。英航空会社での個人データ侵害*3などのように、大規模な被害が生じたケースは報道で取り上げられることも多いため、さらに多くの企業が制裁を科されていると考えておられた方もおられるのではないかと思う。

サイバー攻撃の被害に遭った上に制裁まで科されてしまわぬよう、技術的対応および組織的対応の実施と、迅速かつ適切な対応が取れるよう平時からの備えが必要である。

出典

*1 https://www.willistowerswatson.com/ja-JP/Insights/2021/03/crb-nl-march-adachi

*2 https://ico.org.uk/media/action-weve-taken/decision-notices/2021/2620369/
ic-113334-v5p7.pdf

*3 https://www.willistowerswatson.com/ja-JP/Insights/2021/04/crb-nl-april-adachi

*4 https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controller
processor_final_en.pdf

*5 https://ico.org.uk/media/about-the-ico/documents/2620166/hc-354-information-
commissioners-ara-2020-21.pdf

 

本連載執筆担当：ウイリス・タワーズワトソン Cyber Security Advisor, Corporate Risk and Broking 足立 照嘉