欧州Ｍ＆Ａ最前線 2017年10月

読者の多くは、2018年５月25日に施行される欧州連合（ＥＵ）の「一般データ保護規則（ＧＤＰＲ）」についてご存じだろう。世界各国の企業は、ＥＵ市民の個人データや基本的プライバシーを保護していることを証明する義務を負う。この規則は、欧州で事業を展開する全ての日本企業に影響を及ぼす。

当社ＲＰＣと日立コンサルティングは、法務とＩＴ（情報技術）にまたがる包括的なＧＤＰＲソリューションの提供で提携し、自動データ検索からデータ処理・保管方針の見直し・更新まで幅広く手掛けている。詳細をご希望の場合は、私までご連絡をいただきたい。

ＧＤＰＲは、ＥＵ域内のデータ主体の個人データを、（１）ＥＵ域内での製品・サービスの提供または（２）ＥＵ域内での行動観察に関連して処理する場合に適用されるもので、データの管理者または処理者がＥＵ域内に主要拠点を置くかは関係ない。また、ＥＵ域内に主要拠点を置く管理者および処理者がデータの処理を行う場合には、ＥＵ域外でデータ処理が行われる場合でも、ＧＤＰＲが適用される。

個人データの定義は、特定の個人あるいは特定可能な個人に関するあらゆる情報を網羅しており、その中には位置データやオンラインＩＤ、個人の身体的、生理的、遺伝学的、精神的、経済的、文化的、社会的なアイデンティティーに特有の要因が含まれる。またＧＤＰＲでは「仮名化」の概念を導入し、データを特定のデータ主体に結びつける情報を別個に保管することや、データがデータ主体と結びつかないよう、こうした情報に技術的、組織的な措置を施すことを義務付けている。

ＧＤＰＲは、取り締まりの「ワンストップショップ」を生み出すことを目指している。国境をまたぐ問題では、当該のデータ管理者または処理者が主要拠点を置く加盟国の当局が、主導的な監督当局の役割を果たすことができる。これにより、多国籍企業の事務処理負担の軽減を狙っている。ＧＤＰＲには、監督当局間の協力の枠組みが詳細に示されている。

各国の監督当局は、ＧＤＰＲに違反したデータ管理者または処理者に罰金を科すことができる。またＧＤＰＲでは、データの管理者または処理者が本社を置く加盟国、あるいはデータ主体が居住する加盟国において、データの管理者または処理者に直接、司法的な救済措置を命じることができる（当局によって一部例外あり）。データ処理者は、現行のデータ保護制度ではおおむね法定賠償責任を免れているが、今後はリスクが大幅に増すことになる。

企業に科される罰金は、2,000万ユーロまたは年間売上高の４％のいずれか高い方を上限としている。この罰金は、データ処理の原則に従わなかったり、機密個人データに関する違反を犯すなど、主要条件に違反した場合に適用される。一方、適切な記録の維持を怠るといったより軽い違反には、1,000万ユーロまたは年間売上高の２％のいずれか高い方の罰金が科される可能性がある。
データ主体から有効な同意を得る上での条件も厳格化されている。オンラインサービス（米国のソーシャルメディア大手フェイスブックなど）におけるデータ処理への同意年齢は16歳とされ、これ以下の年齢では親の同意が必要とされている。加盟各国はこれを任意に引き下げることができるが、13歳より低く下げることはできない。ＧＤＰＲはまた、データ収集に際してのデータ主体への説明内容もより詳細に規定している。

データの管理者および処理者は、ＧＤＰＲへのコンプライアンス（法令順守）を証明するために、自らの責任でデータ処理活動の記録を明白に維持する必要がある。こうした記録は監督当局の求めがあれば提出しなければならない。中小企業は、処理するデータの性質によってはこの義務を免除される場合もある。その場合も、データの管理者および処理者は、適切な水準のセキュリティーを確保するために、妥当な技術的、組織的措置を取ることを求められる。仮名化と暗号化はいずれも、全体的なセキュリティーの一環として考慮すべき手法として明確に言及されている。
個人データを欧州経済領域（ＥＥＡ）外に移転する場合の制度は、ほぼ変わっていない。

今月は興味深い取引が２件あった。

• ＳＯＭＰＯホールディングス傘下の損害保険ジャパン日本興亜は、英子会社ＳＯＭＰＯキャノピアスを米投資会社センターブリッジ・パートナーズに９億5,240万ドルで売却すると発表した。損保ジャパンが約１年前に米同業エンデュランス・スペシャルティーの買収計画を発表して以来、市場では同社がキャノピアスを手放す可能性が論じられていた。
• ファーストリテイリングと三菱商事は、ロシアでユニクロ事業を展開するファーストリテイリングの子会社を合弁会社化することで合意した。ロシア市場での三菱商事の長年にわたる経験と知識を活かし、同国のユニクロ店舗数を現在の20店から拡大するのが主な目的だ。

週末に剣道の英国代表チームとハードな練習を行った後、オフィスに戻り、様々なＭ＆Ａや投資案件、ＧＤＰＲコンプライアンス業務をめぐるミーティングをこなしている。そうこうするうちに気がつけばクリスマスだろうから、本業に精を出さなければ。