厳格な個人情報の保護を求める、欧州の「一般データ保護規則（GDPR）」が5月25日に施行されたが、予想されていた通り、あちこちで影響が出始めている。欧州ではナチスによる独裁体制、人権蹂躙の暗い歴史への反省から、欧州市民の個人情報を保護する厳格な規則を求めて来たが、GDPRはIT時代の現状に合わせて新たに厳しい規制を設けるものである。新規則に違反した場合には巨額な罰金が課せられることになっており、欧州で事業を行う世界の企業が神経をとがらせている。

GDPRでは欧州で活動する企業に対して、「利用者の個人データの収集に同意を求める」「取得した個人データを域外に移転する際に同意を求める」「利用者が個人データを削除することを希望した際には削除する仕組み」「データ保護責任者の設置」を求めている。今のところ、混乱は「ユーザーの同意」を得るための方策に集中している。

特に個人データを収集、利用して事業を拡大してきたＩＴサービスでは、これまであいまいなままクッキーを利用してユーザーの利用履歴を把握し、情報を解析して、様々なサービスを編み出してきていた。新規則ではあいまいなままでクッキーを利用できない。明確な同意が必要である。クッキーを利用している多くのサービスでは、施行前後から個人に対してその同意を求めるための膨大なメールを発信、ユーザーのところには同意を求めるメールが殺到し混乱した。またメールを受けて同意の手続きをするため、大勢のユーザーがアクセスしたため、サイトへのリンクが停止に追い込まれる事態にもなった。

だが、そうした要求をクリアして個人データの収集、域外への移転ができるようになっても、保管する個人データの保護に失敗したら、経営に大打撃を与える罰金が待っている。企業は集めた個人データを厳格に保護する「絶対的な」対策を講じなければならない。

どのくらいの罰金が予想されるのか。新規則の違反に対しては、最大で2000万ユーロ（約25億6000万円）または世界全体の年間売上高の４%のうち、いずれか大きい金額が罰金になる、とされている。グローバルに事業を展開していれば、欧州の売り上げ以外の売り上げに対しても罰金がかかることになる。欧州連合が要求する厳格なGDPRを守るために米大手企業では多額の経費を投じて対策を講じているが、まだ欧州で十分に事業を拡げていない米ITベンチャーでは、世界全体の売上高にかかる罰金の打撃が大きいとみて欧州市場でのサービス継続を断念し、撤退を余儀なくされたという。

日経新聞の報道によると、たとえば、「自動車運転中の映像を撮影した人に報酬を払い、道路や標識のデータを収集するドライブレコーダーアプリのペイバーはEUでのサービスを打ち切った」そうだ。サービス提供会社はサービスの停止を告げるツイートで「欧州のペイバー利用者の皆さん、ごめんなさい。（法律を作る）皆さんの議員と相談してください」とメッセージを送り、新規則についての「恨み節」を添えている。

ただ、日本のグローバル企業も「対岸の火事」ではない。日本政府が保護法改定によって進めている日本の個人情報保護規則の強化が欧州連合に認められれば、GDPRの適用が日本企業には多少、緩和される可能性もないではないが、基本的には各企業が欧州で取得した個人データの取り扱いを厳格にする体制を築かなくてはならない。

日経新聞の報道によると日本企業の8割がGDPRについて、まだ、十分な対応ができていない、という。日本企業もGDPRの詳細な研究と対応策の検討が緊急に必要だろう。

しかし、欧州での個人データの収集や域外への移転が承認されても、問題は終わらない。いや、むしろ問題が始まるといっても良い。集めた個人データを安全に保管する対策が最も重要である。秘密分散処理などのように、高度な安全対策がいよいよ求められるのではないか。