Legal Wire
ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響Japan PracticeVol. 66 / November 2019

ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響-オンライン上で全国的に採用を行う多くの雇用主にも実質的に新たな義務を課すことにキャシー・レンチナー、ジュリア・E・ジュディッシュ、アンドレア・R・ミラノ•

ニューヨーク州居住者に関する個人情報を受領、収集又はその他の方法で保有する雇用主は、その所在地や規模に関係なく、ニューヨーク州の新データ侵害防止法を順守する必要があります。

•

ニューヨーク州に居住する従業員を雇用していない雇用主でも、オンライン上の採用プロセスを通じて収集した情報に基づき同法が適用される可能性があります。

•

当該情報を保有する雇用主は、同法の規定に準拠したサイバーセキュリティデータに関するセーフガードを採用しなければならず、また、データ侵害の際に通知が求められます。

ニューヨーク州は、新たなサイバーセキュリティ・データ侵害防止法を可決し、2019 年 10 月 23 日に施行が開始しました。この「ハッキング禁止及び電子データセキュリティ改善に関する法律」（Stop Hacks and Improve Electronic Data Security Act、以下 「SHIELD 法」という）は、その定義上、企業構造、収入、所在地に関係なく、「個人情報を含む電子化されたデータを所有・・・する個人又は企業」に適用されます。同法はニューヨーク州外の多くの企業に新たなサイバーセキュリティ・データプライバシー順守義務を課すものであり、当該企業が所在する法域で課されるものよりも厳格な場合もあり得ます。また、同法はニューヨーク州の現行データ侵害通知・個人データ保護法の範囲を次の２点で拡大します。（１）対象企業は「個人情報」保護のための包括的なデータ保護プログラムを採用することが求められます。（２）対象企業はこれまでより厳しいデータ侵害通知義務を順守しなければなりません。SHIELD 法は、ニューヨーク州の雇用主だけでなく、ニューヨーク州に所在しない多くの雇用主にも適用されます。更に、データ保護システムが合理的かどうかを判断する際は雇用主の規模が考慮されますが、小規模でも同法の適用は除外されません。
サイバーセキュリティプログラムとデータ侵害通知義務SHIELD 法は、「ニューヨーク州居住者の個人情報を含む電子化されたデータを所有又はライセンスする個人又は企業」に「個人情報のセキュリティ、機密性及び整合性を保護するための合理的なセーフガードを策定、実行及び維持する」ことを要求しています。同法は、対象企業が採用しなけ

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 66 | 1

Legal Wire
ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響ればならない管理上、技術上及び物理的セーフガードに関して詳細な義務を課していますが、「中小企業」が満たすべきデータセキュリティに関する義務については柔軟性を認めています。「中小企業」とは、（i）従業員数が 50 人未満、(ii)直近３会計年度における各年の年間総収入が 300 万ドル未満、又は(iii)年度末の総資産が 500 万ドル未満の企業と定義されています。これより規模の大きい企業の場合、当該プログラムには最低限以下のものが含まれていなければなりません。
•サイバーセキュリティの順守をコーディネートする従業員の指定及びトレーニング•

外部のサービスプロバイダーを使用する場合には、セーフガードを有し、適切なサイバーセキュリティを実行・維持できる者とし、これを契約で義務化•

ネットワーク及びソフトウェアの設計と、情報処理、送信及び保管の両方を含む自社のサイバーセキュリティプログラムのリスク評価•

サイバーアタック又はシステム障害を検出、防止、対応するためのプロセスと物理的セー
フガード•

サイバーセキュリティプログラムの実効性のモニタリング及び検証•

ビジネス上の必要性がなくなった後、合理的な期間内にデータを安全、確実、永久に廃棄するプロセス、及び•プログラムの変更を必要とするビジネス又は状況の変化に対処するための定期的なプログラムの更新

ニューヨーク州の雇用主又はニューヨーク州居住者の「個人情報」（後述）を保有する雇用主は、自社のサイバーセキュリティプログラムがこれらの新たな義務を順守していることを確実にするための措置を講じることが期待されています。
また、同法は、対象企業だけでなく、個人又は企業が個人情報を所有又はライセンスしていない場合でも、「個人情報を含む電子化されたデータを保持」していれば、当該個人又は企業にもデータ侵害通知義務を課します。
SHIELD 法は、侵害を受けた会社がニューヨーク州で事業を行っているかどうかに関係なく、ニューヨーク州法の侵害通知義務の適用範囲を、ニューヨーク州居住者の個人情報を所有する個人又は企業にまで拡大します。本規定によりニューヨーク州の報告義務の対象となる企業の範囲が大幅に拡大される可能性があります。また、本法は侵害の定義を拡大し、当該情報を「取得」しているかどうかに関係なく、個人情報への不正「アクセス」があればデータ侵害とされます。
同法で要求されるデータ保護プログラムの確立は 2020 年 3 月 21 日までに行うことが求められますが、データ侵害通知義務は 2019 年 10 月 23 日の発効日から有効となりました。同法はデータ侵害の被害者に私的出訴権を付与するものではありませんが、ニューヨーク州司法長官は執行のために違反者を提訴する権限が与えられており、違反は民事罰につながる可能性があります。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 66 | 2

Legal Wire
ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響保護される「個人情報」の定義の拡大
SHIELD 法は、「個人情報」に関するニューヨーク州の現行定義を拡大します。なお、「個人情報」は以前は次のように定義されていました。
•「個人に関する情報」（すなわち、人に関する情報で「名前、番号、個人マーク又はその他の識別名により、自然人の特定に使用できる」情報）かつ、•特定のデータ要素（「データ要素又は個人に関する情報とデータ要素の組み合わせが、暗号化されていない場合、又は、暗号化キーで暗号化されてはいるが、当該暗号化キーがアクセス又は取得されている場合」）

SHIELD 法施行以前に「データ要素」として認識されていたのは、個人の社会保障番号又は運転免許証番号/非運転者識別カード番号の２つです。SHIELD 法はこの定義を拡大し、追加で以下のデータ要素が含まれることになりました。
•指紋、声紋、網膜画像、虹彩画像を含む生体情報•

銀行口座、クレジットカード番号、デビットカード番号（当該番号により口座にアクセスできる場合は、パスワード又はセキュリティコードが含まれているかどうかは関係ありません）

更に、「個人情報」には「オンライン口座へのアクセスを可能にするパスワード又は秘密の質問とその答えと紐づけられたユーザー名又は電子メールアドレス」も含まれるようになりました。
州外雇用主が実務上考慮すべき事項
米国の雇用主は従業員の確定申告に必要な内国歳入庁（IRS）の様式 W-2（収入証明）のために、上述のような「個人情報」が必要なため、ニューヨーク州居住者を雇用する雇用主は、必然的にSHIELD 法の適用対象となります。
ニューヨーク州外の雇用主は、ニューヨーク州居住者を募集し又はその応募を受け入れる場合や、応募プロセスで「個人情報」を収集する場合、SHIELD 法の適用対象となる可能性があります。多くの雇用主は、ウェブサイトの「採用情報」に求人を掲載したり、外部の求人掲示板を通じて求職者の情報を収集します。全米を対象とする採用情報の場合、現在ニューヨーク州に居住しているが、引っ越しても構わないという求職者からの応募があるかもしれません。
ニューヨーク州居住者を募集した結果 SHIELD 法の適用対象となることを回避するために、雇用主は次のことを考慮することができます。
•

ニューヨーク州居住者に関する「個人情報」の現在の記録を調査し、当該情報を会社の文書保管慣行に従って保持し続ける必要があるかを評価する。

•

雇用主が「個人情報」を保持しない場合には、当該情報の受領防止のための指針と手順を採用し、文書化するべきです。当該手順には、以下のような予防措置を定めることができます。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 66 | 3

Legal Wire
ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響

o

従業員の応募に固有の識別名を割り当て、「データ要素」を収集しないようにする。

o

求職者がオンラインのキャリアポータル上にパスワードで保護された個人アカウン
トを作成できないようにする。

oバックグラウンドチェックに個人情報が必要な場合には、雇用主はその収集をベンダーに外注することにより、求職者の就職前にかかる情報にアクセスしないで済むようにした方が望ましいかもしれない。

推奨事項
ニューヨーク州に所在する雇用主又はニューヨーク州居住者の「個人情報」を保有する雇用主は、自社のサイバーセキュリティ業務をこれらの新たな義務を順守したものにする必要があります。現在ニューヨーク州に拠点のない雇用主は、ニューヨーク州居住者を採用又はニューヨーク州居住者に関する情報をその他の方法で取得する前に、自社のサイバーセキュリティに関する業務がSHIELD 法上の義務を順守しているかどうかを評価する必要があります。
更に、SHIELD 法の適用有無に関係なく、全ての雇用主は、自社の重要情報及び従業員（居住地に関わらず）の個人情報を保護するために、自社のサイバーセキュリティを同法に準拠するレベルまで引き上げることが奨励されています。ニューヨーク州外の雇用主にとっては、同法の適用を免れること、したがって同法上の潜在的義務の回避が好ましいとはいえ、SHIELD 法はベストプラクティスのガイドとなります。
ニューヨーク州 SHIELD 法の適用対象ではない米国の雇用主は、ニューヨーク以外の州法及び連邦法上の他の法定義務を負っています。SHIELD 法のみならず、この分野の法律は今後とも州法・連邦法共に進展が予想されるので、今後も動向を注視し迅速な対応が必要になるでしょう。

本稿の原文（英文）につきましては、New Cybersecurity and Privacy Law in New York Affects
Employers in New York and Beyond及び New York Expands Cybersecurity and Data Breach Law をご参照ください。

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 66 | 4

Legal Wire
ニューヨーク州の新サイバーセキュリティ・データ侵害防止法は州内外の雇用主に影響

本稿の内容に関する連絡先
奈良房永 （日本語版監修）
31 West 52nd Street
New York, NY 10019+1.212.858.1187
fusae.nara@pillsburylaw.com

Cassie Lentchner
31 West 52nd Street
New York, NY 10019+1.212.858.1211
cassie.lentchner@pillsburylaw.com

桒原祐介 (日本語版作成協力)

Julia E. Judish
1200 Seventeenth Street, NW
Washington, DC 20036+1.202.663.9266
julia.judish@pillsburylaw.com
Andrea R. Milano
1200 Seventeenth Street, NW
Washington, DC 20036+1.202.663.8056
andrea.milano@pillsburylaw.com

Legal Wire 配信に関するお問い合わせ田中里美
satomi.tanaka@pillsburylaw.com

This publication is issued periodically to keep Pillsbury Winthrop Shaw Pittman LLP clients and other interested parties
informed of current legal developments that may affect or otherwise be of interest to them. The comments contained herein do
not constitute legal opinion and should not be regarded as a substitute for legal advice.
© 2019 Pillsbury Winthrop Shaw Pittman LLP. All Rights Reserved.

Pillsbury Winthrop Shaw Pittman LLP www.pillsburylaw.com

Vol. 66 | 5