Vol. 20 March, 2018

小島国際法律事務所

ＥＵ一般データ保護規則（GDPR）
施行を間近に控え、日本本社は何をしなければならないのか-----１

1. 「GDPR」ってそもそも何？
2018 年 5 月 25 日、EU で、「一般データ保護規則」（GDPR：General Data Protection Regulation）が施行されます。GDPR は、日本の「個人情報保護法」同様、EU におけるプライバシー（私的領域）に関わる情報の適正なコントロールの必要性に対応するために制定され、施セミナー報告： 「EU 一般データ
保 護 規 則 （ GDPR ） セ ミ ナ ー ～GDPR の概要とその実務的な対応方法～」---------------------------２
インド： リーガルアップデート
単一ブランド小売業への外国直接投資規制の緩和--------------------３

行日から EU 域内で（構成国の国内法を待たず）直接適用されるルールです。

小島国際法律事務所〒102-0076 東京都千代田区五番町
日本の個人情報保護法は、個人情報を取り扱う「事業者」の視点から、 2－7 五番町片岡ビル 4 階
TEL: 03-3222-1401
事業者の「義務」を定めている法律です。しかし、GDPR は、個人デー
FAX: 03-3222-1405
タの保有「主体」（Data Subject）、つまり、「個人」の視点から、個MAIL:newsletter@kojimalaw.jp
URL: www.kojimalaw.jp
人の「権利」（例えば、「忘れられる権利」「異議を唱える権利」

1

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所

EU 競争法（日本における独禁法）の遵守と同等の重「データポータビリティの権利」等まで）を定めており、事業者（Data Controller または Data Processer） 大事になったということです。また、GDPR コンプラ
は、そのような個人からのさまざまな権利行使を受けイアンスの失敗は、海外展開する日本企業を倒産にもとめて対応しなければならない者と規定されています。 追い込みかねない致命的ダメージを与えるおそれのあつまり、法の目的は類似したところから出発しているるリスク要因となった、ということでもあります。とはいえ、出来上がった個人情報保護法と GDPR と（「EU 域内でビジネスを行う」という場合、域内にでは、法制定の視点が、片や「義務」構成、片や「権支社や営業所を置いている場合のみを指すわけではな利」構成ということで、180 度違っているといえます。 く、EU 域内に拠点を設けずとも、インターネットを通じて EU 域内の顧客・消費者を対象に販売を行う場

このため、日本の個人情報保護法の下で、「個人情合も含まれます。）報」とされる範囲は、（近時の改正で広がったとはいえ）（事業者視点で）「特定の個人が識別できる（情報）」という形で、限定する方向で定められているのに対し、GDPR の下での「個人データ」は、（データを保有する個人視点で）「識別されたまたは識別されうる自然人に関するあらゆる情報」とされています。
GDPR の下では、氏名、電話番号、クレジットカード番号などの通常の個人情報や、病歴・犯罪歴等のセンシティブ情報にとどまらず、後述する Cookie のようなオンライン識別子も、「個人データ」の範囲に入ってくることになります。

3. 所詮 EU 子会社の問題で済まされるか？

このような GDPR については、施行日が近づくにとはいえ、日本企業の方々には、やはり、「EU 域

つれ、特に、2017 年末ころから、日本の新聞や日本内の法律の問題なのではないか」「EU 域内の子会社語のインターネットの記事でも盛んに取り上げられるが GDPR 対応をすれば済むことなのではないか」とようになってきています。

いう思いがあるように見えます。GDPR に関する認識
2. EU の法律が、なぜ重要になるか？

がまだ初歩の段階の場合、現状、日本語での GDPR

EU の法律である GDPR が、日本で話題になるのはに関する正確で分かりやすい情報が、それでも十分になぜか？それは、ひとえに、とてつもなく強力なエン流通しているとはいえない状況のため、「GDPR 対応フォースメントが予定されているからです。GDPR 上が重要と言っても、日本本社はいったい何をすればいの義務に違反した企業は、最高で、2000 万ユーロ（1いか分からない」「まずは、EU 子会社に情報収集さユーロ＝130 円のとき、26 億円）又は当該企業グルせて、EU 子会社に対応させればいいんじゃないか」

ープの全世界売上の 4％のいずれか高い金額の罰金がと考えがちです。そこから、日本本社の GDPR に関科されるとされています。つまり、EU 域内でビジネする認識が進んでも、「どうやら、EU 子会社からスを行う日本企業にとり、「個人情報保護」の問題は、 EU 域外（つまり日本本社）への個人データの移転が2

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所問題になるようだから、それに対応すれば十分」、こごとに問題になります。そのため、SCC を締結したれがもう一歩具体的になると、「SCC（標準契約条項） 後も、データ移転に関して専任の担当者を EU 側に置というものを本社と EU 子会社との間で締結すれば良く必要がありますし、仮に複数の人間が域外移転に関いらしい。すぐに取り掛かるように」となるものの、わる可能性がある場合、継続的な講習・トレーニングそこで止まってしまう日本企業が多いように思います。 を適切な範囲の人員に施していく必要があります。つまり、（個人データの域外移転の論点に限っても）しかし、私たちが見るに、GDPR 対応の問題は、広SCC 締結という「仕組み」の整備にとどまらず、そく「日本本社による海外子会社の管理」の問題の一端の実行に関わる「人的対応」の必要性を日本本社が認であり、「海外展開する日本企業のグローバル・コン識理解し、「適切な人をあてがう」、「継続的な研修プライアンス」の問題であって、日本本社の十分な関を行う」ことをしていかなければなりません。

与と指示なしには、その全体を上手くハンドルできない問題だと思います。以下、その一部を見てみたいとそして、GDPR 対応は、データの域外移転の問題に思います。

限られないことから、結局のところ、SCC の締結にとどまらず、より多くの「ステップ」を踏む、つまり、GDPR コンプライアンスについて、技術的にも、組織的にも、対応していく必要があることになります。
(2) データ利用の自動化の問題：技術的対応の必要性
ことは「個人データ」という「情報」の管理・運用の問題です。（キャビネットにしまって鍵をかけるといった）物理的な管理だけでは足りないことは容易に理解できると思います。また、自社のシステムがネッ
トワークに常時つながっている現在、意図しない情報

4. GDPR 対応、日本本社に何が求められているののやり取り・複製が絶えず起こっている（また、意図か？

しない情報流出・サイバー攻撃のおそれに常にさらさ(1) SCC の問題：人的対応の必要性れている）ことに気づかなければ、適切な対応はでき

EU 域外（つまり、日本）へ個人データを適法に移ません。例えば、インターネットのホームページにア転させる実効的な（現時点においてほぼ唯一と言ってクセスしたとき、そのページへの来歴情報が自動的にい い ） 法 的 仕 組 み で あ る SCC （ Standard

サーバに保存されます（いわゆる Cookie）。自社のContractual Clause：標準契約条項）の作成・締結にEU 子会社のホームページを訪れてくださった方が増限っても、これを締結したからといって、どんな個人えた！といって喜んでばかりはいられません。その際、データでも域外移転してよいとはならないことに注意

貴社は来歴情報という個人データを収集していることしなければなりません。一回々々の域外移転の理由・になり、その適正な管理が GDPR によって求められ目的と移転するデータ量が、定められた理由・目的等ます（最近、EU 圏内の会社のホームページを訪れるに合致しているか（legally legitimate か）が、移転と、Cookie 利用に関する煩わしいポップアップやノーティスを多く目にするようになったことに気付かれ
3

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所ているでしょうか） 1 。この例にとどまらず、データたときの被害の重大性を考慮した安全性確保のため適の移転・複製は、意図しない「自動化された」レベル切な措置を取っていなかったという形で、責任非難ので行われているため、個人データの適切な管理は、主対象になるおそれがあります。

として「技術的対応」の問題、適切なシステム対応のさらには、GDPR に定められている平時の義務（例問題であると言えます。この点、日本本社は、EU 域

えば、個人データの処理活動に関する記録を作成する内の子会社に、GDPR の技術的対応を行うための必要こと、プライバシー・ポリシー等の適切な改定、個人な予算要求をきちんとさせ、そのための予算措置をしデータ処理の業務を委託している企業との契約の適切ているでしょうか。

な改定等）もあり、これらを怠っていると、万一検査(3) 有事を想定した組織づくり：組織的対応の必要性等が入った場合に罰金を受けるリスクを日々高めてい

GDPR 施行後、万一不幸にも、EU 域内の子会社がくことになります。

サイバー攻撃を受け大量の個人データが流出すること

こ れ ら の 点 に つ き 、 日 本 本 社 は 、 EU 子 会 社 のになった場合、可能であれば流出が確認されてからGDPR 有事対応を、平時から準備しているでしょうか。

72 時間以内に当局に通知しなければならないとされ対応を実際に行わせるのは、主として EU 域内の子会ています。

社であることは確かです。しかし、それが最低限違法

日本においては最近、神鋼、日産、大林組等の有名にならないレベルに保たれているか、日本本社は、企業のコンプライアンス違反事案が多く報道されていGDPR の本質と内容を踏まえたうえで、監督を怠らなますが、日本でも（個人情報の流出等を含む）コンプいようにする必要があります。

ライアンス違反が判明した場合、可及的速やかにその5. 最後に事実を把握し、しかるべき報告・公表を行い、原因を上記により、部分的にではありますが、GDPR 対応究明して、改善案を示すことをしなければなりませんは、「日本本社による海外子会社の管理」の問題、（報告・公表の遅れそのものが、レピュテーション・「海外展開する日本企業のグローバル・コンプライアリスクを高めるという構造にあります）。

ンス」の問題だということがご理解頂けたかと思いま

このような不祥事対応は、いきなりできるものではす。海外進出している日本企業が、GDPR の施行によなく、有事対応の手順（どこまでのレポートラインをって直面するリスクに本気で立ち向かうためには、①確保し、どの部署を司令塔として消火活動をおこなう

EU 域内の子会社と②ローカルの弁護士／アドバイザか）を平時から組織的（または技術的）に準備しマニーに任せ切るのではなく、③日本本社の適切かつ積極ュアル化し、マニュアルに沿った対応ができるよう訓的な関与が必要であり、④本社の弁護士も含めた「四練しておくことまでが必要です。また、GDPR につい者」による適切な協働が求められます。て言えば、自社のシステム及び組織的体制の中で、個人データ侵害のリスクの高い部分がどこにあるのかに全く無頓着でいた場合、リスクの発現可能性や発現しCookie については、別途、いわゆる E-PrivacyDirective 上の規制が及ぶことにも注意が必要です。
1

4

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所

小島国際法律事務所は、2017 年 11 月 29 日、ドイツセミナーの講師を務めた Philip Kempermann 氏は、の 弁 護 士 で あ る Philip Kempermann 氏 （ Heuking

GDPR への対応を含めデータ保護法や IT 関連法の実務

Kühn Lüer Wojtek PartGmbB 所属）を招き、NRW経験が豊富なドイツ弁護士です。GDPR の適用開始をジャパンとの共催により、「EU 一般データ保護規則間近に控えた昨今、GDPR への対応方法を日本人の弁（GDPR）セミナー～GDPR の概要とその実務的な対護士が解説するセミナーは多数開催されておりますが、応方法～」と題するセミナーを開催しました。約 50 名

今回のセミナーは、実務経験豊富なドイツ弁護士によの企業担当者様にご参加者をいただき、セミナーは盛る解説であり、EU の弁護士に GDPR 対応の実務につ況のうちに終了しました。セミナーは、当事務所近くいて直接聞くことのできる貴重な機会となりました。のビルの 5 階、市ヶ谷堀を眼下に望む開放感のあるセ

特に、日本が欧州委員会から十分性認定を受ける可能ミナールームで開催されました。

性に関し、EU の現地弁護士ならではの突っ込んだ見立てを聞くことができました。
セミナーでは、Kempermann 氏が実務経験（特にドイツにおける対応実務）を踏まえて GDPR のポイントを簡潔に解説しました。参加者の皆様からは、「簡潔かつ分かり易い説明であり GDPR の概要がよく理解できた」とのコメントを多数いただきました。さらに、
Q&A のセッションでは、経済産業省での勤務経験があり、EU との通商交渉の経験もある小島国際法律事務所の髙橋直樹弁護士がモデレーターを務めました。参加者の皆様からは多数のご質問をいただき、GDPR へのGDPR は、2018 年 5 月 25 日から適用が開始されま関心の高さを感じる取ることができました。

す。GDPR 違反に対しては、最大で 2000 万ユーロ又今回のセミナーが、各企業の GDPR 対応の際の一助は年間世界売上高の 4％のいずれか高い方という、極めになったとすれば望外の喜びです。て高額な制裁金が課される可能性があります。GDPRが適用される可能性のある日本企業においても慎重な対応が求められています。

5海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所

インド政府は、2018 年 1 月 10 日の閣議決定により、インド30％の現地調達義務の履行に当てることができるようになりへの外国直接投資規制をさらに緩和する修正 FDI ポリシーました。ただし、当初の 5 年の期間の経過後は、従来通り、イを承認したと発表しました。外国直接投資規制が緩和された

ンドの会社が購入する物品総額の 30％以上をインド国内で産業分野には、単一ブランド小売業（single brand retail調達する必要があります。

trading）、建設業（construction development）、航空業

今回の FDI ポリシーの修正は、インドの単一ブランド小売（civil aviation）、電力取引（power exchange）等があります。

業への外国直接投資規制をより一層緩和するものです。近年、インドにおいては、複数ブランド小売業を含む小売業分野へ日本の著名ブランド（例えば「無印良品」）がインドの小売市場の外国直接投資はこれまで厳しく規制されていたため（ただし、に進出しています（「ユニクロ」も今後進出予定であるとの報近年では規制が徐々に緩和される傾向にあります）、単一ブ道がなされています。）。今回の FDI ポリシーの修正により日ランド小売業に関する外国直接投資規制の緩和は注目され本を含む海外の著名ブランドのインド小売市場への進出がよるところです。そこで、以下では単一ブランド小売業に関するり一層加速することが予測されます。

今回の外国直接投資規制の緩和について紹介します。
修正前の FDI ポリシーでは、単一ブランド小売業への外国直接投資は、出資比率 49％まではインド政府の事前承認が不要な自動ルート（automatic route）による投資が可能でしたが、出資比率が 49％を超える投資については、インド政府の事前承認が必要な政府ルート（Government Route）によらなければならないとされていました。今回の FDI ポリシーの修正により、自動ルートによることが可能な出資比率の数値が引き上げられ、100％の出資比率の投資についても、インド政府の事前承認が不要となりました。
また、修正前の FDI ポリシーでは、51％を超える出資を海外の会社から受けて単一ブランド小売業を営むインドの会社は、購入する物品総額の 30％以上をインド国内で調達しなければならない義務を課せられていました。しかし、今回のFDI ポリシーの修正により、当該会社は、最初の小売店舗をインドに開設した年度から 5 年間に限り、当該会社の海外オペレーション用にインドから調達した物品の増加分をもって、

6

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018

Vol. 20 March, 2018

小島国際法律事務所

当事務所の業務の出張説明
通常の来所形式のインタビューのほかに、ご希望があれば当事務所弁護士が貴社を訪問し当事務所の海外進出サポート業務の概要をご説明します。海外進出、現地オペレーション、海外企業との紛争、撤退などにつき当事務所と共にサポートする海外ネットワークについてもご説明します。当事務所からの業務説明、貴社からの業務内容に関するご質問への回答などに通常 1 時間程度を見込んでいます。
当事務所の業務の出張説明についてのお問合せは、webmaster@kojimalaw.jp にメールにてご連絡ください。メールの件名は 「海外進出サポート業務の出張説明希望」としてください。
なお、現時点では、都内に所在する企業・事業所にのみ出張説明を行なっている点、ご了解ください（学生又は法律事務所向けに業務説明を行なうことは想定していない点ご了解ください）。

本ニューズレターは、法的助言を目的とするものではなく、個別の案件については当該案件の個別の状況に応じ、日本法又は現地法弁護士の適切な助言を求めていただく必要があります。また、本稿記載のうち、意見にわたる部分は、執筆担当者の個人的見解であり、当事務所またはその他の事務所の見解ではありません。
本ニューズレターで取り上げてほしいテーマなど、ぜひ、皆様の忌憚ないご意見・ご感想を newsletter@kojimalaw.jp
までお寄せください。

7

海外進出プラクティス・グループ ニューズレター©Kojima Law Offices 2018