NTTデータのスペイン子会社が、欧州連合（EU）の個人データの厳格な管理を求める規則に違反したとして同国当局から処分を受けたことが10日分かった。取引先の顧客情報が漏洩した問題で過失があり、6万4000ユーロ（約940万円）の制裁金を科された。データの管理を厳格化する一般データ保護規則（GDPR）が2018年に施行されて以来、日系企業への処分の公表は初めてとみられる。NTTデータスペインが顧

【パリ=白石透冴】フランスのデータ保護機関、情報処理・自由全国委員会（CNIL）は10日、米グーグルのサイト閲覧解析ツール「グーグルアナリティクス」について、得られた情報をフランスから米国に送るのは現状では違法だと警告する声明を発表した。オーストリア当局も1月に類似の判断を下しており、欧州のサイト管理者に影響が広がる可能性がある。グーグルアナリティクスはサイトの閲覧回数、閲覧者の属性などが分か

【シリコンバレー=白石武志】米アマゾン・ドット・コムが消費者への広告表示をめぐって欧州連合（EU）の包括的な個人情報保護ルールである一般データ保護規則（GDPR）に違反したとして、7億4600万ユーロ（約970億円）の罰金を科す決定を受けていたことが30日、分かった。GDPRに基づく罰金額としては19年に米グーグルに科された5000万ユーロを上回り、過去最大となる。アマゾンが30日付で開示した

【ロンドン=佐竹実】英情報保護当局の情報コミッショナー事務局（ICO）は16日、英航空大手ブリティッシュ・エアウェイズ（BA）が2018年に大量の顧客情報を流出させた問題で、2千万ポンド（約27億円）の制裁金を科したと発表した。約1億8千万ポンド（約245億円）を科す予定だったが、新型コロナウイルスの感染拡大で業績が低迷していることを受け大幅に減額した。BAは18年、サイバー攻撃を受けて顧客の

（1）CS法制定の背景 2014年、国家安全保障体制の総合的なビジョンを示した「総合的国家安全保障観」のもと法整備が行われ、「反スパイ法」「反テロリズム法」「国家安全法」の公布を経て、2015年に「中华人民共和国网络安全法（中国サイバーセキュリティ法※1（以下、「CS法」という。）」の初案審議、パブコメが実施された。その後、2016年に「国家インターネット空間安全戦略」の表明、CS法修正案の審議・パブコメ実施を経てCS法再修正案が採択・公布され、2017年6月にCS法が施行された。 本法は、日本を含め各国の個人情報保護を観点とする法制化とは異なり、あくまでも中国国家の安全保障を目的としているところが特徴となる。 ※1）CS法の邦訳は「サイバーセキュリティ法」「インターネット安全法」等、さまざまな呼び方をされているが、法自体がサイバー空間のセキュリティに関する内容であることから、本稿では「サ

日本情報経済社会推進協会（JIPDEC）とITRが2019年1月17日から2月4日にITRの独自パネルに対するWebアンケートを実施。対象は従業員数50名以上の国内企業でIT戦略策定や情報セキュリティ施策に関わる課長職相当以上の役職者。有効回答数は686人。（出所：日本情報経済社会推進協会（JIPDEC）、アイ・ティ・アール（ITR）「企業IT利活用動向調査2019」速報、2019年3月26日） 「企業IT利活用動向調査2019」速報によると、2018年3月に総務省がパスワードの定期的な変更は不要との見解を示したにも関わらず、「これまで通りパスワードの定期変更を行っている」という企業が54.5％を占めた。 調査は日本情報経済社会推進協会（JIPDEC）とアイ・ティ・アール（ITR）が共同で実施した。 「定期変更を止めた」という企業はわずか8.0％で、定期変更を止めて「他の認証を追加した」（

英国が正式にEUから離脱するまで、残りわずか数カ月です。2019年3月29日に向けてカウントダウンが進む中、合意に至るシナリオが合意なき離脱シナリオよりも有力視されています。しかし、交渉の中でまだ解消されていない複雑な問題もあり、英国議会でも意見が分かれているため、EU・英国間で合意された協定離脱案が否決される可能性も排除しきれません。最終的な結果が判明する時期が遅くなることで、企業が十分に準備できる期間が少なくなっており、「合意なき離脱」によってもたらされるリスクは増しているとも言えます。 PwCはここしばらく、企業の皆様に対して、後悔しないための意思決定の検討をお勧めしてきましたが、離脱が数カ月に迫った今、「合意なき離脱」となった場合の短期的な混乱から事業を守ることを真剣に検討しなければなりません。そのために、今すぐ取り組んでいただける緊急対策プランを紹介します。この内容は、英国政府の

英国のEU離脱（ブレグジット）が迫る中、企業は英国とEUが移行期間を設けた場合や合意なく離脱（ノー・ディール）する場合など、想定されるシナリオに応じた準備を行わなければならない。中でも、欧州ではEUレベルで規制・規格が制定されるため、英国がブレグジット後にEUの規制・規格とどのように整合性を取っていくのかを企業は注視している。本レポートでは、規制の中からEU一般個人データ保護規則（GDPR）と化学物質に関する規制であるREACH規則、規格についてはEU標準規格であるEN規格とCEマーキングを取り上げ、英国政府が7月12日に公表したEUとの将来関係に関する白書での取り扱いや、8月以降に公開しているノー・ディールに備えるガイダンスを基にブレグジットの影響について説明する。 GDPRを国内法にして十分性認定を得られるか EUが制定する法令のうち、「規則」は加盟国の国内法に優先して各国で直接適用さ

一般財団法人日本情報経済社会推進協会（JIPDEC）とアイ・ティ・アール（ITR）は、「企業IT利活用動向調査2019」の一部結果を発表した。今回は下記の5項目について、調査結果を速報として発表している。 （1）過去1年間に認知した情報セキュリティ・インシデントの種類（2）2019年度のセキュリティ支出の増減予想（3）改正個人情報保護法およびJIS Q 15001の改訂内容についての関心（4）GDPR（EU一般データ保護規則）への対応状況（5）総務省による「パスワード変更は不要」という見解への対応“サイバー攻撃”が増加する一方、従来の“紛失・盗難”にも要注意「過去1年間に認知した情報セキュリティ・インシデントの種類」について聞くと、「Webサイトへの不正アクセス」13.1％、「外部からのなりすましメールの受信」17.8％など、“サイバー攻撃”によるものが増加していた。従来型サイバー攻撃であ

欧州連合（EU）の一般データ保護規則（GDPR）について、日本が欧州委員会から「十分性認定」を得る見通しとなった。これまで欧州から日本に個人情報を移すには、個別に契約を結ぶなど煩雑な手間やコストがかかっていた。認定後はこれらが不要になり、企業は歓迎の声を上げる。ある大手商社は「データ移転をしやすくなる動きはポジティブ」と評価。日本貿易会の中村邦晴会長も「EUと日本のルールの共通化が進み安全にデ

「私のプライバシーはお前には関係ない」［ロンドン発］個人情報保護活動家でオーストリアの弁護士マクシミリアン・シュレムス氏は18日、世界大手のストリーミングサービス、アップル、アマゾン、ユーチューブ、ネットフリックスなど8社が欧州連合（EU）の一般データ保護規則（GDPR）に違反しているとしてオーストリアのデータ保護機関に申し立てました。 違反が認定されれば最大で2000万ユーロ（約24億9000万円）か、世界での年間売上高の4%という巨額の制裁金が課されます。シュレムス氏によると、8社で計最大約188億ユーロ（約2兆3400億円）の制裁金が課されるそうです。 シュレムス氏と非営利団体「私のプライバシーはお前には関係ない（noyb.eu）」がユーザー10人の依頼を受けて調査を行った結果、構造的な違反を確認しました。 個人データの域外持ち出しを原則禁止するGDPRは5月25日に施行され、その当

個人情報保護委員会は2018年12月26日、欧州連合（EU）による日本の個人データ保護への「十分性認定」について、「事務的な手続きのため、欧州委員会による最終決定が１月中になると見込まれている」と公表した。

Google、Microsoft、Facebook、Twitterの4社は7月20日（現地時間）、ユーザーが自分のデータをサービス間で安全かつ簡単に移行できるようにすることを目的としたオープンソースプロジェクト、「Data Transfer Project」（以下、「DTP」）の立ち上げを発表した。 ユーザーに、データをダウンロードして再アップロードする必要なしに、あるサービスから別のサービスに直接データを転送するためのツールを提供していく。 欧州連合（EU）が5月に施行したGDPR（一般データ保護規則）への対応だが、EU以外の地域でも利用可能にする。 Googleは2007年の「Data Liberation」立ち上げ以来、ユーザーデータのインポート・エクスポート機能の充実に取り組んでおり、YouTube、Gmail、Googleフォトなど、ほとんどすべてのサービスのユーザーデータをダウ

CISO ハンドブックについて 情報セキュリティ事故が数多く報道され、またGDPR（EU 一般データ保護規則）などの国際的な規制の対応が求められるなど、セキュリティへの関心が高まり、組織のセキュリティ対策を所轄するCISO（Chief Information Security Officer）が注目されています。一方で、情報セキュリティ対策は、危険性や損失といったマイナス面が主要なテーマとなり、ビジネスに対してどのように貢献するのか、という視点で議論される事は殆どありません。しかし、CISOが経営陣の一員として、セキュリティに取り組むためには、想定される危険性や損失に取り組むだけではなく、ビジネスの視点を持って業務を執行することが求められます。 セキュリティを経営に取り込むための試みとして、経済産業省が発行した「サイバーセキュリティ経営ガイドライン（2）」が注目されています。重要な取り組み

GDPR（EU一般データ保護規則）で抑えておくべきポイント はじめに 2018年5月25日に施行された「一般データ保護規則（GDPR）」。グローバルに事業を展開する企業をはじめとして、どの企業もGDPRへの準拠に留意されていることでしょう。 本記事は、GDPRに関する主要なポイントを整理し、どのような点を押さえておけば良いのかをご説明します。 GDPRとは GDPR （General Data Protection Regulation）とは、欧州議会、欧州理事会および欧州委員会が策定した、個人情報保護の枠組みです。日本語では「EU一般データ保護規則」と呼ばれます。 グローバル化やクラウドサービスの利用拡大、ビッグデータと呼ばれるように取得、分析されるデータの大幅な増大を背景に、個人情報保護の重要性は高まっていますが、同時にサイバー攻撃、内部不正などによる個人情報漏えいのリスクも急速に高ま

欧州連合（EU）で提供する全サービスの 「欧州の新しい一般データ保護規則 （GDPR）」への準拠について、Google は 昨年、真剣に取組む姿勢を表明すると共に、その 概要 を公開しました。以来 18 ヶ月に渡り、同規則準拠に向けた対応を進めて来ました。GDPR 施行に先立ち、以下の通り主なアップデートをご紹介します。 ユーザーに対する透明性の向上 Google が収集する情報とその理由をより分かりやすくするために、現在のプライバシーポリシーを更新します。また、お探しの情報を見つけやすくするために、プライバシーポリシーの構成も改善しました。実例と合わせたより詳細かつ明確な表現での説明に加え、Google サービス上でユーザーが行える情報の管理・エクスポート・削除に関する詳細を追記しました。また、テキストだけでは分かりづらい時のために、動画や図表を追加しました。また、プライバシー管理を容易