検索結果

個情法の改正により、多くの企業は、プライバシーポリシーを改訂することになる。また、同じタイミングでの施行令とガイドラインの改正により、外国で個人データを取り扱う場合には、当該外国を特定し、その国の法制度を把握したうえで安全管理措置を実施すべきこと（外的環境の把握）、そして、その措置の実施状況について情報提供の義務が課されることとなった。本稿では、こうした改正をふまえて、プライバシーポリシーの改訂ポイントについて解説する。

個人データを外国にある第三者に提供（委託または共同利用を含む）する場合、現行法では、①本人からの同意取得、②相当措置の実施による体制整備、または③同等水準国指定の条件を満たす必要があった。改正法では、①について事前の情報提供が、②について相当措置の実施確保および確保状況の情報提供が義務として追加されることになり、規制が強化された。本稿では、現行法の重要ポイントもふまえつつ、こうした規制の強化の内容について解説する。

現行法上、個人データが漏えい、滅失、毀損した場合の対応は努力義務とされていたが、今般の改正により、一定の条件を満たす個人データの漏えい等については、個人情報保護委員会への報告および本人通知が義務となった。本稿では、この改正に関する事前準備等の対応のポイントについて解説する。

本稿では、令和２年改正法により導入された、個人関連情報に関する規制のポイントを解説する。同規制は、適用に関する要件が複雑であり、まず規制の適用を受ける場面があるかを判断し、規制を受ける場合は、本人同意の取得に関する対応等が必要になる。

個人情報保護法上、事業者が個人データを第三者に提供する場合、本人の同意を得る必要があるが、例外的に、利用目的の達成に必要な範囲内において、個人データの取扱いを委託することに伴い提供する場合には、当該委託先は「第三者」に該当せず、本人の同意なく提供が可能となる。ただし、個人データの取扱いの委託に伴う提供さえあれば、委託先におけるどのような取扱いも許容されるというわけではない。本稿は令和２年改正によるQAの改訂をふまえた検討を行うものである。

ネット上の誹謗中傷対策を強化するための法改正が進められている。2021年４月、プロバイダ責任制限法（特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律）の改正法が成立し、被害者救済のための新たな裁判手続が創設され、開示請求範囲にログイン時情報が追加された。

本連載は，企業の法務・コンプライアンス部門の中核を担うプロフェッショナルと外部弁護士が互いのノウハウを持ち寄り，不正・不祥事の疑いが発覚した企業のあるべき初動対応を類型別にできるだけわかりやすく平易な内容で紹介するものである。連載第１回では，個人データの漏えいをテーマとし，データ漏えいの典型例である電子メールの誤送信を題材に，あるべき初動対応および押さえておくべき法制度を紹介する。

第３回では、第２回に引き続き、社内推進フェーズにおけるデータ利活用プロジェクトを自発的に推進するために必要なチェックリストを作成する際に盛り込むことが考えられる典型論点について考え方を示す。チェックリストの典型論点になる項目は、これまで筆者らに寄せられた多くの相談のなかで共通する項目や、現場レベルの方からヒアリングを行うとよく聞かれる項目であり、第１回のⅣで述べた、個別論から一般論への落とし込み作業と重なる。

経済発展や情報製品の普及に伴い，個人情報の保護は中国で広く注目される現実問題となっている。同時に，中国政府も個人情報の保護が社会の安定および国の安全と密接に関連することを次第に意識するようになっている。社会の関心に応え，国の安全を守り，社会・経済の発展を促すことを目的として，中国でも「個人情報保護法」が制定され，2021年11月１日をもって施行された。これにより，企業のコンプライアンス経営における個人情報の取扱いは新たな挑戦と課題への対応が迫られることになる。

本連載では，「ケース別で実務に切り込む！　クロスボーダーDX法務の勘所」と題して，各社がクロスボーダーDXプロジェクトを進めるうえで，どのような課題に向き合っているのかを紹介するとともに，実務のなかでみえてきた処方箋（解決の方向性）について紹介するものである。DX関連については，個人情報保護法等の法令解説はあまた公表されているが，本連載はこれらと一線を画し，とことん実務の課題と具体的なケースにこだわって問題を解きほぐしていきたい。第２回は，チェックリスト作成時の典型論点について解説する。

オンライン授業や教育ビッグデータの活用等，教育と最新技術をかけあわせたEdTechが，いま教育のあり方を変えようとしている。EdTechに関わる企業はどのような法的論点に留意する必要があるのか。EdTechビジネスに関して，主に教育産業における規制，情報セキュリティ，著作権・肖像権，未成年者・消費者の保護等の法的論点について解説する。

本特集では，グローバルに事業展開している企業がデータを取り扱うにあたって，各国における個人情報保護法制をはじめとするデータ法制にどのように対処すべきかという観点から重要なポイントに絞って解説を行う。本稿では，各論に先立ち，各企業において把握しておくべき各国におけるデータ保護関連の最新の法制および実務の動向をまず紹介する。

本連載では，「ケース別で実務に切り込む！　クロスボーダーDX法務の勘所」と題して，各社がクロスボーダーDXプロジェクトを進めるうえで，どのような課題に向き合っているのかを紹介するとともに，実務のなかでみえてきた処方箋（解決の方向性）について紹介するものである。DX関連については，個人情報保護法等の法令解説はあまた公表されているが，本連載はこれらと一線を画し，とことん実務の課題と具体的なケースにこだわって問題を解きほぐしていきたい。第１回は，本連載のねらいとクロスボーダーDX法務の問題の所在について解説する。

EUでは，いわゆるSchrems II判決によって，EEA域外に個人データを移転する際には，移転先国の法制度等を調査する必要が生じている。日本でも，令和２年の個人情報保護法の改正により，個人データの越境移転の際には，移転先国の個人情報保護に係る法制度等を調査する必要が生じている。本稿では，個人データの越境移転に際し，両法制度のもとで必要となる移転先国における法令・実務の調査について概要を説明する。

個人データが漏えいした場合，各国にて当局への報告や，本人への連絡が求められることが多い。本稿では，日本，EUおよび米国での漏えい対応の実務について，その違いにフォーカスしながら解説する。

個人情報保護法の2020年改正法が，2022年４月１日に全面施行される。また，本年５月に成立したデジタル社会の形成を図るための関係法律の整備に関する法律（いわゆる整備法）50条に基づく改正も，同じ時期に施行される予定である。これらの改正により，外国に所在する者に対する個人データの移転（いわゆる越境移転）に関する規律に変更が生じる。そこで，本稿では，越境移転規制について改正法の枠組みを紹介した後，日米欧の法制度を比較しつつ，実務上問題となる点を紹介する。

本稿では，個人データの処理を外部事業者へ委託する場合，典型的には外部のクラウド事業者に対して自社の保有する個人データの管理を委託するケースにおいて，各国のデータ保護法制のもとでいかなる取扱いが求められるのかについてのポイントを概観する。

近年，東南アジアにおける個人情報保護法制は大きな転換点を迎えており，各国で相次いで重要な法改正が行われている。本稿では，東南アジアにおける個人情報保護法制の改正動向を紹介したうえで，日系企業の関心が高い論点として，同地域のデータ越境移転規制・データローカライゼーション規制を取り上げる。

本稿では，2021年６月４日に欧州委員会により採択された新SCCによるデータ移転について，紙幅の関係上，実務上の負担が大きいデータ移転影響評価に力点をおいて解説を行う。

本稿は，2021年３月１日に経済産業者が公表した「AI・データサイエンス人材育成に向けたデータ提供に関する実務ガイドブック」のポイントとともに，その背景にある考え方を解説する。また，同ガイドブックにより新規に公開されたモデル契約のうち，ハッカソン型契約の重要なポイントを解説する。

最終回では，クラウドに関する最近の話題や課題について触れる。具体的にはクラウドセキュリティのトレンド，米国クラウド法の解説および最近発表されたヨーロッパのクラウド事業者団体による行動規範について説明し，本連載を通じてクラウドに関心を持っていただいた読者の方々がさらなるクラウドジャーニーを続けるにあたり，ささやかなガイドを提供することとしたい。

新型コロナウイルス感染症拡大を受けた在宅勤務の普及に伴い，従業員の勤務する様子が見えなくなり，勤怠管理や人事評価が難しくなったとの声が多く聞かれる。そして，在宅勤務中の従業員を"見える化"しようと，ICT（情報通信技術）を用いた各種モニタリング（監視）ツールの利用を考える企業も多い。そこで，本稿では在宅勤務時におけるICTによるモニタリングの法的問題点を考える。

AIやIoTの技術の発展に伴い，カメラで撮影した顔画像等を解析して利活用することが一般化している。とりわけ新型コロナウイルス感染症の流行後は，マスク着用確認や混雑状況の把握などの感染症対策のための利用が普及しているが，導入時の緊急性の高さからか，個人情報保護法やプライバシーへの配慮の観点から十分な検討ができていないと思われるケースも散見される。かかる現状をふまえ，カメラ画像等の利活用における留意点を解説する。

第５回は，政府や自治体，教育機関や独立行政法人などの公的機関がクラウドを利用するにあたっての調達・選定に関する課題を海外からの学びをふまえて解説していきたい。なお，本記事であげる課題の多くは官民に共通する論点でもある。

新型コロナウイルス感染症問題は，プライバシー・個人情報保護の分野にも多種多様な問題を投げかけている。コロナと闘うには個人データは不可欠である。医療分野では，個人データの収集・分析が的確に行われなければならない。しかし，実際には困難を伴っている。この問題は，今に始まったわけではない。

「人工知能に関する整合規則（人工知能法）の制定および関係法令の改正に関する欧州議会及び理事会の規則提案」が2021年４月21日に公表された。AIシステムのリスクに応じて利用禁止も含むAI規制を定めている。従来からEU市場に上市する製品の製造者や輸入者等に課されている製品安全規制同様の義務を，高リスクに分類されるAIシステムにも拡充してCEマーキングの対象とし，そのための適合性評価および第三者認証制度について定め，新たな整合法令の整備を目指す規則案について解説する。

倫理的・法的・社会的課題（ELSI）という言葉は近年，AIをはじめとする新興技術を社会実装するというビジネス文脈において聞かれるようになった。ELSIという概念自体は生命科学分野において30年前から研究・実践されており，さまざまな成果とともに課題も多く指摘されてきた。こうした経緯も踏まえたうえで，なぜ今，イノベーションを進めていくうえでELSIという切り口が有用であるのか解説する。

本座談会にご登壇した方々の会社では法務部門がELSIに積極的に関わっているため、ここでは，法務部門・法律家がELSIに取り組む意義を確認する。

プライバシー保護実務は個人の「気持ち悪さ」，炎上防止までもカバーする必要があり，個人情報・パーソナルデータの取扱いにあたっては，ELSIの観点を重視し，透明性ある説明をすることが重要である。本稿では，筆者が考える基本的な観点を説明するとともに，ELSIの観点から参考になる代表的な事について，①政府によるガイドライン，②事業者団体による自主規制，③企業による自主的な取組みに分け，それぞれ紹介する。

英国の欧州連合（European Union）からの離脱の移行期間が終了し，2021年１月１日からは，英国とEUの関係は新しい形へと移った。本稿では日系企業が気をつけるべき英国・欧州のデータ法制の現状とその対策，および今後の展望について解説を行う。

第３回では，クラウド契約でよくあがる課題を，従来のIT調達で活用されている請負契約とクラウド契約を比較する形で解説していく。

第４回では，クラウドと個人情報保護をめぐる法解釈について，過去の議論の経緯を参考にしつつ，現在通用している考え方や将来の展望について解説することとしたい。

米国カリフォルニア州では，2020年11月３日に住民投票を実施し，同年1月に施行した「カリフォルニア州消費者プライバシー保護法」（CCPA）を改正する形で，個人情報保護をより強化した「カリフォルニア州プライバシー権法」（CPRA）が成立した。同法は，CCPAの基本的な枠組みは維持しつつ，「機微個人情報」の保護，「共有」規制の新設など重要な改正を含んでおり，日本企業も2023年の適用開始に向けて動向を注視する必要がある。

第２回では，パブリッククラウドのインフラストラクチャーサービス（いわゆるIaaS）に関する契約について，従量課金制や責任の分担などの特徴に焦点を当てた契約実務について説明する。そのためには，まず，クラウドサービスの特質を解説する必要がある。契約の話になぜサービスの提供方法や技術の話がでてくるのかと不思議に思われるかもしれないが，クラウドの契約が従来のITの契約とは根本的に異なる背景には，クラウドサービスの特質がある。クラウドの契約のあるべき姿を理解するためには，クラウドサービスがどういうものであり，それにどういうメリットがあるのかの理解が欠かせない。

AI開発のインセンティブ付与、円滑な開発の支援に関する法制度について解説する。

アメリカでAI弁護士Rossが実務をはじめたというニュース、また、レポートによって数字に差はありつつも、法律業務の一定部分はAIによる自動化が可能であるとの調査が英米で発表されたとの報道を目にした方も多いだろう。他方で、AIによる自動化は、単純作業のようなルーチンワークから始まるのではないかと考えると、弁護士業務はAIにとって最も難易度の高い対象のひとつであって、AIにそぐわないようにも思われる。本稿では、AIが担える業務をどのように捉えるべきか、野村総合研究所（NRI）の分析結果を手がかりに概説する。

デジタルレイバーとも呼ばれるRPA（ロボティック・プロセス・オートメーション）により、これまでの自動化の取り組みで対象にならなかった業務も低コスト・短期間で自動化することができるようになった。定型的でルールがある反復業務はRPA化することができるため、契約書処理業務においても契約情報と決裁情報の整合や、契約期限管理のための催促業務など、今まで人が実施している業務をそのまま自動化することができる。このデジタル技術をうまく活用することで、法務部門がさらに高度な社内法律事務所の様な存在になっていくことも可能である。

当社は「地球上のすべての個人とすべての組織が、より多くのことを達成できるようにする」を企業ミッションとしています。その企業ミッションを世界中で遂行するに際して、関連する法規制は多岐にわたります。そうした中で、社内の各部門のビジネスにどう貢献するか、いつも考えています。そこで、クラウドを活用した社内外のイントラネットや各種ツール等のリーガルテックを活用しています。

日本IBM出身の弁護士が、小規模マチベンでもできるテクノロジーの活用方法を紹介する。大別してⅠ事件処理におけるITの活用、Ⅱ事務所経営に関するITの活用という２つの切り口から、弁護士業務の省力化を考える。本稿では「リーガルテック」という用語の定義にはあまり固執せず、私なりの目線で、普通の法律事務所でも簡単に低価格で導入できるITソリューションの活用法について、当事務所の取り組みをベースに紹介していきたい。

リーガルテックに関するサービスを提供している6社に、自社サービスの紹介と今後の展望について語っていただく。

近時、ビジネスでAI（"Artificial Intelligence=AI"）が利用されるようになり、国内外の法務分野や法律実務の現場でも、一部ですでに運用が開始されていると聞く。 AIを活用することで、サービスを提供する側のコスト減とそれに伴うサービス価格の低下が期待できる反面、どうしても気になるのがAIにより代替される業務を担当している者の行く末であろう。そこで、「AIに代替されない法務人材」について、少しばかり私見を述べてみたい。

昨今、情報システムのセキュリティ確保、贈収賄防止その他の観点から実施される内部監査、ディスカバリーへの対応またはリニエンシー申請などのため、会社が国境を越えてその従業員の保有する情報を取得・利用する場合が増加している。そこで、その対応策の１つとして従業員から同意書を取得する場合における実務上の論点について概説する。

人工知能（Artificial Intelligence＝AI）技術の開発・実用化が進んでいる。 芸術の分野においても、AIが鑑賞に堪えうる作品を創作するようになっている。AIが創作した作品にも、人間が創作した作品と同様に法的保護を与えて良いかという課題が生じている。

モデル契約（第二版）では，近時のセキュリティの重要性に鑑み，ユーザとベンダとが各々の立場に応じて必要な情報を示しつつ，リスクやコスト等について相互に協議して「セキュリティ仕様」を定めるための詳細な規律が設けられた。このモデル条項によるリスクコミュニケーションの実践が期待される。

データ保護指令からGDPRまでに至る過程は、EUの個人情報保護に関する歴史であり、GDPRに結実した、個々の制度を見るならば、その歴史的背景を理解することができる。

EU一般データ保護規則の全体像を示したうえ、日本企業に求められる対応等を概説している。

EU一般データ保護規則（以下「GDPR」という）においては、EUデータ保護指令において定められていた個人データの処理に関する管理者の義務が強化されている。また、EUデータ保護指令の下では直接法律上の義務を負わなかった処理者がGDPRにおいては義務を負う主体となった。GDPRではこれらの義務の違反行為は高額な制裁の対象となる。

1995年のデータ保護指令が、インターネット社会に十分対応したものではないなどの批判を受けて、2018年５月25日から施行されるGDPRでは、データ主体の消去の権利・忘れられる権利（17条）、データ・ポータビリティの権利（20条）、プロファイリングなどの自動化された判断に服しない権利（22条）、個人データの侵害について通知を受ける権利（34条）が明文化・明確化された。以下、本稿でこの４つの権利について概観する。

GDPRは前文173項、全11章、99条で構成されるが、そのうち、本稿では、域外適用を中心に企業への影響を検討する。