breach-multi-jurisdiction

複数の法域にまたがる侵害通知の管理

概要

データ侵害が複数の法域にまたがる個人に影響を及ぼす場合、管理者は重複し、ときには相反する通知要件に対応しなければなりません。EU GDPRでは監督機関への通知期限が72時間と定められています。米国の州法では、期限や通知内容の要件が州ごとに異なります。また、その他の法域（カナダ、オーストラリア、ブラジル、日本、韓国）にも独自の制度があります。このスキルでは、複数の法域にまたがる通知を調整するための枠組みを提供します。

法域のマッピング — 通知要件

欧州連合 — GDPR（全加盟国）

項目	要件
SAへの通知期限	認知から72時間以内（第33条第1項）
SAへの通知基準	侵害が「リスクをもたらす可能性が低い」場合を除く
DSへの通知期限	「高いリスク」がある場合、不当な遅延なく（第34条第1項）
主導SAの決定	ワンストップショップ制度：主たる事業所に基づき、第56条に従って主導SAを決定
越境手続き	主導SAに通知し、その他の関係するSAには第60条に従って通知
通知内容の要件	SA向けは第33条第3項(a)～(d)、データ主体向けは第34条第2項

米国 — 州のデータ侵害通知法

州	期限	AGへの通知	基準	主な相違点
California	可能な限り速やかに、不合理な遅延なく	CA州民500人以上の場合は必要	氏名＋指定されたデータ要素	影響を受けた人が500,000人以上の場合は代替通知可。健康データには指定のテンプレートが必要
New York	可能な限り速やかに、不合理な遅延なく	AG、DFS、DOCSに同時に通知	個人情報（氏名＋データ要素）	SHIELD Act：NY州民への通知について、AGへの通知は30日以内
Texas	判定から60日以内	TX州民250人以上の場合はAGに通知	氏名＋機微な個人情報	機微データの定義が拡大され、生体識別子を含む
Florida	判定から30日以内	500人以上の場合、30日以内にFDLEに通知	氏名＋指定されたデータ要素	法定期限が特に短い州の一つ
Massachusetts	可能な限り速やかに	AGとOCABRに同時に通知	氏名＋指定されたデータ要素	提供する救済サービスの説明が必要
Illinois	可能な限り速やかに、不合理な遅延なく	IL州民500人以上の場合はAGに通知	氏名＋指定されたデータ要素	BIPAにより生体データ侵害の通知要件が追加される
Virginia	発見から60日以内	AGと影響を受けた個人に通知	氏名＋指定されたデータ要素	VCDPAにより消費者データ権利に関する文脈が追加される
Colorado	判定から30日以内	500人以上の場合、30日以内にAGに通知	氏名＋指定されたデータ要素	Floridaと並び、期限が特に短い州の一つ
Pennsylvania	不合理な遅延なく	通知する場合はAGに通知	氏名＋指定されたデータ要素	個人情報の定義が広い
Washington	発見から30日以内	500人以上の場合、30日以内にAGに通知	氏名＋指定されたデータ要素	生体データと健康データを含む

その他の国際的な法域

法域	法律	SAへの通知期限	DSへの通知期限	特記事項
United Kingdom	UK GDPR + DPA 2018	72時間以内（ICO）	不当な遅延なく	EU GDPRを踏襲。ICOが唯一のSA
Canada	PIPEDA + 州法	OPCに「実行可能な限り速やかに」	「実行可能な限り速やかに」	「重大な損害の実質的なリスク」（RROSH）が基準
Australia	Privacy Act 1988（NDB制度）	OAICに30日以内	可能な限り速やかに	「対象となるデータ侵害」とは、重大な損害が生じる可能性が高いもの
Brazil	LGPD	ANPDに「合理的な期間内」	「合理的な期間内」	ANPDが規則により期間を定める
Japan	APPI	PPCに速やかに（3～5日以内を推奨）	速やかに	対象者が1,000人以上の場合、または機微データの場合は義務
South Korea	PIPA	PIPCに72時間以内	遅滞なく	GDPRの期限を踏襲
Singapore	PDPA	PDPCに暦日で3日以内	可能な限り速やかに	重大な損害または大規模な影響が基準

競合解決フレームワーク

原則 1：最も短い期限を優先する

通知期限が競合する場合は、常に該当する最も短い期限に間に合うよう準備してください。通常、次のようになります。

• EU／英国の GDPR の 72 時間期限を主要な通知スケジュールとします。
• 米国各州への通知は並行して準備し、法定要件を満たし次第、速やかに送付します。
• GDPR の 72 時間以内の通知により、ほとんどの米国各州で「不合理な遅延なく」という基準を満たせます。

原則 2：要件を網羅するコンテンツのアプローチ

各法域のコンテンツ要件をすべて網羅する単一の中核通知文書を作成し、その後、法域ごとの形式に合わせて調整します。

コンテンツ要素	GDPR 第 33 条第 3 項	カリフォルニア州民法第 1798.82 条	ニューヨーク州一般事業法第 899-aa 条	テキサス州事業商業法第 521.053 条
侵害の性質	必須	必須	必須	必須
影響を受けたデータのカテゴリー	必須	必須（具体的な項目）	必須	必須
データ主体の人数	必須（概数）	必須ではないが推奨	必須	必須
DPO／連絡先の詳細	必須	連絡先の詳細が必須	連絡先の詳細が必須	連絡先の詳細が必須
起こり得る結果	必須	明示的な要件なし	明示的な要件なし	明示的な要件なし
実施した対策	必須	是正措置が必須	是正措置が必須	必須
クレジット・モニタリングの提供	必須ではない（ただし一般的）	SSN／金融情報の場合は必須	推奨	SSN の場合は必須
SA への通知に関する記載	必須	AG への通知が必須	AG への通知が必須	AG への通知が必須

原則 3：並行して進める対応トラック

並行する作業トラックを通じて通知を管理します。

トラック 1：EU／英国 GDPR（72 時間を優先）

• 72 時間以内に主導 SA へ通知
• 調査が継続中の場合、第 33 条第 4 項に基づく段階的な通知
• 高リスクと判断してから 7 日以内に第 34 条に基づくデータ主体への通知

トラック 2：米国各州への通知（州によって異なります）

• 影響を受けた居住者がいる各州の AG への通知
• 州ごとの要件に従った個別通知
• 個別通知が実行可能でない場合は代替通知

トラック 3：その他の国際法域

• OAIC への通知（オーストラリア）：30 日以内
• OPC への通知（カナダ）：実行可能な限り速やかに
• 該当する場合、その他の法域への通知

主導監督機関の決定

主たる拠点がドイツのベルリンにある Stellar Payments Group の場合：

• 主導 SA：Berliner Beauftragte für Datenschutz und Informationsfreiheit
• 関係する SA：影響を受けたデータ主体が居住する EU 加盟国の SA
• ワンストップショップの仕組み：主導 SA が第 60 条に基づき、関係する SA と連携します
• 例外：侵害が別の加盟国にある拠点のみに関係する場合、またはその国のデータ主体にのみ実質的な影響を及ぼす場合、第 56 条第 2 項に基づき、現地の SA が所管当局となることがあります

通知調整チェックリスト

通知前（認知から 24 時間以内）

• データ主体の居住地分析に基づき、影響を受ける法域を特定する
• 各法域に適用される通知法を整理する
• 最も短い通知期限を特定し、主要な対応基準として設定する
• 法域ごとの通知責任者を割り当てる（EU：DPO、米国：法務顧問、APAC：地域プライバシーマネージャー）
• 必要に応じて各法域の外部弁護士に依頼する

EU／英国対応トラック（72 時間の期限）

• 主導 SA を特定し、通知フォームを準備する
• 第 33 条第 3 項のコンテンツ要件を満たす
• 72 時間以内に主導 SA へ通知を提出する
• 国境を越える事案の場合、複数の加盟国が影響を受けていることを主導 SA に伝える
• 影響を受けた加盟国の言語で、第 34 条に基づくデータ主体への通知を準備する

米国トラック（州によって異なります）

• 郵送先住所または請求先住所を使用して、州ごとに影響を受けた住民を特定します
• 影響を受けた住民が500人以上の各州について、司法長官（AG）への通知を準備します
• 州ごとの内容要件に従って、個別通知書の草案を作成します
• 必要な場合（社会保障番号／金融データを対象とする州）は、信用情報のモニタリングを提供します
• 州ごとのコンプライアンス審査のため、外部の米国弁護士に依頼します
• 各州で定められた期限に従って、AGへの通知を提出します
• 各州で定められた期限に従って、個別通知を発送します

国際トラック

• 30日以内にOAICへの通知を準備します（オーストラリア）
• OPCへの通知を「可能な限り速やかに」準備します（カナダ）
• 影響を受けた人の数に基づいて、その他の法域（ブラジル、日本、韓国、シンガポール）を評価します
• 法域ごとの要件に対応するため、現地の弁護士に依頼します

法執行機関との連携

一部の法域では、刑事捜査への支障を避けるため、法執行機関がデータ主体への通知の延期を求める場合があります。

• EU：EDPBガイドライン9/2022では、法執行機関が延期を求める場合があることが認められています。管理者はその要請を記録し、72時間以内に監督機関（SA）への通知を行ったうえで、要請に従う必要があります。
• 米国：多くの州法では、法執行機関の要請に基づく延期が明示的に認められています。延期を記録し、法執行機関から許可が下りたら速やかに通知を行う必要があります。
• ベストプラクティス：法執行機関の要請によりデータ主体への通知が延期される場合でも、監督機関／AGには必ず期限内に通知してください。