【GDPRって何？】最大26億円の罰金

6月26日に株式会社プリンスホテルは、サーバーへの不正アクセスによって、外国語Webサイトにて予約をした利用客の個人情報が流出したと発表しました。

これは近年耳にする単なる個人情報流出のニュースだと思うと大間違いで、2018年5月25日にEUで適用が開始された新たな個人情報保護法であるGDPR（GeneralDataProtectionRegulation一般データ保護規則）と合わせて、今後多くのEU圏からの訪日外国人の個人情報を扱う可能性のある日本のインバウンド関連事業者にとっては知っておかねばならないニュースだと言えます。

インバウンド受け入れ環境整備の資料を無料でダウンロードする

訪日ラボのメールマガジン登録はこちら＞（無料）

そもそも「プリンスホテルの委託先サイトの情報漏洩事件」はどのようなものなのか？

個人情報漏洩は6月に2回続いた
今回の情報漏洩はEUのGDPRの罰則規定に該当する恐れが

そもそも「GDPR」とは何なのか？

欧州経済領域（EEA域内）で個人データを取得する企業はすべて「GDPR」の対象となる＝日本の中小企業も例外ではない
「GDPR」の「管理者」・「処理者」とは？

「GDPR」において、インバウンド担当者が気をつけるべきポイントは？

「GDPR」について具体的にはどのような規定に気をつければ良い？

まとめ

そもそも「プリンスホテルの委託先サイトの情報漏洩事件」はどのようなものなのか？

株式会社プリンスホテルは6月26日に「サーバーへの不正アクセスによる、当社外国語Webサイトにてご予約いただいたお客さまの個人情報の流出に関するお詫びとお知らせ」を発表しました。

株式会社プリンスホテルは、外国語Webサイトの運営をファストブッキングジャパン株式会社に委託しており、今回の不正アクセスはFastBooking Japan（ファストブッキングジャパン株式会社）の親会社であるフランス法人ファストブッキング社の所有するサーバーに対して起きたもので、今回の情報漏洩はこのサーバーから約12万4963件の利用客の個人情報が流出したというものです。

個人情報漏洩は6月に2回続いた

個人情報が流出したのは合計して2回。1回目は6月15日金曜日で、フランス法人のファストブッキング社の所有するサーバーに不正アクセスがあり、氏名、国籍、郵便番号、住所、メールアドレス、予約金額、予約番号、予約ホテル名、チェックイン日、チェックアウト日など58,003件の個人情報が流出。2回目の不正アクセスは2日後となる6月17日日曜日。こちらも同様にファストブッキング社の所有するサーバーに不正アクセスがあり、氏名、クレジットカード情報など66,960件の個人情報が流出しました。

ファストブッキング社は20日に事態を把握、22日、23日にファストブッキングジャパン株式会社が株式会社プリンスホテル側に電話とメールで今回の不正アクセスによる情報漏洩を報告、24日にファストブッキングジャパン株式会社日本支社長が株式会社プリンスホテルを訪れ事態の報告を行っています。

今回の情報漏洩はEUのGDPRの罰則規定に該当する恐れが

今回のこのニュースが、なぜ日本のインバウンド関連事業者にとって大きなニュースであると言えるのか？それはEUの新たな個人情報保護法であるGDPR（GeneralDataProtectionRegulation一般データ保護規則）に違反する恐れがあるためです。

このGDPRにした企業には、企業の全世界年間売上高の4％以下、2000万ユーロ以下（※現在の為替レートで約26億円）のいずれか高い方を上限とする高額な制裁金が科される恐れがあります。

今回、株式会社プリンスホテルが外国語Webサイトの運営を委託していた、ファストブッキングジャパン株式会社の親会社であるフランス法人ファストブッキング社のサーバーから流出した個人情報には、EU圏の人々の個人情報も含まれていたであろう事が予測され、そうすると株式会社プリンスホテル側にもGDPRの罰則規定が及ぶ可能性があるためです。

GDPR（GeneralDataProtectionRegulation一般データ保護規則）は欧州議会において2016年4月14日に正式に採択されたもので、2018年5月25日から適用が開始されており、

EUデータ保護法の範囲の拡大
統一性の増大
企業に対する説明責任義務の導入
個人の権利の強化
制裁と執行の強化

を目的としています。

非常に簡単に説明すると、GDPRはそもそもはEUの憲法であるEU基本権憲章によって保護されるべき「個人データの保護に対する権利」を確保するものとして導入されました。なお、ここでいう「個人データ」とは氏名、個人識別番号、所在地データ、職業上のEメールアドレス、IPアドレス、身体的、生理学的、遺伝子的、精神的、経済的、文化的などの情報であるとされています。

この続きから読める内容