500,000件の患者データ漏洩：ブラジルANPDが初の制裁手続きを開始、LGPDの執行が本格化

ANPDが動いた：50万人の患者データ漏洩で初の制裁手続き

ブラジル国家データ保護庁（ANPD）が、ある社会組織（OS）に対して制裁手続きを開始しました。約50万人分の患者データが漏洩したとされ、これはブラジル一般データ保護法（LGPD）施行後、初めての本格的な制裁事例となる可能性があります。

Featured Snippet Bait: ANPDが制裁手続きを開始したのは、OSが患者データの保護に適切な措置を講じていなかったため。LGPD第46条はデータ管理者に適切なセキュリティ対策を義務付けており、違反には最大2%の売上高（上限5000万レアル）の罰金が科される可能性があります。

なぜこのニュースが重要なのか？

LGPDは2018年に成立し、2020年に全面施行されましたが、これまで制裁事例はほとんどありませんでした。今回のANPDの動きは、規制当局がついに本気で執行に乗り出したことを示しています。まるで「駐車違反切符を切る代わりに、いきなりレッカー移動してきた」ような衝撃です。

特に医療データはLGPD上で「センシティブデータ」に分類され、より厳格な保護が求められます。今回のケースは、医療機関やその委託先にとって、データ保護対策の緊急性を痛感させるものとなるでしょう。

LGPDの制裁：何が待っているのか？

LGPD違反に対する制裁は、単なる罰金だけではありません。ANPDは以下の措置を取ることができます：

• 罰金：最大でブラジル国内での売上高の2％、または5000万レアル（約13億円）
• データ処理の停止または禁止
• 個人データの削除命令
• 違反の公表

今回のOSがどの程度の制裁を受けるかは今後の手続き次第ですが、少なくとも「制裁が現実のものとなった」という点で、すべての組織にとって警告となるはずです。

OS（社会組織）とは？なぜ狙われた？

OS（Organização Social）は、ブラジルで公共サービスを委託された非営利団体です。病院運営などを行うOSも多く、今回のケースも医療データを取り扱っていたと見られます。OSは営利企業と異なり、罰金の上限が低い可能性もありますが、それでも評判の低下や契約解除などのリスクは計り知れません。

「非営利だからデータ保護は適当でいい」という考えは、もはや通用しない時代です。

他国への影響は？

ブラジルはラテンアメリカ最大の経済国であり、LGPDはEUのGDPRをモデルにしています。今回のANPDの動きは、他のラテンアメリカ諸国（アルゼンチン、メキシコ、コロンビアなど）のデータ保護当局にも影響を与えるでしょう。また、ブラジルに進出している日本企業にとっても、無視できないニュースです。

参考までに、ANPD公式サイトでは、LGPDの詳細やガイドラインが公開されています。

FAQ