【速報】オーストラリアのデータ漏洩通知制度が厳格化：NZとの連携で企業はどう備えるべきか

データ漏洩、もう隠し通せない

オーストラリアのプライバシー法改正により、Notifiable Data Breaches (NDB) schemeが強化されました。これまでも個人情報漏洩時の報告義務はありましたが、新制度では報告対象が拡大し、罰則も厳しくなっています。しかも、ニュージーランドのPA (Privacy Act) との連携も視野に。まさに「逃げ場なし」の時代です。

Featured Snippet Bait: オーストラリアのNDB schemeとは、個人情報の漏洩が発生した場合、影響を受ける個人と規制当局（OAIC）に速やかに通知することを義務付ける制度です。2023年の改正で、報告基準が「重大な害を及ぼす可能性」から「個人の権利や自由にリスクをもたらす場合」に拡大されました。

改正のポイント：何が変わった？

報告基準の緩和

従来は「重大な害」が発生する恐れがある場合のみ報告が必要でしたが、改正後は「個人の権利や自由にリスク」があれば報告対象に。これにより、例えばメールアドレスや電話番号の漏洩でも報告が必要になるケースが増えました。

報告期限の厳格化

漏洩を認識してから30日以内に報告しなければなりません。しかも、その30日間は調査期間として認められるもので、実際にはもっと早い報告が求められます。まるで「冷めたピザを30分以内に配達しろ」と言われているようなプレッシャーです。

罰則の強化

違反した場合の罰金は、個人で最大50万豪ドル、企業は最大1,000万豪ドルまたは年間売上高の10%のいずれか高い方。これまで「報告しなくてもバレなきゃいいや」と考えていた企業は、考えを改める必要があります。

NZとの連携：越境データ保護の流れ

ニュージーランドも2020年にPrivacy Actを全面改正し、データ漏洩通知義務を導入。両国は緊密な経済関係にあり、データ保護の調和が進んでいます。特に、越境データ移転に関する規制が強化され、両国間でのデータ流通にも影響が出るでしょう。企業は、両方の法律を同時にクリアする必要があります。

企業が今すぐ取るべき対策

• インシデント対応計画の見直し：漏洩発覚から30日以内に報告できる体制を整える。具体的には、報告テンプレートの準備、担当者の訓練、外部専門家との連携。
• データマッピングの実施：どの個人情報をどこで保持しているか把握する。これがないと、漏洩発生時に影響範囲を特定できず、報告が遅れる。
• プライバシー影響評価（PIA）の定期実施：新規プロジェクトやシステム変更時にPIAを行い、リスクを事前に洗い出す。
• 従業員教育：データ漏洩の兆候を見逃さないよう、全従業員にトレーニングを実施。特にフィッシングメールの見分け方など。

FAQ