GDPR の制裁金リスクについて、財務諸表に引当金を計上すべきか、偶発負債として開示すべきか？
IAS 37 では、引当金の認識には三つの条件を同時に満たす必要があります。
- 過去の事象の結果として現在の義務（法的または推定的）がある
- 義務の決済のために資源の流出が必要となる可能性が高い
- 義務の金額について信頼できる見積りができる
満たさなければ引当金は認識しません。偶発負債は財政状態計算書に認識しませんが、資源流出の可能性がほとんどない場合を除き、注記で開示します。
GDPR に当てはめると、漏えいがすでに発生したか、監督当局の調査があるか（過去の事象）、手続がどこまで進んだか、金額を見積もれるかを順に確認します。認識、開示、金額は監査人が個別に判断し、法的評価は法律顧問が行います。
制裁金の上限はいくらか？このリスクを取締役会と監査委員会への報告にどう入れるか？
- GDPR 第 83 条：最大 2,000 万ユーロまたは全世界年間売上高の 4% のいずれか高い額。漏えい後は当局と本人への通知、損害賠償請求、評判の損失も生じる
- 台湾の個人情報保護法：2023 年改正以降、非公務機関が安全管理義務に違反した場合の過料の上限は 1,500 万台湾ドル
- ESG 評価 S-13：個人情報保護方針とその実施状況の開示
ESG 評価 G-18 は監査委員会によるリスク管理の監督を認めています。個人情報のリスクを同じリスクマップにまとめ、年次のリスク報告とともに報告します。制裁金を保険でカバーできるかは保険約款と適用法によるため、法律顧問が個別に判断します。ESG 評価の対象は上場・店頭公開企業で、公開発行会社でない企業は対象外で、任意に参考にできます。
海外子会社の従業員基本データを台湾の親会社に送ることは、越境移転に当たるか？
EDPB ガイドライン 05/2021 では、「第三国への移転」には三つの条件を同時に満たす必要があります。①データ輸出者がその処理について GDPR の適用を受ける、②輸出者が個人データを別の管理者、共同管理者または処理者が利用できるようにする、③データ輸入者が第三国にいる。
- 同じグループの別法人は、それぞれ別の管理者または処理者になり得ます。ガイドラインは、EU 子会社が第三国の親会社にデータを提供する例を第 5 章の移転としています
- 同じ管理者の従業員が国外からリモートでアクセスする場合は移転に当たりません
台湾には現在 EU の十分性認定がありません。台湾側では個人情報保護法第 21 条により、中央の所管当局が国際移転を制限できます。個別のケースが移転に当たるかは法律顧問が判断します。
移転の仕組みは、グループにどんなコストと契約作業をもたらすか？
移転に当たる場合は、保護措置を一つ選ぶ必要があり、それぞれコスト構造が異なります。
- 標準契約条項（第 46 条の保護措置）：グループ法人間の契約締結、移転影響評価、越境移転の記録
- 拘束的企業準則（BCR）：グループが EU 域外のメンバーへの移転に用いる方針で、グループのメンバーとその従業員を法的に拘束します。管轄のデータ保護機関の承認が必要で、EDPB の意見を経て承認されます
依頼可能な業務にはシステム改修と弁護士の正式な意見書は含まれないため、別途予算化が必要です。CFO は法的意見、契約管理、承認までの時間をまとめて予算計画に入れるべきです。
予算編成：ISO 27701 を単独で導入する場合と ISO 27001 と統合する場合、コスト構造はどう違うか？
| 経路 | 向いている場合 | 予算の重点 |
|---|---|---|
| 単独導入 | ISO 27001 がまだない | 範囲、リスク、監査、マネジメントレビューを一から構築 |
| ISO 27001 と統合 | ISO 27001 がある | 既存の制度を再利用し、個人情報固有の管理策と役割の定義に重点 |
コストは役割（管理者か処理者か）、範囲、対応する法令の数にも左右されます。認証費用は認証機関が範囲に応じて見積もる外部費用です。見積もりは文書のページ数では決まりません。このページでは費用を記載しません。
ISO 27701 の認証は GDPR への適合を意味するか？期間はどれくらいか？
意味しません。ISO 27701 の認証はマネジメントシステム認証であり、GDPR 第 42 条の認証制度ではありません。第 27 条の EU 代理人、SCC のモジュール選択、DPIA が義務かどうかは、ISO 27701 が扱わない法的判断です。
サービスページ記載の期間：
- GDPR の基礎的な遵守体制：通常 2〜3 か月
- ISO 27701 認証と統合：5〜8 か月。ISO 27001 の基盤があれば 3〜5 か月に短縮可能
2019 年版の証明書保有者の移行期間は 2028 年 10 月までの見込み（認証機関の公表による）で、次回の再認証サイクルに移行を組み込めます。
積穗科研は CFO の GDPR と ISO 27701 への対応をどう支援するか？
- 副社長・取締役クラスのコンサルタントが外注せず一貫して支援します
- ISO 27701 の PIMS の枠組みで GDPR と台湾の個人情報保護法を統合し、一つの制度で両方を満たして重複を避けます
- SCC の契約条項の審査、移転影響の評価、越境移転の完全な記録の整備を支援し、72 時間以内の漏えい通知の演習と年次レビューの仕組みを構築します
- 会計上の認識と法的意見は、それぞれ監査人と弁護士が担います
顧客の許諾を得て公開している個人情報保護の支援実績：金融聯合徵信中心（JCIC）、Lativ、卓元科健、超核心フィットネスセンター（Hypercore）。詳しく：GDPR 対応支援、ISO 27701、GDPR コンサルタントの選び方、ISO 27701 の予算、CFO 向けページ。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CFO が ERM を導入するとき：取締役会報告、年次報告書のリスク事項、ESG 評価で何を準備すべきか？
- CFO から見た ISO 27001：年次報告書のサイバーセキュリティ開示、ESG 加点、予算の組み方
- CFO が ISO 37001 を導入するとき：財務統制、誠実経営の開示、越境贈賄リスクをどう管理するか？
- CFO から見た営業秘密と ISO 56001：研究開発の価値保護と ESG 加点をどう考えるか？
- CFO が ISO 22301 を導入するとき：業務中断の損失、RTO への投資、予算をどう見積もるか？
- CFO から見た DORA：EU 金融機関の顧客との契約条項と制裁リスクをどう評価するか？
- CFO から見た EU CRA と EU AI 法：EU 売上のリスク、制裁金、予算をどう組むか？
- CFO が見る NIS2：制裁金の上限、経営陣の責任、引当金の判断
- CFO が見る DX：予算の組み方、効果の測り方、費用の会計処理
- CFO が見る AI 変革：投資効果、制裁リスク、費用の会計処理
役割の概要に戻る：CFO はセキュリティ、リスク、コンプライアンスへの投資をどう判断すべきか？8 の要求事項を一つずつ解説
公式情報源
- IFRS Foundation：IAS 37 Provisions, Contingent Liabilities and Contingent Assets（準則摘要）
- IFRS Foundation：ASAF 2024 年 7 月議程文件 AP3E（引述 IAS 37 第 14 段）
- Regulation (EU) 2016/679 GDPR（EUR-Lex）
- EDPB：Guidelines 05/2021 on the interplay between Article 3 and Chapter V of the GDPR（v2.0，2023-02-14）
- European Commission：Binding corporate rules (BCR)
- EDPB：Binding Corporate Rules
- 臺北市法規查詢系統：法務部函引個人資料保護法第 21 條
- 臺北市法規查詢系統：法務部 107.08.21 法律字第10703511390號函