データプライバシーの観点において、ヨーロッパをはじめとした世界各国には、日本と比べて大きく異なる点がある。対策や事故報告に不備があった場合のペナルティだ。施行直前には日本国内でも大きく話題になったが、欧州連合（EU）の一般データ保護規則（GDPR）が2018年に施行されたのを背景に、対策や事故報告の不備に対する厳罰化の動きが世界的に存在している。
近年の最も代表的な事例は、韓国通信事業者SK Telecomで2025年4月に発生した個人情報漏えい事案だろう。韓国個人情報保護委員会（PIPC）は、対策上の不備や事故報告の遅延を理由に、合わせて1347億ウォン（約160億円）という巨額の課徴金を課す決定を下した。
具体的には、アクセス権限や特権管理の不備、セキュリティ更新の未適用、データの平文保存、監督責任者の過失、監督当局とデータ主体への事故報告の遅延といった多岐にわたる対策上の不備をペナルティの理由として挙げている。具体策の欠如や不備が、明確に罰則の対象となっているのだ。
対策や事故報告の不備や過失に対する制裁は、決して例外的なものではない。昨年1年間だけを見ても、韓国での事例に加えてドイツ、英国、米国、ポーランド、オーストラリア、スペイン、エストニアと、実にさまざまな国・地域の監督機関が、対策上の不備や事故報告の遅延などを理由に日本円で億単位にのぼるペナルティを企業に対して課している実績がある。
事故報告については、米国では証券取引委員会（SEC）やサイバーセキュリティ・インフラセキュリティ庁（CISA）が、それぞれ上場企業や重要インフラ企業に対して、ヨーロッパでは重要インフラに対して義務化の方向で動いている。
厳格化の背景にある「権利侵害」という考え方
最高情報セキュリティ責任者（CISO）をはじめとするさまざまな企業のセキュリティ責任者や経営者と会話をすると、対策上の不備や報告義務違反に対して高額のペナルティが課せられている海外の実態に抵抗を感じていることがよくわかる。どんなに対策が杜撰だったとしても、国内では警告レベルにとどまっていることから無理もないだろう。
厳格化の背景には「権利侵害」という考え方がある。
