はじめに
近年、米国では、Target
やHome Depot な
どの小売業者が保存する顧客のデータが広
範囲にわたって漏えいする事件が相次ぎ、
米国で手厚いデータ保護法の制定を求める
機運が高まっている。米国には、EU一般
データ保護規則（GDPR）のような統一デー
タ保護法の存在する法域とは異なり、包
括的な連邦データ保護法が存在せず、かわ
りに、州法と連邦法のパッチワークが現在
の米国データ保護法を形成している。その
ような中でも、各州におけるデータ漏えい
通知法の導入割合は特に高いものとなり、
2020年現在、全50州、コロンビア特別区、
グアム、プエルトリコ及びバージン諸島で
データ漏えい通知法案が可決されている。
他方、日本では、「個人情報の保護に関
する法律等の一部を改正する法律」が2020
年6月12日に公布され（以下「
改正法」と
いう。）、公布後2年以内に施行されること
となった。改正法により、従来努力義務で
あった個人情報の漏えい等の個人情報保
護委員会への報告及び本人への通知が
義務化され、日本においてもデータ漏えい
通知が原則として必要であることになっ
た。本稿では、データ漏えい時の通知義務に
関する日米の制度を比較しつつ概説する。
「漏えい」の定義
米国:
米国法上、一般的に、「漏えい」（Breach）
とは、コンピュータ化されたデータが権限を
有しない者により取得され、それにより個人
又は事業体が保持する個人識別可能情報の安
全性、機密性又は完全性が脅かされることと
定義づけられる。漏えいは、ハッキングによ
る事業体のコンピュータ・システムへの無断
アクセスなどのデジタルな手段、又は個人識
別可能情報を含んだ会社の所有物の窃盗など
のフィジカルな手段によって生じ得る。
