データ保護に係る拘束的企業準則プログラム

EYでは、とりわけEYネットワーク企業間の個人データの移転について、欧州のデータ保護法の順守を目的とした拘束的企業準則（BCR）プログラムを策定しました。このBCRプログラムは、BCR管理者ポリシーとBCR処理者ポリシーで構成されています。

BCRプログラムにおける「EY」とは、アーンスト&ヤング・グローバル・リミテッド（「EYG」）の要求事項を順守する義務のある独立したメンバーファーム（「EYメンバーファーム」）およびEY組織内のその他の企業（「EYネットワーク企業」）から成るグローバル組織を指します。EYGはEY組織の中心的なガバナンス企業であり、EYネットワーク企業をまとめ、企業間の協力を調整する役割を担います。

データ保護法とはどのようなものでしょうか。

欧州のデータ保護法では、個人データ¹の利用方法を管理する権利は個人にあるとされています。現在、過去または見込みのあるパートナーおよび構成メンバー、クライアント、サプライヤー、請負業者、ならびにその他の第三者の個人情報をEYが収集し利用する際はデータ保護法が適用され、同法による規制を受けます。

データ保護法によってEYには国際的にどのような影響が及ぶのでしょうか。

データ保護法では、データ保護が適切な水準にない限り、欧州² 外への個人情報の移転は認められません。EYが事業展開する国の中には、欧州のデータ保護機関から個人のデータ・プライバシー権に対して適切な保護がなされていないとみなされている国もあります。

EYではどのような対応をしているのでしょうか。

EYは国をまたいだ個人データの利用が安全に行われ、したがって合法であることを徹底するために適切な措置を講じる必要があります。したがってBCRプログラムでは、欧州のデータ保護法の基準を満たすためのフレームワークを策定し、その結果として欧州内のEYネットワーク企業から欧州外のEYネットワーク企業に転送されるすべての個人データが適切に保護されるようにすることを目的としています。

EYでは、EYの現在、過去および見込みのあるパートナー、構成メンバー、クライアント、サプライヤー、請負業者、その他の第三者のいずれのものであれ、個人データが手作業および自動で処理されるすべてのケースにBCRプログラムをグローバルに適用しています³。

BCRプログラムの中核をなすのは、関連する欧州のデータ保護基準に基づいて解釈されるさまざまな主要規則です。各パートナー、構成メンバーまたは請負業者が個人データを取り扱う際は、これらの規則に従わなければなりません。

すべてのEYメンバーファームには、EYGメンバーへの加盟契約に署名しメンバーになった結果として、BCRプログラムを順守する義務が課されます。EYメンバーファームは加盟契約に署名することにより、EYG規則に規定されるEYのすべての共通基準、手法およびポリシーに従うことになります。BCRプログラムはEYG規則に明記される共通基準の一つです。EYメンバーファームは、その支配下にある企業にもEYG規則順守徹底させる責任を負います。

個人データの管理

EYで処理されている個人情報へのアクセスを希望される場合や、個人情報の訂正、削除、処理の制限、または持ち出し可能な個人情報のコピーをご希望の場合は、EYまでお問い合わせください。