【処分事例】リトアニア：ISO27002の遵守違反はGDPRの違反につながると判断

2026年7月7日　ある医療関連企業は、ISO規格には法的拘束力がないため、特定のISOのサブセクションに従わなかったこと自体がGDPR違反には当たらないと主張した。しかし、GDPRのセキュリティ義務はリスクベースのものであり、ISO規格は法律ではないものの、セキュリティ対策が適切かを評価するために用いられる、広く認められたベストプラクティスである。問題となっている健康データの量と機密性を考慮すると、2度の情報漏洩を経て、同社には適切なセキュリティ確保に関してより高い基準が課されることになった。