2018年施行、EUの個人情報規則【前編】
違反したら巨額の罰金、EUの「一般データ保護規則」（GDPR）とは
欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編ではGDPRの基本を解説する。
EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》
2018年5月は遠い先のことのように思える。だが、欧州連合（EU）に住む個人のデータを集めて処理し、保持する企業にとって、その日は刻々と近づいている。2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。
この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する。この新たなプライバシー規則により、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。
併せて読みたいお勧め記事
EUデータ保護規則についておさらい
パブリッククラウドにデータを預けるリスクとは
欧米間の個人データ移転に関する話題
ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、次のように説明する。「GDPRの範囲は実に大きく設定されている。GDPRでは、企業がEUに住む個人のデータを扱えば、その企業がEU内に設立されていなくても規制の対象となる。160万キロ離れたオーストラリアにいても、EUに住む個人のデータを扱っていればGDPRの効果が及ぶというのは興味深い。この規制について多くの企業は悩んでいる。だが、企業は悩みながらも、この規制を受け入れ始めなければならない」
GDPRの基本
欧州委員会が公開しているデータ保護の改定に関するQ＆Aによれば、GDPRがもたらす変更によって、「人々は自分の個人データに対して今より大きな裁量を得て、より簡単にアクセスできるようになる」という。また、この規則は、個人情報が送信、処理、保存される場所を問わず、個人情報が確実に保護されるように考案されている。インターネットではよくあることで、その場所がたとえEUの外であっても同じだ。
2015年末、司法、消費者および男女平等担当委員を務めるベラ・ヨウロワー氏は、次のように語っている。「この改定によって、各個人が自分のデータに対する主導権を取り戻せる。この新しい規則では、自分の個人データにより簡単にアクセスできるようになり、『忘れられる権利』が明確になる。さらに、サービスプロバイダー間での個人データの転送全般に関するデータ運用の権利や、個人のデータが関わるデータ侵害について通知を受ける権利が付与される」
それから、ヨウロワー氏は次の点を強調している。「今回の規制の改定では、全てのEU加盟国に対する一連の規則や企業がデータ保護に際して対応しなければならない監督当局を確立したことに始まり、企業に対して明確な規則を課すことになる。もう1つの重要な変更点は、ヨーロッパ以外の国に本拠地を置く企業がEUでサービスを提供する場合にも同じ規則が適用されなければならないことだ」
つまり、EU内に顧客を抱える企業やEUに住む個人のデータを保持している企業は、この新しい規則に従うことが求められる。そのため、この最後の変更点は極めて重大だ。さらに、この規制では、投票によってEU離脱が決定した英国も範囲に含まれる。
CipherCloudで製品マーケティング部門のシニアディレクターを務めるデビッド・バーマン氏は次のように指摘する。「英国がEUを離脱しても、EUでビジネスをする英国企業に対するGDPRの要件が変わることはないだろう。英国企業がEUの『データ主体』の個人情報を集めるなら、その企業はGDPR下で厳しさを増したデータプライバシー規則に備えなければならない」
「英国がEUから脱退する際には、多くの法律を制定または改正する必要がある。英国の消費者はプライバシーに対して非常に強い関心を持っている。そのため、英国企業は、2018年5月に施行されるGDPRのスケジュールに従う可能性が高い」（バーマン氏）
GDPRでは、個人データの定義範囲も広がっている。GDPRは個人データを「特定済みまたは特定可能な自然人（データ主体）に関連する全ての情報を含むもの」と定義している。また、特定可能な自然人とは、「特に名前、ID番号、位置データ、オンラインIDなどの識別子またはその自然人について1つ以上の身体、心理、遺伝子、精神、経済、文化または社会的なアイデンティティーに固有の因子を参照することで、直接的または間接的に特定できる個人を指す」と定義している。
GDPRのプライバシー規制が取り入れられる結果の1つとして、企業と組織は、規制に準拠するために2018年5月までに2万8000人ものデータ保護担当者を任命しなければならない可能性がある。
また、GDPRを適切に履行して順守しなかった場合の潜在的なリスクは非常に大きくなるかもしれない。違反した場合の罰金は、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上るだろう。
ただし、この規制が比較的小さな企業に及ぼす影響は少ないと思われる。「例えば、中小企業はデータ保護担当者などを用意したりする必要はない。ただし、業務内容がデータ処理に特化しているかどうか、企業の規模などを考慮に入れると、中小企業にデータ保護担当者は必要ないだろう。だが、規則の大部分には従わなければならない」とフレイジ氏は説明する。
ヨーロッパから発信されるデータについては、企業が個人データの送信を許可されていることを文書化できなければならない。それから、企業はヨーロッパから外に発信されるデータを安全に保護するための技術的かつ組織的に適切なセキュリティ対策を講じる必要もある。
後編では、GDPRに準拠するための準備について解説する。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
2
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
3
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
4
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
5
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
6
「有線LAN環境」に関するアンケート
-
7
生成AIが普及しても「技術書」を手放せないエンジニアの本音
-
8
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
9
積水化学工業が「SAP S/4HANA Cloud」の“全グループ導入”に踏み切った訳
-
10
データセンター事業者が「脱VMware」をした“例のライセンス問題”じゃない理由
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー