ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、次のように説明する。「GDPRの範囲は実に大きく設定されている。GDPRでは、企業がEUに住む個人のデータを扱えば、その企業がEU内に設立されていなくても規制の対象となる。160万キロ離れたオーストラリアにいても、EUに住む個人のデータを扱っていればGDPRの効果が及ぶというのは興味深い。この規制について多くの企業は悩んでいる。だが、企業は悩みながらも、この規制を受け入れ始めなければならない」

GDPRの基本

　欧州委員会が公開しているデータ保護の改定に関するQ＆Aによれば、GDPRがもたらす変更によって、「人々は自分の個人データに対して今より大きな裁量を得て、より簡単にアクセスできるようになる」という。また、この規則は、個人情報が送信、処理、保存される場所を問わず、個人情報が確実に保護されるように考案されている。インターネットではよくあることで、その場所がたとえEUの外であっても同じだ。

　2015年末、司法、消費者および男女平等担当委員を務めるベラ・ヨウロワー氏は、次のように語っている。「この改定によって、各個人が自分のデータに対する主導権を取り戻せる。この新しい規則では、自分の個人データにより簡単にアクセスできるようになり、『忘れられる権利』が明確になる。さらに、サービスプロバイダー間での個人データの転送全般に関するデータ運用の権利や、個人のデータが関わるデータ侵害について通知を受ける権利が付与される」

　それから、ヨウロワー氏は次の点を強調している。「今回の規制の改定では、全てのEU加盟国に対する一連の規則や企業がデータ保護に際して対応しなければならない監督当局を確立したことに始まり、企業に対して明確な規則を課すことになる。もう1つの重要な変更点は、ヨーロッパ以外の国に本拠地を置く企業がEUでサービスを提供する場合にも同じ規則が適用されなければならないことだ」

　つまり、EU内に顧客を抱える企業やEUに住む個人のデータを保持している企業は、この新しい規則に従うことが求められる。そのため、この最後の変更点は極めて重大だ。さらに、この規制では、投票によってEU離脱が決定した英国も範囲に含まれる。

　CipherCloudで製品マーケティング部門のシニアディレクターを務めるデビッド・バーマン氏は次のように指摘する。「英国がEUを離脱しても、EUでビジネスをする英国企業に対するGDPRの要件が変わることはないだろう。英国企業がEUの『データ主体』の個人情報を集めるなら、その企業はGDPR下で厳しさを増したデータプライバシー規則に備えなければならない」

　「英国がEUから脱退する際には、多くの法律を制定または改正する必要がある。英国の消費者はプライバシーに対して非常に強い関心を持っている。そのため、英国企業は、2018年5月に施行されるGDPRのスケジュールに従う可能性が高い」（バーマン氏）

　GDPRでは、個人データの定義範囲も広がっている。GDPRは個人データを「特定済みまたは特定可能な自然人（データ主体）に関連する全ての情報を含むもの」と定義している。また、特定可能な自然人とは、「特に名前、ID番号、位置データ、オンラインIDなどの識別子またはその自然人について1つ以上の身体、心理、遺伝子、精神、経済、文化または社会的なアイデンティティーに固有の因子を参照することで、直接的または間接的に特定できる個人を指す」と定義している。

　GDPRのプライバシー規制が取り入れられる結果の1つとして、企業と組織は、規制に準拠するために2018年5月までに2万8000人ものデータ保護担当者を任命しなければならない可能性がある。

　また、GDPRを適切に履行して順守しなかった場合の潜在的なリスクは非常に大きくなるかもしれない。違反した場合の罰金は、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上るだろう。

　ただし、この規制が比較的小さな企業に及ぼす影響は少ないと思われる。「例えば、中小企業はデータ保護担当者などを用意したりする必要はない。ただし、業務内容がデータ処理に特化しているかどうか、企業の規模などを考慮に入れると、中小企業にデータ保護担当者は必要ないだろう。だが、規則の大部分には従わなければならない」とフレイジ氏は説明する。

　ヨーロッパから発信されるデータについては、企業が個人データの送信を許可されていることを文書化できなければならない。それから、企業はヨーロッパから外に発信されるデータを安全に保護するための技術的かつ組織的に適切なセキュリティ対策を講じる必要もある。

　後編では、GDPRに準拠するための準備について解説する。