今からでも間に合う「GDPR」対策【第1回】

いまさら聞けない「GDPR」（一般データ保護規則）の真実　“罰金2000万ユーロ”の条件は？（1/4 ページ）

EUで2018年5月に適用開始となる「GDPR」が、国内企業にとっても無視できないのはなぜなのか。具体的に国内企業にどのような影響があるのか。誕生までの歴史を含めて、あらためて整理します。

　近年、プライバシー保護の分野において注目度が高まっているキーワードに欧州連合（EU）の一般データ保護規則、いわゆる「GDPR」（General Data Protection Regulation、以下GDPR）があります。これはEUにおけるプライバシー保護を強化する法令です。施行の期日が近づいてきたことから、ニュース記事や解説記事でGDPRという単語を目にする機会が増え、グローバルに事業を展開する企業の法務やリスク管理担当部門の方々の関心と危機感が高まっています。一方でGDPRとはそもそも何なのか、肝心な中身について十分に把握できている人は、それほど多くないのが現状です。

GDPRの成立の背景と歴史

　GDPRは、2016年4月27日にEU議会およびEU理事会によって新たに採択され、その後約2年の期間を経て2018年5月25日に適用が開始される予定です。GDPRが採択された背景には、

• 欧州に欧州人権条約や経済協力開発機構（OECD）の理事会勧告（いわゆるプライバシー8原則）など、人々の人権やプライバシーに関わるルールを厳格に運用してきた歴史があること
• EUの現行法である「データ保護指令」（EU Directive 95/46/EC）の見直しが必要とされていたこと

などがあります。データ保護指令は1995年から適用されており、既に20年以上が経過しています。そのためグローバル化するビジネスや情報通信技術の発達、ビッグデータ活用の拡大などに対処するために、プライバシー保護のルールを見直す必要がありました（図）。

　GDPRが適用されることになる企業は、2018年5月の適用開始までに必要な準備をする必要があります。執筆時点で既に残りの期間は1年を切っています。筆者がクライアント企業や社内から漏れ聞く限りでは、一部の大手グローバル企業を除き、一定の対応が済んでいる企業は少数だと考えられます。2017年5月に施行された日本のいわゆる改正個人情報保護法への各企業の対応状況に鑑みると、比較的多くの企業が2018年5月ギリギリを目標に、駆け込み対応を進めていくのが実情ではないでしょうか。

企業が留意すべきポイント

　GDPRは11個の章、99個の条文で構成されており、個人データの取り扱いに関わる、さまざまな要件が定められています。それでは、企業はどのようなポイントに留意して準備を進める必要があるのでしょうか。まずはGDPRの全体構成を表1に示します。

　上記にはデータ主体や監督機関などに関する規定も多く含まれています。企業の目線でGDPRを見た場合の主なポイントを以下に挙げます。本稿では、これらのポイントに沿って解説します。連載第2回以降で、具体的な対応について深掘りしていきます。

1. 域外適用
   • EU域内に拠点を持たない企業も適用対象となる場合がある
2. 域外移転
   • 十分性認定を受けていない国、地域への個人データの移転には、適切な保護措置が求められる
3. 課せられる義務
   • 個人データの安全管理措置、監督機関への通知などにかかわる、さまざまな義務を順守する必要がある
4. 対象となる個人データ
   • 氏名、住所などに加え、IPアドレスや位置情報なども個人データになる場合がある
5. 巨額な制裁金
   • 2000万ユーロまたは年間売上高4％のどちらか高い方を上限に、制裁金を科せられる可能性がある

域外適用

今からでも間に合う「GDPR」対策

欧州連合（EU）で2018年5月に適用開始となる「EU一般データ保護規則」（GDPR）。欧州の規則だからといって、国内企業にとっても決して“対岸の火事”ではない。それはなぜなのか。必要なシステムとは。IT部門が知っておくべきGDPRの基礎知識と対策を示す。GDPR対策のガイドラインとして活用していただきたい。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  施行迫るGDPR　“72時間ルール”に企業が警戒すべき理由

• 

  EUの「一般データ保護規則」（GDPR）、施行日までに確認すべきポイントは

• 

  GDPR対策にデータ追跡と暗号化が必須な理由

• 

  GDPR適用開始で「サイバーセキュリティ保険」の保険料が増える？

• 

  「GDPR」のせいで欧州が米国並みの“大訴訟社会”になる？

新着ホワイトペーパー PR

• 技術文書・技術解説
  [アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？　使い方や導入の流れは？
• 製品資料
  [株式会社みらい翻訳] 音声翻訳活用の課題を解決、“本当に使える”ツールの特徴とは？
• 製品レビュー
  [Wrike Japan 株式会社] 400店舗を支えるWalmart Canada、散在する情報やアナログな管理をどう変えた？
• 事例
  [Wrike Japan 株式会社] 年間100件超のDXプロジェクトを統合管理、JERAはどのように実現した？
• 事例
  [Wrike Japan 株式会社] グローバルなクリエイティブ業務を合理化、エスティーローダーに学ぶ実践のコツ