今からでも間に合う「GDPR」対策【第1回】

いまさら聞けない「GDPR」（一般データ保護規則）の真実　“罰金2000万ユーロ”の条件は？（2/4 ページ）

公開 2017年08月17日 05時00分

更新 2017年12月26日 15時49分

著者

手柴雄矢

[デロイトトーマツサイバーセキュリティ先端研究所]

印刷する連載新着通知を受け取る

域外移転

　EUや欧州経済地域（EEA）から域外への個人データの移転には条件が課されており、移転先の国がEUの「十分性認定」を受けている場合に移転することができます。十分性認定とは、その国の個人データ保護が十分なレベルにあるとEUが認めることです。残念ながら日本は本稿執筆時点では、この十分性認定を受けていません。ただし下記に挙げる「適切な保護措置」を講じることで、日本へのデータ移転が可能になります。十分性認定を受けていない他の国や地域へ移転する場合も同様です。

表2　データ移転に関わる「適切な保護措置」（出典：デロイトトーマツリスクサービスGDPRセミナーの大場敏行氏による講演資料から抜粋・整理）
適切な保護措置	概要
明確な同意の取得	・データ主体から個人データ移転に明確な同意を得る
拘束的企業準則（BCR： Binding Corporate Rules）	・グループ企業内で統一された情報管理を実施している場合に選択できる・その情報管理の方法を文書化し、監督機関に申請をして承認を得る。これによりグループ企業を包括した個人データ移転が認められる・監督機関に提出する文書には、SDPC（次項参照）と比べて情報管理に関する詳細な記載が求められ、外部専門家の助力が必要になる場合が多い
標準契約（SDPC： Standard Data Protection Clause、注）	・所定の契約フォーマットを使用して、監督機関への届け出、申請、承認取得などをする・個別契約を取り交わした企業間のみに適用され、その種類は管理者間の契約「Set I」「Set II」と、管理者と処理者間の契約を併せて計3種類のフォーマットがある
承認された契約	・監督機関が承認した契約条文に基づく
認証（Certification）	・後述する第29条作業部会が改組されて設立される「欧州データ保護会議」（EDPB）または監査機関が承認する基準に基づいて認証される・認証は3年間有効であり、延長ができる・今後、認証機関が設置される予定であり、詳細は未定となっている
行動規範の順守（Codes of conduct）	・業界団体がその特質を踏まえ、GDPRの順守を目的とした行動規範を作成する・監督機関が、適切な安全対策を講じていると判断して行動規範を承認した場合には、その行動規範に基づいて行動する企業は、GDPRの要求事項を満たすものとされる・行動規範の作成、順守状況の監視をする機関など、未定な部分が多い

※注：データ保護指令の「SCC： Standard Contractual Clauses」に相当

課せられる義務

　GDPRは、大別して3つの実施主体に関する権利・義務を規定しています。

　1つ目は、個人データの持ち主である本人（データ主体）です。GDPRはデータ主体が行使できる権利について定めています。データ主体は、管理者が保有する自身の個人データに対して訂正・消去する権利、他の管理者に移行する権利（データポータビリティ）などを行使できます。逆に考えると、企業などはデータ主体からこのような権利を行使された場合には、GDPRの法令にのっとり遅滞なく対応する必要があります。

　2つ目は、EUおよびその加盟国です。GDPRは、各加盟国に本法令の適用を監視する責任を持つ独立した公的機関、つまり監督機関を設置することを規定しており、当該監督機関が有する権限や義務について定めています。適用対象となる日本企業は、これら監督機関と協力し、必要に応じて申請や通知をする必要があります。監督機関は現在「Data Protection Authority」（DPA）と呼ばれています。

　3つ目は、個人データを取り扱う企業などです。GDPRは管理者と処理者に対して、

個人データの保護
EU・EEA域外への移転制限
データ保護責任者の設置
データ侵害発生時の通知

などに関わる義務を定めています。適用対象となる日本企業は、まさにこれらの義務について法令を読み解き、適切に対応する必要があります。以下に、管理者および処理者の主な義務を示します（デロイトトーマツリスクサービスGDPRセミナーの大場敏行氏による講演資料から抜粋・整理）。

処理の法的根拠（第6条～）
- 管理者は、個人データを取得するときに、データ主体に対して処理の目的およびその処理の法的根拠などを通知する必要がある
データ主体の権利の尊重（第12条～第23条）
- 管理者は、アクセス、訂正／消去、データポータビリティ、異議、制限など、データ主体の権利を尊重するための仕組みの整備が求められる
プライバシーバイデザイン（第25条）
- 管理者は、プライバシーリスクを考慮し、データ主体の権利および自由を保護するために必要な安全管理措置を講じる必要がある
処理活動の記録（第30条）
- 管理者は、その責任において処理活動の記録を保管する必要がある
組織的・技術的安全管理措置（第32条）
- 管理者および処理者は、プライバシーリスクを考慮した上で、リスクに適切に対処する一定レベルの安全性を確保することが必要になる
データ侵害の通知（第33条、第34条）
- データ侵害（漏えい、滅失など）が発生した場合には、認識後72時間以内に、主要な監督機関へ通知することが必要になる。またデータ主体に対しても通知することが求められる
データ保護影響評価（第35条）
- 新たな技術を用いる処理や、重大なリスクが生じる恐れがある場合には、管理者は個人データの保護に関する影響を評価する必要がある
特定の役割を担う者の選任（第37条、第27条）
- 管理者または処理者は、データ保護に関する権限ある者やEUにおける事業者の代理人といった、特定の役割を担う者を選任する必要がある

次ページへ GDPRで対象となる「個人データ」の具体例

印刷する

今からでも間に合う「GDPR」対策

欧州連合（EU）で2018年5月に適用開始となる「EU一般データ保護規則」（GDPR）。欧州の規則だからといって、国内企業にとっても決して“対岸の火事”ではない。それはなぜなのか。必要なシステムとは。IT部門が知っておくべきGDPRの基礎知識と対策を示す。GDPR対策のガイドラインとして活用していただきたい。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

手柴雄矢

国内大手金融・製造業をはじめ、さまざまな業種のクライアントに対して、リスクマネジメント領域のコンサルティング業務に従事。規制対応を含め、サイバーリスク領域を重要な経営課題と位置付け啓発活動に力を入れている。クライアント企業におけるセキュリティ戦略立案、組織立ち上げ、制度設計など、実績多数。公認情報システムセキュリティプロフェッショナル（CISSP）。