今からでも間に合う「GDPR」対策【第1回】

いまさら聞けない「GDPR」（一般データ保護規則）の真実　“罰金2000万ユーロ”の条件は？（3/4 ページ）

公開 2017年08月17日 05時00分

更新 2017年12月26日 15時49分

著者

手柴雄矢

[デロイトトーマツサイバーセキュリティ先端研究所]

印刷する連載新着通知を受け取る

対象となる個人データ

　GDPRにおける個人データにはどのようなものがあるでしょうか。実際の条文を見てみましょう。

* 第1章第4条1項

「個人データ」とは、識別された、または識別され得る自然人に関するあらゆる情報を意味する

　条文には「自然人（Natural person）に関するあらゆる情報」との記載があります。GDPRは個人データを3つの種類に大別し、情報の取り扱いの厳しさに濃淡を付けています。なお条文の「識別され得る」（Identifiable）とは例えば、あるシステムのユーザーIDを保有しており、当該情報のみでは個人を特定できない場合でも、組織の他のデータベースに保存された情報と突合することで、個人を特定できる可能性がある場合などが考えられます。個人データの例を表3に示します。

表3　個人データの例（出典： GDPR原文から抜粋・整理）
種類	個人データの例	取り扱いの厳しさ
個人データ	・氏名、識別番号、位置データ、オンライン識別子などの情報・物理的、遺伝的、精神的、経済的、文化的もしくは社会的アイデンティティーなどの要素のうち、個人を特定され得る情報など	・企業などの管理者・処理者が適切な保護措置を講じることで取り扱いが可能
特別なカテゴリーの個人データ	・人種、民族的素性、政治的思想、宗教的・哲学的信条、労働組合員資格、遺伝データ、生体データ、健康、性生活、性的指向に関する情報など	・原則取り扱いは禁止。ただし本人が明示的に同意した場合や、医療、公共の利益を目的とする場合などは、一定の条件の下で取り扱いが可能
有罪判決および犯罪にかかわる個人データ	・有罪判決の結果、犯罪歴の情報など	・公的機関の管理下、またはEUおよび加盟国の法律で認められている場合のみ取り扱いが可能

　EUには、プライバシー保護に関連する共通の解釈やガイドラインの検討・作成などを担う、いわゆる「第29条作業部会」（Article 29 Working Party）という組織があります。これは現行法であるデータ保護指令の第29条に基づいて設置されています。当該組織は意見書（「Opinion 4/2007 on the concept of personal data」）で、実際にどのような情報が個人データに該当するかについて意見を出しています。以下にその判断例を示します。

表4　第29条作業部会の判断例（出典：デロイトトーマツリスクサービスGDPRセミナーの大場敏行氏による講演資料から抜粋・整理）
情報	第29条作業部会の判断例
自動車サービス記録	走行距離やサービスを受けた日付、技術的な問題、その他の状況に関する情報は、ナンバープレートやエンジン番号の記録と関連付けることができ、最終的に所有者と関連付けることができる
タクシーの位置情報の監視	タクシー会社が、リアルタイムでタクシーの位置を把握できる仕組みを導入した場合、運転手の仕事を監視し、スピード制限を順守しているかどうか、適切な経路を選択しているかどうかをチェックすることができる。そのため特定の個人に対して重大な影響を与えることができる点で、データは自然人に関するものと見なされる
動的に割り当てられるIPアドレス	コンピュータの使用者を識別する目的でIPアドレスが利用され得る状況（例えばIPアドレスから、知的財産権違反であるコンピュータ使用者を特定する場合など）では、IPアドレスは個人データと見なされる。使用者を確実に識別できない状態を除き、安全のために全てのIPアドレスを個人データとして扱わなくてはならない
統計に当たって未集計のデータ	統計機関が個人データを処理するとき、一時的に未集計の状態で、特定の個人と関係した情報を保存する。その際、名前の代わりに符号（「X1234」など）を用いることがある。統計機関が、名前を照合できる他の情報を持っていれば、合理的に個人を識別することが可能になる。そのため、これら一連の情報は個人データと見なされる
統計調査と部分的な情報	どれほど大量の母数を有する統計情報であっても、例えば6000人の住民の町に医者が1人しかいないような場合、個人を識別する情報になり得る

次ページへ「罰金2000万ユーロ」が科される条件

印刷する

今からでも間に合う「GDPR」対策

欧州連合（EU）で2018年5月に適用開始となる「EU一般データ保護規則」（GDPR）。欧州の規則だからといって、国内企業にとっても決して“対岸の火事”ではない。それはなぜなのか。必要なシステムとは。IT部門が知っておくべきGDPRの基礎知識と対策を示す。GDPR対策のガイドラインとして活用していただきたい。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

手柴雄矢

国内大手金融・製造業をはじめ、さまざまな業種のクライアントに対して、リスクマネジメント領域のコンサルティング業務に従事。規制対応を含め、サイバーリスク領域を重要な経営課題と位置付け啓発活動に力を入れている。クライアント企業におけるセキュリティ戦略立案、組織立ち上げ、制度設計など、実績多数。公認情報システムセキュリティプロフェッショナル（CISSP）。