2018年施行、EUの個人情報規則【前編】
違反したら巨額の罰金、EUの「一般データ保護規則」（GDPR）とは
欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編ではGDPRの基本を解説する。
EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》
2018年5月は遠い先のことのように思える。だが、欧州連合（EU）に住む個人のデータを集めて処理し、保持する企業にとって、その日は刻々と近づいている。2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。
この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する。この新たなプライバシー規則により、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。
併せて読みたいお勧め記事
EUデータ保護規則についておさらい
パブリッククラウドにデータを預けるリスクとは
欧米間の個人データ移転に関する話題
ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、次のように説明する。「GDPRの範囲は実に大きく設定されている。GDPRでは、企業がEUに住む個人のデータを扱えば、その企業がEU内に設立されていなくても規制の対象となる。160万キロ離れたオーストラリアにいても、EUに住む個人のデータを扱っていればGDPRの効果が及ぶというのは興味深い。この規制について多くの企業は悩んでいる。だが、企業は悩みながらも、この規制を受け入れ始めなければならない」
GDPRの基本
欧州委員会が公開しているデータ保護の改定に関するQ＆Aによれば、GDPRがもたらす変更によって、「人々は自分の個人データに対して今より大きな裁量を得て、より簡単にアクセスできるようになる」という。また、この規則は、個人情報が送信、処理、保存される場所を問わず、個人情報が確実に保護されるように考案されている。インターネットではよくあることで、その場所がたとえEUの外であっても同じだ。
2015年末、司法、消費者および男女平等担当委員を務めるベラ・ヨウロワー氏は、次のように語っている。「この改定によって、各個人が自分のデータに対する主導権を取り戻せる。この新しい規則では、自分の個人データにより簡単にアクセスできるようになり、『忘れられる権利』が明確になる。さらに、サービスプロバイダー間での個人データの転送全般に関するデータ運用の権利や、個人のデータが関わるデータ侵害について通知を受ける権利が付与される」
それから、ヨウロワー氏は次の点を強調している。「今回の規制の改定では、全てのEU加盟国に対する一連の規則や企業がデータ保護に際して対応しなければならない監督当局を確立したことに始まり、企業に対して明確な規則を課すことになる。もう1つの重要な変更点は、ヨーロッパ以外の国に本拠地を置く企業がEUでサービスを提供する場合にも同じ規則が適用されなければならないことだ」
つまり、EU内に顧客を抱える企業やEUに住む個人のデータを保持している企業は、この新しい規則に従うことが求められる。そのため、この最後の変更点は極めて重大だ。さらに、この規制では、投票によってEU離脱が決定した英国も範囲に含まれる。
CipherCloudで製品マーケティング部門のシニアディレクターを務めるデビッド・バーマン氏は次のように指摘する。「英国がEUを離脱しても、EUでビジネスをする英国企業に対するGDPRの要件が変わることはないだろう。英国企業がEUの『データ主体』の個人情報を集めるなら、その企業はGDPR下で厳しさを増したデータプライバシー規則に備えなければならない」
「英国がEUから脱退する際には、多くの法律を制定または改正する必要がある。英国の消費者はプライバシーに対して非常に強い関心を持っている。そのため、英国企業は、2018年5月に施行されるGDPRのスケジュールに従う可能性が高い」（バーマン氏）
GDPRでは、個人データの定義範囲も広がっている。GDPRは個人データを「特定済みまたは特定可能な自然人（データ主体）に関連する全ての情報を含むもの」と定義している。また、特定可能な自然人とは、「特に名前、ID番号、位置データ、オンラインIDなどの識別子またはその自然人について1つ以上の身体、心理、遺伝子、精神、経済、文化または社会的なアイデンティティーに固有の因子を参照することで、直接的または間接的に特定できる個人を指す」と定義している。
GDPRのプライバシー規制が取り入れられる結果の1つとして、企業と組織は、規制に準拠するために2018年5月までに2万8000人ものデータ保護担当者を任命しなければならない可能性がある。
また、GDPRを適切に履行して順守しなかった場合の潜在的なリスクは非常に大きくなるかもしれない。違反した場合の罰金は、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上るだろう。
ただし、この規制が比較的小さな企業に及ぼす影響は少ないと思われる。「例えば、中小企業はデータ保護担当者などを用意したりする必要はない。ただし、業務内容がデータ処理に特化しているかどうか、企業の規模などを考慮に入れると、中小企業にデータ保護担当者は必要ないだろう。だが、規則の大部分には従わなければならない」とフレイジ氏は説明する。
ヨーロッパから発信されるデータについては、企業が個人データの送信を許可されていることを文書化できなければならない。それから、企業はヨーロッパから外に発信されるデータを安全に保護するための技術的かつ組織的に適切なセキュリティ対策を講じる必要もある。
後編では、GDPRに準拠するための準備について解説する。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握 -
製品資料
[株式会社マクニカ] 「脆弱性総まとめ」解説 被害事例から考える必須の対策ポイント -
製品資料
[Splunk Services Japan合同会社] サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには -
製品資料
[株式会社うるる] 「入札市場」完全ガイドブック：メリットから資格取得のポイントまで -
市場調査・トレンド
[株式会社うるる] はじめての「自治体／官公庁入札」 必要な知識がすぐに学べる入門ガイド
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
2
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
3
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
4
「世界一給与にハングリー」な日本のエンジニアが“雇用の安定”を求める理由
-
5
「技術屋」で終わらないために 情シスが今取るべき認定資格5選
-
6
「VMwareのコスト」に悩んでいるユーザー企業に送る、VMwareを残す・捨てる基準
-
7
後付けガバナンスの崩壊 PayPalが設計段階からデータを縛る理由
-
8
自宅のWi-Fiが「遅い」「途切れる」本当の原因は？ Dellが推奨する鉄則
-
9
迫る“インフラ崩壊”の危機 米英を相次いで襲った「PLC悪用攻撃」の全貌
-
10
「GPTかClaudeか」だけでは不十分 AI選定で情シスが見るべき3つの仕組み
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー