2018年施行、EUの個人情報規則【前編】
違反したら巨額の罰金、EUの「一般データ保護規則」（GDPR）とは
欧州連合（EU）が2018年の施行を目指す「一般データ保護規則（GDPR）」のプライバシー規制により、多くの企業が新たな規則や課題に直面することになる。前編ではGDPRの基本を解説する。
EUの個人情報保護に関するページ（画像は欧州委員会のWebサイトより）《クリックで拡大》
2018年5月は遠い先のことのように思える。だが、欧州連合（EU）に住む個人のデータを集めて処理し、保持する企業にとって、その日は刻々と近づいている。2018年5月に、EUに住む個人のデータを保護する制度である「一般データ保護規則」（General Data Protection Regulation、以下GDPR）の施行が予定されている。このときから、企業の所在地を問わず、EUに住む個人のデータを扱っている全ての企業にGDPRが適用される。
この新たなGDPRのプライバシー規則は、1995年に制定された95/46/EC指令（通称「データ保護指令」）で強化されたデータ保護を刷新して拡充する。この新たなプライバシー規則により、EUに住む個人のデータを扱っている企業は、その方法を問わず義務が課せられる。個人には自分に関するデータに対してより強い権利が与えられ、国境を越えるデータフローに制限が設けられる。
併せて読みたいお勧め記事
EUデータ保護規則についておさらい
パブリッククラウドにデータを預けるリスクとは
欧米間の個人データ移転に関する話題
ソフトウェアベンダーのIntralinksでグローバルデータプライバシーオフィサーを務めるデーマ・フレイジ氏は、次のように説明する。「GDPRの範囲は実に大きく設定されている。GDPRでは、企業がEUに住む個人のデータを扱えば、その企業がEU内に設立されていなくても規制の対象となる。160万キロ離れたオーストラリアにいても、EUに住む個人のデータを扱っていればGDPRの効果が及ぶというのは興味深い。この規制について多くの企業は悩んでいる。だが、企業は悩みながらも、この規制を受け入れ始めなければならない」
GDPRの基本
欧州委員会が公開しているデータ保護の改定に関するQ＆Aによれば、GDPRがもたらす変更によって、「人々は自分の個人データに対して今より大きな裁量を得て、より簡単にアクセスできるようになる」という。また、この規則は、個人情報が送信、処理、保存される場所を問わず、個人情報が確実に保護されるように考案されている。インターネットではよくあることで、その場所がたとえEUの外であっても同じだ。
2015年末、司法、消費者および男女平等担当委員を務めるベラ・ヨウロワー氏は、次のように語っている。「この改定によって、各個人が自分のデータに対する主導権を取り戻せる。この新しい規則では、自分の個人データにより簡単にアクセスできるようになり、『忘れられる権利』が明確になる。さらに、サービスプロバイダー間での個人データの転送全般に関するデータ運用の権利や、個人のデータが関わるデータ侵害について通知を受ける権利が付与される」
それから、ヨウロワー氏は次の点を強調している。「今回の規制の改定では、全てのEU加盟国に対する一連の規則や企業がデータ保護に際して対応しなければならない監督当局を確立したことに始まり、企業に対して明確な規則を課すことになる。もう1つの重要な変更点は、ヨーロッパ以外の国に本拠地を置く企業がEUでサービスを提供する場合にも同じ規則が適用されなければならないことだ」
つまり、EU内に顧客を抱える企業やEUに住む個人のデータを保持している企業は、この新しい規則に従うことが求められる。そのため、この最後の変更点は極めて重大だ。さらに、この規制では、投票によってEU離脱が決定した英国も範囲に含まれる。
CipherCloudで製品マーケティング部門のシニアディレクターを務めるデビッド・バーマン氏は次のように指摘する。「英国がEUを離脱しても、EUでビジネスをする英国企業に対するGDPRの要件が変わることはないだろう。英国企業がEUの『データ主体』の個人情報を集めるなら、その企業はGDPR下で厳しさを増したデータプライバシー規則に備えなければならない」
「英国がEUから脱退する際には、多くの法律を制定または改正する必要がある。英国の消費者はプライバシーに対して非常に強い関心を持っている。そのため、英国企業は、2018年5月に施行されるGDPRのスケジュールに従う可能性が高い」（バーマン氏）
GDPRでは、個人データの定義範囲も広がっている。GDPRは個人データを「特定済みまたは特定可能な自然人（データ主体）に関連する全ての情報を含むもの」と定義している。また、特定可能な自然人とは、「特に名前、ID番号、位置データ、オンラインIDなどの識別子またはその自然人について1つ以上の身体、心理、遺伝子、精神、経済、文化または社会的なアイデンティティーに固有の因子を参照することで、直接的または間接的に特定できる個人を指す」と定義している。
GDPRのプライバシー規制が取り入れられる結果の1つとして、企業と組織は、規制に準拠するために2018年5月までに2万8000人ものデータ保護担当者を任命しなければならない可能性がある。
また、GDPRを適切に履行して順守しなかった場合の潜在的なリスクは非常に大きくなるかもしれない。違反した場合の罰金は、2000万ユーロ（日本円で約22.8億円）または違反した企業の年間総売上高の4％に上るだろう。
ただし、この規制が比較的小さな企業に及ぼす影響は少ないと思われる。「例えば、中小企業はデータ保護担当者などを用意したりする必要はない。ただし、業務内容がデータ処理に特化しているかどうか、企業の規模などを考慮に入れると、中小企業にデータ保護担当者は必要ないだろう。だが、規則の大部分には従わなければならない」とフレイジ氏は説明する。
ヨーロッパから発信されるデータについては、企業が個人データの送信を許可されていることを文書化できなければならない。それから、企業はヨーロッパから外に発信されるデータを安全に保護するための技術的かつ組織的に適切なセキュリティ対策を講じる必要もある。
後編では、GDPRに準拠するための準備について解説する。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[ポールトゥウィン株式会社] 開発スピードと品質を両立、DONUTSが実践する「ハイブリッドなQA体制」の構築術 -
製品レビュー
[ポールトゥウィン株式会社] 開発スピードと品質は両立できる？ DONUTSの「ジョブカン」に学ぶQA戦略 -
市場調査・トレンド
[レッドハット株式会社] 「プラットフォームエンジニアリング」調査レポート：利点・課題・未来像を詳説 -
市場調査・トレンド
[レッドハット株式会社] 生成AI活用のためのテクノロジー基盤、構築に際しての7つの検討事項とは？ -
製品資料
[レッドハット株式会社] ビジネスの現場へのAI導入と活用、何から始めてどのように進めるべきか？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
2
「RAGの利用」に関するアンケート
-
3
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
4
IT製品の導入に関するアンケート「PC＆デバイス」編
-
5
IBM iのブラックボックス化を打破 資産継承と進化を実現する「IBM Bob」の実力
-
6
Nutanix＋Everpure構成の実力は？ 既存資産を生かす「脱VMware」の検証
-
7
BI導入の成否はプロジェクト企画段階で決まる！【第3回】
-
8
忙しいけど成果ゼロ 情シスの「静かな崩壊」を防げ
-
9
脱VMwareか、継続か？ 仮想化ソフト主要6製品の料金とライセンスを徹底比較
-
10
一度は失敗、ある古着販売業者がたどり着いた「データ駆動型経営」の全て
ホワイトペーパーランキング PR
-
1
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
2
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
3
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
4
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
5
5分で分かる Microsoft 365のデータ損失に備えるためのバックアップの仕組み
-
6
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
7
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
8
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
9
ソフトウェア開発の属人化と手戻りをどう防ぐ？ 速さと品質を両立させる方法
-
10
ランサムウェア攻撃“究極の対策”はこれだ
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー