GDPRとは？わかりやすく解説

企業活動を行う上でプライバシー保護は必要不可欠です。2018年5月にEUでGDPRというプライバシー保護の法令が施行されました。これは日本の企業も対象となる可能性があり、違反した場合は多額の制裁金が課せられてしまいます。そもそもGDPRとは何なのか。この記事ではGDPRについてわかりやすく解説します。

GDPRとは？

GDPRとは、欧州連合（EU）圏内に住む人からの個人情報収集と処理について詳細に定められた法的枠組みのことです。

GDPRは “General Data Protection Regulation” の頭文字を取ったもので、日本語では「一般データ保護規則」を意味します。

本規則は、ウェブサイトの拠点を問わず適用されます。したがって、EU居住者向けに商品やサービスを販売していなくとも、EUからウェブサイトに訪れる人がいる可能性があれば全てのサイトが、本規則を遵守しなければなりません。加えて、サイトは、個人情報が侵害された場合にはタイムリーに通知するなど、EUの消費者の権利を保護するための措置を取る必要があります。

なお、EUで1995年から適用されていた「EUデータ保護指令」に代わり、GDPRが、2016年に発効、2018年5月25日に施行され、全ての組織に準拠が求められるようになりました。

GDPRの背景

では、どのようにしてGDPRが発効、施行されるに至ったのでしょうか。
その背景は、EU全域でプライバシーの権利を保護する共通の法が求められたことにあります。

前述の通り、GDPR施行前、1995年に採択されたEUデータ保護指令が適用されていました。
EU加盟国それぞれは個人データ保護のための国内法を制定し、その制定のための「指針」としてEUデータ保護指令が存在しました。したがって、各国の国内法は内容に差があります。 そこで、EU加盟国共通の規則を定めることが求められ、GDPRが制定されました。

この変更による注目点は、EUデータ保護指令は「指令」ですが、GDPRは「規則」であり、法規則となった点です。

GDPRの内容

GDPRは、個人データの「処理」と「移転（別のサービスで再利用すること）」に関する法であると考えると理解しやすいです。

GDPRは、EEA（欧州経済領域）内で取得した「個人データ」を「処理」し、EEA域外の第三国に「移転」するために満たすべき法的要件です。

そして、以下のような内容について詳細に定められています。

• 個人データの処理、移転に関する原則
• 本人が自身の個人データに関して有する権利
• 個人データの管理者や処理者が負う義務
• 監督機関設置の規定
• 障害発生時のデータの救済と管理者および処理者への罰則
• 個人データの保護と表現の自由 など

GDPRの適用範囲

では、GDPRはどのような範囲に適用されるでしょうか。
GDPRの適用範囲は、個人データを収集する組織、個人データを使用する組織、データの対象である個人の3つのいずれかが、EU域内に拠点がある場合、その全てが対象となります。

しかし、EU居住者の個人データを収集・処理する組織は、EU域外に活動拠点を置いていたとしても、GDPRの適用対象とされるので注意が必要です。

現代はインターネットが普及しており、ネット通販などグローバルにサービスを提供できるため、日本企業もGDPRの指針に基づいた企業としての対策が求められます。

GDPRの対象企業

GDPRの対象となる企業は以下の3つです。

• EUに子会社や支店、営業所などを有している企業
• 日本からEUに商品やサービスを提供している企業
• EUから個人データの処理について委託を受けている企業

GDPRへの対応

以上のようなGDPRへの対応は以下の4つが挙げられます。

• EU圏内からのアクセスがないか調べる（Cookieなどの情報を取得している場合）
• EU圏内に向けた商品やサービスはGDPRを遵守する
• データベンダーはデータの取得元がGDPRに対応しているか確認する
• データを販売している企業はGDPRにきちんと対応する

GDPRの罰則

GDPRは前述の通り法令であり罰則が存在し、GDPRに従わなかった場合、厳しい制裁金が課せられます。
最大で企業の全世界年間売上高の4％以下、もしくは2000万ユーロ以下のいずれか高い額が適用されます。

2000万ユーロは2023年1月現在のレートで28億4000万円ほどであり、違反となればそのような莫大な罰金を払わなければなりません。

違反による制裁金のリスクと事前セキュリティ対策への予算投入について、企業判断が問われます。

まとめ

GDPRについて理解が深まったでしょうか。
GDPR対策は違反した場合の制裁金を考えても不可欠です。

しかし、何から始めれば良いのか分からない場合もあるでしょう。

株式会社UPFは業界に関係なくお客様の GDPR コンプライアンス対策を構築するサポートプログラムをご用意しております。

GDPR対策を検討されている企業様・ご担当者様は、どうぞお気軽にお問い合わせください。

お問い合わせはこちらから。
株式会社UPFについて詳しくはこちらから。

GDPR対応とPマーク・ISMSの関係

GDPRは、EU域内の個人データを取り扱う事業者に適用される規則であり、日本国内のプライバシーマーク（Pマーク、JIS Q 15001）やISMS（ISO/IEC 27001）とは根拠となる法令・規格が異なります。そのため、Pマークを取得しているだけでは、GDPRの要求事項をすべて満たしていることにはならず、GDPR特有の要求事項（データ保護責任者の設置、越境データ移転の制限、本人の権利行使への対応手順など）を別途整備する必要があります。

一方で、PマークやISMSの運用を通じて構築された、個人情報の取扱いルールの明文化や、従業者教育、内部監査といった基本的な管理の仕組みは、GDPR対応を進める際の土台として活用できます。すでに国内の認証を運用している企業がGDPR対応を検討する場合は、既存の仕組みにGDPR特有の要求事項を追加していく形で整備を進めると、効率的に対応できます。

よくある質問（FAQ）