[ English - TOP ] サポート契約者／販売パートナー向け情報はこちら
サイト内検索
2017年10月31日（火） 世の中のニュース
GDPRは、2016年4月14日に欧州議会で可決され、2018年5月25日にEUで施行される新しい個人情報保護を目的とした法規制で、EU域内で取得した個人データの処理と移転に関するルールを定めています。企業の所在地にかかわらず、EUに住む個人データを扱うあらゆる企業・組織がGDPRの適用対象となります。コンプライアンスに違反にすると、年間売上の４％または2,000万ユーロ（約25億円）のいずれか高いほうを上限とする莫大な額の制裁金が課されるという厳しい法律です。
GDPRは、EUの憲法であるEU基本権憲章によって保護される価値である個人データの保護に対する権利を保護することを目的としています。
EU域内で取得した個人データを処理し、EU域外の第3国に移転する企業・組織。EUに拠点を置かない日本の企業・組織でも、EU市民からデータを収集する場合は、GDPRの適用対象になります。
＜個人データの処理＞
個人データを処理するに当たり、企業・組織は次のような事項の遵守を求められます。
＜個人データの移転＞
EU域内で取得した個人データを、日本などの域外[1]に移転する場合、企業・組織は、拘束的企業準則（Binding Corporate Rules：BCR グループ企業を包括したデータ移転を可能とする）、や標準契約条項（Standard Conrtactual Clauses：SCC 個別契約を交わした企業間に適用される）などの手続きを踏む必要がありあます。
＜基本権の保護（データ主体の権利）＞
GDPRではデータ主体の基本的権利の保護という考え方が強く打ち出されています。企業・組織にはデータ主体の権利の尊重が要求されます。例えば次のような事項です。
GDPRでは、このようなルールが全部で173項目の前文とともに99条にわたる規制事項がきめ細かく定められています。
GDPRに違反した場合、巨額の制裁金が課せられます。違反内容にもより変動しますが、企業の場合、最大、全世界年間売上の4％、または2000万ユーロ（約25億円）のいずれか高い方という非常に高額な制裁金が課される可能性があります。
GDPRは、EUに拠点を持つ場合だけでなく、国内にのみ拠点を持つ場合でも、個人情報を取得した顧客がEU域内に住んでいる場合などには対象になるため注意が必要です。また、営利企業だけでなく、官公庁・自治体などの公的機関やNPOなどの組織も適用対象になります。
日本に本社があり、EUに拠点がある場合、EU域内で働く社員や日本から派遣されている駐在員の情報を本社が取得するときも移転の対象となります。
たとえ現地に事務所が無くてもインターネットなどで顧客情報を取得、移転する場合も適用されますし、企業規模に関わらず中小・零細企業も対象となります。
GDPRの遵守のため、個人情報取得時には、データ主体へ十分な説明を行った上で同意を得、その後の求めがあった場合迅速に個人情報を本人に開示したり、修正や消去ができる仕組みが必要です。
個人データを日本などのEU域外に移転する場合、本人の明示的な同意の取得、SCC・BCRによる手続き等が必要です。
また、個人データの処理や移転において、情報漏えい対策などのセキュリティ対策を講じることが、今後ますます重要になります。
参考資料：
日本貿易振興機構
「EU 一般データ保護規則（GDPR）」に関わる実務ハンドブック（入門編）（2016年11月）
https://www.jetro.go.jp/world/reports/2016/01/dcfcebc8265a8943.html
「EU一般データ保護規則（GDPR）」に関わる実務ハンドブック（実践編）（2017年8月）
https://www.jetro.go.jp/world/reports/2017/01/76b450c94650862a.html
[1]欧州委員会がデータ移転先の第3国が十分なレベルの保護を確保している認めている場合は（十分性認定）手続きなしで移転が可能ですが、日本はまだ認定を受けていないため手続きなどが必要です。
