2017年7月6日、日本とEU（欧州連合）は経済連携協定について大枠合意した。そんな中で重要かつ喫緊の課題として浮上しているのが、EUの新しい個人情報保護法である「GDPR」への対応だ。GDPRとはどんな法律なのか？GDPRに詳しいオリック東京法律事務所の高取芳宏弁護士による論文とコメント、およびKPMGコンサルティングの大洞健治郎ディレクターによるレクチャを元にまとめた。
GDPRとは何か？
EUが2018年５月25日に施行する予定の新しい個人情報保護法、「一般データ保護規則（General Data Protection Regulation）」の略称。これまでは1995年に制定された「EUデータ保護指令」が適用されてきた。この指令ができた95年当時、EU人口の1％しかインターネットを利用しておらず、FacebookやAlphabet（Google）も存在していなかった。同時に企業は、EUデータ保護指令に加えてEU加盟国毎に異なる国内法に準拠するため、合計で23億米ドルに及ぶコストを支払っていた。
こうした事情からデータ保護指令を抜本的に見直し､2016年4月に可決されたのがGDPRである。「GDPRは、やみくもに規制を強化するものではない。データ保護とプライバシー規制を無視している企業に対して厳しい制裁を執行する可能性を意図したもので、きちんと対応すれば必ずしも恐れる必要はない」（オリック東京法律事務所の高取弁護士）。
何を規制するのか？
本人同意のない個人データの取扱いや欧州経済領域外への移転の制限、忘れられる権利の明確化、暗号化、仮名化の具体的要求などを規定する。ここでいう個人データとは「特定される、または特定可能な自然人に関連するあらゆる情報」と広範囲に及ぶ。「IDやIPアドレスのようなオンライン識別子も含まれる」（同）。さらに、大企業におけるデータ保護オフィサー（DPO)の任命、組織・技術の両面における安全菅理措置の具体化、何らかの事故時における72時間以内の当局通知義務といった、企業における安全管理措置についても定めている。
違反した際の制裁、罰則は？
違反の性質によって、2通りの罰則金が定められている。個人データ処理原則に係わる違反事項――同意取得の条件、データ主体の権利、EU域外の移転などの違反事項――がより重く、最大2000万ユーロ（約26億円）または企業グル-プの世界的な年間売上高の4%に相当する額のいずれか高い方の制裁金が課される。DPOの任命や当局への協力、セキュリティ対策などに係わる違反事項に関しては、最大1000万ユーロ（約13億円）または年間売上高の2%に相当する額の、いずれか高い方の制裁金が課される。あくまでも上限であるにせよ売上高の4％や2％という制裁金の大きさが、GDPRに関心を集めると共に、EUの本気度を示している。
EUとは関係なく事業を行う企業は無関係？
GDPRではEU域外の企業がEU域内の個人（データ主体）に対し、商品又はサービスを提供する場合や行動をモニタリングする場合も対象となる、いわゆる「域外適用」が導入される。つまり例えば事業拠点がEU域外にあっても、EU域内のデータ主体に対して何らかのサービスを提供する場合は対象となる。これに対しEUデータ保護指令では、EU加盟国域内に設けられた拠点においてデータ処理を実行する事業者が主たる規制対象である。
またデータ保護指令が規制していた欧州経済領域（EEA）から日本や北米など他の領域への個人データの転送は、GDPRでも引き続き、原則禁止される（国際移転規制）。ただし、①データ主体が移転に対し明確な同意を与えている、②契約の履行のために必要、③データ主体の重大な利益を保護する、といった場合にはその限りではない。EUが「十分なレベルの保護を保障していると認定した国」への移転も同様である。
会員登録（無料）が必要です
- 1
- 2
- 次へ ＞
