2018年5月25日に施行されたGDPR（General Data Protection Regulation：一般データ保護規則）は、EU域内の個人データ保護を強化する規則です。本記事では、施行から数年が経過したGDPRの現状と、日本企業が取るべき対策について、最新情報を交えながら専門家が分かりやすく解説します。
1. GDPRとは？ – EUにおける個人情報保護の新たなスタンダード
GDPRは、1995年から適用されてきた「EUデータ保護指令」に代わるもので、EU域内で活動する全ての企業に対し、個人データの取り扱いに関する統一的なルールを定めています。特筆すべきは、GDPRがEU加盟国の国内法を経ずに直接的な法的効力を持つ点です。これにより、企業はより厳格な個人情報保護体制の構築を求められるようになりました。
GAFA（Google, Amazon, Facebook, Apple）に代表される巨大IT企業による個人情報の利活用が進む現代において、個人の権利を保護するための強力な枠組みとして、GDPRは国際的にも大きな影響力を持っています。
ここでいう「EU」とは？
GDPRにおける「EU」は、EU加盟国に加え、欧州経済領域（EEA）に参加するアイスランド、ノルウェー、リヒテンシュタインも含む広義の概念である点に注意が必要です。2020年1月にイギリスがEUを離脱しましたが、GDPRと同様のデータ保護規則「UK GDPR」を国内法として整備しており、引き続きEUと同水準の個人データ保護が求められています。
(参考)2024年5月現在のEU加盟国 (27カ国)
フランス、ドイツ、イタリア、オランダ、ベルギー、ルクセンブルク、アイルランド、デンマーク、ギリシャ、スペイン、ポルトガル、オーストリア、スウェーデン、フィンランド、エストニア、ポーランド、チェコ、スロベニア、ハンガリー、キプロス、ラトビア、リトアニア、スロバキア、マルタ、ブルガリア、ルーマニア、クロアチア
・2004年までのEU加盟国（15か国）
フランス，ドイツ，イタリア，オランダ，ベルギー，ルクセンブルク（以上1958年からの原加盟国），英国，アイルランド，デンマーク（以上1973年加盟），ギリシャ（1981年加盟），スペイン，ポルトガル（以上1986年加盟），オーストリア，スウェーデン，フィンランド（以上1995年加盟）
・2004年5月1日加盟国（10か国）
エストニア，ポーランド，チェコ，スロベニア，ハンガリー， キプロス，ラトビア，リトアニア，スロバキア，マルタ
・2007年1月1日加盟国（2か国）ブルガリア，ルーマニア
・2013年7月1日加盟国（1か国）クロアチア
・イギリスは、2020年1月にEUを離脱した。
2. 日本企業も他人事ではない！GDPRの「域外適用」
GDPRの大きな特徴の一つに「域外適用」があります。これは、EU域内に拠点がない企業であっても、以下のいずれかに該当する場合にはGDPRが適用されるというものです。
- EU域内の個人に対して商品やサービスを提供している場合（無償も含む）
- EU域内の個人の行動をモニタリングしている場合（例：ウェブサイトでのCookie使用による行動追跡）
多くの日本企業が、ウェブサイトを通じてEU域内の顧客にアプローチしたり、EU所在の従業員情報を扱ったりしているのが現状です。GDPRの要件を遵守できていない場合、高額な制裁金が科されるリスクがあるため、自社が適用対象となるか否かを正確に把握し、適切な対策を講じることが不可欠です。もし判断に迷う場合は、GDPRや個人情報保護法に詳しい専門家へ速やかに相談することをお勧めします。
3. 越境データ移転の厳しい要件 – 十分性認定とその他の措置
GDPRは、EU域内の個人データをEU域外へ移転する場合にも厳格なルールを定めています。主な移転の根拠としては、以下のものがあります。
- 十分性認定 (Adequacy Decision)：欧州委員会が、移転先の国・地域が十分なレベルの個人データ保護を保障していると認める決定。日本は2019年1月に十分性認定を受けています。
- 標準契約条項 (SCC: Standard Contractual Clauses)：データ移転元とデータ移転先の間で締結される、欧州委員会が承認した契約条項。十分性認定がない国への移転で多く利用されます。
- 拘束的企業準則 (BCR: Binding Corporate Rules)：多国籍企業グループ内で個人データを移転するための共通ルール。各国のデータ保護監督機関の承認が必要です。
- 本人の明確な同意：限定的な状況下でのみ認められます。
日本は十分性認定を受けているものの、認定の基礎となった「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」を遵守する必要があります。これらのルールは複雑であり、常に最新の動向を注視し、適切な対応を維持することが求められます。
（参考）十分性認定国・地域（2024年5月現在 一例）
アルゼンチン、アンドラ、カナダ（民間組織）、フェロー諸島、ガーンジー、イスラエル、マン島、日本、ジャージー、ニュージーランド、韓国、スイス、英国、ウルグアイ、米国（「EU-米国間データプライバシーフレームワーク」に基づく）など。最新の情報は欧州委員会の公式サイトでご確認ください。
4. ここがポイント！押さえておくべきGDPRの主要な内容
GDPRを理解し、遵守する上で特に重要なポイントを以下にまとめました。
(1) GDPRにおける「個人データ」とは？
氏名、住所、メールアドレスといった直接的な識別情報に加え、位置情報、オンライン識別子（IPアドレス、Cookie情報など）、健康情報、経済状況、文化的・社会的特徴など、個人を特定できるあらゆる情報が対象となります。
(2) 「忘れられる権利（消去権）」の保障
個人は、自身の個人データの消去を事業者に要求する権利を有します。事業者は、正当な理由（表現の自由の行使、法的義務の遵守、公衆衛生、科学的・歴史的研究目的など）がない限り、遅滞なくデータを消去しなければなりません。
(3) センシティブデータの特別な保護
人種・民族的出自、政治的意見、宗教的・哲学的信条、労働組合への加入、遺伝データ、生体データ、健康に関するデータ、性生活・性的指向に関するデータは「特別カテゴリーの個人データ（センシティブデータ）」として、より厳格な保護措置が求められます。企業は、これらの情報を取り扱う際の法的根拠や安全管理措置について、特に注意を払う必要があります。
(4) 個人データ処理活動の記録義務
事業者は、個人データの処理活動に関する詳細な記録を作成し、維持する義務があります。記録すべき主な項目は以下の通りです。
- 事業者（および該当する場合は代理人、データ保護オフィサー）の名称と連絡先
- 個人データ処理の目的
- データ主体の類型と個人データの類型の説明
- 個人データの移転先（第三国または国際機関を含む）
- 可能な場合の個人データの削除期限
- 可能な場合の技術的・組織的な安全管理措置の概要
(5) GDPR違反に対する高額な制裁金
GDPR違反が発覚した場合、各国のデータ保護監督機関から警告、是正命令、データ処理の一時的または永久的な制限・禁止に加え、高額な制裁金が科される可能性があります。制裁金は、違反の内容に応じて、最大で全世界年間売上の4％または2,000万ユーロのいずれか高い方が上限とされています。
中川総合法務オフィスからのお知らせ
現代の企業経営において、コンプライアンス体制の構築は、国内外の法規制への対応はもちろんのこと、企業価値の維持・向上に不可欠です。特にGDPRのような複雑な国際ルールへの対応は、専門的な知識と経験が求められます。
中川総合法務オフィスの代表、中川恒信は、これまで850回を超えるコンプライアンス・ハラスメント防止研修に登壇し、数多くの企業の組織風土改革を支援してまいりました。心理的安全性を高め、相談型リーダーシップを組織に浸透させることで、ハラスメントや不正の起きにくい、風通しの良い職場環境づくりを推進します。また、クレーム対応におけるアンガーマネジメントの導入支援も得意としており、従業員のストレス軽減と顧客満足度向上に貢献いたします。
万が一の不祥事発生時には、その組織のコンプライアンス態勢の再構築にも豊富な経験を有しており、実効性のある再発防止策の策定・実行をサポートします。さらに、内部通報制度の外部窓口も現に担当しており、中立的かつ専門的な立場から、企業の自浄作用の向上をお手伝いいたします。これらの実績から、マスコミ各社より不祥事企業の再発防止に関する意見を求められることも少なくありません。
GDPR対応、個人情報保護体制の構築、ハラスメント防止、その他コンプライアンスに関する課題でお困りの際は、ぜひ中川総合法務オフィスにご相談ください。貴社の状況に合わせた最適なソリューションをご提案いたします。
ご相談・研修費用（目安）：1回 30万円（税別）～ ※内容・時間等により調整可能です。
お問い合わせ お電話（075-955-0307）または当ウェブサイトのお問い合わせフォームより、お気軽にご連絡ください。
