GDPRとは｜EU一般データ保護規則・対策

概要

GDPR（General Data Protection Regulation：EU一般データ保護規則）とは、EU（欧州連合）域内の個人データの保護を定めた規則です。個人データの取扱いに厳格なルールを課し、違反には極めて高額な制裁金を科すことで知られています。

重要なのは、EU域外の企業であっても、EU居住者の個人データを扱う場合には適用される（域外適用）点です。日本企業もEU向けにサービスを提供すれば対象となり得るため、無関係ではありません。

詳細（特徴・域外適用）

日本企業への影響・対策

• EU向けにサービス・商品を提供する日本企業は、GDPRへの対応が必要になり得る。
• 個人データの取得・利用に明確な同意・適法根拠を確保する。
• EU域外へのデータ移転には、適切な保護措置（標準契約条項など）を講じる。
• 漏えい時の速やかな報告体制を整える。
• 日本はEUから「十分性認定」を受けており、一定の条件下でデータ移転が円滑化されている。

関連例

GDPR違反として、大手IT企業に対して巨額の制裁金が科された事例が複数報じられています。同意取得の不備やデータの不適切な取扱いが問われており、個人データ保護を軽視できないことを世界の企業に示しました。

試験での問われ方

• 「EU域内の個人データ保護を定めた規則はどれか」→ GDPR。
• 「GDPRの特徴として適切なものはどれか」→ 域外適用・高額な制裁金。
• 「EU域外の日本企業がGDPRの対象になる場合はどれか」→ EU居住者のデータを扱う場合。