この記事のポイント！
- 個人データ保護の重要性
- GDPR基準の厳格な運用
- 企業成長と法令遵守
GDPRとは、EU（欧州連合）が定めた個人データ保護のための規則です。正式名称はGeneral Data Protection Regulationで、日本語では「一般データ保護規則」と訳されます。2016年に制定され、2018年5月25日から適用が始まりました。EU域内の個人データを扱う企業に、データの取得や利用、保管、共有、削除までの幅広い場面でルールを求めています。
GDPRはEU域内に拠点を置く企業だけを対象にするものではありません。日本に本社がある企業でも、EU域内の人に商品やサービスを提供したり、そこでの行動を追跡したりすれば、適用対象となる可能性があります。現地の従業員情報や取引先から預かったデータも検討が必要です。Webサイトのアクセス記録やCookieの情報が関係することもあり、国内企業にとっても無関係とは限りません。
対応を考えるときは、まず自社がどのデータを、誰のために、何の目的で扱っているのかを整理します。そのうえで、GDPRが適用されるか、個人データを扱う法的根拠があるか、本人からの請求やデータ侵害に対応できるかを確認します。日本の個人情報保護法や越境移転のルールとの違いにも注意が必要です。規則の概要から、対象となる場面、企業の義務、実務の進め方まで順に見ていきます。
GDPRとは何か――個人の権利を守るEUの共通ルール
GDPRは、個人データを扱う組織に共通の義務を課し、個人が自分のデータを管理する権利を守るためのEUの規則です。以前はEUデータ保護指令が各国の国内法を通じて適用されていましたが、GDPRは加盟国に直接適用される規則として、域内で共通の枠組みを設けました。国ごとのルールの違いを抑え、デジタルサービスや国境を越えた取引に対応することも、その背景にあります。
GDPRが対象とする「個人データ」は、氏名や住所のように一つの情報だけで本人を特定できるものに限りません。単独では特定できなくても、ほかの情報と組み合わせて個人を識別できる情報も含まれます。たとえば、メールアドレス、位置情報、IPアドレス、Cookieに記録された識別子、端末情報などが該当する場合があります。データの形式が紙か電子か、公開情報か非公開情報かだけで判断できない点に注意してください。
また、GDPRでいう「処理」は、データの利用や分析だけを指す言葉ではありません。収集、記録、整理、保存、参照、変更、送信、提供、制限、消去など、個人データに対して行う操作全般を含みます。したがって、データを取得した時点で扱いが始まり、委託先への共有やバックアップ、利用終了後の廃棄まで、データの流れを通して管理する必要があります。
GDPRは単に情報漏えいを防ぐためのセキュリティ規則ではありません。本人に何を知らせるか、何を根拠に処理するか、目的に対して収集量が適切か、本人の請求にどう応じるかといったプライバシー上の要件も定めています。技術的な対策だけを導入しても、利用目的や同意の扱いが不明確なら十分とはいえません。法律、業務手順、システム管理を一体として考えることが出発点です。
日本企業にGDPRが適用されるのはどのような場合か
GDPRの適用範囲を考える際は、「EU市民のデータを扱っているか」だけで決めず、規則第3条が定める地理的な適用要件を確認します。EU域内に拠点を持つ組織が、その拠点の活動に関連して個人データを処理する場合は、データを実際に保存している国が域外であっても対象になり得ます。EUの拠点があるかどうかは、法人登記の有無だけでなく、事業活動の実態も踏まえて判断します。
EU域内の人に商品やサービスを提供する場合
EU域外に拠点がある企業でも、EU域内にいる人に商品やサービスを提供する場合には、GDPRが適用される可能性があります。ここでいう「人」はEU市民に限定されません。EU域内にいる個人を対象にしているかが重要です。商品やサービスに対価が発生する場合だけでなく、無料で提供するサービスも対象になり得ます。
日本語のWebサイトがEUから閲覧できるという事情だけで、ただちにEU向けサービスと判断されるわけではありません。一方、EUの言語や通貨を選べるようにしている、EU域内への配送を案内している、現地向けの広告を出しているなど、EUの利用者を顧客として獲得する意図が見られる場合は、提供の有無を慎重に確認します。サイトの設計や販売条件、問い合わせ対応などを総合して判断することが大切です。
たとえば、日本の通販事業者がEU域内への配送を受け付け、購入者の氏名、住所、連絡先、決済に関する情報を注文処理に使う場合は、GDPRの適用を検討する必要があります。顧客管理システムや決済事業者が日本以外の国にある場合には、個人データをどこへ送信するかも確認します。販売の窓口が日本にあることだけを理由に、対象外と決めつけないようにしましょう。
行動を監視する場合やEUの組織から委託を受ける場合
EU域内にいる人の行動を監視する場合も、GDPRの対象となることがあります。閲覧履歴を追跡して広告を個人ごとに出し分ける、サイトやアプリ上の動きを分析して行動傾向を推測する、といった処理が例です。分析の目的や追跡の方法、対象となる人、得られた情報の使い道を整理し、個人データの処理に当たるかを確かめてください。
EU域内の企業から個人データの処理を受託する日本企業も、役割と責任の確認が必要です。顧客管理の運用、データの保管、問い合わせ対応、給与計算、アクセス解析など、業務委託の形はさまざまです。契約で処理者として位置づけられている場合、委託元の指示に従うだけでなく、処理者に課されるGDPR上の義務も生じます。委託契約の名称だけで適用の有無は決まりません。
適用の判断では、データを扱う人の国籍よりも、拠点やサービス提供、行動監視などの実態が重要です。EU域内の従業員や現地採用者の人事情報、出張者の情報、現地の顧客データも対象となり得ます。さらに、EUを離脱した英国にはUK GDPRなど別の制度があるため、EUの規則だけを確認して終わらせず、取引先やデータの所在国に応じて適用法令を分けて確認してください。
個人データを扱うときに守るべき7つの原則
GDPR第5条は、個人データの処理に関する原則を定めています。個別の業務で迷ったときは、目的や法的根拠だけでなく、収集する量、保存期間、安全管理、説明できる記録がそろっているかを照らし合わせます。原則は一度確認すれば終わりではなく、業務の変更や新しい分析の開始時にも点検する判断基準です。
第一の原則は、適法性、公正性、透明性です。処理に適切な法的根拠があり、本人に不利益を押しつけない公正な扱いであること、何をしているか本人に分かる形で知らせることが求められます。第二の目的の限定は、収集時に示した目的を具体的に定め、その目的と無関係な利用をしないという考え方です。後から別の目的に転用する場合は、当初の目的との関係や追加の根拠を確認します。
第三のデータ最小化は、目的の達成に必要なデータだけを扱う原則です。念のためという理由だけで項目を増やさず、不要な情報を入力必須にしないことが実務上の対策になります。第四の正確性は、情報を正しく保ち、誤りや古い情報が分かった場合に訂正することです。本人からの訂正依頼に対応する窓口と、関連システムへ変更を反映する流れも整えます。
第五の保存期間の制限は、必要な期間を超えて個人データを保有しないことです。保存期間は一律に決めるのではなく、処理目的や法的な保存義務を考慮し、終了後の削除や匿名化の手順を定めます。第六の完全性と機密性は、紛失、破壊、不正アクセス、漏えいなどからデータを守ることです。第七の説明責任は、原則を守るだけでなく、守っていると示せる記録や手順を備えることを求めます。
本人に認められる権利と企業の対応
GDPRは、個人データの対象となる本人を「データ主体」と呼び、データの利用状況を知り、一定の条件のもとで訂正や削除などを求める権利を定めています。企業は、問い合わせを受けてから担当部署を探すのではなく、本人確認、対象データの検索、回答の審査、期限管理までの対応手順をあらかじめ整える必要があります。
情報の確認、訂正、削除を求める権利
本人には、自分に関するデータが処理されているかを確認し、処理目的やデータの種類などの情報を得るアクセス権があります。本人が求めた場合、保有する個人データのコピーを提供することもあります。社内の画面で担当者が見られる情報だけでなく、関連する委託先や別システムに保存された情報も把握できるように、データの保管場所と検索方法を整理しておきます。
訂正権は、不正確な個人データを訂正するよう求める権利です。削除権、いわゆる「忘れられる権利」は、一定の要件を満たす場合に、本人がデータの消去を求められるものです。ただし、本人から請求があれば常にすべてを削除する、という意味ではありません。法的義務の履行や請求への対応など、保存を続ける根拠がある場合には、事情を確認したうえで判断します。
処理制限権は、データの正確性を確認している間や、処理の適法性に争いがある場合などに、利用を一時的に制限するよう求める権利です。利用目的や状況によっては、削除ではなく処理の制限が適切な対応となります。請求を受けたときには、対象データを特定したうえで、削除、修正、利用停止のどれが求められているかを誤解なく確認します。
データの移転、処理への異議、自動判断に関する権利
データポータビリティの権利は、一定の条件のもとで、本人が自分のデータを一般的に利用される機械可読形式で受け取る、または別の管理者へ移すことを求められる権利です。すべての社内記録が対象になるわけではなく、処理の法的根拠やデータの性質など条件があります。データを出力する場合は、本人以外の情報が含まれていないかも確認してください。
本人は、特定の状況で個人データの処理に異議を述べることができます。ダイレクトマーケティングのための処理については、本人から異議があれば、その目的での処理を停止する必要があります。また、法律上の根拠や処理目的によって、異議に対する判断の仕方は異なります。配信停止の要望を受け付けても、システムや委託先の配信リストに反映されなければ対応が完了したとはいえません。
本人には、法的効果または同程度に重大な影響をもたらす決定が、原則として自動処理のみによって行われることに関する権利もあります。採用、与信、サービス利用の可否などで自動判定を使う場合は、判断の仕組みや人による関与、本人が異議を述べる方法を確認します。すべての自動分析が一律に禁止されるわけではありませんが、目的、影響、例外要件を個別に検討する必要があります。
企業に求められる義務と違反時の制裁
GDPRでは、個人データを取り扱う主体の役割を、主に管理者と処理者に分けています。管理者は、データを何の目的でどのような方法により扱うかを決定する組織です。処理者は、管理者のためにデータを処理する委託先などを指します。実際の役割は契約上の呼び名だけで決まらず、誰が目的や手段を決定しているかという実態に基づいて整理します。
管理者には、処理の法的根拠を定め、本人に必要な情報を提供し、処理の記録を適切に保管する義務があります。処理者を利用するときは、指示の範囲、守るべき安全管理措置、再委託の条件、事故時の連絡、契約終了後のデータの扱いなどを契約で定めます。委託先に業務を任せても、管理者としての責任がすべて移るわけではありません。
個人データ侵害が発生した場合、管理者は原則として、侵害を認識してから不当に遅滞することなく、可能であれば72時間以内に所管の監督機関へ通知します。ただし、本人の権利や自由にリスクが生じる可能性が低い場合などには、監督機関への通知が不要となることがあります。本人への通知は別の判断で、権利や自由に高いリスクがある場合には、不当に遅滞することなく知らせる必要があります。
違反に対する行政上の制裁金は、違反の種類に応じて二段階に設定されています。上位の区分では、最大で2,000万ユーロまたは企業グループを含む全世界年間売上高の4％のいずれか高い方、もう一方の区分では最大で1,000万ユーロまたは同売上高の2％のいずれか高い方が上限です。実際の判断は違反の内容や期間、故意性、影響、対応状況などを踏まえて行われ、上限額が機械的に科されるわけではありません。
EU域外へのデータ移転で確認すること
GDPRでは、EU域内から第三国、つまりEU域外へ個人データを移転する際に、一定の条件を満たすことを求めています。データを海外のサーバーへ保存する場合だけでなく、EU域外の担当者がデータにアクセスする場合や、海外のグループ会社・委託先に共有する場合も、移転に当たるかを確認します。保存場所だけを見て判断すると、実際のデータの流れを見落とすことがあります。
移転先の国について欧州委員会が十分なデータ保護水準を認める「十分性認定」がある場合、所定の条件のもとで移転できます。日本は十分性認定を受けていますが、対象となるデータや取扱いに応じて、日本の個人情報保護法に加え、補完的ルールを守る必要があります。認定があるからといって、データの利用目的、安全管理、本人の権利への対応など、GDPR上の義務がなくなるわけではありません。
十分性認定が利用できない場合などには、標準契約条項（SCC）を含む適切な保護措置を検討します。SCCは、欧州委員会が定めた条項を使って、移転元と移転先の責任やデータ主体の権利などを契約で定める仕組みです。契約書に条項を加えるだけで終わりではなく、移転先の法制度や政府機関によるアクセスの可能性を踏まえ、追加措置が必要かを確認する場合があります。
グループ会社間の移転では、拘束的企業準則（BCR）を利用できる場合があります。これは、企業グループ内で共通のデータ保護ルールを設け、監督機関の承認を得る仕組みです。本人の明確な同意など、特定の例外によって移転できるケースもありますが、例外を恒常的な移転手段として使うのは適切でないことがあります。データの送り先、目的、移転根拠、契約、追加の安全策を記録し、定期的に見直してください。
日本の個人情報保護法との違いと共通点
GDPRと日本の個人情報保護法は、いずれも個人の権利や利益を守りながら、個人に関するデータの適切な取扱いを求める法令です。ただし、対象となる主体や用語、本人の権利、処理の根拠、域外移転の条件、監督制度には違いがあります。日本法に従っていることだけで、GDPRにも対応できていると判断することはできません。
GDPRの「個人データ」は、識別された、または識別可能な自然人に関する情報を幅広く含みます。日本法にも「個人情報」「個人データ」などの定義がありますが、GDPRと範囲や制度上の扱いが完全に一致するわけではありません。CookieやIPアドレスなどは、他の情報と照合して個人を識別できるか、どの主体がどのように扱うかによって判断が変わります。名称だけで対象外と決めないことが重要です。
法的根拠の考え方にも差があります。GDPRでは、同意だけでなく、契約の履行、法的義務、正当な利益など、規則が認める根拠のいずれかを処理ごとに確保します。同意を根拠にする場合、自由に与えられ、具体的で、十分な情報に基づいた明確な意思表示であることが求められます。チェック済みの欄を初期設定にするなど、本人が選択していない状態を同意と扱うのは適切ではありません。
本人の権利や制裁金にも違いがあります。日本法にも保有個人データの開示、訂正、利用停止などの請求制度がありますが、GDPRにはデータポータビリティなど独自の権利や、詳細な通知・応答要件があります。制裁の仕組みも異なるため、両方の法令が関係する企業は、共通する管理基盤を整えつつ、地域ごとの要件を手順や通知文に反映します。法律の改正や当局の指針も継続して確認してください。
日本企業がGDPR対応を進める実務上の手順
対応を始める前に、事業部門、法務、情報システム、セキュリティ、人事、マーケティングなど、個人データに関係する担当者を集めます。特定の部署だけで調査すると、顧客データは把握できても、採用応募者や従業員、イベント参加者、委託先が扱う情報を見落とすことがあります。経営層が責任者を明確にし、調査に必要な情報や判断を得られる体制をつくることが大切です。
最初の作業はデータの棚卸しです。誰のデータを、どの業務で、どの目的と根拠により取得するか、どこに保存し、誰と共有し、いつ削除するかを一覧にします。紙の書類やメール、表計算ファイル、クラウドサービス、ログ、バックアップも確認対象です。データが流れる経路を図にすると、委託や海外移転、アクセス権限の過不足を見つけやすくなります。
次に適用範囲と処理の適法性を評価します。EUとの拠点・顧客・取引関係、サービス提供や行動監視の有無を確認したうえで、処理ごとに法的根拠と利用目的を整理します。本人向けのプライバシー通知に必要な情報が記載されているか、同意を根拠とする場合に取得記録と撤回の仕組みがあるかも点検します。根拠が不明確な処理は、継続の可否から見直してください。
その後、権利請求、侵害対応、委託先管理、越境移転の手順を整備します。たとえば、請求を受けた部署から担当窓口へつなぐ方法、本人確認、期限管理、回答の承認、作業記録の保存を定めます。侵害対応では、発見から影響評価、封じ込め、通知判断までの役割を決め、連絡網や判断基準を訓練します。実際に机上演習を行い、72時間以内の報告判断に必要な情報を集められるか試すと、手順の不足が見えます。
新しいサービスや大規模な分析を始める際は、開発の初期段階からデータ保護を組み込みます。目的の明確化、収集項目の削減、アクセス権限、保存期間、ログ、削除方法を設計時に決めておけば、稼働後に仕組みを大きく改修する事態を減らせます。本人の権利や自由に高いリスクをもたらす可能性がある処理では、データ保護影響評価（DPIA）を検討し、リスクと軽減策を記録します。
よくある誤解と、対応でつまずかないための注意点
よくある誤解の一つは、「EUに法人がなければGDPRは関係ない」という考え方です。EU域内に拠点がなくても、EU域内の人に商品・サービスを提供したり、その人の行動を監視したりする場合には適用され得ます。反対に、EUからサイトへアクセスできるという理由だけで必ず適用されるわけでもありません。サービスの対象や事業上の意図、データ処理の実態を基に判断してください。
「EU市民の情報だけが対象」という理解にも注意が必要です。適用判断では、データ主体の国籍ではなく、EU域内にいる人へのサービス提供や行動監視、EU域内の拠点に関連する処理などが焦点になります。また、氏名や住所が含まれていないデータでも、端末識別子や他の情報との組み合わせによって個人を識別できる場合があります。匿名化済みと呼ぶだけで対象外にできるわけではなく、再識別の可能性を確かめます。
「同意を取ればすべて処理できる」という考えも適切ではありません。同意はGDPRが認める法的根拠の一つですが、業務上の必要性や本人との力関係によっては、自由な同意といえるか慎重な検討が要ります。サービス提供に不要なデータまで一括で同意させたり、拒否しにくい設計にしたりすると問題が生じます。契約履行など別の根拠が適切か、同意を撤回できる仕組みがあるかも確認します。
「暗号化すればGDPR対応は完了する」という誤解も見られます。暗号化は漏えい時の影響を抑える有効な安全管理措置ですが、目的の限定やデータ最小化、本人への説明、権利請求への対応、保存期間の管理まで代替するものではありません。また、委託先との契約を締結しただけで管理が済むわけでもありません。委託先の再委託先やデータの保存国、アクセス権限、事故連絡の実効性を継続して確かめましょう。
Cookieについては、すべてが同じ扱いになるわけではありません。Cookieやオンライン識別子が個人データに当たるかは、個人を識別できるかなどに応じて判断します。また、端末への情報保存やアクセスには、GDPRとは別に電子プライバシーに関する法令が関係する場合があります。Cookieバナーを設置しただけで法令対応が完了するわけではなく、タグの動作、同意前の通信、第三者へのデータ送信、同意撤回後の挙動を実際に確認してください。
GDPRとは何かを理解したうえで、継続的な管理につなげる
GDPRとは、EU域内の人に関する個人データを適切に扱い、本人の権利を守るための規則です。EUに拠点を持つ企業に限らず、EU域内への商品・サービス提供、行動監視、現地企業からの処理委託などを通じて、日本企業にも適用される可能性があります。国籍やデータの保存場所だけで対象を決めず、事業活動とデータの流れを具体的に確認することが重要です。
対応の中心は、個人データの棚卸し、処理目的と法的根拠の整理、本人向けの説明、権利請求への対応、安全管理、委託先と越境移転の管理です。これらは個別に進めるのではなく、データを取得してから利用し、共有し、削除するまでの流れに沿って組み立てます。対応記録を残すことで、社内の責任範囲が明確になり、監督機関や取引先から確認を求められたときにも、判断の経緯を説明しやすくなります。
まずは、自社が扱う個人データとEUとの接点を洗い出し、適用可能性がある業務から優先して評価してください。判断が難しい場合や、特別なカテゴリーのデータ、大規模な監視、複雑な越境移転が関わる場合は、GDPRや関係国の法令に詳しい専門家への相談も検討します。規則の改正やガイダンス、事業の変更に合わせて手順を見直し、担当者教育や演習を続けることが、実効性のあるデータ保護につながります。
