GDPRと個人情報保護法の基本
個人情報の保護は、国内だけではなく世界的に、企業にとって避けて通れない重要な課題となっています。 特に、近年ではEUの「GDPR（一般データ保護規則）」や日本の「個人情報保護法」などの法規制が強化され、企業は適切な対応を求められています。本記事では、GDPRと個人情報保護法を徹底比較し、日本企業が知っておくべきポイントを分かりやすく解説します。
GDPRとは？ 個人情報保護法とは？
GDPRとは、 General Data Protection Regulationの略称で、EU（欧州連合）域内の個人情報保護を目的とした規則です。2018年5月に施行され、個人データの処理に関する厳格なルールを定めてるEC域内の法律です。一方、個人情報保護法は、 日本国内における個人情報の保護を目的とした法律です。個人情報の適切な取扱いについて、事業者に義務を課しています。
なぜ日本企業もGDPRを意識する必要があるのか？
「GDPRはEUの法律だから、日本企業には関係ないのでは？」そう思っている方もいるかもしれません。しかし実際には、 EU域内に拠点を持たない日本企業でも、GDPRの適用対象となる場合があります。
具体的には、以下のケースが挙げられます。
- EU域内居住者向けのサービス提供
- EU域内居住者向けのWebサイトを運営している
- EU域内居住者からオンラインで商品を購入できる
- EU域内居住者を対象としたマーケティング活動を行っている
- EU域内居住者の行動監視
- EU域内居住者のWebサイト閲覧履歴を収集・分析している
- EU域内居住者の位置情報を取得している
さらに、GDPRは、世界的な個人情報保護の潮流を牽引する存在であり、EU域外にもその影響は広がっています。日本の個人情報保護法も、GDPRを参考に改正が行われています。
つまり、GDPRの記載している内容は、今後個人情報保護法に取り入れられる可能性があるのです。
GDPRと個人情報保護法の概要を比較
GDPRと個人情報保護法の概要を、以下の表で比較してみましょう。
GDPRは、個人情報保護法よりも適用範囲が広く、保護対象となる情報も多岐にわたります。また、個人の権利を重視しており、データ主体（個人）に対して強力な権利を付与している点が特徴です。
次の章では、GDPRと個人情報保護法の具体的な内容をさらに詳しく比較していきます。
GDPRと個人情報保護法の徹底比較
GDPRと個人情報保護法は、どちらも個人情報の保護を目的とした法規制ですが、具体的な内容には違いがあります。ここでは、両者を以下の3つの観点から比較していきます。
- 原則：個人情報を取り扱う上での基本的な考え方
- 権利：個人に与えられた権利
- 義務：企業に課せられた義務
原則
GDPRと個人情報保護法は、それぞれ7つの原則を掲げています。
権利
GDPRでは、個人情報保護法よりも多くの権利が個人に与えられています。
義務
GDPRでは、個人情報保護法よりも多くの義務が企業に課せられています。
GDPRは、個人情報保護法よりも、厳格な規制であることが分かります。
次の章では、日本企業がGDPR対応で特に注意すべきポイントを解説します。
日本企業がGDPR対応で注意すべきポイント
GDPRは、個人情報保護に関する厳しい規制を設けています。そのため、日本企業がGDPRに対応するには、以下のポイントに注意する必要があります。
Webサイト・アプリの対応
EU域内居住者がアクセスするWebサイトやアプリは、GDPRの規制対象となります。
Cookieの利用
- WebサイトでCookieを利用する場合は、EU域内居住者に対して、Cookieの利用目的や種類などを明確に説明し、同意を得る必要があります。
- Cookieの利用に同意しない場合でも、Webサイトの基本的な機能が利用できるようにする必要があります。
プライバシーポリシーの記載
- 個人情報の収集・利用目的、データ主体の権利、安全管理措置などについて、わかりやすくプライバシーポリシーに記載する必要があります。
- プライバシーポリシーは、EU域内居住者が容易にアクセスできる場所に掲載する必要があります。
同意取得の方法
- 個人情報の収集に際しては、明確かつ積極的な同意を得る必要があります。
- あらかじめチェックボックスにチェックが入っている状態や、同意しない場合はサービスを利用できないようにする方法は認められません。
個人データの越境移転
EU域内からEU域外への個人データの移転は、原則として禁止されています。但し、以下のいずれかの条件を満たす場合は、越境移転が認められます。
適切な法的根拠の確保
- データ主体からの明示的な同意
- 契約の履行
- 法令に基づく義務の履行など
標準契約条項 (SCC) の締結
- EU委員会が承認した標準契約条項を、データ移転に関わる当事者間で締結する。
拘束的企業準則 (BCR) の承認
- 多国籍企業グループ内で、個人データ保護に関する社内ルールを定め、EUのデータ保護当局の承認を得る。
違反時の対応
GDPRに違反した場合、 最大で2,000万ユーロまたは全世界年間売上高の4%のいずれか高い方の制裁金が科せられる可能性があります。違反した場合には、以下の対応を迅速に行う必要があります。
監督機関への報告
- 個人データの漏えいなどの事故が発生した場合、72時間以内に、EU域内の監督機関に報告する必要があります。
データ主体（個人）への通知
- 個人データの漏えいなどの事故が発生した場合、データ主体に対して、速やかに通知する必要があります。
再発防止策の策定
- 違反の原因を分析し、再発防止策を策定する必要があります。
GDPRへの対応は、企業の規模や事業内容によって異なります。専門家や弁護士に相談するなどして、適切な対応を行うようにしましょう。
GDPR違反による制裁金の事例
GDPRに違反したことよる過去最大の制裁金（※2023年5月時点）
2023年5月22日、アイルランドのデータ保護委員会（DPC）は、SNS（交流サイト）「フェイスブック」を運営する米メタに対し、12億ユーロ（約1800億円）の制裁金を科すと発表。欧州連合（EU）域内から米国へのデータ移管に関し、メタの現地法人が一般データ保護規則（GDPR）に違反していると判断した。出典：日本経済新聞
こうした流れを考えると、マーケティング活動に使われ、個人情報の観点から何かと話題に挙がっているCookieの扱いにも今後の動向が注文されるのではないでしょうか。
次の章では、GDPRと個人情報保護法に関するよくある質問にお答えします。
GDPRと個人情報保護法に関するよくある質問
GDPRと個人情報保護法について、よくある質問をまとめました。
【質問】GDPRと個人情報保護法、どちらが厳しい？
【回答】
一般的に、GDPRの方が個人情報保護法よりも厳しいと言われています。GDPRは、個人情報保護法よりも適用範囲が広く、保護対象となる情報も多岐にわたります。また、個人の権利を重視しており、データ主体に対して強力な権利を付与している点が特徴です。さらに、GDPRは違反に対する罰則・制裁金が非常に高額であることも、厳しいと言われる理由のひとつです。
【質問】GDPRの罰則・制裁金は？
【回答】
GDPRに違反した場合、最大で2,000万ユーロまたは全世界年間売上高の4%のいずれか高い方の制裁金が科せられる可能性があります。制裁金の額は、違反の重大性や企業の規模などを考慮して決定されます。
【質問】日本企業がGDPRに対応するための費用は？
【回答】 GDPRに対応するための費用は、企業の規模や事業内容、対応のレベルによって大きく異なります。例えば、個人データの処理量が少なかったり、既に、個人情報保護法に準拠した体制が整ったりしている企業であれば、比較的少ない費用で対応できる可能性があります。一方、個人データの処理量が多かったり、GDPRに対応するための体制整備が必要だったりする企業は、多額の費用がかかる可能性があります。具体的な費用としては、**コンサルティング費用、システム改修費用、従業員教育費用、弁護士費用などが挙げられます。
まとめ
この記事では、GDPRと個人情報保護法を徹底比較し、日本企業が知っておくべきポイントを解説しました。
GDPRはEU域内の個人情報保護を目的とした規則であり、日本企業でもEU域内居住者向けのサービスを提供したり、EU域内居住者の行動を監視したりする場合には、GDPRの適用対象となります。
GDPRは個人情報保護法よりも厳格な規制であり、違反した場合には高額な制裁金が科される可能性があります。そのため、日本企業はGDPRの原則を理解し、適切な対応をとる必要があります。
具体的には、Webサイト・アプリの対応、個人データの越境移転、違反時の対応など、注意すべきポイントがいくつかあります。
GDPRへの対応は、企業の信頼性向上やブランドイメージの向上にもつながります。GDPRと個人情報保護法を理解し、適切な対応をとることで、個人情報の保護とビジネスの成長を両立させていきましょう。
個人情報保護は、企業の社会的責任です。 最新情報や改正点に注意し、継続的な対応を心がけましょう。
不明な点等あれば、弁護士やGDPRを専門にしているコンサルティング会社へお問い合わせください。
免責事項
本ページで掲載されている解説は、ITエンジニアや関心をお持ちの方々に情報提供を目的としており、正確かつ最新の情報を掲載するよう努めておりますが、内容の完全性や正確性を保証するものではありません。本コラム内の情報の利用により生じたいかなる損害についても、当社は一切の責任を負いかねます。