GDPRとは？日本企業の適用判断と実務対応をわかりやすく解説

greeden

1年前

GDPR（一般データ保護規則）は、EU域内にいる個人の個人データを保護するための規則です。

日本企業でも、EU域内の拠点で個人データを処理する場合や、EU域内の個人に商品やサービスを提供したり、その行動を監視したりする場合は、適用対象となる可能性があります。

対応の出発点は、同意バナーを設置することではありません。

自社が誰のどのデータを、何の目的と法的根拠で処理し、どこへ渡し、いつ削除するのかを確認することです。

本記事は一般的な情報を整理したもので、個別案件への法的助言ではありません。事業内容や対象国によって判断が変わるため、実際の対応ではEUの監督機関や専門家の確認を受けてください。

GDPRの基本と「個人データ」の範囲

GDPRは2018年5月25日から適用されているEUのデータ保護規則です。

個人データとは、特定された、または特定できる自然人に関する情報を指します。

氏名やメールアドレスだけでなく、位置情報、オンライン識別子なども、個人を直接または間接に識別できる場合は対象になり得ます。

企業名や法人の代表電話番号が常に個人データになるわけではありませんが、担当者個人を識別できる業務用メールアドレスなどは対象となる場合があります。

GDPRは、企業に「集めたデータを守る」ことだけを求めているのではありません。

収集前に目的と法的根拠を定め、必要な範囲に絞り、正確性を保ち、不要になったデータを削除し、その判断を説明できる状態を求めています。

日本企業にGDPRが適用される主な場面

域外適用の判断では、対象者の国籍や住所だけでなく、処理の時点でEU域内にいる個人を対象としているか、企業がEU市場へ向けて活動しているかを確認します。

日本語のWebサイトをEU域内から閲覧できるという事実だけで、直ちに適用対象になるわけではありません。

日本企業が確認したいGDPRの適用場面
事業の状況	確認するポイント
EU域内に支店や子会社がある	その拠点の活動に関連して個人データを処理しているかを確認します。処理場所がEU域外でも対象となる場合があります。
EU域内の個人へ商品やサービスを提供する	EU向けの配送、通貨、言語、広告など、EU市場を意図していることを示す事情を総合して判断します。有料か無料かだけでは決まりません。
EU域内の個人の行動を監視する	行動広告、継続的な追跡、プロファイリングなど、EU域内での行動を分析しているかを確認します。
EU企業から処理を受託する	受託したという事実だけで全業務にGDPRが直接適用されるとは限りません。管理者と処理者の役割、処理契約、越境移転の根拠を個別に確認します。

EU域内に拠点がない企業に域外適用が及ぶ場合は、一定の例外を除き、EU域内の代理人を置く必要が生じることもあります。

適用の有無は事業単位ではなく、個々の処理活動と結び付けて判断する必要があります。

GDPRが企業に求める基本事項

処理の原則を業務ルールへ落とし込む

GDPRの原則は、プライバシーポリシーに理念を書くための標語ではありません。

収集フォーム、データベース、権限設定、保存期間、削除処理などの具体的な仕様に反映させます。

GDPRの主な原則と実務上の確認例
原則	実務で確認すること
適法性、公正性、透明性	法的根拠を定め、本人が理解できる形で処理内容を知らせます。
目的の限定	収集目的を具体化し、両立しない別目的へ安易に転用しません。
データの最小化	目的の達成に必要な項目だけを収集します。
正確性	誤りを訂正できる手順と、必要に応じて更新する仕組みを設けます。
保存期間の制限	保持期限と削除条件を決め、無期限の保存を避けます。
完全性と機密性	権限管理、暗号化、バックアップ、ログなど、リスクに応じた安全管理策を講じます。
説明責任	上記の判断と実施状況を記録し、遵守を示せるようにします。

同意だけに頼らず法的根拠を選ぶ

個人データの処理には法的根拠が必要ですが、同意はその一つにすぎません。

契約の履行、法的義務、生命に関わる利益、公共の利益、正当な利益など、GDPRが定める根拠のうち、処理の目的と実態に合うものを選びます。

例えば、購入商品の配送先を使う処理は契約の履行が根拠になり得るため、何でも同意欄に集約する設計は適切とは限りません。

同意を根拠にする場合は、目的を明確にし、自由意思で選べるようにし、同意しない選択や後から撤回する方法も用意します。

WebサイトのCookieについては用途と適用法を分けて検討します。実装時の論点は「クッキーコンセントの仕組みと導入時のチェックポイント」も参考になります。

データ主体の権利へ対応する

データ主体は、処理される個人データに関係する本人を指します。

GDPRは、本人への情報提供、アクセス、訂正、削除、処理の制限、データポータビリティ、異議申立て、自動化された意思決定に関する保護などを定めています。

これらの権利にはそれぞれ条件や例外があり、削除請求を受けたデータを必ず無条件で消すという意味ではありません。

企業は、受付窓口、本人確認、対象データの検索、判断、回答、実行、記録までを一つの手順として整える必要があります。

DPOとDPIAが必要かを判断する

DPO（データ保護責任者）は、GDPR上の義務について助言し、遵守状況を監視し、監督機関との連絡窓口になる役割です。

公的機関のほか、中核的な活動として大規模かつ定期的、体系的に個人を監視する場合や、特別な種類の個人データなどを大規模に処理する場合には、管理者か処理者かを問わず選任が必要となります。

企業規模だけでは決まらないため、DPOの選任が義務でない企業でも、社内の責任者と相談経路は定めておく必要があります。

DPIA（データ保護影響評価）は、個人の権利と自由に高いリスクをもたらす可能性がある処理を始める前に、必要性、リスク、対策を評価する手続きです。

大規模なプロファイリングや特別な種類の個人データの大規模処理などでは、実施要否を早い段階で確認します。

個人データ侵害への初動を決める

個人データ侵害には、外部への漏えいだけでなく、個人データの滅失、改ざん、利用不能など、機密性、完全性、可用性を損なう事故も含まれます。

管理者は、個人の権利と自由にリスクを生じさせる可能性がある侵害について、認識してから不当に遅れることなく、可能であれば72時間以内に監督機関へ通知します。

影響を受けた本人への通知は、高いリスクが見込まれる場合などに必要です。

処理者は侵害を把握したら管理者へ不当に遅れることなく知らせる必要があるため、連絡先、判断担当者、調査項目、委託先からの報告期限を平時に決めておきます。

EUから日本へのデータ移転を確認する

日本は欧州委員会の十分性認定の対象です。

そのため、認定の対象となる移転では、標準契約条項などの追加的な移転手段を設けずにEUから日本へ個人データを移転できることがあります。

ただし、「十分性認定があれば追加の確認は一切不要」という意味ではありません。

日本側の受領者とデータが認定の対象か、利用目的と保存期間は適切か、再移転があるか、個人情報保護委員会の補完的ルールが適用されるかを確認します。

十分性認定は、GDPR上の透明性、安全管理、権利対応などの義務を免除する制度でもありません。

制裁金だけでなく是正措置もある

違反に対する上限は内容によって異なり、最大1,000万ユーロまたは全世界年間売上高の2％、重大な違反では最大2,000万ユーロまたは4％のうち高い額となり得ます。

実際の処分は違反の性質、重大性、期間、故意または過失、被害軽減策、監督機関への協力などを踏まえて判断されます。

監督機関は制裁金だけでなく、警告、処理の停止、是正命令などを行うこともあります。

日本企業のGDPR対応チェックリスト

適用範囲を判定する
EU拠点、EU向けの提供、行動監視、受託処理の有無を、処理活動ごとに確認します。
役割とデータの流れを可視化する
管理者か処理者かを整理し、取得元、利用部門、委託先、保存場所、移転先、削除時点を一覧にします。
目的と法的根拠を対応させる
データ項目ごとに利用目的と法的根拠を記録し、不要な収集や目的外利用を止めます。
通知文と同意画面を見直す
プライバシー通知を実態に合わせ、必要な同意は拒否と撤回を含めて設計します。操作のしやすさは「Cookie同意バナーとプライバシーUIのアクセシビリティ」も確認してください。
委託契約と越境移転を確認する
処理者との契約、再委託、監査、削除、事故報告、移転の根拠を確認します。
権利請求の対応手順を試す
対象データを実際に検索し、訂正、出力、制限、削除まで実行できるかテストします。
事故対応を訓練する
侵害の検知から評価、封じ込め、通知判断、記録までを時系列で確認します。
DPO、DPIA、EU域内代理人の要否を確認する
処理の規模、種類、監視の態様、想定リスクに応じて判断し、根拠を残します。
定期的に更新する
新しいサービス、計測ツール、委託先、利用目的を追加したときは、データ一覧と通知文も更新します。

法務部門だけで完結させず、事業、情報システム、セキュリティ、マーケティング、カスタマーサポートが同じデータ一覧と対応手順を共有すると、規程と実際の処理がずれにくくなります。

対応で生じやすい誤解

「EU国籍の人だけが対象」ではありません。
域外適用では、EU域内にいる個人への商品やサービスの提供、または行動監視との関係を確認します。
「個人データの処理には必ず同意が必要」ではありません。
目的に対応する法的根拠を選び、同意を使う場合だけ同意の要件を満たします。
「すべての侵害を72時間以内に本人へ通知する」ではありません。
監督機関への通知と本人への通知は、リスクの基準が異なります。
「十分性認定があるので何もしなくてよい」ではありません。
移転先と対象範囲を確認し、受領後の利用、保管、再移転、権利対応を管理します。
「プライバシーポリシーを公開すれば対応完了」ではありません。
公開文書と、システムの仕様、権限、保存期間、削除処理、事故対応を一致させる必要があります。

GDPR対応はデータの流れから始める

日本企業が最初に確認すべきなのは、自社の事業がGDPRのどの適用条件に当たり、どの処理活動が対象になるかです。

対象となる場合は、データの流れを可視化し、目的と法的根拠、権利対応、安全管理、委託、越境移転、削除を一つずつ業務とシステムへ反映します。

適用判断や高リスク処理を社内だけで断定せず、対象国の監督機関の案内と専門家の助言を確認してください。

公式資料

GDPR対応では、法務上の判断をデータ項目、権限、保存期間、削除手順へ落とし込む必要があります。株式会社greedenは、要件定義から設計、実装、保守まで一貫したWebシステム開発を支援します。