寄稿EU GDPR（一般データ保護規則）の概要
西村あさひ法律事務所 パートナー

岩瀬 ひとみ日本では、2017年５月に改正個人情報保護法が全令（Directive 95/46/EC）に基づき、EU加盟国各面施行となったが、近時の経済のデジタル化の急速な国において個人データの保護に係る国内法が制定され進展や、それに伴うビッグデータの利活用の進行を背ているという状況である。各国のデータ保護法は、景として、個人情報保護の法制は、日本以外の諸外国

データ保護指令に基づいているため一定程度内容の統でも大きく動いている分野の一つである。世界的にみ一は図られているものの、国によって異なるため、EUても最も厳しいといわれる欧州のデータ保護法（1995

域内の複数国にまたがって事業を展開する企業にとっ年に採択されたEUデータ保護指令95/46/ECに基づて欧州のデータ保護法遵守は、異なる各国の法律に個く各国法）を統一して書き換えることとなるGDPR別に対応する必要があるという意味で負担が重いもの（General Data Protection Regulation：一般データであった。GDPRは、EUデータ保護指令とは異なり、保護規則）が2018年５月25日に施行となる。

EU加盟国において直接適用され、各国のデータ保護法は廃止されることとなるため、GDPR施行後はデー

GDPRは、EU域内（厳密にはEU加盟国及びEEA

タ保護のルールがEU域内で統一されることとなる（な加盟国）の事業者と国民だけでなく、EU域外の事業お、労働者の個人データの処理に関する規定、データ者にも適用され得るものである。新たに導入された、保護オフィサーの設置基準に関する規定、未成年者の最高額2000万ユーロ又は全世界年間売上の４％のい年齢基準に関する規定、健康関連データに関する規定

ずれか高い方という非常に高額の制裁金の定めもあるなど、加盟国が独自に定めることのできる項目もある

せいか、近時、新聞等で取り上げられることも増えてため、その限りでは完全に統一されるものではない点

きたが、施行を目前とした現在でも十分な対応ができには留意が必要である）。ていない企業は少なくなく、またGDPRについて正しく理解がされていないことも珍しくない。本稿では、1995年にデータ保護指令が採択されて以降、社会

GDPRが何を求めているのか、その概要をできるだけ経済のデジタル化やグローバル化が急速に進み、新しわかりやすく説明することを試みたい。実際のGDPRい技術やビジネスモデルが登場するなか、古いルールの遵守対応は、各企業の事業内容、組織構成、取り扱の下では個人データの処理についてEU加盟国の国民うデータやその流れなどによって大きく異なるが、その信頼を得られなくなってきたことから、これらの状の前提として正しくGDPRを理解することの一助とな況の変化に対応するルールが必要であるということでれば幸いである。

制定されたのがGDPRである。従って、GDPRではデー

１．GDPR の制定
EU加盟国において、個人データの保護は、欧州基本憲章において定められた基本的権利の一つとされてタ保護に関する義務が強化され、またその適用範囲も拡大されている。

２．GDPR の適用範囲

おり、GDPRもこの基本的権利を保護するための法律冒頭にも記載したとおり、GDPRはEU域外の事業である。GDPRは、2012年１月に欧州委員会により最者にも適用され得るものである。すなわち、GDPRは、初の規則案が提案されてから４年以上もの間議論がまず、①EU域内の管理者（controller）又は処理者行われた後、2016年４月に最終案が採択され、2018（processor）の拠点（establishment）の活動に関連年５月25日から施行されることとなっている。GDPRして行われる個人データの処理に適用される（管理者、施行前は、1995年10月に採択されたEUデータ保護指処理者の概念については後述）。また、GDPRは、②122018.5

EU域内に拠点を有さない管理者又は処理者によるEU

なお、GDPRでは、日本の個人情報保護法と異なり、域内に所在するデータ主体の個人データの処理についデータ処理に関する義務を負う者として「管理者ても、処理活動が、(a)EU域内に所在するデータ主体（controller）」と「処理者（processor）」という２つに対する商品又はサービスの提供か、(b)EU域内で行の概念が用いられている。管理者とは、単独で又は他われるデータ主体の行動の監視に関するものであればの者と共同して個人データの処理の目的（日本の個人適用されると規定されている。

情報保護法における利用目的に相当するもの）及び手段を決定する者であり、処理者とは、管理者のためにこのうち②がいわゆる域外適用であり、GDPRの適個人データの処理を行う者である。処理者は、データ用範囲を広くするものと説明されることが多いが、①処理サービスを提供するベンダーなどがこれに該当すに関し「拠点」が広い概念であることも忘れてはならるが、日本企業（親会社）がEU域内にある子会社やない。すなわち、この「拠点」は、EU域内において、関連会社の従業員データを受領してこれに関してバッ安定的な仕組みを通じて、実効的かつ現実の活動が実クオフィス業務を行うような場合には処理者に該当す施されていれば、拠点であると判断される。従って、ることがあろう（なお、親会社が、さらに自らの目的日本企業がEU域内に支店を有する場合のみならず、のために当該従業員データを利用する場合には処理者

EU域内に子会社を有していれば、親会社である日本ではなく管理者となる）。

企業が上記①によりGDPRの適用対象となることが多いであろう。また、支店や子会社の形でなくとも、業務遂行できるオフィスとともに駐在員がEU域内にいる

３．GDPR 上の義務の概要という場合にも拠点ありということで上記①によりGDPRの関連では個人データの域外移転に注目が向GDPRの適用対象となる可能性がある。なお、②の域けられていることが多いという印象を受ける。これま外適用の場合はもともとEU域外でのデータ処理が想での欧州のデータ保護法関連の実務において、日本企定されているが、①の場合も、データ処理がEU域外業が行ってきた対応が主に標準契約条項（StandardでなされたとしてもGDPRの適用はある。

Contractual Clause：SCC）の締結であったということがその要因の一つかもしれないが、GDPRには個

上記②の域外適用については、例えば、EU域内か人データの域外移転以外にも重要な事項が定められてら日本に出張したり旅行している者について日本でおり、GDPRの適用を受ける日本企業はそれを正しくサービスを提供すれば上記②(a)に該当するのではな理解しておく必要がある。

いかと誤解がされていることがあるが、その出張・旅GDPRは、基本的権利である個人データの保護に関行をしている者はEU域内に所在するデータ主体ではする法律であり、個人データの処理とEU域外への移ないため、上記②(a)には該当しないと考えられる。上転に際しての管理者及び処理者の義務と法執行の記②(a)で想定されているのは、例えば、日本企業がルールを定めている。以下ではGDPRの適用を受ける

ウェブサイトを設けてEU域内にいる者に対して商品日本企業として理解しておくことが重要な管理者及びを販売したりサービスを提供したりするような場合で処理者の義務を中心に説明する。この義務は、大きくある。インターネットは国を超えてアクセスできるも分けると、①組織的な措置、②データ処理及び域外移のであるため、どのような内容であればEU域内にい転に関するルール、③データ主体の権利（データ主体る者に対して商品やサービスが提供されているとされから求められたときに応じなければならない事項）かるかは必ずしも明確でないが、EU域内にいるデータらなる。

主体に対して商品やサービスを提供する意図が明白である場合にはGDPRが適用されると考えられており、EU域内で一般的に使われている言語又は通貨を使用（１） 組織的な措置

GDPRの適用を受ける企業は、データ処理活動の記していたりすれば該当する可能性は高くなるといえ録を保存し、適切かつ合理的な技術的・組織的保護る。上記②(b)の行動の監視は、例えば、ウェブサイト措置を講じ、個人データの侵害があった場合に必要と上の行動履歴や購買履歴の追跡、自動車や家電の使される通知を行えるようにしておくなど、GDPRの規用状況の把握をするような場合にはこれに該当する可定に従った社内の体制を整えておく必要がある。また、能性がある。

データ保護オフィサー（所定の基準を満たす場合）や、代理人（GDPRの域外適用を受ける場合）を選任し、2018.513さらに、個人データの処理活動の内容によっては、し、サービスを受け又は契約を締結することを妨げる

データ保護影響評価を行い、プライバシー・バイ・デ可能性のあるデータ処理という９つの基準（原則としザインやプライバシー・バイ・デフォルトの原則に適て、このうちの２つ以上に該当すれば、自然人の権利合する措置を講じる必要がある。以下では、GDPRの及び自由に対して高度のリスクを生じさせる可能性の適用を受ける企業が行う必要のある組織的な措置のう高い個人データの処理活動に該当する。もっとも、１

ちの主要なものについて説明する。

つしか該当しなくてもDPIAが必要な場合もあり得る）と、当てはめの具体例が示されている。これによれば、データ処理活動の記録

例えば、企業が従業員の職場やインターネット上の活GDPRにおいては、管理者及び処理者（あるいはそ動を体系的に監視する場合や、プロフィールを作成すの代理人）は、データ処理活動の記録を保存しなけれるためのソーシャルメディアデータの収 集などがばならないとされている。記録の内容は、管理者・処DPIAが必要な具体例として上げられている。なお、理者の名前及び連絡先、データ処理の目的、データ主データ処理に先立って監督当局との協議が義務付けら体の種類、個人データの種類等と具体的に定められてれる場合がある。

おり、これを書面（電子的な形でもよい）により保存する必要がある。最も基本的な組織的措置であり、監デ ータ 保 護 オフィサー（Data Protection Officer：

督当局からこの記録の開示を求められた際にこれに応DPO）の選任じられなかった場合にはGDPR上の基本的な措置が講管理者及び処理者は、その主要業務に、大規模なじられていないということになるため、留意が必要でデータ主体の定期的かつ体系的な監視が含まれる、あある。なお、従業員が250名未満の小規模事業者につるいは、センシティブデータの大規模な処理が含まれいては適用が除外されることがある。

る場合にはDPOを選任しなければならないとされている。EU加盟国の国内法でDPOを選任すべき場合が追デ ー タ 保 護 影 響 評 価（Data Protection Impact

加的に定められることもある点には留意が必要である。

Assessment：DPIA）

DPOに関してもガイドラインが公表されており、DPO

データ保護影響評価とは、体系的かつ広範なプロの選任、地位、任務等の詳細が示されている。DPOは、ファイリング（個人的な側面を評価するために、特にGDPR及び各国のデータ保護法の遵守について監視個人に関する分析又は予測をするためになされる、個し、通知・助言をし、また監督当局などとのやりとり

人データの自動化された処理）又はセンシティブデーも行うこととなるため、データ保護法とその実務につタの大規模処理を行う場合など、自然人の権利及び自いて専門的知識を有するとともに、必要に応じて現地由に対して高度のリスクを生じさせる可能性の高い個の言語でコミュニケーションができる必要があろう。

人データの処理活動を行う場合に、これに先立って実DPOは従業員のなかから選任することもできるが、外施しなければならない当該データ処理活動のリスク評部委託することも可能である。独立性が保障されてお価である。GDPRで新たに導入された。具体的にどのり、業務遂行によって解雇又は処罰を受けないとされようなデータ処理活動が「自然人の権利及び自由に対ていることもあり外部委託の形をとる企業もある。なして高度のリスクを生じさせる可能性の高い個人デー

お、企業グループの場合は、グループで共通のDPO

タ の 処 理 活 動 」 に 該 当しDPIAの 対 象 とな る か、を１名選任するということも認められる。

DPIAの実施方法などについては、ガイドラインが制定されている。ガイドラインでは、自然人の権利及びEU 域内に拠点を有さない管理者・処理者の代理人の自由に対して高度のリスクを生じさせる可能性の高い選任

個人データの処理活動に該当するか否かの判断基準と上記２の②に記載した域外適用を受ける管理者及して、①評価又は採点、②法的又は同種の重大な影響び処理者は、所定の例外に該当しない限り、EU域内を伴う自動化された意思決定、③体系的なモニタリンの代理人を書面により選任しなければならない。代理

グ、④センシティブデータ又は高度に個人的な性質を人は、データ処理に関して監督当局やデータ主体との有するデータ、⑤大規模なデータ処理、⑥データセッやりとりの窓口となる。

トの照合又は結合、⑦脆弱なデータ主体に関するデー
タ、⑧新しい技術的若しくは組織的なソリューションの革新的な利用又は適用、⑨データ主体が権利行使
14

2018.5

個人データの侵害の通知
GDPRにおいては、個人データの侵害、すなわち、寄稿
偶発的又は違法な個人データの破壊、滅失、変更又は定し、取得に際して利用目的を本人に通知又は公表す許可されていない開示若しくはアクセスがあった場合ること、また、個人データの第三者提供に当たってはには、管理者は、原則として、侵害を認識してから72原則として本人の同意を取得することといった形で、時間以内に監督当局に通知しなければならないとされ比較的具体的に行為規制を定めている。これに対して、ている（ただし、侵害により自然人の権利又は自由にGDPRにおいては、個人データの収集、記録、編集、対するリスクが生じる可能性が低い場合、通知は不要

構造化、保存、修正又は変更などあらゆる作業が、個とされている）。管理者が個人データの処理を処理者人データの「処理」として一括りにされたうえ、個人に委託している場合、処理者が侵害を認識すれば管理データの処理は原則として禁止されており、適法性者も認識したとみなされる点には留意が必要である。

（legal justification）が認められる場合にのみできる、また、侵害により自然人の権利又は自由に対するリスと定められている。この適法性は、以下の場合に認めクがある場合には、遅滞なくデータ主体に通知するこられる。

・ ・とも必要である。監督当局への通知は72時間というかなり短時間での対応が求められているため、データ侵害が起きたときにその事実について速やかに把握する①データ主体が、一または複数の特定の目的のために、自己の個人データの処理に同意をした場合ことができるよう体制を整えておく必要がある。なお、②データ主体が当事者となっている契約の履行のためこの個人データの侵害の通知に関してもガイドラインに処理が必要な場合、又は、契約の締結前にデータが公表されている。

主体の求めに応じて手続きをするために処理が必要な場合

適切な技術的・組織的保護措置の実施
日本の個人情報保護法における安全管理措置に相当するものであり、管理者及び処理者の基本的な義務の一つである。リスクに適した安全性のレベルを確保するために適切かつ合理的な技術的・組織的保護措置を講じなければならない。

③管理者が従わなければならない法的義務を遵守するために処理が必要な場合④データ主体又は他の自然人の重大な利益を保護するために処理が必要な場合⑤公共の利益又は管理者に与えられた公的権限の行使のために行われる業務の遂行において必要な場合⑥管理者又は第三者によって追求される正当な利益のプライバシー・バイ・デザイン（Privacy by Design）、ために処理が必要な場合（ただし、データ主体の個プ ラ イ バ シ ー・ バ イ・ デ フ ォ ル ト（Privacy by

人データの保護を求める利益又は基本的権利及び自Default）の原則

由が当該管理者等の利益に優先する場合を除く）

いずれも、技術の進展を踏まえてGDPRにおいて新たに導入された概念であり、とりわけデジタルデータ

実務上は、これらのうち①②⑥に依拠する場面が多の処理に関して、これらの原則に適合する措置を講じいのではないかと思われるが、①に関しては、同意がなければならないというものである。プライバシー・

自由に与えられ、特定の、情報提供を受けたうえでの、バイ・デザインは、個人データの処理を含む商品やかつ不明確でない意思表示である必要があることかサービスを提供するに際して、その設計段階から、必ら、どういう状況下であれば同意が任意・自発的にな要最小限度でのみ個人データを処理するなど適切な個されたか、ケースバイケースで検討する必要がある。

人データの保護措置を組み込むべきという原則であ特に、従業員の個人データに関しては、従業員が使用り、プライバシー・バイ・デフォルトは、初期設定に者に対してする同意は任意性がないということで、おいてそのような措置をとるべきという原則である。

データ処理の適法性として同意には依拠できないと考

なお、監督当局がこれらをどのように執行するかは明えられている点には留意が必要である。⑥の正当な利らかでない。

益についても、データ主体の個人データの保護を求める利益又は基本的権利・自由と、管理者などの利益とこう りょう（２）データ処理及びデータの域外移転に関するルールを、個別に利益衡 量することが必要であることから、日本の個人情報保護法は、個人情報取扱事業者にり、過去事例が参考になるようであるが、実務上は弁データ処理のルール対して、個人情報を取り扱うに当たって利用目的を特判断は容易ではなく、慎重な判断が求められる。現行のデータ保護法下においても存在していた概念であ護士の意見を取得することもあるようである。
2018.515

個 人 デ ー タ の「 処 理 」 に は、 適 法 性（legaljustification）が認められる必要まだその詳細が明らかになっていない。③BCRは、こ・ 同意・ 契約の履行等のために必要・ 正当な利益 等

プ企業間に限定される上、策定に時間とコストを要すれを利用する日本企業も出てきているものの、グルーることから、利用事例はそれほど増えていないように思われる。
実務的にもっともよく利用されるであろう②SCCについては、今後GDPR下でのSCCが公表されることが想定されているが、それまでは現行法下におけるプラ個人データの「域外移転」には、さらに、データ移転のための要件を満たす必要・・・・十分性認定
SCC
BCR
明確な同意 等データのEU 域外への移転に関するルール

クティスが継続すると思われる。⑥の同意は、前述したとおり、自由に与えられ、特定の、情報提供を受けたうえでの同意であることに加えて、明確な同意である必要があり、少なくとも従業員の個人データの域外移転は同意に依拠すべきでないと考えられている。
①の十分性認定については、日本は現在これを受けるべく欧州委員会との間で交渉を行っているようである。仮に日本が十分性認定を受けたとしても、それに日本の個人情報保護法では、個人データの国外移転基づいて日本に移転される個人データについてはそのに関しては、外国にある第三者に個人データを提供す取り扱いについてガイドラインが策定される見込みでる場合に原則として同意が必要とされており、外国にあり、2018年４月25日よりガイドライン案がパブコメ

ある支店に個人データを移転する場合は同一の法人内に 付 さ れ て い る（http://search.e-gov.go.jp/

であるから第三者への提供には当たらず、同意取得はservlet/Public?CLASSNAME=PCMMSTDETAIL&不要とされている。これに対して、GDPRにおいては、

id=240000050&Mode=0 参照。なお、当該ガイドラ

同一法人格内であるか否かを問わず、個人データがインは2018年前半に公布・施行が予定されているよう

EU域外の第三国に移転する場合には域外移転規制がである）。具体的には、GDPRにおける個人データの及ぶ。なお、EU域内のサーバに保管した個人データ保護水準のほうが、日本の個人情報保護法における個に第三国からアクセスを許す場合もまた域外移転とし人情報ないし個人データの保護水準より高いと考えらて規制対象となる。

れる、①要配慮個人情報（いわゆるセンシティブデー

GDPRにおいては、個人データの域外移転は、基タ）の範囲、②保有個人データの範囲、③利用目的の本的に、以下のいずれかの方法により正当化された場

特定、利用目的による制限、④外国にある第三者への合にのみ認められる（ただし、一定の例外事由は定提供の制限、⑤匿名加工情報の範囲などについて規定められている）。なお、この適法化要件は、前述したされることが想定されている。なお、日本が十分性認データ処理に関する適法性に加えてさらに必要なもの定を受けたとしても、それはEU域内から日本への個である。

人データの移転についてのみ適法化するものであり、データ処理をするに当たっては別途適法性が認められ①欧州委員会が、移転先である第三国について十分な水準の保護が確保できていると認定している場合る必要があることは言うまでもない。
個人データの国外ないし域外移転に関しては、上述（十分性認定）した日本の個人情報保護法、GDPR以外にも、香港、②標準契約条項（SCC）の締結豪州、シンガポールなどにも規制があり、その他の国③ 拘 束 的 企 業 準 則（Binding Corporate Rules：でも類似の規制を設けるところが増えてきている。規BCR）の策定

制の内容は国ごとに異なるため、複数国にまたがって④承認された行為規範（Code of Conduct）事業を行っている企業においては、これら規制の有⑤ デ ー タ 保 護 認 証 制 度（Data Protection

無・内容を確認し対応することが必要である。

Certification Mechanisms）⑥明確な同意の取得

また、個人データの国外ないし域外移転とは別に、これと似て非なる規制として、データ・ローカライゼー
ションというものがある。データ・ローカライゼーショ

このうち、④行為規範と⑤データ保護認証制度は、
16

2018.5ンとは、データを国内に保存しなければならないとい寄稿
う規制である。プライバシー保護というよりは、国家行することができる権利であり、GDPRで新たに設けの安全保障、自国産業保護、法執行・犯罪捜査などのられたものである。日本の個人情報保護法では類似の目的で設けられており、対象データは個人データに限権利は定められていない。管理者は、データポータビられない。最近では、中国のインターネット安全法がリティの権利があることをデータ主体に知らせなけれ話題になった。本稿の主題からは外れるため詳細は割ばならないとも規定されている。一般的には、ソーシャ

愛するが、海外に事業を展開している企業においては、ルネットワーキングサービス（SNS）などにおいて、GDPRその他外国の個人情報保護法制のみならず、あるSNSから別のSNSに乗り換えることができるとい

データ・ローカライゼーションの規制にも留意する必うように説明されることがあるが、雇用関係において、要がある。

雇用契約終了に際して従業員から当該従業員に関する（３）データ主体の権利

個人データについてこの権利が行使されることがあり得る点に注意が必要である。

GDPRは、データ主体の権利としてさまざまな権利企業としては、GDPR上のデータ主体の権利を理解を定め、その詳細について規定している。具体的な権し、権利が行使された際に対応できるよう体制を整え利としては例えば以下のようなものがある。ておく必要がある。

①情報に関する権利

４．まとめ②アクセス権・消去権・訂正権・処理の制限に関する権利

以上、GDPRの適用を受ける日本企業として理解し③異議を唱える権利ておくことが重要な管理者及び処理者の義務を中心に④データポータビリティの権利

GDPRの概要を簡単に整理・説明した。冒頭に記載したとおり、GDPRには、高額の制裁金の定めがある。

①の情報に関する権利は、管理者が個人データを収すなわち、違反累計に応じて、上限が、1000万ユーロ集又は取得する場合に、DPOの連絡先、データ処理若しくは前会計年度における全世界売上高の２％のいの目的・法的根拠、同意をいつでも撤回できる権利がずれか高額のほう、又は、2000万ユーロ若しくは全会あることなど一定の情報をデータ主体に提供しなけれ計年度における全世界売上高の４％という高額の制裁ばならないというものである。日本の個人情報保護法金を課すことできることとなっている。この制裁金の下にも個人情報取扱事業者の義務として類似の定めが額の決定に際しては、違反の性質・重要性・期間、故あるが、GDPRにおいてはより広範な情報が提供され意又は過失、データ主体の被った損害を軽減させるたる必要があり、また、提供の仕方についても詳細な定めに採られた行動、過去の関連する違反行為などのめが置かれている。

ファクターが考慮される。また、GDPRを遵守する企②や③の権利も、日本の個人情報保護法にも類似の業はGDPRを遵守できていない企業との取引を避ける権利が定められているが内容は異なるところがある。

ことになるため、制裁金のリスクもさることながら、例えば、消去権は、一定の場合に、データ主体に関す遵守できていないことによる企業の競争力への影響のる個人データを消去することを求める権利であるが、ほうが重大であろうとの指摘もある。多額の制裁金を管理者が個人データを公開している場合には、利用可課されないためにも、また、競争力を失わないために能な技術及び費用を考慮して、当該個人データを処理も、欧州が関係し得る日本企業で、GDPRの遵守に向している他の管理者に対して、データ主体が当該個人

けた検討・対応を開始していない企業は、これら検データのあらゆるリンク又は写し若しくは複製の消去討・対応に着手することが重要であろう。

を求めている旨を通知するために合理的な手段を講じなければならないとされている（これを含むため「忘れられる権利」とも呼ばれる）。
④データポータビリティの権利は、データ主体が、管理者に提供した当該データ主体にかかる個人データ

（2018年５月21日記）＊本稿は、2018年２月19日開催のJOIセミナーを一部記事化した も の で す（ 共 催： 西 村 あ さ ひ 法 律 事 務 所、TaylorWessing法律事務所、後援：JBIC）。
について、構造化され一般的に利用され機械可読性のある形式で受け取る権利と、当該個人データを個人データが提供された管理者の妨害なく他の管理者に移2018.517