https://e-estonia.com/how-to-be-compliant-gdpr-5-steps/
http://www.aki.ee/en/news/dont-panic-how-be-compliant-new-gdpr-5-steps
Published on Estonian Data Protection Inspectorate (http://www.aki.ee)

Don’t panic! How to be compliant with the new GDPR in 5 steps
パニックにならないで! 5 段階で新しい GDPR に準拠する方法
December 2017
e-Estonia news

The EU General Data Protection Regulation is entering into force on 25 May 2018, with the main
goal to harmonize the already existing data protection laws across Europe. The Estonian Parliamentis on its way to approve the implementation act to outline new rules for both the public and the privatesectors.
EU の一般データ保護規則は、既存のデータ保護法を欧州全体で調和させることを主たる目標とし、2018 年 5 月 25 日に発効します。エストニア議会は、公共部門と民間部門の両方について新しい規則を概説する施行法案の承認を目指しています。

In Estonia, the Data Protection Inspectorate (DPI) is the supervisory State agency acting as defenderof all information rights, helping to design a society that values the right of individuals to privacy andthe transparency of State activities with regards to handling and treatment of data.
エストニアでは、データ保護監督団（DPI）は、全ての情報に係る権利の保護者として活動し、プライバシーに関する個人の権利とデータ処理及び取扱いに関する国の活動の透明性を尊重する社会の設計を支援する国の監督機関です。

We had the chance to interview Viljar Peep, Director General of the Data Protection Inspectorate,
about ongoing and next developments from a legislative perspective on the matter, both at theEstonian and European levels. A recipe in five points and some interesting insights not to miss yourfocus on the core issues.
我々は、エストニアとヨーロッパの両方のレベルで、この問題に関する立法の見通しから進行中の開発及び次なる開発について、データ保護監督団の Viljar Peep 局長と会見する機会を得ました。皆さんが重要な論点を見逃さないよう、5 つのポイントと幾つかの興味深い洞察をご紹介します。

What is the current state of the process of adaptation of Estonian laws so that to be compliant withEuropean General Data Protection Regulation (GDPR) in the transition from directive to regulation?
EU 指令から GDPR への移行期にありますが、GDPR 準拠に向けたエストニア法改正の現在の状況はどうですか？

The implementation act of GDPR is not yet passed in Estonia. Two weeks ago, the Ministry of Justicesent the draft implementation act with the explanatory note to be consulted with the appropriate
authorities. The draft was made public and it is available in the e-Consultation System. The deadline
for giving feedback to the ministry is 20th of December. Right now, at the Estonian Data Protection
Inspectorate, we are still working on the first draft to give our thorough feedback to the ministry andmake suggestions to improve the first draft.
GDPR の施行法案はエストニアではまだ可決していません。2 週間前、司法省は関係省庁との協議用の説明文を付した施行法案を提出しました。法案は公開されており、e-Consultation システムで入手可能です。省庁への意見提出の締切は 12 月 20 日です。ちょうど現在もまだ、エストニアのDPI において、我々は関係省庁に完全なフィードバック及び法案の一次案を改善するための提案を行うため、作業しているところです。

As a follow-up to such kind of assessment, what are the main challenges that companies and thepublic sector face, in the Estonian context, in order not to incur in falling foul of the rules or sanctions?
このような評価のフォローアップとして、規則違反や制裁を防ぐに当たり、エストニアの企業や公共部門が直面する主な課題は何ですか？

First of all, GDPR is not actually about huge fines. Although one might get this impression while
reading the headlines and following the news. Questions about GDPR are widely publicized anddiscussed, but newspapers usually tend to focus on the fines and sanctions. We have to remindourselves that the new law is actually about greater transparency; it is also about ensuring rights forthe privacy of individuals in an age when the economic value of personal data is increasing in thedigital economy. The option of imposing huge fines will be the last resort.
最初に、GDPR というものは、実際のところ、巨額の罰金ばかりに関するものではありません。新聞の見出しや記事を読んでいると、そのような印象を受けるかもしれませんが。GDPR に関する質問は広く公表され、議論されていますが、新聞は通常、罰金と制裁に焦点を合わせる傾向があります。我々は、新しい法律が本当は、より高い透明性に重きをおいていることを思い起こさねばなりません。それはまた、デジタル経済における個人データの経済的価値が高まっている時代に、個人のプライバシーに対する権利を保障することについても言及しています。
巨額の罰金を課す選択は、あくまで最後の手段です。

The main challenges that companies face in the Estonian context are actually pretty much the sameas they are in the other European countries: data portability, carrying out an impact assessment,
making sure that all the processes and the documents meet the requirements of the new law.
エストニアの企業が直面する主な課題は、実際には他の欧州各国とほぼ同様、データ・ポータビリ
ティ、影響評価の実施、全てのプロセスと文書が新しい法律の要件を満たしていることの確認です。

Portability of personal data: in which ways a data subject can be sure and assured that, at the end of
the portability process, previous data controllers won’t have access anymore to his/her data?
個人データ・ポータビリティ：データ主体はどのようにして、ポータビリティ・プロセスの終了時に、それまでのデータ管理者が今後自分のデータにアクセスできなくなることについて、確認することができますか？

The portability process does not automatically mean that the first controller has to delete all the data.
For example, the client might want to get similar services from two or more service providers; In thatcase, he can use the right to transmit the data to new provider without asking the first provider todelete it. The data subject has also the right for erasure. In that case, the former controller has toprove he doesn’t have the access anymore – unless there is a legal obligation to retain the data (i.e.
for taxation purposes).
ポータビリティ・プロセスは、最初のデータ管理者が全データを削除する必要があることを自動的に意味するものではありません。例えば、顧客は 2 つ以上のサービスプロバイダから同様のサービスを取得したい場合があります。その場合、最初のプロバイダに削除を依頼することなく、新しいプロバイダにデータを送信する権利を行使することができます。データ主体には削除の権利もあります。その場合、前のデータ管理者は、データを保持する法的義務（すなわち課税目的）がない限り、自分にもうアクセス権がないことを証明しなければなりません。

Right to be forgotten: what are the limits that define public interest of the availability of the data when
considering the request of a data subject to exercise the right to Data Erasure?
忘れられる権利：データ削除の権利を行使するデータ主体の要求を検討する際に、データの可用性

に関する公益性を制限するものは何ですか？

The right to be forgotten is not absolute, but will always need to be balanced against otherfundamental rights, such as the freedom of expression and of the media. It is always a case-by-caseassessment considering the type of information in question, its sensitivity for the individual’s private
life and the public interest. It is not always easy to define public interest. Roughly said – when it comesto financial interests of the media, curiosity, gossip, seeking for sensation or entertainment, then it’s
not about public interest anymore.
忘れられる権利は絶対的なものではなく、表現やメディアの自由といった他の基本的権利と常につり合いを取る必要があります。これは常に、問いにおける情報の種類、個人の私生活に対する感受性と公共の利益を考慮して、ケースバイケースに評価することになります。公共の利益を定めることは必ずしも容易ではありません。大まかに言えば、メディアの金銭的利益、好奇、ゴシップ、扇動や娯楽の探求に至っては、もはや公共の関心事ではありません。

Can we outline 5 steps to follow so to be compliant with the new GDPR?
新しい GDPR に準拠するために従うべき 5 段階を概説できますか？
１．First of all – don’t panic! The foundation of data protection rules is still the same as before.
まず－パニックにならないでください！データ保護規則の基本的部分は以前と同様です。
２．If the processing of personal data is a large-scale process in your company or involves
considerable risks, we suggest to conduct an integrated assessment of your dataprocessing.
貴社における個人データの処理が大規模な処理である場合や重大なリスクを含む場合は、貴社のデータ処理全体の評価を行うことをお勧めします。
３．Observe your entire work order, information systems, and document blanks from theperspective of the new data protection rule.
新しいデータ保護規則の見地から、貴社の全体の作業命令、情報システム、及びドキュメ
ントブランクを観察してください。
４．Be sure to check the data portability in your work processes and information systems. I
forecast that this will be the costliest and most time consuming of the implementing activities
貴社の作業処理と情報システムにおけるデータ・ポータビリティを確認してください。これが実行することの中で最も費用と時間がかかると予測されます。

５．Regardless of whether or not the GDPR requires you to determine a data protection officer,
find a specialist to assist you. Send your own employee to a trusted training course or makesure an external consultant has undergone relevant training.
GDPR でデータ保護責任者を決定する必要があるかどうかにかかわらず、あなたの会社を助けてくれる専門家を見つけてください。信頼できるトレーニングコースに従業員を派遣するか、外部コンサルタントが適切なトレーニングを受けたことを確認してください。

Published in e-Estonia news

Source URL: http://www.aki.ee/en/news/dont-panic-how-be-compliant-new-gdpr-5-steps