EC’s Infographic
仮訳Better rules for small business
Stronger rules on data protection
from May 2018 mean citizens
have more control over their data
and business benefits from a levelplaying field. One set of rules for
all companies operating in the EU,
wherever they are based.
Find out what this means for yourSME.

中小企業にとって、より良いルールとなります。
2018年5月からデータ保護に関するルールはより強固なものとなり、市民は、自分達のデータをより良く制御できるようになり、事業者は公平な立場での競争という便益を受けることになります。どこに拠点があるかに関わらず、EU内で活動している全ての企業にとって、同一のルールです。
皆様方中小企業にとって、これが何を意味するのか、確認してください。

What is personal data?

個人情報とは何か？

• Name• Address• Localisation• Online identifier• Health information• Income• Cultural profile• and more• 名前• 住所• 位置情報• オンラインの識別子• 健康情報• 所得• 文化的側面• 等々

CollectStore
UseData?
▼You have to abide by the rules.
-----

Process data for othercompanies?
This is for you too.

データを収集しますか？
保存しますか？
利用しますか？

▼皆様はルールに従う必要があります。
-----

他の企業のために個人情報を取り扱いますか？
これは皆様のためでもあるのです。

Why change the rules?①

なぜルールが変わるのか？①

It's about trust...

それは信頼のためであり

A lack of trust in old data protection
rules held back the digital economy andquite possibly your business.

Only 15%of people feel they have complete
control over the information they
provide online.

And helping business boom...
One set of rules for all companies processing
data in the EU
Doing business just got easier and fairer
The new system keeps costs down and will help
business grow

古いデータ保護のルールに対する信頼が欠けたことで、デジタル経済及び多くの可能性のあるビジネスが後退を余儀なくされました。
オンラインで提供する情報を完全に制御できると感じている人は たった15%

事業の成長を助けるためです
EUで個人情報を取り扱う全ての企業にとって一つのルールとなります
事業を行うことがまさに簡単で公平になります
新制度はコストを抑え、事業の成長を助けるでしょうWhy change the rules?②€130 million
cost of informing 28 different Data
Protection Authorities for business inthe EU under the old system.

€2.3 billion

estimated economic benefits of having
one law.

New rules should boost

consumer confidence and inturn business.

なぜルールが変わるのか？②
古い制度の下、EU内で活動する事業者が28か国の各データ保護機関に通知するためにかかっていた費用は1億3,000万ユーロ
一つの法律にすることによる経済的利益は推定 23億ユーロ

新しい規則により、消費者の信頼が高まり、その結果事業の促進につながることが見込まれます。

Protect the rights of people giving
you their data

個人情報をあなたの会社に提供してくれる個人の権利を保護してください

Communication

通知

Use plain language.
Tell them who you are when you
request the data.
Say why you are processing theirdata, how long it will be stored
and who receives it.

平易な言葉を使ってください。
個人情報を要求する際、皆様が誰なのかを個人に説明してください。
個人情報を取り扱う理由、保管する期間、あなたの会社から個人情報が提供される相手先を通知してください。

Consent

同意

Get their clear consent to process
the data.
Collecting from children for social
media?
Check age limit for parental consent.

本人から個人情報の取扱いについての明確な同意を得てください。

Access and portability

アクセスとポータビリティ

Let people access their data and giveit to another company.

ソーシャルメディアで子供からデータを収集しますか？
その場合は、保護者による同意に関する年齢制限をよく確認してください。

本人が自らの個人情報にアクセスできるようにし、また、別の会社に渡せるようにしてください。

Warnings

警告Inform people of data breaches if
there is a serious risk to them.

本人にとって深刻なリスクとなる場合、データ侵害を本人に通知してください。

Erase data

データの消去Give people the ‘right to beforgotten’.
Erase their personal data if they ask,
but only if it doesn’t compromise
freedom of expression or the ability
to research.

本人に「忘れられる権利」を与えてください。
データの消去を要求された場合は、表現の自由や研究素材としての能力を損なわない限り、本人の個人情報を消去してください。

Profiling

プロファイリング

If you use profiling to processapplications for legally-binding
agreements like loans you must:•Inform your customers;•Make sure you have a person, not amachine, checking the process if
the application ends in a refusal;•Offer the applicant the right tocontest the decision.

法的拘束力のある契約（ローン等）の申込みに対応するためプロファイリン
グを利用する場合、皆様がしなくてはならないこと：
・顧客への通知・申込みへの対応が拒絶という結論に至った場合に過程を確認する存在として、機械ではなく人間の設置・決定への異議を申し立てる権利の申込者への提供

Marketing

マーケティング

Give people the right to opt out of
direct marketing that uses their data.

個人情報を利用したダイレクトマーケティン
グをオプトアウトする権利を本人に与えてください。

Safeguarding sensitive data
Use extra safeguards for information onhealth, race, sexual orientation, religion
and political beliefs.

Data transfer outside the EU
Make legal arrangements when you
transfer data to countries that have notbeen approved by the EU authorities.

センシティブ・データの保護
健康、人種、性的指向、信仰、政治的信条に関する情報については特別の保護手段を用いてください。

EU域外へのデータ移転
EU当局の承認を得ていない国へ個人情報を移転する場合は法的手続を行ってください。

Do data protection by design

設計時点からデータ保護に取り組んでください

Build data protection safeguards
into your products and services
from the earliest stages ofdevelopment.

開発の初期段階から、製品やサービスにデータ保護手段を組み込んでください。

Processing data for anothercompany?

他の会社のために個人情報を取り扱いますか？

Make sure you have a watertightcontract listing the responsibilities ofeach party.

各当事者の責任について規定した、漏れのない契約を締結できているか、確認してください。

Check if you need a data protection
officer

データ保護オフィサーが必要か否か確認してくださいThis is not always obligatory. It depends on
the type and amount of data you collect,
whether processing is your main businessand if you do it on a large scale.

これは常に必須という訳ではありません。
収集する個人情報の種類と量、個人情報の取扱いが皆様の主要な事業であるか否か、そしてそれを大規模に行うか否かによります。

You process personal data to target advertisingthrough search engines based on people’s
behaviour online. Yes
You send your clients an advert once a year topromote your local food business. No
You are a GP and collect data on your patients’
health. No
You process personal data on genetics andhealth for a hospital. Yes

本人のオンライン上の行動履歴に基づく、検索エンジンを通じた広告の対象とするために、個人情報を取り扱う場合 ・・・ 必要
地元の食品事業を宣伝するために、年に1回広告を顧客に送る場合 ・・・ 不要
総合診療医であるあなたが、患者の健康情報を収集する場合 ・・・ 不要
病院のために遺伝および健康に関する個人情報を取り扱う場合 ・・・ 必要Keep records

記録を残してください

SMEs only have to keep records if
data processing is

中小企業は、以下に該当する個人情報の取扱いの場合にのみ記録を保存すれば足ります。

Regular

定期的な取扱い

A threat to people's rights andfreedoms
Dealing with sensitive data or
criminal records

人々の自由と権利にとって脅威となる取扱い
センシティブ・データや犯罪記録の取扱い

Records should contain:

記録に含むべき事項☑ Name and contact details of business☑ 事業者の名称と連絡先☑ Reasons for data processing☑ 個人情報を取り扱う理由☑ Description of categories of data subjects
and personal data

☑ 個人情報とその本人の類型についての説明☑ Categories of organisations receiving thedata☑ 個人情報の提供先となる組織の類型☑ Transfer of data to another country ororganisation☑ 個人情報の削除期限（可能であれば）☑ Time limit for removal of data, if possible☑ Description of security measures used whenprocessing, if possible☑ 他の国又は組織への提供に関する事項☑ 個人情報の取扱いにあたり用いる安全管理措置の説明（可能であれば）

Anticipate with impact
assessments

影響評価によって

Impact assessments may be requiredfor HIGH-RISK processing.

ハイリスクな個人情報の取扱いには、影響評価が必要な場合があります。

New technologies

新しい技術

Automatic, systematic processing andevaluation of personal information

個人情報の自動的、体系的な取扱いと評価

Large-scale monitoring of a publicly
accessible area (e.g. CCTV)

公共空間における大規模な監視（例：CCTV）

Large-scale processing of sensitive data likebiometrics

生体認証のようなセンシティブ・データの大規模な取扱い

The cost of non-compliance

違反の代価Your local Data Protection Authority monitors
compliance; their work is coordinated at EUlevel.
The cost of falling foul of the rules can be high.

各国のデータ保護機関が、EUの同一水準に基づき、ルールを守っているかチェックします。
ルール違反の代価は高くつく可能性があります。

€€

STOP

STOP！
Warning！
Reprimand

Suspensionof dataprocessing

Fine
Up to €20
million or 4%of global
annualturnover警告

懲戒

個人情報取 制裁金扱いの一時2000万中止

ユーロ又は全世界年間売上の4%を上限とする

More on the EU’s data protection law

EUのデータ保護法の詳細はこちら－Contact your Data Protection Authority

http://ec.europa.eu/justice/data-protection/

This document should not be
considered as representative of
the Commission's official positionand does not replace thelegislation.
Justice and Consumers

データ保護機関への連絡はこちら
http://ec.europa.eu/justice/dataprotection/bodies/authorities/index_en.htm

なお、この文書は欧州委員会の公式の立場を表明するものではなく、法令の代わりとなるものでもありません。
EU司法総局