EU一般データ保護規則
GDPRは仮名化について言及している。仮名化とは、個人データを処理した結果のデータが、追加情報の利用なしに特定のデータ主体と結びつけることができないようにする処理である。仮名化の一例として暗号化がある。元のデータが分からないように、適切な復号鍵がなければデータ処理を元に戻すことができないようにする処理である。GDPRはこの追加情報(復号鍵など)が、仮名化データと別に保管されることを求めている(備考 (Recital) 29)。仮名化が推奨されているのは、関係するデータ主体に与えるリスクを低減し、データ管理者およびデータ処理者がデータ保護の義務に適合するのを支援するためである。(備考 (Recital) 28)
個人データが、組織内の適切な方針および施策により、データ管理者によって仮名化された場合であっても、匿名化データ(そもそも自然人と無関係なデータ、および、データ主体を追加情報によっても特定できないデータ)とは異なり、GDPRの管理および罰則の対象となる(備考 (Recital) 26)。それらの方針および施策は設計段階のデータ保護の原則、および、初期状態のデータ保護の原則に適合し、この目的を満たすと見なせる必要がある。施策の例として、可能な限り速やかにデータを仮名化すること(備考 (Recital) 78)、データをローカルネットワーク内で暗号化すること、暗号化されたデータと別に復号鍵を保管することが含まれる。
統計または調査目的を含む、匿名とみなされる情報の処理について本規則は関知しない。
十分性認定の最終合意はなされたものの、その後欧州側の内部手続きで欧州データ保護会議が2018年12月5日に採択した意見書 が非常に厳しい内容だったため、欧州議会は2018年12月13日、欧州委員会にさらなる証拠の提出と説明を求める文書を採択した。この文書は「補完的ルール」だけでなく個人情報の保護に関する法律(以下「個人情報保護法」)自体も問題にしており、以下のような点を指摘している。
個人情報保護法の「個人情報データベース等」の規定に「利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く」とあるが、この被害基準の除外規定がEUのアプローチと一致しないおそれがある。
個人情報保護法の「個人データ」は「個人情報」の定義に基づくより狭い定義であり、十分性認定草案はGDPRの「個人データ」は常に個人情報保護法の「個人データ」に含まれるとあるが、法執行上の実効性を確認する必要がある。
設計段階および初期状態におけるプライバシー(第25条)は製品やサービスの業務プロセスの開発に、設計段階でデータ保護が組み込まれることを要求している。これはプライバシー設定が初期状態で高水準に設定されていることを要求しており、データ管理者が、データ処理のライフサイクル全体を通じて、技術的および手続上の対策が規則を確実に遵守するよう留意することを要求している。また、データ管理者は、個人データが特定された各目的に必要な場合のみ処理されることを確保するため、機械的な仕組みを実装しなければならない。
ENISA(欧州ネットワーク・情報セキュリティ機関)の報告書は、初期状態でのプライバシーおよびデータ保護を達成するために実施が必要なことを詳述している。暗号化と復号の処理は、遠隔サービスではなく、ローカルネットワークで行われる必要があるとしている。その理由は、いかなるプライバシーを達成する場合も、暗号鍵とデータの両方がデータ所有者の権限下になければならないためである。また同報告書は、クラウドサービス業者ではなくデータ所有者が復号鍵を保管する限りにおいて、遠隔のクラウド上のデータ記憶装置へアウトソースすることが、現実的、かつ、比較的安全だとしている。
日本貿易振興会(JETRO)が欧州ビジネスに取り組む中小企業の実務担当者向けとして、「EU一般データ保護規則(GDPR)に関わる実務ハンドブック」シリーズを公開している。2018年3月現在「入門編」、「実践編」、「第29条作業部会ガイドライン編 管理者および処理者の主導監督当局の特定」、「第29条作業部会ガイドライン編 データポータビリティの権利」、「第29条作業部会ガイドライン編 データ保護責任者」 が公開されている。
また、ベルギー日本人会商工委員会2016年度第3回ビジネスセミナーの資料「日本企業のベルギー子会社・ベルギー支店が取っておくべきEU一般データ保護規則へのコンプライアンス対応」 がある。ただし、データ保護指令 (Directive 95/46/EC) 第29条に規定されている作業部会の最新のガイドラインは反映されておらず、これとガイドラインを合わせて参照する必要がある。