EU一般データ保護規則
欧州委員会は2018年7月17日の十分性認定最終合意と同時に下記のような内容のQ&A形式の概要報告(ファクトシート)を公開している。
十分性は第三国のデータ保護体系がEUと同一であることを求めておらず、「本質的な等価性」基準による。
日本の十分性を認めたのは日本が移転された欧州個人データに適用する予定の一連の追加安全措置によるもので、その安全措置が両者のデータ保護体系のいくつかの差異を埋めることによる。その安全措置は例えば以下のようなものである。 日本がセンシティブデータの定義を拡張すること。 個人の権利行使を容易にすること。 日本から他の第三国への欧州個人データ移転に、より高い保護を課すること。 日本のデータ保護機関(個人情報保護委員会)の監督下で苦情の取扱いと解決を行うシステムを日本国内に設置し、欧州の個人が自分の個人データへのアクセスについて苦情を申し立てた場合、日本国内法の執行と日本国内の情報セキュリティ機関により有効な調査、解決を行うと日本が合意したこと。
十分性の決定について採択の2年後に欧州委員会が最初のレビューを、その後は4年ごとにレビューを行う。
データの収集および利用目的(第7条、第4条の規定)について、有効な同意が明示的に行われなければならない。児童に対する同意は児童の親、または、保護者が与え、確認しなければならない。データ管理者は"同意"(オプトイン)を証明できる必要があり、その同意は取り消されうる。
適用まで以下の通り。
2013年12月21日: 欧州議会人権、司法および内政に関する委員会 (LIBE) による方向づけ投票。
2015年12月15日: 欧州議会、欧州理事会および欧州委員会(三者委員会)の交渉による共同提案。
2015年12月17日: 欧州議会LIBEの投票結果が三者委員会の交渉結果を支持。
2016年4月8日: 欧州理事会の採択。
2016年4月14日: 欧州議会による採択。
2016年5月4日発行のEU官報掲載20日後に規則発効。この二年後にEU全加盟国に対し規定を直接適用。
2018年5月25日適用開始。
本規則は、データ管理者(EU居住者からデータを収集する組織)または処理者(データ管理者の代理としてデータを処理する組織)またはデータ主体(個人)がEU域内に拠点をおく場合に適用される。さらに本規則は、EU居住者の個人データを収集または処理する場合は、EU域外に拠点をおく組織にも適用される。欧州委員会によれば、「個人データとは、個人の私生活であれ、職業であれ、あるいは公的生活であれ、個人に関係するあらゆる情報のことである。氏名、自宅住所、写真、電子メールアドレス、銀行口座の詳細情報、ソーシャル・ネットワーク・ウェブサイトへの書き込み、医療情報、コンピュータのIPアドレスまで、あらゆるものを含む」。
本規則は国家安全保障の活動、または、法の執行のための個人データ処理には適用されない。しかし、データ保護規則の改革パッケージは、警察および刑事司法分野に対しては、個別のデータ保護指令を含んでいる。この個別のデータ保護指令は、国内、欧州および国際的な個人データの交換に対する包括的な規則を提供している。
組織の規模に関しては、零細・中小企業等、規模を問わず本規則の対象となる。ただし個人データ処理に関する様々な義務のうち、処理記録を保管する義務についてのみ、被雇用者250名未満の組織については免除される(第30条5項)。
EU域外の企業が当局と対応する代表者を置いていない場合、問題を追及することが出来ないという判断が下されており、EU域外への適用には限界がある。