EU一般データ保護規則
2014年3月欧州議会により採択されたGDPR改正版によって、忘れられる権利は、より限定的な消去権によって置き換えられた 第17条はデータ主体が自分自身に関する個人データの消去を要求する権利を定めている。消去要求には、第6条1項(合法性)違反を含め多くの根拠がある。同項は、データ管理者の合法的な利害よりも、個人データの保護を要求するデータ主体の利害または基本的な権利および自由が優先される場合を含んでいる。(Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González も参照のこと)
個人情報保護法と個人情報保護委員会ガイドラインのいずれも、例えばフェイスブック、ケンブリッジ・アナリティカのプロファイリング事例のような、自動化された意思決定とプロファイリングに対して、個人の権利を保護する包括的な法的枠組みを持っていない。
個人情報保護法にダイレクトマーケティングに特化した条項が存在しない。
個人情報保護法と補完的ルールの組合せがAPEC越境プライバシーシステム(CBPRシステム)の保護レベルより高いとしても、日本から外国にある第三者への提供について、EU個人データ主体から同意を得る際にデータ主体に提供する「本人が同意に係る判断を行うために必要な移転先の状況についての情報」の範囲が明確に定義されていない。
個人情報保護法の強制力に実効性を持たせるためには罰金の水準が十分でないが、刑事罰の規定もあるので、過去の罰金および刑事罰の実績について調査する必要がある。
個人情報保護委員会は警察による個人データ処理活動に対する監督権限を持たず、別途府県公安委員会による監督メカニズムがあり、情報公開・個人情報保護審査会も一定の権限を持つが、これらの監督に法的強制力がない。
外国語に起因する意思疎通の問題も予想される。
新しい規制がそれ以外の非欧州法、規制および慣行と対立する(例、政府による監視)。そのような国の企業はもはやEUの個人データ処理に適するとみなされない。EU-米国のプライバシーシールドを参照。
最大の課題はGDPRの実際の実施にある: EUのGDPRは規則が発効する前に同等水準のプライバシー保護を実施していない企業の事業に包括的な課題解決を要求する(特にEUの個人データを取り扱う非EU企業)。 現時点でもすでにプライバシーの専門家と知識が不足しており、新たな要求は事態を悪化させる可能性がある。したがってデータ保護およびプライバシーの教育がGDPR成功の重要な要素となる。 欧州委員会およびデータ保護当局 (DPA) は、欧州の全データ保護当局に、単一のデータ保護水準の実施を強制するため、十分な資源と権力を持つ必要がある。なぜなら規則の様々な解釈によってプライバシー水準も様々になる可能性があるため。 欧州の国際貿易政策がGDPRとまだ一致していない。
個人データ移転が例外的に適法となる十分性認定について、日本の個人情報保護委員会と欧州連合は、2017年から具体的な協議を始めている。2017年7月3日、2017年12月14日 の共同声明ではそれぞれ「2018年の早い時期」「2018年のできるだけ早い時期」と努力目標が明記されていたが、GDPR施行後の2018年5月31日の共同声明では具体的な時期の記述の代わりに、パブリックコメントを経て、個人情報保護委員会が採択するガイドライン、および、個人情報保護の基本ポリシーの閣議決定の2つの手続きが、両者の差を埋めるための解決方法として明記されている。
2018年5月31日、ヨウロバー欧州委員会委員は東京でのスピーチで、「スピードより質が重要です」「私たちの前にはまだいくつかの作業があります」と発言、さらに2018年5月18日デンマークで開催された個人データ保護に関する欧州評議会条約108号現代化会議で 日本がオブザーバー参加にとどまったことに触れ(アメリカ合衆国、カナダ、メキシコ、バチカン市国、日本がオブザーバー参加)、こうした取り組みへの正規メンバーとしての参加がEUと日本の「データ保護体系を収斂させるための一歩になる」と述べ、「アジア地域におけるプライバシーへのコミットメントを確実にすること」を求めている。