EU一般データ保護規則
本規則の対象となる個人データ処理であることを明確にするには、EU域内の国で一般的に使用される言語または通貨を使用していること(商品やサービスの注文がその他の言語で行われる可能性がある場合も含む)、または、EU域内の顧客またはユーザに言及していることなどの要素が採用されうる(備考 (Recital) 23)。
次に、データ主体の行動のモニタリングに関する処理について、本規則の対象となる個人データ処理とは、その行動がEU域内で発生する限りにおいてである。データ処理活動がデータ主体の行動のモニタリングとみなされるためには、個人をインターネット上で追跡した後、その個人データをデータ主体についての意思決定をするため、または、個人の嗜好、行動、態度の分析や予測をするために、その個人データに対してプロファイリングを行う処理技術を利用することが含まれる(備考 (Recital) 24)。
本規則の対象にEU域内の被雇用者の個人データ処理が含まれている理由は(備考 (Recital) 155、第88条)、後者の行動モニタリングに関する処理についての定めがあるためである。つまり、前者のEU域内の自然人に対する商品またはサービスの提供を行っていない組織であっても、EU域内に従業員が存在し、その人事評価等を第三国で行っている場合には、人事管理等の個人データ処理について本規則の適用を受ける。
以下の処罰が課されうる:
初回かつ意図的でない違反の場合は、書面による警告
規則に基づく定期的なデータ保護監査
企業の場合、10,000,000ユーロ、または、前会計期間の全世界の売上高の2%のうち、いずれか大きい方の過料(第83条4項)
企業の場合、20,000,000ユーロ、または、前会計期間の全世界の売上高の4%のうち、いずれか大きい方の過料(第83条5項および6項)
EU一般データ保護規則法は、主要な要求として以下の各項目を含んでいる。
他方、欧州在住の日本国民は自身の個人データが日本に移転された後もいつでも同意の撤回によって管理、処理を停止させることができる。これは「相互的」十分性認定により欧州企業が日欧相互の個人データの管理、処理について日本企業より有利になる可能性を意味する。
個人情報保護委員会は2018年8月24日、欧州より十分性認定を受けるために必要とされていた「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」を正式に公開した。公開にあたり意見募集結果として寄せられた意見に対する回答一覧も公開している。この中で「補完的ルール」の適用範囲は「EU域内から十分性認定に基づき日本国内に移転した個人に関する情報の取扱い」に限定されることがくり返し書かれているが、そもそもどのような場合がEU域内から移転された場合に該当するのかについては、「当委員会は、EUのGDPRの各種規定に関する解釈権限を有していないため、GDPRの解釈についての回答は差し控えさせていただきます」としている(意見24番)。つまり「補完的ルール」の適用範囲自体の解釈を欧州側にゆだねており、日本でGDPR適用を受ける個人または組織に対して十分性認定がどの範囲でどう影響するのか不明確なままである。また十分性認定の「相互性」についての解釈も存在しない。