Regulation、以下「GDPR」といいます)が施行されました。これまでEUでの個人データの保護は、1995年に制定されたEUデータ保護指令に基づき立法された各国のデータ保護法により個別に規律されていました。拡大等を背景としたプライバシー保護強化の流れから、EUデータ保護指令に代わり、欧州経済領域(EU加盟国28カ国およびアイスランド、ノルウェー、リヒテンシュタイン。以下「EEA」といいます)に直接適用される統一的な規制として制定されたのがGDPRになります。従来よりも規制が強化され、また違反に対して厳しい行政罰が設けられているのが特徴です。GDPRでは、域内に拠点がない事業者についての域外適用の規定が設けられたため(後述)、EEA域内に支店や子会社を持たない日本企業であっても、GDPR対応が必要となる可能性があります。本稿では、GDPRにおける規制の基本的な枠組みおよび事業者の義務の概要を中心に説明します。GDPRの条文解釈については、29条作業部会という助言機関が策定するガイドラインが実務上の指針になってきますが、本稿時点では未だ公表されていないものも多く、今後も情報がアップデートされる可能性がある点にご留意下さい。基本的概念GDPRは、端的には「個人データ」の「処理」と、EEA域外への「移転」を規制する法律になります。それぞれの用語の定義は以下の通りです。データ、メールアドレス、クレジットカード情報、オンライン識別子(IPアドレス、クッキー)などが挙げられます。ここでの「EEA域内に所在する」とは、EEA域内に居住する自然人に限られず、短期出張等でEEA域内に所在する日本在住の日本人の情報や、日本企業からEU内の関連企業に出向している従業員情報も含まれるとされています。関する個人データ、健康関連データ、性生活もしくは性的指向に関するデータなど(いわゆるセンシティブデータ)および有罪判決・犯罪に係るデータについては、その処理について通常の個人データよりも厳格なルールが設けられています。「処理」GDPRにおける「処理」とは、自動的な手段であるか否かにかかわらず、個人データまたは個人データの集合に対して実施されるあらゆる単一または一連の作業とされています。以下の情報の取扱いはすべて個人データの処理に該当し得ます。「移転」GDPR上は「移転」の定義がありませんが、EEA域外の第三国の主体に対して、個人データを閲覧可能にするためのあらゆる行為であると解釈されています。個人データを含んだ電子形式の文書を電子メールに添付して送ることや、EEA域内のサーバにある個人データをEEA域外から閲覧可能な状態に置くことも移転に該当すると考えられます。データの処理を行う主体として、単独または共同で個人データの処理の目的と手段を決定する主体である「管理者」と、管理者を代理して個人データの処理を行う「処理者」のカテゴリでそれぞれ規制されています。GDPRの地理的範囲GDPRは、事業者がEEA域内に拠点を有する場合、「EEA域内の管理者・処理者の拠点の活動に関連してなされる個人データの処理」について適用され、処理のなされる物理的な場所がEEA域内か域外かを問わないとされています。したがって、EEA域内に支店・子会社等の拠点を有する日本企業については、まずは当該拠点におけるGDPRへの対応が必須となります。EEA域内に拠点を有しない場合であっても、(i)EEA域内に所在するデータ主体に対して商品・サービスを提供する場合、(ii)EEA域内で行われるデータ主体の行動をモニタリングする場合にもGDPRが適用されるとされています(域外適用)。域外適用のある事業者は、原則として個人データが処理されるデータ主体が居住する加盟国の一つに代理人を設置する義務が生じます。上記(i)に関し、例えば日本国内のウェブサイトを通じてEEA域内の顧客に対して商品やサービスを提供している事業者がこの要件を充足するかは、「事業者がEEA域内に所在しているデータ主体に対して商品・サービスの提供を意図していることが明らかか否か」で判断するとされていますが、基準が必ずしも明確ではなく、個別の事案ごとの慎重な検討が必要になります。個人データの「処理」は、以下の1から6のいずれかに該当する場合のみ適法とされています。管理者または第三者の追求する正当な利益のために処理が必要な場合したがって、EEA域内に所在する自然人から個人データを取得する事業者は、当該データの処理が上記のいずれかの適法化根拠を備えるようにするための措置を取る必要があります。実務上は、126のいずれかに依拠する場合が多いと思われますが、1の同意については任意性が要求され、かついつでも撤回が可能とされています。事業者が個人データを収集・取得する際には、所定の事項(例として、管理者の身元および連絡先、処理の目的および法的根拠、その他の取得者および移転の詳細、データの保存期間、データ主体の権利の存在等)についてデータ主体に情報提供する義務が定められています。実務上は、当該事項を反映したプライバシーポリシーを策定し、データ主体がアクセスできる状況に置くという対応が取られています。個人データの移転に関する規制EEA域内で取得した個人データをEEA域外へ「移転」させることは原則禁止されており、以下の要件に該当する場合のみ許容されています。特定の状況における例外(データ主体と管理者の契約の履行のために必要な場合等)1の十分性認定による移転とは、欧州委員会が移転先のデータ保護レベルを評価した結果、特定の国・地域等が十分な保護のレベルを確保していると認定するという制度であり、十分性認定が得られた第三国への移転は許容されています。この十分性認定を得るためのガイドライン(移転を受けた個人データの取り扱いに関し遵守すべき規律を定めたガイドライン)を策定中であり、今秋にも認定を得る方向で協議を進めているとの報道がなされています。3の標準契約条項(SCC)・標準データ保護条項(SDPC)とは、欧州委員会が定めたデータ移転のための契約書の雛形であり、移転元と移転先でこの雛型を使用して契約を締結することにより移転が許容されるとされています。4—6の要件は監督官庁等の承認手続きを要するため、現状におけるEEA域内から日本への個人データの移転についての実務的な対応としては、23に依拠する場合が多いと思われます。上記のとおり、GDPRの適用のある事業者はその個人データの処理、域外への移転についての適法性要件を充たす必要があります。データの処理活動に関して、所定の事項を記録し保存する必要があります。この記録保持義務に関しては従業員250名未満の事業者の適用除外規定が存在するものの、条文からは基準が明確ではなく、ガイドラインの公表が待たれています。個人データの侵害が発生した場合、管理者は不当な遅滞なく、可能であれば侵害に気づいてから72時間以内に監督当局に所定の事項を通知することが求められます。侵害がデータ主体の権利や自由に高いリスクを引き起こし得る場合には、不当な遅滞なくデータ主体に対して侵害を通知しなければならないとされています。制限権、データポータビリティの権利(管理者に提供した個人データを電子的形式で受け取り、他の管理者に移行できる権利)等のデータ主体の個人データに関する権利が定められており、データ主体からの権利行使があった場合、管理者はこれに対応する義務があります。中心的業務が、データ主体の大規模かつ定期的・体系的な監視や、センシティブデータの大規模な処理作業である場合、データ保護責任者の選任義務が発生します。制裁金GDPRに違反した場合の制裁として、違反内容に応じて以下の2類型があり、非常に高額な上限が設定されています。最後にこれまで述べたとおり、GDPRは違反の場合の高額な制裁金のリスクがある一方で、事業者が対応すべき事項が多岐に亘り、かつ対応には時間・費用を要します。現時点で当局による違反の摘発例はまだ見られませんが、GDPRの適用があるものの現時点で対応が未了、あるいは検討中という企業については、できるだけ早期の戦略的な対策を講ずることが不可欠になります。この記事に関するお問い合わせ、ご相談がありましたら以下の連絡先までお気軽にご連絡ください。FAX:03-3272-0102この記事に記載されている情報は、依頼者及び関係当事者のための一般的な情報として作成されたものであり、教養及び参考情報の提供のみを目的とします。いかなる場合も当該情報について法律アドバイスとして依拠し又はそのように解釈されないよう、また、個別な事実関係に基づく具体的な法律アドバイスなしに行為されないようご留意下さい。