libertes:情報処理及び自由に関する国家委員会)は、米Googleに対し今年1月21日にGDPR(一般データ保護規則)違反で5000万ユーロの罰金支払いを命じたと発表しました。business)がGoogleとFacebook等をGDPR違反で提訴していたことに対応したものです。Net)の提訴を受けてGoogleを調査し、Googleのサービスを利用するための手続きは、透明性と情報の義務に違反しており、広告のパーソナライズ処理に法的根拠を持たせる義務にも違反しているという結論に達したと説明しています。広告のパーソナライズ処理ですが、ユーザーは自分が何に同意することになるのかの説明が具体的でも明確でもなく、同意の対象を十分に知らされていないとの指摘でした。CNILは、「GDPRの基本原則への違反の深刻度が大きいため、罰金の額(5000万ユーロ)と罰金を課すことを公表するのが正当だ。」と判断したそうです。このニュースに接すると、GDPR違反の結果が非常に大きいことに認識を新たにします。ところで、GDPRは既にご存知の方も多いと思いますが、簡単に振り返っておきます。Regulationは、欧州連合において1995年からの「EUデータ保護指令」に代わり、昨年5月施行の規則です。EU加盟国及び欧州経済領域(EEA)の一部であるアイスランド、ノルウェー、リヒテンシュタインが対象国になります。これらの地域の”個人データに関する自然人の保護および同データの自由な移動に関する規則”とされているように、個人情報の保護及び個人データの移転と利用を規制しています。GDPRはEU域外の事業者へも適用されます。EU域外の企業等であってもEU域内の個人情報を取得して利用する場合は、GDPR違反に対して罰金が課される事になります。その課徴金額は、2,000万ユーロ(約26億円)又は全世界年間売上高(連結売上高)の4%のいずれか高い方とされています。従って、万一の場合に備えての対策が重要になります。GDPRは、個人の名前や住所などはもちろん、IPアドレスやクッキーといったインターネットにおける情報までも網羅的に「個人データ」に含め、その処理(収集や保管)に類を見ない厳格な順守を求めている点にも留意しなければなりません。よって要配慮個人情報から外れましたが、GDPRでは依然として要配慮個人情報としています。一つの焦点である個人情報の移転に関しては、次のようになります。以前の日本のように欧州委員会によって、適切な個人情報保護制度を有していると認められていない国への情報移転は、次のいずれかの要件を満たす必要があります。2019年1月23日に、日本が欧州委員会から「十分性認定」を得たとの発表がありました。これによりEEA(欧州経済領域)から日本に個人情報を移す際、個別に契約を結ぶ等の煩雑な手間やコストがなくなります。十分性認定とは欧州委員会から日本が一方的に認定されると云うものではなく、相互認証の関係が確立したということになります。GDPR違反に対する罰則は何も変わりませんので、依然として安全対策が重要です。具体的に、日本においてGDPRの影響を受けるのは、次の企業・団体・機関がすぐに思い浮かびます。発表した「個人情報の保護に関する法律に係るEU域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」を参照して、該当する場合は対策を講じることになります。こぼれ話として、当初この補完的ルールはガイドラインとして出す予定でしたが、一歩進んでガイドラインより上位の守らねばならないものと認識して欲しいのでルールとしたそうです。!!」(マガジンID:0000091952)メールマガジン登録まぐまぐへの登録はあなたのメールアドレスを入力し、登録ボタンをクリックして下さい。