「個人データ」とはGDPRの4条1項は、GDPRの適用対象となる「個人データ」について、「識別された自然人又は識別可能な自然人(「データ主体」)に関する情報を意味する。社会的な同一性を示す一つ又は複数の要素を参照することによって、直接的又は間接的に、識別されうる者をいう。公開している仮訳によります(https://www.ppc.go.jp/enforcement/cooperation/cooperation/GDPR/)。取り扱う情報がこの「個人データ」に該当しなければ、GDPRの適用はないので、ある情報が「個人データ」か否かは、GDPRが適用されるかの分かれ道になります。ここで重要なのは、直接個人を特定できる情報だけでなく、他の情報と組み合わせれば特定の個人を識別できる情報も含まれている点です(これを「モザイクアプローチ」といいます。車両の位置情報だけでは、個人を特定できません。カーナビ業者であれば、カーナビの個体番号等と照合すれば特定の個人を識別できます。車両の位置情報も、カーナビ業者にとっては「個人データ」になってしまうのです。このとおり、GDPR上の「個人データ」は極めて広い範囲の情報を指すため、氏名や住所が載っていないからといって、GDPRの適用はないと考えるのは危険です。実体的範囲(処理自体の性質)上記の「個人データ」に該当したとしても、GDPRが規定する一定の処理が行われる場合でなければ、GDPRの適用はありません。ファイリングシステム(GDPRの4条6項)の一部をなす場合、すなわち、一定の基準(50音順など)に従って分類・整序されている場合となります。名刺フォルダの管理ですら2に該当すると考えられているため、残念ながら1条によってGDPR適用から逃れられることは少ないと思われます。日本が活動拠点なら大丈夫?ここまでで、「個人データ」該当性や一定の処理に該当するかといった要件でGDPRから逃れることは難しいことが分かりました。このブログを読んでくださっている方は日本国内にいらっしゃる方がほとんどかと思います。日本で活動しているのに、EUの法律を気にしなければいけないのでしょうか?適用の地理的範囲が問題になります。EU域内に「拠点」があるとアウトまず、GDPRの3条1項は、「本規則は、その取扱いがEU域内で行われるものであるか否かを問わず、EU域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される。したがって、実際の個人データ処理自体はEU域内で行われなくとも、管理者又は処理者がEU域内に「拠点」を有している限り、GDPRが適用されることとなります。ここでいう「拠点」(establishment)とは、「安定的な仕組みを通じて行われる実効的かつ現実の活動の実施を意味する」(GDPR前文22項)ので、形式的に支店や子会社が存在しないだけではGDPRの適用から逃げられません。当該加盟国で「実効的かつ現実の活動」を行っているかという実質的な要件で判断されます。「拠点」がなくても適用される場合も...とはいえ、相当グローバルに活動していない限り、EU域内に「拠点」は持っていないでしょう。安心して大丈夫なのか?そうは言い切れません。データ主体の行動がEU域内で行われるものである限り、その行動の監視のどちらかをしていると、GDPRが適用されます(GDPRの2条2項)。1については、例えば、日本企業が欧州EU域内の個人に対し旅行企画を提供する場合が典型です。ここで、「サービスの提供」といえるためには、単なるEU域内に関する連絡先等が記載されているだけでは足りず、EU域内の言語、貨幣、ドメインネームなどに言及があることが必須と考えられています。2は、「監視」と規定されていますが、典型的には、Web広告の閲覧履歴やGPS位置データなどの取得・分析がこれに当たります。したがって、EU域内の個人に対しいわゆる行動ターゲティング広告をする場合には、GDPRが適用されます。このように、日本から一歩も出ていない企業でも、GDPRを適用されてしまうことがあるのです。以上から、日本から一歩も出ていないのに、GDPR対策をしなければならない場合があることが分かりました。次は、GDPRから逃れられない場合に、どうやったら個人データを適法に取り扱ったことになるのか、説明します。「個人データ」とはGDPRの4条1項は、GDPRの適用対象となる「個人データ」について、「識別された自然人又は識別可能な自然人(「データ主体」)に関する情報を意味する。社会的な同一性を示す一つ又は複数の要素を参照することによって、直接的又は間接的に、識別されうる者をいう。公開している仮訳によります(https://www.ppc.go.jp/enforcement/cooperation/cooperation/GDPR/)。取り扱う情報がこの「個人データ」に該当しなければ、GDPRの適用はないので、ある情報が「個人データ」か否かは、GDPRが適用されるかの分かれ道になります。ここで重要なのは、直接個人を特定できる情報だけでなく、他の情報と組み合わせれば特定の個人を識別できる情報も含まれている点です(これを「モザイクアプローチ」といいます。車両の位置情報だけでは、個人を特定できません。カーナビ業者であれば、カーナビの個体番号等と照合すれば特定の個人を識別できます。車両の位置情報も、カーナビ業者にとっては「個人データ」になってしまうのです。このとおり、GDPR上の「個人データ」は極めて広い範囲の情報を指すため、氏名や住所が載っていないからといって、GDPRの適用はないと考えるのは危険です。実体的範囲(処理自体の性質)上記の「個人データ」に該当したとしても、GDPRが規定する一定の処理が行われる場合でなければ、GDPRの適用はありません。ファイリングシステム(GDPRの4条6項)の一部をなす場合、すなわち、一定の基準(50音順など)に従って分類・整序されている場合となります。名刺フォルダの管理ですら2に該当すると考えられているため、残念ながら1条によってGDPR適用から逃れられることは少ないと思われます。日本が活動拠点なら大丈夫?ここまでで、「個人データ」該当性や一定の処理に該当するかといった要件でGDPRから逃れることは難しいことが分かりました。このブログを読んでくださっている方は日本国内にいらっしゃる方がほとんどかと思います。日本で活動しているのに、EUの法律を気にしなければいけないのでしょうか?適用の地理的範囲が問題になります。EU域内に「拠点」があるとアウトまず、GDPRの3条1項は、「本規則は、その取扱いがEU域内で行われるものであるか否かを問わず、EU域内の管理者又は処理者の拠点の活動の過程における個人データの取扱いに適用される。したがって、実際の個人データ処理自体はEU域内で行われなくとも、管理者又は処理者がEU域内に「拠点」を有している限り、GDPRが適用されることとなります。ここでいう「拠点」(establishment)とは、「安定的な仕組みを通じて行われる実効的かつ現実の活動の実施を意味する」(GDPR前文22項)ので、形式的に支店や子会社が存在しないだけではGDPRの適用から逃げられません。当該加盟国で「実効的かつ現実の活動」を行っているかという実質的な要件で判断されます。「拠点」がなくても適用される場合も...とはいえ、相当グローバルに活動していない限り、EU域内に「拠点」は持っていないでしょう。安心して大丈夫なのか?そうは言い切れません。データ主体の行動がEU域内で行われるものである限り、その行動の監視のどちらかをしていると、GDPRが適用されます(GDPRの2条2項)。1については、例えば、日本企業が欧州EU域内の個人に対し旅行企画を提供する場合が典型です。ここで、「サービスの提供」といえるためには、単なるEU域内に関する連絡先等が記載されているだけでは足りず、EU域内の言語、貨幣、ドメインネームなどに言及があることが必須と考えられています。2は、「監視」と規定されていますが、典型的には、Web広告の閲覧履歴やGPS位置データなどの取得・分析がこれに当たります。したがって、EU域内の個人に対しいわゆる行動ターゲティング広告をする場合には、GDPRが適用されます。このように、日本から一歩も出ていない企業でも、GDPRを適用されてしまうことがあるのです。以上から、日本から一歩も出ていないのに、GDPR対策をしなければならない場合があることが分かりました。次は、GDPRから逃れられない場合に、どうやったら個人データを適法に取り扱ったことになるのか、説明します。