関する知見とお客様サポート実績をもとに、随時のタイミングでGDPR対応に関連する情報を配信しています。本稿では2019年2月15日のGDPR関連報道を受け、当社GDPRサポートチームによる日本企業のGDPR対応を含めた簡略な考察についてお送りいたします。GDPRに基づき、ニュースレターの送付先や元従業員から個人データの削除要求又は開示の請求等が相次いでいる。●その際の企業側の対応によっては、各国の監督当局から問い合わせメールが発信されているケースもあり、違法性が高いと判断された場合は立ち入りなど本格調査に進む可能性がある。●日本の個人情報保護法にも類似の権利があるが、GDPRはより幅広い権利や日本法に定めのない権利も含んでいることから注意が必要。「データ主体は、管理者から、自己に関係する個人データが取扱われているか否かの確認を得る権利、並びに、それが取扱われているときは、その個人データ及び以下の情報にアクセスする権利を持つ。消去の権利(「忘れられる権利」)「・・・データ主体は、管理者から、不当に遅滞することなく、自己に関する個人データの消去を得る権利をもち、また、管理者は不当に遅滞することなく、個人データを消去すべき義務を負う。仮日本語訳より)着目すべきポイント2018年5月のGDPRの施行後、約8カ月が経過しましたが、上記のとおり、EU域内に進出している日本企業に対して、個人データの削除要求や開示の請求が行われているとの情報があり、また、その際の企業の対応に対し、各国の監督当局から問い合わせメールが発信されているケースもある状況です。今後違法性が高いと判断された場合には、GDPRに基づく以下のようなアクションがとられることも想定されます。処分なお、本人が、GDPRで認められた権利を行使する際に企業の対応が不十分なことに不満を持った場合、上記1のリスクがあることに留意する必要があります。いずれにせよ、顧客、従業員等を含む本人からの権利行使の請求に対し、しっかりとした対応をすることが、リスク低減につながると言えます。GDPRで認められた7つの権利GDPRでは本人自身の情報をコントロールする権利を認めており、各企業は、以下に記載された7つの権利に対応する必要があります。本人からの開示請求に対して、1カ月(遅延の事由がある場合には2か月)以内に保有している情報を開示可能とする。本人申し出による保有情報の訂正を可能とする。訂正が完了した際は本人に対し通知を行う。消去の権利(忘れられる権利)不要となったデータに対し、本人からの申し出があった場合、速やかに削除可能とする。消去が完了した際は本人に対し通知を行う。利用停止を可能とする。(法的対応時を除く)。取扱いの停止が完了した際は本人に対し通知を行う。本人からの依頼に基づき、機械可読性のある可能な形式で、他の事業者に情報の提供を可能とする。正当な利益のため、もしくは公共の利益を目的とした取扱いの場合でも、本人からの申し出に対し、ダイレクトマーケティングや、プロファイリングでの利用停止の申し出に対応可能とする。おいて、審査の結果がプロファイリング等の自動化された判断のみにより、決定に至った場合、顧客からの要望に基づき、人手による判断を実施可能な業務プロセスとする。日本企業にお伝えしたいことGDPRは、日本の個人情報保護法と異なる要件もあり、EU域内にある個人データを取扱っている企業は、GDPRの要件を理解した上で必要な対応を実施する必要があります。「日本は十分性認定を得ることができたから問題ない。」、「日本の個人情報保護法に対応しているから大丈夫。」などと安易に判断せず、GDPRの要件に沿った対応ができているか、改めて見直すことが重要です。具体的には、バックアップを含めた個人情報の保管場所の特定や利用方法を確認し、GDPRに基づいた要請が来た場合の対処方法をあらかじめ決めておく必要があります。「消去の権利(忘れられる権利)」への対応についてはシステムでの対応が必要なケースが多く、現行システムに対する影響調査が不可欠となっています。(免責事項)当社は、本内容の正確性・妥当性を保証するものではありません。本内容は、法的アドバイスの提供を目的としたものではなく、本内容の情報によって何らかの損害が発生した場合においても弊社は一切の責任を負わないものとします。そのロゴは、アビームコンサルティング株式会社の日本およびその他の国における登録商標です。