Regulations)の用語について解説いたします。Lawyers掲載Q&A今回は、日本企業にも関連のある域外適用(EUに拠点がない日本企業に適用される場合)について解説いたします。域外適用(第3条第2項)関連するEU一般データ保護規則(GDPR)の条項は第3条(特に第3条第2項)です。域内の管理者または処理者の事業所の活動に関連してなされる個人データの処理について適用される。在住のデータ主体の個人データの処理に適用される。在住のデータ主体に対する商品・サービスの提供に関する処理。域内で行われるデータ主体の行動の監視に関する処理。域内に拠点を持たない管理者による個人データの取扱いにも適用されるが、国際公法により加盟国の国内法が適用される場所にある管理者による取扱いの場合に限られる。在住のデータ主体の個人データの処理に適用されるます。在住のデータ主体に対する商品・サービスの提供に関する処理。これには、ウェブサイトにおいて、1つのEU加盟国で用いられる言語または通貨を利用して、商品・サービスの提供を行っている場合が該当します。フランス語で表記し、かつユーロ建で表示している場合です。管理者や処理者のウェブサイト、電子メールでアクセスできるだけでは該当しません。日本国内の旅館が、EU域内所在者向けにインターネット上で、EU言語(英語・フランス語など)で宿泊サービスというサービスを提供している場合で、インターネット経由で個人データ(住所・氏名・クレジットカード番号など)を登録してもらう場合には、GDPR上の管理者としての義務を負うことになります。域内で行われるデータ主体の行動の監視に関する処理。これには、個人の嗜好、行動、態度を分析・予測してその人物に関する決定を下すために、個人がインターネット上で監視されている場合が該当します。自然人のプロファイリングを構成する個人データ処理技術を利用する可能性も含まれます。Union.第3条第2項が適用される場合、理者または代理人はEU域内に代理人を書面で指名しなければならない。are.3.代理人は、データ主体が居住し、当該データ主体への商品やサービスの提供に関連して当該データ主体の個人データが処理されるか、又は当該データ主体の行動が監視される加盟国の一つに拠点を持たなければならない。Regulation.4.代理人は、この規則遵守を確実にする目的のため、取扱いに関連するすべての問題について、管理者もしくは処理者とともに、または代わりに、特に、監督機関及びデータ主体と対話をするため、管理者または処理者によって委任されなければならない。themselves.5.管理者または処理者による代理人の指名は、管理者または処理者自身に対して行われる法的行為を何ら妨げることはない。上記1により、EU域外の管理者または処理者に、GDPRが適用される場合(規則3条2項)、管理者または代理人はEU域内に代理人を書面で指名しなければならりません。(規則27条1項)ただし、次の場合は代理人の設置義務がありません(同条2項)。上記(a)は特別の種類の個人データや犯罪情報(いわゆるセンシティブ情報)を大規模に含まないで、継続的ではなく散発的になされる場合には域外適用がされないとするものです。代理人は、データ主体が居住し、当該データ主体への商品やサービスの提供に関連して当該データ主体の個人データが処理されるか、又は当該データ主体の行動が監視される加盟国の一つに拠点を持たなければなりません(同条3項)。代理人は、本規則遵守を確実にする目的のため、取扱いに関連するすべての問題について、管理者若しくは処理者とともにまたは代わりに、特に、監督機関及びデータ主体と対話をするため、管理者又は処理者によって委任されなければなりません(同条4項)。管理者または処理者による代理人の指名は、管理者または処理者自身への裁判所の命令などの法的行為を何ら妨げるものではありません(同条5項)。したがって、日本の中小企業や零細企業も、ウェブサイトを通じて、EU域内の言語・通貨で、EU域内の個人を対象とした商品・サービスを提供している場合は、管理者としての義務を負うことになります。ここにいう「企業」が単独の法人かグループ会社全体かについては、今後公表される予定のガイドラインの解釈に委ねられます。上記1で説明した域外適用と上記2で説明した代理人の指名は、いわゆる「十分性の決定」とは無関係であることに留意が必要です。「十分性の決定」は、EU域内から域外への個人データの移転に関する場合について、欧州委員会が認めた国・地域への移転を認めるものですが、ウェブサイトを通じて、EU域内の市民に対して商品・サービスを提供している場合には、日本が「十分性の決定」を欧州委員会から得ても、代理人の指名義務はあります。個人情報保護法上の域外適用2017年5月30日施行の個人情報保護法の改正により、国内にある者に対する物品または役務の提供に関連してその者を本人とする個人情報を取得した事業者が、外国において当該個人情報または当該個人情報を用いて作成した匿名個人情報を取り扱う場合にも適用されることになりました(法78条)。権限の行使の制限(43条)✓適用除外(76条)本条は、外国に拠点があることを明文の要件としていませんが、「外国において日本にある者から取得した個人情報やその個人情報から作成した匿名加工情報を取り扱う」場合に適用されるので、基本的には「外国に活動拠点がある事業者」に適用されます。法75条は、外国の事業者が日本国内の個人から直接個人情報を取得する場合を想定しており、外国の事業者が日本国内の事業者から個人データを取得する場合は対象としていないことに留意する必要があります(これは法25条の外国にある第三者への提供制限の問題となります。海外から日本国内に駐在している者が、インターネットを通じて海外のサイトで商品・サービスの提供を受ける場合にも本条の適用があるのかについては疑問が残ります。ウェブサイトが外国語で記載されており、日本人の顧客を想定していないような場合についてまで本条の適用はないのではないかと考えられます。03-5288-1021。