Web担当の山田です。Regulation、EU一般データ保護規則)が施行されて各方面のWebサイトも徐々に対応が進んでいると思われます。欧州委員会より施行されました。日本の個人情報保護法より保護対象のデータが明らかに広く、GDPRは欧州に拠点をもつ企業はもちろん、日本でのみ事業を営んでいる企業であっても対応が必要になる可能性もある法律として大きな注目を集め続けています。この意外と身近なGDPRについてもっと詳しく見ていきたいと思います。OneTrusthttps://www.grcs.co.jp/consulting/gdpr本ブログは法的助言を提供するものではありません。実際の法律の適用は、具体的な事実関係によって異なる可能性があります。ここでの内容は、適用法令への遵守について一切保証するものではありません。具体的な法律問題については、弁護士へのご相談を推奨しております。このページに記載されている情報や見解は、予告なしに変更することがあります。日本の十分性認定GDPRとは一言でいうと以下になります。するために満たすべき法的要件を規定している。個人データの移転は原則として禁止されており、例外的に適法化される。十分性認定:2019年1月、欧州委員会はEEA域内の個人データの域外持ち出しを例外的に認める(十分性認定)移転先として、日本を承認しました。Clause)、または監督機関により承認される契約が不要となり、日本はGDPRへの対応が比較的スムーズになりました。情報化社会のいま、Webサイトなどオンライン上ではさまざまな個人情報のやり取りがされており、そこで扱われるデータについてきちんと法律で保護するためにGDPRが制定されました。GDPRとは「個人データ」の「処理」と「移転」についてEUで制定された、個人情報保護に関する法律です。「データ主体」これは個人データが関連する当該個人、つまり、個人情報を持つ本人になります。共同で個人データの「処理の目的」と「手段」を決定、また個人データの処理の適法性とGDPR違反に対する責任を負う者とあります。代理して、個人データの「処理」を行う自然人または法人とあります。人データを用いた販促活動を管理者を代理して処理を行う企業等があてはまります。「管理者」と異なる点は「処理者」は「管理者」の指示に従って処理をするだけの組織になります。捉えることができます。EEA域内に住んでいる人や、EEA域内に拠点がある企業だけが適用となるのではなく、EEA域内に旅行に来ている日本人の情報や、EEA域内に住んでいる人に対して(EEA域内に拠点がない)日本企業がWebサイトで商品を販売して個人情報を得る場合も適用範囲となります。GDPRの制裁金制度ではGDPRの対応が十分にできておらず、違反した場合はどうなるのでしょうか?その場合巨額の制裁金が課せられてしまいます。制裁金の上限は違反した条項の種類により2つの類型があります。1€=130円換算この場合、もっとも金額が高い方の26億円(または13億円)を支払わなければなりません。氏が率いる非営利団体noybが、不特定の個人を代表した形でGoogle(グーグル)、フェイスブックとその傘下のInstagram(インスタグラム)、WhatsApp(ワッツアップ)の巨大企業を相手に4つの訴状を提出しています。2019年1月21日にはフランスのデータ保護当局CNIL(情報処理と自由に関する国家委員会)が、5000万ユーロ(約62億円)の制裁金の支払いをGoogleに課しました。これはGDPR違反による巨額制裁金として世界初となります。制裁金の問題だけではなく、今後Googleは個人情報の取り扱いについて、従来の方法からの方向転換も余儀なくされそうです。日本の十分性認定における違反:日本が十分性認定を受けたとしても、データに対する保護措置は変わりません。データ処理に関する舷側の遵守や、同意の条件を行わなかった場合、データ移転の条件に従わなかった場合、特別カテゴリーの個人データ処理の条件を遵守しなかった場合など、これらGDPRを違反した場合は制裁金を支払わなくてはなりません。GDPRへの対応状況では、日本ではGDPRにおける取り組みはどうでしょうか?GDPR対応に関する日本企業が抱える課題として、以下が挙げられています。意思決定に関する権利GDPR対応は一朝一夕にできるものではありません。今の現状を把握し、リスクに対する手当を検討しはじめる必要が出てきます。まとめ日本では個人情報保護法がありますが、Webなどのオンライン上でやり取りされるオンライン識別子(IPアドレスやCookie)などのデータに関して明確な規制はまだありません。EEA域内だけに限らず、GDPRのような個人情報の取り扱いは今後世界中で巻き起こる事が予想され、日本も例外ではなくなってくるかもしれません。GDPRは個人情報管理や情報セキュリティ対策に置ける一側面でしかありません。自社において、どこでどれくらい個人情報を扱っているかを把握し管理できていることが前提にあります。個人情報を管理をしているからといって、情報漏洩対策がきちんとされていなければ重大な問題を引き起こしてしまう恐れがあります。企業は、企業責任として、抱えている個人の情報に対しあらゆる側面から対応が求められてきます。ここに挙げたGDPRだけでも対応すべき課題は多岐にわたります。GDPRはきちんと対策が取れていれば怖くありません。GDPRに関して自社だけでの判断や対応にお困りの際は、弊社でGDPR対策を支援するコンサルティングサービスを行なっておりますので、ぜひ一度ご相談ください。Us企業を取り巻くリスクを見える化し、ITを使って会社のルールと社会のルールを最適化しながら経営に活かす「GRCソリューション」を提供しています。