GDPRのガイドライン概説【特別編】2017.08.25前回までのコラムでは、基礎編としてGDPRの規制の概要や用語の概念について紹介しました。第7回では、実務対応について解説する応用編に入る前の特別編として、GDPRのガイドラインについて解説します。"ガイドライン、提言及びベストプラクティス"を公表することを定めています。Party)を改組して成立することが決まっており、現在(2017年8月21日時点)は、この第29条作業部会がガイドラインを策定しています。ガイドラインの作成予定は、第29条作業部会が2016年2月(※1)と2017年1月(※2)に公表した行動計画に示されています。ガイドラインの公表状況2017年8月21日時点でのガイドラインの公表状況と今後の予定は以下の通りです。公表されているガイドラインは4つ(ただし、「データ保護影響評価、およびデータ処理がハイリスクかどうかの判断」はパブリックコメント用のドラフト版)です。今後公表予定のガイドラインのうち、「第三国へのデータ移転」と「侵害の通知」については、第29条作業部会が既に公表した意見書等を改定して作成される旨が公表されています。各部門等)間の仲介役であると位置づけた上で、その選任に際しての考慮事項、地位及び職務について、例えば以下のような内容を定めています。アクセシビリティを確保する必要がある。アクセシビリティを確保する観点から、ガイドラインではデータ保護責任者をEU域内に配置することを推奨している(ただし、EU域外に配置することを妨げない)。データ保護責任者は、他の職務と兼務できるが、組織内のデータ管理者やデータ処理者との兼務は利益相反となるため、実施してはならない。要否、対応策の検討)することに加え、データ保護評価を適切に実施することを監視する。authority)に関するガイドラインGDPRでは、加盟各国に最低でも1つの監督機関を置くことを定めています。EU内の複数の国に拠点がある企業は各拠点の監督機関からそれぞれ監督を受けることになり、負担となります。shop)仕組みを採用しています。ガイドラインでは、主たる監督機関を特定するための事項を定めており、以下のような内容が含まれています。主たる事業所とは、データ処理に関する意思決定を行う組織がある事業所を指す。仮にデータ処理に関する意思決定を行う組織が業務ごとに定められており、複数拠点に跨っている場合には、複数の監督機関による監督を受ける可能性がある。多国籍企業で、EU域内にデータ処理に関する意思決定を行う拠点が無い場合は、主要なデータ処理を行う事業所を主たる事業所とする。企業グループのデータ処理について、単一の意思決定を行うのであれば、企業グループで1つの主たる監督機関を定めることができる。portability)に関するガイドラインデータポータビリティ(GDPR第20条)は、GDPRで新たに定められた権利のひとつです。情報主体者は情報管理者に提供したデータを、機械で読み取り可能かつ構造化した形式で取得でき、その情報を別の情報管理者に移転することができます。情報管理者は、情報主体者の同意に基づくデータ処理または6条1項(b)の契約に基づくデータ処理を行っている場合で、なおかつそのデータ処理を自動化している場合に、情報主体者からのデータポータビリティの権利に関する要求に応じなくてはなりません。ガイドラインでは、情報主体者の行動履歴(検索履歴、音楽の再生回数等)はポータブルデータに含まれること、情報管理者はデータ構造を必要以上に複雑化するなどしてデータポータビリティについて障壁を設けてはならないこと、情報管理者はセキュアな方法でデータを提供しなくてはならないこと、ポータブルデータの受け入れは義務ではないこと等を定めています。日本企業は、対応にあたり、条文とともにこれらのガイドラインを参照することでGDPRへの理解を深め、適切に対処することが望まれます。お問い合わせは、「お問い合わせフォーム」よりお願いします。Japanは、EYの日本におけるメンバーファームの総称です。EY税理士法人、EYトランザクション・アドバイザリー・サービス株式会社、EYアドバイザリー・アンド・コンサルティング株式会社などから構成されており、各メンバーファームは法的に独立した法人です。