「GDPR」

GDPR

GDPRの定義

GDPRは、一般データ保護規則（General Data Protection Regulation）の略です。これは、2018年5月25日に施行された包括的なデータプライバシー法で、EU（欧州連合）およびEEA（欧州経済区域）内における個人データの取り扱いを規制するものです。GDPRの主な目的は、個人に対して個人データに対するコントロールを提供し、EUおよびEEA内で活動する企業にとって規制環境を簡素化することです。

主要な概念と要件

GDPRには、コンプライアンスを確保するために組織が遵守しなければならないいくつかの重要な概念と要件が含まれています。これらの中には以下が含まれます：

合法的で透明性があり、特定の目的に限定された処理

GDPRの下で、個人データは合法的で透明性があり、特定の目的にのみ処理することができます。組織は、契約の履行の必要性、法的義務の遵守、重要な利益の保護、個人の同意、公共の利益のために行われる業務の履行、またはデータ管理者または第三者による正当な利益など、個人データを処理するための法的根拠を有する必要があります。

同意

GDPRの重要な側面として、組織は個人データを収集する前に個人から明確で明示的な同意を得る必要があります。同意は自由に与えられ、具体的で情報に基づき、明確でなければなりません。個人には、データ処理の目的、関与する個人データの種類、データの受取人、保存期間、およびデータに関する権利が明示されている必要があります。個人が同意を撤回することが、同意を与えることと同じように簡単でなければなりません。

個人の権利

GDPRは個人に対して様々な権利を付与します。これらの権利には以下が含まれます：

• データアクセス権: 個人は、組織が自分に関して保有する個人データへのアクセスを要求する権利があります。
• データポータビリティ権: 個人は、自分の個人データを構造化され、一般的に使用されている機械可読形式で受け取り、それを別の組織に転送する権利があります。
• 消去権: 「忘れられる権利」とも呼ばれ、個人は、収集された目的にとって必要がなくなったとき、同意を撤回したとき、またはデータ処理が違法であるときに個人データの消去を要求する権利があります。
• 訂正権: 個人は、不正確または不完全な個人データの訂正を要求する権利があります。

データ侵害通知

GDPRは、データ侵害が発生した場合、それに気づいてから72時間以内に監督当局に迅速に通知する義務を組織に課しています。侵害が個人の権利と自由に高いリスクをもたらす可能性がある場合、組織は影響を受けた個人にも直接通知する必要があります。

コンプライアンスと執行

GDPRの適用を受ける組織は、その規定に準拠し、罰則や評判への悪影響を避ける必要があります。GDPRコンプライアンスを確実にするための手順として、以下のようなものがあります：

• 要件を理解する: 組織は、GDPRの要件を理解し、具体的な状況にどのように適用されるかを評価するべきです。データインベントリの実施、データ処理活動の評価、必要な方針と手続きの実装が含まれるかもしれません。
• 同意を得る: 組織は、個人データを収集する前に個人から明確な同意を得ることを保証するべきです。同意は他の条件と分けて理解しやすく得られるべきです。
• データ保護責任者（DPO）: データ保護責任者を任命することで、GDPRコンプライアンスを確保するのに役立ちます。DPOは、組織内でデータ保護活動を監督し、データ主体と監督当局の連絡先として機能する指定された人物です。
• プライバシー・バイ・デザイン: 組織は、プライバシー・バイ・デザインの原則をプロセスとシステムに組み込むべきです。これは、製品、サービス、ビジネス慣行の設計・開発の初期段階からプライバシーとデータ保護を考慮することを含みます。
• 堅牢なセキュリティ対策: 暗号化、アクセス制御、定期的なセキュリティ監査など、堅牢なセキュリティ対策を実施することで、個人データを不正アクセス、開示、破壊から保護することができます。

最新の進展と論争

GDPRの施行以来、データプライバシーと保護に大きな影響を与えてきました。GDPRは他の国や地域に同様の法律の実施を促しました。例えば、米国のカリフォルニア消費者プライバシー法（CCPA）などです。

GDPRをめぐる継続的な論争の一つは、その執行とコンプライアンス違反に対する罰則です。GDPRは、監督当局が重大な違反に対して最大2,000万ユーロまたは前年度の全世界年間売上高の4％のいずれか高い方の罰金を課すことを許可しています。しかし、批評家の中には、小規模企業に対して不均衡に適用されていると主張する者もいます。

もう一つの議論の分野は、データプライバシーとイノベーションのバランスです。GDPRがイノベーションを阻害し、企業に負担となるコンプライアンス要件を課していると主張する者もいれば、個人の基本的な権利を保護しデジタル経済への信頼を維持するために必要だと主張する者もいます。

関連用語

• データ保護責任者（DPO）: 組織内でGDPRコンプライアンスを監督するために指定された個人。
• プライバシー・バイ・デザイン: ITシステムとビジネス慣行の設計と運用においてプライバシーとデータ保護を組み込む原則。