株式会社先読

解説EU－一般データ保護規則（GDPR）

法令の情報時期：2016年05月

ページ作成時期：2026年06月

目的

本規則は、個人データの処理に関する自然人の保護および個人データの自由な移動に関する規則を定めるものである。主な目的は以下の通りである。

■　個人データの処理に関して自然人の基本的人権および自由、特に個人データ保護の権利を保護すること。

■　個人データの保護を理由として、EU内における個人データの自由な移動が制限または禁止されないようにすること。

概要

本規則は、1995年のデータ保護指令（95/46/EC）に代わり、デジタル化が進む社会において個人の権利を強化し、事業者の予見可能性を高めるために制定された。

■　適用範囲：電子的・自動的な手段による個人データの処理、またはファイルシステムの一部を構成する非自動的な処理に適用される。

■　地理的適用範囲：EU域内に拠点を持つ管理者の活動だけでなく、EU域外の事業者がEU居住者に対して商品・サービスを提供する場合や、その行動を監視する場合にも適用される。

■　主な事業者要件：適法なデータ処理根拠の確保、透明性の高い情報提供、データ主体の権利（アクセス、消去等）への対応、適切なセキュリティ対策、データ侵害時の通知義務などが含まれる。

適用除外（対象外・猶予・免除等）

法令全体の適用から除外される対象は以下の通りである。

■　連合法の範囲外にある活動の過程で行われる処理。

■　EU基本条約（TEU）の特定の範囲内にある活動（外交・安全保障等）に関連して加盟国が行う処理。

■　自然人が、純粋に個人的な活動または家庭内の活動として行う処理。

■　刑事犯罪の予防、捜査、訴追等の目的で権限ある当局が行う処理。

事業者が注意すべき内容

本法令が定める事業者に係わる主な要件は次の通りとなります。本項は網羅的なものではないため、詳細や罰則については、個別調査にて承ります。
ご関心がございましたら、お気軽にお問い合わせください。

事業者は、自らの役割（管理者または処理者）に応じて、以下の要件を遵守する必要がある。

■　処理の原則と適法性（第5条、第6条） 個人データは適法、公正かつ透明性のある方法で処理されなければならない（第5条）。処理が適法とされるには、データ主体の同意、契約の履行、法的義務の遵守、または管理者の正当な利益（データ主体の権利が優先する場合を除く）などの根拠が必要である（第6条）。

■　同意の条件（第7条、第8条） 同意に基づく処理を行う場合、管理者は同意があったことを証明できなければならない。また、データ主体はいつでも同意を撤回できる権利を有する。子供（原則16歳未満）に対して情報社会サービスを提供する場合、親権者による同意または許可が必要となる（加盟国により13歳まで引き下げ可能）（第8条）。

■　特別なカテゴリーの個人データの処理制限（第9条、第10条）人種、政治的意見、宗教的信条、遺伝データ、生体データ、健康データ、性的指向等の処理は原則として禁止されている。明示的な同意や雇用法上の義務、重大な公共の利益など、特定の例外条件を満たす場合に限り処理が認められる。有罪判決や犯罪態様に関するデータの処理も厳格に制限される（第10条）。

■　透明性とデータ主体の権利（第12条～第22条）管理者は、簡潔、透明かつアクセス容易な方法で、データ主体に情報を提供しなければならない。データ主体は以下の権利を行使でき、管理者は原則として1か月以内に対応する必要がある（第12条）。

アクセス権：自らのデータが処理されているかの確認およびコピーの取得（第15条）。
訂正権：不正確なデータの修正（第16条）。
消去権（忘れられる権利）：不要になったデータの削除（第17条）。
処理制限権：特定の状況下での処理の停止（第18条）。
データポータビリティ権：構造化された形式でのデータ受け取りと他者への移行（第20条）。
異議申立権：正当な利益やダイレクトマーケティングを目的とする処理に対する拒否（第21条）。
自動化された意思決定を受けない権利：プロファイリング等による重大な影響を及ぼす決定の拒否（第22条）。

■　管理者および処理者の義務（第24条～第31条）

管理者は、リスクに応じた適切な技術的・組織的対策を講じ、規則遵守を証明する責任を負う（第24条）。
製品やサービスの設計段階からデータ保護を組み込み（デザイン・バイ・デザイン）、初期設定で必要最小限のデータのみを処理する（デザイン・バイ・デフォルト）ことが求められる（第25条）。
域外管理者は、原則としてEU域内に代理人を指定しなければならない（第27条）。
処理を委託する場合、管理者は十分な保証を提供する処理者のみを選定し、書面による契約（データ処理契約：DPA）を締結しなければならない（第28条）。
従業員250人以上の事業者は処理活動の記録を維持する義務がある。ただし、リスクがある処理や、非定常的でない処理、特別カテゴリーデータを扱う場合は、250人未満であっても記録義務が生じる（第30条）。

■　データセキュリティと侵害通知（第32条～第34条）リスクに応じた適切なセキュリティレベル（暗号化、匿名化等）を確保しなければならない。個人データの侵害が発生した場合、管理者は不当な遅滞なく、可能であれば72時間以内に監督当局に通知しなければならない。侵害が個人の権利に高リスクを及ぼす場合は、データ主体本人にも速やかに通知する必要がある。

■　データ保護影響評価（DPIA）と保護官（DPO）の指定（第35条～第39条）新しい技術を用いた処理などで高リスクが予想される場合、事前にデータ保護影響評価（DPIA）を実施しなければならない（第35条）。公共機関、大規模な監視を行う事業者、または特別カテゴリーデータを大規模に扱う事業者は、データ保護官（DPO）を任命する義務がある（第37条）。

■　域外移転の制限（第44条～第49条）EU域外の第三国へのデータ移転は、十分性認定がある場合、または標準契約条項（SCC）や拘束的企業ルール（BCR）などの適切な保護措置が講じられている場合に限られる。それらがない場合は、個別の同意等の例外事由が必要となる。

■　責任と制裁（第82条、第83条）規則違反により損害を被った者は、管理者または処理者から賠償を受ける権利を有する。制裁金は、違反の内容に応じて、最大で2000万ユーロまたは全世界年間売上高の4%のいずれか高い方となる（第83条）。

■　将来的に事業者へ影響を及ぼすと思われる内容

加盟国による固有の規則：雇用関連（第88条）や、学術・統計目的（第89条）におけるデータ処理について、加盟国はより具体的な国内法を定めることができる。複数の加盟国で活動する事業者は、各国固有の法規を確認する必要がある。
監督当局によるリスト化：DPIAが必要となる処理内容のリストは、各国の監督当局によって公表される（第35条第4項）。

注目定義

■　「個人データ」（Personal data）

識別された、または識別可能な自然人（データ主体）に関するあらゆる情報を指す。氏名やID番号、位置データ、オンライン識別子のほか、身体的、生理的、遺伝的、精神的、経済的、文化的、社会的アイデンティティに関する要素も含まれる。

■　「処理」（Processing）

自動的な手段であるか否かに関わらず、個人データに対して行われるあらゆる操作を指す。具体的には、収集、記録、組織化、構造化、保存、修正、検索、参照、利用、伝達による開示、消去、破壊などが含まれる。

■　「プロファイリング」（Profiling）

個人データを自動的に処理することで、自然人の特定の側面を評価することを指す。特に、職場でのパフォーマンス、経済状況、健康状態、個人的な嗜好、行動、位置、移動などを分析・予測することを目的とする。

■　「仮名化（かめいか）」（Pseudonymisation）

追加情報を使用しなければ、特定のデータ主体に結びつけることができないように個人データを処理することである。この追加情報は、特定の個人に結び付けられないよう、技術的・組織的対策のもとで厳重に別途保管される必要がある。

■　「管理者」（Controller）

単独で、または他者と共同で、個人データの処理の目的と手段を決定する自然人、法人、公的機関など。

■　「処理者」（Processor）

管理者の代わりに個人データの処理を行う自然人、法人、公的機関など。

■　「個人データ侵害」（Personal data breach）

伝送、保存、またはその他の処理が行われた個人データの、偶発的または不法な破壊、喪失、改変、無権限の開示、あるいはアクセスを招くセキュリティ上の侵害を指す。

■　「拘束的企業ルール」（Binding corporate rules）

同一の企業集団または共同の経済活動に従事する企業グループ内で、EU域外の管理者または処理者へ個人データを移転する際に適用される、データ保護に関する内部ポリシー。

基礎情報

法令（現地語）	REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)
法令（日本語）	個人データの処理における自然人の保護および当該データの自由な移動に関する2016年4月27日付欧州議会および理事会規則（EU）2016/679（指令95/46/ECを廃止）（一般データ保護規則）
公布日	2016年05月04日

作成者

この続きは先読会員になるとお読みいただけます。

ログインして続きを読む