【じーでぃーぴーあーる】
GDPR とは？
最終更新:
💡 個人データの扱いと、本人の権利のルール
EUの一般データ保護規則。個人データの適切な取り扱いと本人の権利を定める。EU内の拠点の活動に伴う処理のほか、EU内の人へのサービス提供や行動監視に関係する処理では、域外の組織にも適用される場合がある。
📌 このページのポイント
- 個人データの取り扱いと、本人の権利を定めるEUの規則
- 国籍だけでなく、拠点やサービス提供・行動監視の条件で適用を判断
- 処理の法的根拠は、同意だけでなく契約や法的義務などもある
- 違反時の制裁金には類型ごとの上限があり、自動で最高額になるわけではない
ひよこ GDPRって、Cookieのルールなの？
ペンギン先生 Cookieだけの規則ではないよ。名前や識別番号など、本人を識別できる情報の取り扱いを定めるEUの一般データ保護規則なんだ。利用目的、必要なデータに絞ること、安全に扱うこと、本人の権利への対応などが含まれるよ。
ひよこ EU市民の情報を扱うと、必ず対象になる？
ペンギン先生 国籍だけでは決まらないよ。EU内の拠点の活動に伴う処理は、処理場所が域外でも対象になる。EUに拠点がない組織でも、EU内の人に商品・サービスを提供したり、EU内での行動を監視したりする活動に関係する処理は対象になり得る。日本の会社も、活動の条件から確認するんだ。
ひよこ 個人データは、毎回同意を取らないと使えない？
ペンギン先生 同意は法的根拠の1つで、全部ではないよ。契約の履行や法的義務への対応など、ほかの根拠も定められている。ただし根拠があれば何でも集めてよいわけではない。目的に必要な範囲に絞り、本人への説明や安全管理なども満たす必要があるんだ。
ひよこ 自分のデータは、全部消してもらえるの？
ペンギン先生 アクセス、訂正、消去などの権利があるけれど、条件や例外もあるよ。たとえば法律上の保存義務があるデータは、消去が認められない場合がある。要求への対応内容は原則1か月以内に通知し、複雑さなどによっては理由を伝えたうえで期間を延長できるんだ。
ひよこ 違反したら、売上の4%を必ず払うの？
ペンギン先生 それは上限の説明だよ。違反の種類によって1000万ユーロまたは前会計年度の全世界年間売上高の2%、2000万ユーロまたは4%という上限があり、企業ではそれぞれ高い方を基準にする。個別の金額は違反の性質や重大さなどを考慮して判断される。すべての違反に最高額が自動で科されるわけではないんだ。
もっと詳しく知りたい人へ
Cookieには、すべて同意が必要なの？
すべてではありません。EUの公式案内では、通信の伝送だけに使うCookieや、利用者が明示的に求めたサービスに不可欠なCookieには、同意を要しない例が示されています。買い物かごやログイン認証などです。一方、広告のための追跡などには事前の同意が必要になる例があります。「GDPRだからすべて同意」という整理ではなく、Cookieの用途と適用されるルールを確認します。
まとめ：ざっくりこれだけ覚えればOK！
「GDPR」って出てきたら「個人データの扱いと本人の権利を定めるEUのルール」と思えばだいたいOK！
📖 おまけ：英語の意味
「General Data Protection Regulation」 ＝ 一般データ保護規則
💬 個人データの処理と保護を定めるEUの規則。2018年5月25日から適用されているよ。