General Data Protection Regulation（GDPR）（一般データ保護規則）とは，EU（欧州連合）が定めた規則です。

　GDPRは，2018年5月25日から施行され，一部の日本企業にも適用されることになりました。

　GDPRは，日本の個人情報保護法に類似する法律ですが，いわゆる域外適用といって，EU圏内の企業等だけではなく，一定の要件を充たすと日本にある日本法人等にも適用されます。

　米国のAntitrust Lawの類，欧州のCompetition Law（競争法）の類，米国のForeign Corrupt Practices Act（連邦海外腐敗行為防止法）や英国のBribery Act（賄賂防止法）などと同様に域外適用が認められています。

　違反すると，最も高い制裁金は，2,000万ユーロまたは前年度の全世界の売上（利益ではない）高の4%のいずれか高い方とされているので，非常に高額です。

　したがって，EUでビジネスをしている日本企業は，GDPRを遵守しなければ，多額の制裁金を科され，さらに大きくレピュテーションを落とすことに繋がりかねないことを認識しなければなりません。

　ここでは，至極簡単ではありますが，GDPRのポイントについて解説しています。

① GDPRとは何か

　GDPRは，EU・EEA域内の個人データの処理（Process）全般について遵守すべき要件を定めた欧州規則であり，EEA域内の拠点による処理のほか，EEA域外の事業者がEEA内の個人に商品・サービスを提供したり，その行動を監視したりする場合にも適用されます（3条）。また，個人データをEEA域外へ移転（Transfer）する場合の要件（44条以下）も定めています。

② GDPRの適用対象となる個人情報とは何か

　個人を識別した，または，識別し得る個人に関する一切の情報がGDPRの適用対象となります。

　例えば，氏名，住所，マイナンバー，電子メールアドレスはもちろん，IPアドレス，クッキーの識別子なども含まれます。　

③ 個人情報の処理（Process）とは何か

　個人情報に対する一切の作業だと考えて頂いて問題ないでしょう。

　例えば，EEA内の顧客の氏名や連絡先を収集したり，EEA内にある子会社の従業員の住所をエクセルで管理したり，顧客リストの情報を最新のものに更新したりする行為が含まれます。

④ 移転（Transfer）とは何か

　移転（Transfer）については，GDPRは定義を定めていません。そのため，かなり広く解釈されるおそれがある点に注意が必要です。

　典型例は，日本企業がEEA内で自社製品の展示会を行って潜在顧客の名刺を収集し，これを日本国内に持ち帰るという場合が該当します。

　要するに，EEAの個人情報を海外に持ち出すという例です。

　また，EEA内の子会社が収集した顧客の電子メールアドレスのリストを親会社に送信するなどの行為も電子上の移転ですので，移転（Transfer）に該当します。

　しかしながら，移転はこのような典型的な場合に限られず，例えば，親会社である日本企業が，EEA内の子会社が作成した顧客リストに日本からアクセスするという行為も含まれます。

　また，例えば，イタリアの販社からドイツの販社に対して，イタリア販社の従業員の情報をデータでメール送信するというような場合に，サーバーが日本にあり，そのデータが日本のサーバーを介して移転するという場合，いったん日本というEEA外の国に移転するということになってしまいます。

　簡単にいうと，手段を問わず，EEA内の個人情報を海外からアクセスできるようにすれば，物理的な移転を伴わずともGDPRでいうところの「移転」（Transfer）に該当すると理解して良いでしょう。

⑤ 個人情報を処理（Process）するのに守らなければならない要件は何か

　EEA内の個人情報を処理するためには，一定の条件を充たさなければなりません。

　典型例は，個人情報を処理される個人が，自分の個人情報が特定の目的のために処理されることに同意した場合に，当該個人情報を処理できるという場合です。

　ここは，日本の個人情報保護法と似ています。他にも処理できる場合がありますが，この個人の同意を得て処理するという場面がもっとも典型的といえるでしょう。

　しかし，この「同意」は曖昧なものであってはならないとされています。

　当該個人が任意に同意し，どのような目的で情報が利用されるのかの情報提供を具体的に受けた上で，明確に積極的に同意の意思が表示されなければ同意があったとは認められない（この場合の個人情報処理はGDPR違反になる）とされています。

　したがって，例えば，ウェブサイト上のプライバシーポリシーや利用規約の下の部分にあらかじめチェックがされているようなチェックボックスがあり，「次へ」などのボタンをクリックすると個人情報処理に同意したことになるなどの取り扱いは認められない可能性が高いでしょう。

　さらに，個人情報を取り扱う企業は，個人の同意があったことを証明できるようにしておかなければならず，また，当該個人がいつでも与えた同意を取り消すことができるようにしておかなければならないなどの要件も課されています。

　プライバシーポリシーなどをGDPRに適合するように改定する必要が出てきます。

⑥ 個人情報を移転する（Transfer）場合に守らなければならない要件は何か

　例えば，日本企業のEEA内にある子会社（販社）が取得したEEA内の顧客リストを，日本本社がグループ企業全体のマーケティングのためにこれを閲覧し，ダイレクトメールなどを送るという場面を考えてみます。

　この場合，EEAの顧客情報を日本企業が閲覧するので，EEA内の個人情報を日本という海外へ移転するということになりますから，GDPRが定める個人情報移転のための要件を充たさなければ，日本企業は販社の顧客情報を閲覧することはできません。

　要件を守らずに閲覧すれば，GDPR違反となり，理論上は前記の多額の制裁金の対象となります。

　個人情報を移転するためには，移転先が個人情報を適切に守っている（adequate level of protection）と欧州委員会が認める国（GDPR45条3項）であれば，GDPRに定めた要件までは充たさずに個人情報を移転できますが，そうでない国に移転する場合は，下記のとおりの要件を充たさなければなりません。

　ちなみに，日本は2019年1月23日にこのadequate level of protectionがある国として欧州委員会から認定（いわゆる十分性認定）を受けており（2023年4月の第1回レビューでも維持が確認されています），個人情報保護法の適用を受ける民間事業者への移転については，個人情報保護委員会の補完的ルールを遵守することを条件に，原則としてこの要件を充たす必要はありません。

　個人情報保護の適切性があると欧州委員会が認めた国以外の国に個人情報を移転する場合，まずは，移転元と移転先との間で，欧州委員会が採択した標準契約条項（Standard Contractual Clauses）（SCC）（GDPR46条2項(c)）または拘束的企業準則（Binding Corporate Rules）（BCR）（GDPR47条。監督機関の承認が必要）などを定めているかを見るのが通常です。なお，SCCについては，2021年6月に欧州委員会により新しいSCC（Commission Implementing Decision (EU) 2021/914）が採択され，旧SCCは2022年12月27日をもって使用できなくなっており，現在はこの新しいSCCに準拠する必要があります。

　これらが定められていれば，日本企業はEEA内の販社の顧客情報にアクセスすることが可能と理解して良いでしょう。

　個人情報の移転元と移転先とにこれらの定めがない場合，当該個人が，十分性認定のない国への移転に伴うリスクの可能性を知らされた上で明示的に同意した場合や，本人との契約の履行に必要な場合など，GDPR49条が定める限定的な例外に該当する場合にのみ，移転が許されます。

　企業がこのような同意を逐一個人から取り付けるというのは，現実的でない場合が多いでしょう。そのため，当面はSCCの締結で対応する企業が多いものと推察されます。

　なお，SCCは監督機関の事前承認や通知を要しませんが，Schrems II判決（2020年7月16日）以降は，SCCやBCRを用いる場合であっても，移転先国の法制度を評価する移転影響評価（Transfer Impact Assessment）を行い，必要に応じて補完的措置を講じることが求められています。

⑦ その他

　その他にも，GDPRは，かなり詳細な要件を定めており，非常に長文の規則です。

　例えば，EEA域内に拠点を設けずビジネスをしている企業の場合に，EUに代理人（Representative）を選任しなければならない場合（GDPR27条）や，データ保護責任者（Data Protection Officer）（DPO）（GDPR37条）を選任しなければならない場合などもあります。

　また，EU各国の現地法にも注意が必要です。

　GDPRの制定を受け，EU各国は，自国の法律を再度整備しています。

　現地法人などがこれによる対応をしなければならないことがありますので，注意が必要です。

　なお，英国は2020年にEUを離脱しており，現在はEU GDPRとは別個の英国GDPR（UK GDPR）およびData Protection Act 2018が適用されます。英国では，一定の要件を充たした現地法人は，Information Commissioner's Office（ICO）に登録し，所定の手数料を納付しなければならないとされています。2025年にはData (Use and Access) Act 2025が成立し，UK GDPRの一部改正が進んでいます。

　また，DPOの情報もICOに登録することになっています。

　対策を怠り，制裁金を科されるようなことのないよう，準備を慎重に進める必要があるでしょう。