GDPR（EU一般データ保護規則）｜日本企業に適用される場合と対応

こんな方に：EEA内に子会社や顧客があり，EUの個人データを日本で取り扱う可能性がある日本企業の方

1. GDPRとは

General Data Protection Regulation（GDPR）（一般データ保護規則）とは，EU（欧州連合）が定めた規則です。GDPRは，2018年5月25日から施行され，一部の日本企業にも適用されることになりました。

GDPRは，日本の個人情報保護法に類似する法律ですが，いわゆる域外適用といって，EU圏内の企業等だけではなく，一定の要件を充たすと日本にある日本法人等にも適用されます。米国のAntitrust Lawの類，欧州のCompetition Law（競争法）の類，米国のForeign Corrupt Practices Act（連邦海外腐敗行為防止法）や英国のBribery Act（賄賂防止法）などと同様に域外適用が認められています。

2. 違反した場合の制裁金

違反すると，最も高い制裁金は，2,000万ユーロまたは前年度の全世界の売上（利益ではない）高の4%のいずれか高い方とされているので，非常に高額です。

したがって，EUでビジネスをしている日本企業は，GDPRを遵守しなければ，多額の制裁金を科され，さらに大きくレピュテーションを落とすことに繋がりかねないことを認識しなければなりません。ここでは，至極簡単ではありますが，GDPRのポイントについて解説します。

3. 適用範囲と「個人データ」「処理」の意味

GDPRは，EU・EEA域内の個人データの処理（Process）全般について遵守すべき要件を定めた欧州規則であり，EEA域内の拠点による処理のほか，EEA域外の事業者がEEA内の個人に商品・サービスを提供したり，その行動を監視したりする場合にも適用されます（3条）。また，個人データをEEA域外へ移転（Transfer）する場合の要件（44条以下）も定めています。

4. 「移転」（Transfer）は広く解釈されるおそれ

移転（Transfer）については，GDPRは定義を定めていません。そのため，かなり広く解釈されるおそれがある点に注意が必要です。

典型例は，日本企業がEEA内で自社製品の展示会を行って潜在顧客の名刺を収集し，これを日本国内に持ち帰るという場合です。要するに，EEAの個人情報を海外に持ち出すという例です。また，EEA内の子会社が収集した顧客の電子メールアドレスのリストを親会社に送信するなどの行為も電子上の移転ですので，移転（Transfer）に該当します。

しかしながら，移転はこのような典型的な場合に限られず，例えば，親会社である日本企業が，EEA内の子会社が作成した顧客リストに日本からアクセスするという行為も含まれます。また，例えば，イタリアの販社からドイツの販社に対して，イタリア販社の従業員の情報をデータでメール送信する場合に，サーバーが日本にあり，そのデータが日本のサーバーを介して移転するときは，いったん日本というEEA外の国に移転するということになってしまいます。

実務上のポイント：簡単にいうと，手段を問わず，EEA内の個人情報を海外からアクセスできるようにすれば，物理的な移転を伴わずともGDPRでいうところの「移転」（Transfer）に該当すると理解して良いと考えます。

5. 個人データの処理の要件（本人の同意）

EEA内の個人情報を処理するためには，一定の条件を充たさなければなりません。典型例は，個人情報を処理される個人が，自分の個人情報が特定の目的のために処理されることに同意した場合に，当該個人情報を処理できるという場合です。ここは，日本の個人情報保護法と似ています。他にも処理できる場合がありますが，この個人の同意を得て処理するという場面がもっとも典型的といえるでしょう。

しかし，この「同意」は曖昧なものであってはならないとされています。当該個人が任意に同意し，どのような目的で情報が利用されるのかの情報提供を具体的に受けた上で，明確に積極的に同意の意思が表示されなければ同意があったとは認められない（この場合の個人情報処理はGDPR違反になる）とされています。

したがって，例えば，ウェブサイト上のプライバシーポリシーや利用規約の下の部分にあらかじめチェックがされているようなチェックボックスがあり，「次へ」などのボタンをクリックすると個人情報処理に同意したことになるなどの取り扱いは認められない可能性が高いでしょう。

さらに，個人情報を取り扱う企業は，個人の同意があったことを証明できるようにしておかなければならず，また，当該個人がいつでも与えた同意を取り消すことができるようにしておかなければならないなどの要件も課されています。プライバシーポリシーなどをGDPRに適合するように改定する必要が出てきます。

6. 個人データを移転する場合の要件

例えば，日本企業のEEA内にある子会社（販社）が取得したEEA内の顧客リストを，日本本社がグループ企業全体のマーケティングのために閲覧し，ダイレクトメールなどを送るという場面を考えてみます。この場合，EEAの顧客情報を日本企業が閲覧するので，EEA内の個人情報を日本という海外へ移転するということになりますから，GDPRが定める個人情報移転のための要件を充たさなければ，日本企業は販社の顧客情報を閲覧することはできません。要件を守らずに閲覧すれば，GDPR違反となり，理論上は前記の多額の制裁金の対象となります。

ちなみに，日本は2019年1月23日にこのadequate level of protectionがある国として欧州委員会から認定（いわゆる十分性認定）を受けており（2023年4月の第1回レビューでも維持が確認されています），個人情報保護法の適用を受ける民間事業者への移転については，個人情報保護委員会の補完的ルールを遵守することを条件に，原則としてこの要件を充たす必要はありません。

個人情報保護の適切性があると欧州委員会が認めた国以外の国に個人情報を移転する場合，まずは，移転元と移転先との間で，SCCまたはBCRなどを定めているかを見るのが通常です。なお，SCCについては，2021年6月に欧州委員会により新しいSCC（Commission Implementing Decision (EU) 2021/914）が採択され，旧SCCは2022年12月27日をもって使用できなくなっており，現在はこの新しいSCCに準拠する必要があります。これらが定められていれば，日本企業はEEA内の販社の顧客情報にアクセスすることが可能と理解して良いでしょう。

移転元と移転先とにこれらの定めがない場合，当該個人が，十分性認定のない国への移転に伴うリスクの可能性を知らされた上で明示的に同意した場合や，本人との契約の履行に必要な場合など，GDPR49条が定める限定的な例外に該当する場合にのみ，移転が許されます。企業がこのような同意を逐一個人から取り付けるというのは，現実的でない場合が多いでしょう。そのため，当面はSCCの締結で対応する企業が多いものと推察されます。

なお，SCCは監督機関の事前承認や通知を要しませんが，EU司法裁判所の2020年7月の判断以降は，SCCやBCRを用いる場合であっても，移転先国の法制度を評価する移転影響評価（Transfer Impact Assessment）を行い，必要に応じて補完的措置を講じることが求められています。

7. その他の注意点

その他にも，GDPRは，かなり詳細な要件を定めており，非常に長文の規則です。例えば，EEA域内に拠点を設けずビジネスをしている企業の場合に，EUに代理人（Representative）を選任しなければならない場合（GDPR27条）や，データ保護責任者（Data Protection Officer）（DPO）（GDPR37条）を選任しなければならない場合などもあります。

また，EU各国の現地法にも注意が必要です。GDPRの制定を受け，EU各国は，自国の法律を再度整備しています。現地法人などがこれによる対応をしなければならないことがありますので，注意が必要です。

英国の取扱い

英国は2020年にEUを離脱しており，現在はEU GDPRとは別個の英国GDPR（UK GDPR）およびData Protection Act 2018が適用されます。英国では，一定の要件を充たした現地法人は，Information Commissioner's Office（ICO）に登録し，所定の手数料を納付しなければならないとされています。また，DPOの情報もICOに登録することになっています。2025年にはData (Use and Access) Act 2025が成立し，UK GDPRの一部改正が進んでいます。

対策を怠り，制裁金を科されるようなことのないよう，準備を慎重に進める必要があるでしょう。

契約書・社内体制で確認したいポイント

• ✓EEA内の個人に商品・サービスを提供したり行動を監視したりしており，GDPRが適用され得るか
• ✓EEA内の個人データの移転（日本からのアクセスを含む）が想定されるか
• ✓十分性認定のない国への移転について，新しいSCCの締結などが定められているか
• ✓同意の取得方法やプライバシーポリシーがGDPRの要件に沿っているか

【ご注意】本ページは，執筆・更新時点（2026年9月）において一般的なレベルで調査した結果を参考情報として記載したものにすぎず，個別の案件についての法的助言ではありません。外国の法令・判例・実務は改正等により変更されることがあり，本ページの内容の正確性・完全性・最新性を保証するものではありません。実際にお取引を検討される際は，必ず現地の法律に精通した弁護士に最新の情報をご確認ください。