GDPRの対策

GDPR（General Data Protection Regulation：EU一般データ保護規則）とは、個人情報（データ）の保護やその取扱いについて詳細に定められた欧州経済領域（※注）域内の各国に適用される法令のことです。2018年5月25日から適用開始しています。
（※注）欧州経済領域：European Economic Area（EEA）＝EU加盟国（27か国）及びアイスランド、リヒテンシュタイン、ノルウェー、イギリス（EU離脱後もGDPR体制を維持）

GDPRでは、欧州経済領域（EEA)域内で取得した「氏名」や「識別番号」、「メールアドレス」、「クレジットカード情報」などの個人情報を、EEA域外に移転することは原則として禁止されています。域内の事業者はもちろんのこと、域内に支店や現地法人などがなくとも、ネット取引などでEEA居住者の個人情報をやり取りする場合は適用対象となります。また組織の規模や、公的機関、非営利団体（NPO)なども関係なく適用対象となります（中小零細企業の場合、一部例外措置あり）。

規制に違反して個人データの移転・処理等を行った場合、違反者には多額の制裁金が課せられます。

このように、EEA居住者の個人データを扱う場合は、域内で事業を行っているか否かや組織規模等に関係なく、多くの日本企業に対応の整備が求められます。

2019年1月に欧州委員会は、日本に対する「十分性認定」を行いました。これにより、民間事業者は域内から個人情報を持ち出す際に、個別の契約の締結など煩雑な手続き（拘束的企業準則（BCR）の採択や標準契約条項（SCC）の締結など）は原則として不要になりました。

EEA域内と日本間で、個人情報をよりシンプルにかつスムーズに移転することができるようになったといえます。

しかし、「十分性認定」のない第三国へ個人情報の移転を行う場合はSCC等を使用した適切な措置が求められるなど、引き続きGDPRに則った対応が必要です。

GDPRの対策としては、（1）現状把握、（2）対応策の計画、（3）セキュリティ対策の強化が重要です。

■（1）現状把握
GDPRの対策として、まずは自社内の個人情報の取り扱いに関する現状把握を行います。現段階でどのような個人データがどこに保護されているか（個人データの種類、個人データの保管場所など）や、どのような流通経路でやりとりしているか（個人データの入手経路や入手方法）、どのような目的で入手しているか（個人データの入手目的）などを調査・把握します。

■（2）対応策の計画
現状把握後は、GDPRに関する自社規定を作成し、対応策を計画しましょう。他社の作成例を参考にしながら、データ保護に関する方針（ポリシー）の策定などを行います。ここでは、収集するデータの種類や収集および処理する目的などの事項に加え、組織内の責任者や対応組織（インシデント対応）の設置、社内での教育、法令順守などに向けた推進体制の整備などを設けます。

■（3）セキュリティ対策の強化
体制の整備に加え、技術面からの個人データの保護も行う必要があります。

具体的には、保存中の個人データの暗号化・仮名化や、マルウェア等によるデータ流出の防止策、データの把握・保護・制御などの対策が挙げられます。

企業のグローバル化が進み、昨今はネット通販などを含め国を超えた取引が数多く行われています。GDPR対策が求められる企業は増加していますが、企業によって、どのような対策を講じるべきか、どのような点に配慮すべきかなどは異なります。お困りの際は、弁護士等の法律専門家に相談することをおすすめします。

髙﨑法律事務所は、東京都渋谷区、目黒区、新宿区、港区、千代田区、世田谷区、大田区、文京区、品川区、中央区などの24区をはじめ、埼玉県、神奈川県、千葉県を中心に、企業法務に関するご相談を承ります。
当事務所は特許・知財分野や企業法務を専門的に扱っており、クライアント様にとって最適な解決策をご提案いたします。

企業法務でお困りの際は、当事務所までお気軽にご相談ください。