📋 この用語の要点（林 拓海の視点）
GDPRとは、EUの個人データ保護を定める規則です。EU向けにサービスを提供する日本企業も対象となり得るため、ペーパーレス・データ管理で留意が必要です。
📖 約10分で読めます。
GDPRとは
GDPR（General Data Protection Regulation：EU一般データ保護規則）とは、EU（欧州経済領域）における個人データの保護とその移転について定めた規則です。EU域内の個人データを扱う事業者に、厳格な管理・本人権利の保障・違反時の重い制裁を課す点が特徴で、世界のデータ保護規制に大きな影響を与えています。日本の個人情報保護法と目的は近いものの、適用範囲や要件は異なります。
日本企業も対象になり得る
GDPRは、EU域内に拠点がなくても、(1)EU域内の個人に商品・サービスを提供する、(2)EU域内の個人の行動をモニタリングする、といった場合に域外適用され得ます。越境ECや海外向けデジタルブック・Webサービスを提供する日本企業は、無関係とは限りません。
基本の考え方（概要）
| 論点 | 概要 |
|---|---|
| 適法な根拠 | 同意など処理の正当な根拠が必要 |
| 本人の権利 | アクセス・訂正・削除・データポータビリティ等 |
| 越境移転 | EU域外への移転に一定の要件 |
| 説明責任 | 適切な管理を講じ説明できる状態 |
違反時の制裁が高額になり得る点も特徴です。詳細な要件は専門的であり、最新の解釈確認が前提です。
日本企業が留意すべき点
実務的には、(1)自社がGDPRの適用対象になり得るかの確認（EU向けサービスの有無）、(2)個人データの取得時の同意・通知設計、(3)Cookieなどオンライン識別子の扱い、(4)EU域外（日本）へのデータ移転の根拠、(5)本人からの権利行使への対応体制、を検討します。情報セキュリティ・アクセス権限管理・データ可搬性といった基盤整備は、GDPR対応とも親和します。ただしGDPRは適用判断・要件とも高度に専門的であり、対象となり得る場合は弁護士等の専門家への確認が不可欠です。本記事は一般的な概観であり、法的助言ではありません。
つまずきやすい点
「海外に拠点がないからGDPRは無関係」と即断するのが典型的な誤りです。EU域内の個人に向けたサービス提供があれば域外適用され得ます。まず自社が対象になり得るかを、専門家とともに確認することが出発点です。
よくある質問（FAQ）
GDPRとは何ですか？
EUにおける個人データ保護と移転を定めた規則です。厳格な管理と重い制裁が特徴です。
日本企業も対象ですか？
EU域内の個人へのサービス提供や行動モニタリングがあれば域外適用され得ます。
個人情報保護法と同じですか？
目的は近いですが適用範囲や要件は異なります。両者を別物として確認する必要があります。
何を留意すべきですか？
適用対象か、取得時の同意設計、Cookie、越境移転の根拠、本人権利対応などです。
自社で判断できますか？
適用判断・要件とも高度に専門的です。対象になり得る場合は専門家確認が不可欠です。
✏️ 林 拓海より
GDPRは、日本企業の間で「うちには関係ない」と誤解されがちな代表格です。取材していると、海外向けにWebサービスやデジタルブックを出しているのに、GDPRの存在すら意識していない企業に少なからず出会います。重要なのは、拠点がEUになくても、EU域内の人に向けてサービスを提供していれば域外適用され得るという点です。とはいえ、私はここで安易に「対応すべき」とも言いません。GDPRは適用判断そのものが高度に専門的で、私たちが軽々に断ずべき領域ではないからです。私が伝えられるのは、「自社が対象になり得るかを、まず専門家と確認する」という一歩を踏み出すこと。そして情報セキュリティやアクセス管理の基盤整備は、国内法対応とも共通し、無駄になりません。知らないことが最大のリスク。まず関係の有無を確かめる姿勢こそ重要だと考えています。
