GDPRとは
域外の企業にも及ぶ、EUの個人データ保護規則

GDPRとは

GDPR（EU一般データ保護規則）は、EUが定めた、個人データの保護を厳格に決めた規則です。2018年に施行されました。日本の個人情報保護法にあたるものですが、日本の法律よりも厳格な規制が設けられています。

GDPRの特徴は、EUの外の企業にも効力が及ぶことです。EEA（欧州経済領域。EU加盟国とアイスランド・リヒテンシュタイン・ノルウェー）の中の人のデータを扱う企業が対象になり、日本の企業も例外ではありません。

適用の範囲と制裁

GDPRは、会社の所在地ではなく、誰のデータを扱うかで適用されるかが決まります。

押さえる点

• 域外の企業にも適用され得る: 欧州委員会の説明では、EU域外の企業でも、域内の個人に商品やサービスを提供したり、行動を監視したりする場合は対象です。域内に拠点がないというだけでは、対象から外れません。
• 個人データの範囲が広い: 氏名や住所のほか、IPアドレスやクッキー識別子のようなオンライン上の識別子も、個人データとして保護の対象です。日本の個人情報保護法では、保護の対象として明確にされていないものも含まれます。
• 制裁金が重い: 違反の内容によって段階がありますが、重い違反の上限は、全世界の年間売上高の4%または2000万ユーロの、いずれか高い方です。

各国のほかの法律

• CCPA（California Consumer Privacy Act）: 米国カリフォルニア州の消費者プライバシー法です。2020年に施行され、消費者が自分の個人データの削除を求める権利などを定めます。
• CPRA（California Privacy Rights Act）: CCPAを強化した法律で、2023年に施行されました。
• VCDPA（Virginia Consumer Data Protection Act）: 米国バージニア州の消費者データ保護法です。
• 中国: 個人情報保護法やデータセキュリティ法などで、個人情報や重要データの国外への移転に、厳格な規制があります。

試験での問われ方

モバイルシステム技術検定2級では、第11章「情報セキュリティ」で出ます。もちこ道場の第11章の問題では、GDPRを含む問題が8問あり、次のような問われ方をしています。

• 穴埋め: 「2018年にEEAで施行された、個人データの保護を厳格に規定する規則」の空欄にGDPRを選びます。CCPA・CPRA・VCDPAが外れの選択肢です。制裁金の上限の割合（4%）を選ぶ問題もあります。GDPRと米国カリフォルニア州の法律（CCPA）の組み合わせを問う形もあります。
• 誤った記述を選ぶ: 「EEA域内に拠点がなければ適用されない」「制裁金は2%または1000万ユーロ」「VCDPAはカリフォルニア州の法律」「CCPAは2023年に施行され、CPRAを強化した」のように、数字や地域を入れ替えた記述を見抜きます。
• ほかの用語の外れの選択肢: プライバシーマークの問題で「認定を受ければGDPRを自動的に守ったことになる」という誤りの記述が出ます。

似た用語との違い

覚え方

• 「GDPRはEU、CCPAはカリフォルニア、VCDPAはバージニア」: 頭文字ではなく、どの地域の法律かで見分けます。
• 「場所ではなく、誰のデータか」: 拠点がEEAの外でも、域内の個人のデータを扱えば適用され得ます。
• 「制裁金は4%・2000万ユーロ」: 高い方が上限です。2%や1000万ユーロは誤りの選択肢です。

同じ章のほかの用語は「第11章 情報セキュリティの要点」にまとめています。