GDPRとは

GDPRは、EUにおける個人データ保護の基本ルールです。2016年4月に採択され、2018年5月25日から適用されています。それまでの1995年のデータ保護指令は加盟国ごとに国内法を作る方式でしたが、GDPRは「規則」なので、加盟国に直接適用されます。

誰に適用されるか

EU域内に拠点がある事業者だけが対象ではありません。域外の事業者でも、EU域内の個人に商品やサービスを提供する場合や、域内の個人の行動をモニタリングする場合には適用されます（域外適用、第3条）。日本企業がEU向けにECサイトを運営したり、EUの利用者の閲覧履歴を分析したりすれば、対象になりえます。

主な規律

• 個人データの取扱いには、本人の同意、契約の履行、正当な利益など、いずれかの法的根拠が必要です。
• 本人には、アクセス権、消去権（いわゆる忘れられる権利）、データポータビリティ権、異議を述べる権利、自動化された処理のみに基づく重要な決定の対象とされない権利などがあります。
• 個人データ侵害が起きたら、遅滞なく、可能であれば72時間以内に監督機関へ通知します。
• 重大な違反には、2,000万ユーロか、前の会計年度の全世界年間売上高の4%のいずれか高い額を上限とする制裁金が科されえます。

域外への移転と日本

EU域外への個人データの移転は、欧州委員会の十分性認定がある場合や、標準契約条項を結んだ場合などに限って認められます。日本とEUは2019年1月に、互いのデータ保護の水準を同等と認め合う枠組みを発効させました。

AIとの関係

AIの学習に個人データを使う場面や、AIによるプロファイリング、与信や採用の自動判定を行う場面で問題になります。日本の個人情報保護法と比べ、本人の権利が手厚く、違反時の制裁金が高額な点が特徴です。EUでは別にAI法（AI Act）も定められており、AIを扱う事業者は両方への対応を求められます。