GDPR（EU一般データ保護規則）

GDPRとは、欧州連合（EU）が定めた、個人データの保護に関する包括的な法律です。 General Data Protection Regulationの略で、2018年5月から適用されています。

別表記：GDPR／EU一般データ保護規則／一般データ保護規則／General Data Protection Regulation／EUデータ保護規則

何を定めているか

EU域内の個人のデータを扱う事業者に対して、適法な根拠に基づいて扱うこと、目的を限定すること、必要最小限にとどめること、正確に保つこと、必要な期間を超えて保存しないこと、安全に管理すること、といった原則を定めています。

本人には、自分のデータへのアクセス、訂正、削除、持ち運びを求める権利が認められています。「忘れられる権利」と呼ばれる削除の権利は、よく知られています。

違反には、高額な制裁金が科されることがあります。全世界の売上の一定割合を上限とする制裁金の規定があり、実際に大手企業への適用例があります。

日本の企業にも関係するのか

EU域内に拠点がなくても、EU域内の個人に商品やサービスを提供している場合や、EU域内の個人の行動を監視している場合は、対象になります。EU向けのオンラインサービスや、EUの顧客を持つ企業は、該当する可能性があります。

日本は、EUから「十分性認定」を受けており、EUから日本への個人データの移転が、追加の手続きなしに認められています。ただし、これは移転の話で、日本企業がGDPRの対象になるかどうかとは別です。

VCとの関係

GDPRが定めるデータ最小化の原則は、VC（Verifiable Credentials）の選択的開示と直接つながります。必要な項目だけを提示できる仕組みは、この原則を技術的に守る手段です。

本人がデータを持ち運ぶ権利についても、VCは相性がよい技術です。証明を本人の手元に置き、本人の意思で提示する、という構造が、本人の権利を前提にした設計になっています。

削除の権利との関係では、注意が要ります。ブロックチェーンのように後から消せない場所に個人データを書き込むと、削除の権利に応じられなくなります。VCは、本人の手元に証明を置き、台帳には書き込まない設計が可能なので、この問題を避けられます。

AIエージェントとの関係

EU域内の個人のデータをAIエージェントが扱う場合、GDPRの義務がかかります。AIが個人データを読み、処理し、送信することのすべてが、適法な根拠と目的の範囲内でなければなりません。

欧州にはAIを直接規制するAI法も別にあり、GDPRと併せて適用されます。EU向けの事業でAIエージェントを使う場合、両方を考慮する必要があります。

よくある誤解

日本の会社には関係ないか。 EUの個人にサービスを提供していれば、拠点がなくても対象になります。

個人情報保護法を守っていればGDPRも大丈夫か。 重なる部分は多いですが、GDPRのほうが広く厳しい義務があります。本人の権利の範囲、同意の要件、制裁金の水準が異なります。

十分性認定があれば、GDPRは適用されないのか。 十分性認定は、EUから日本へのデータ移転を認めるものです。日本企業がGDPRの対象になるかどうかは、別の基準で決まります。

一覧に戻る