EU居住者の個人情報を保護するための新しい規則があと半年で発効する
「あと233日です（2017年10日3日時点）」と、コスグローブ氏は画面にカウントダウンを表示した[1]。これは、EU一般データ保護規則（以下、GDPR）が発効する2018年5月25日までの日数である。もう半年と少ししかないわけだ。見過ごしていることはないだろうか。
GDPRは、EU域内の居住者が自分の個人情報を管理できるようにするなど、個人情報を保護するための規則だ。この規則で保護される対象はEU居住者となるものの、EU居住者の個人情報を取り扱う企業であれば世界中のどこにあろうと、どんな業態であろうと、この規則を遵守する必要がある。
GDPRに関して、制裁金の大きさは特に記憶にとどめておいたほうがいいだろう。制裁金は「年間売上の4％または2000万ユーロのいずれか高いほう」と定められている。2000万ユーロは、1ユーロ＝130円で換算すると26億円だ。これだけの経済的なリスクも大きいが、個人情報管理の不備が明るみに出た場合の評判低下というリスクも合わせて念頭においておかなくてはならない。
現状を簡単に振り返っておこう。EUにおける個人情報保護に関するルールの始まりは1995年のEUデータ保護指令から。1995年の「指令」から2018年には「規則」に変わるということは、法体系で一段レベルが上がったことになる[2]。
1995年を振り返ると、まだインターネットが普及しはじめたころ。現在とはインターネットに出回る個人情報データの量も質も異なる。グーグルの創業が1998年、フェイスブックの創業が2004年、初代iPhoneの登場が2007年、Microsoft Office 365のローンチが2011年である。日常に欠かせないこうした企業やサービスは1995年にはまだ実在していなかった。
「この20年間で、何らかのインターネットサービスで取り扱われる個人情報やそれに紐付くデータは圧倒的に増えました。GDPRは、こうしたのインターネット環境を考慮して個人情報保護のためのルールを整備したものといえるのです」（コスグローブ氏）
なお、1995年にEUデータ保護指令が制定されて以来、EU加盟国は個人情報保護に関する法律やルールを各々で定めてきた。つまり、EU加盟国にはGDPRと似た目的の法律がすでにある。では、2018年5月に何が変わるのかというと、EU加盟各国の既存の法律がGDPRに置き換わるのだ。これにより、これまでEU加盟国間で微妙な差異があった個人情報保護に関するルールが統一されることになる。
（次ページへ続く）
注
[1]: TICK COUNTERの「TIME TO GDPRページ」
[2]: 法的拘束力の高さは、高いほうから「規則（Regulation）」「指令（Directive）」「決定（Decision）」「勧告（Recommendation）」「意見（Opinion）」となっている。
GDPR対応準備に役立つホワイトペーパー資料（無料PDF）のご案内
ホワイトペーパー資料『GDPR対応戦略～新しいEUデータ保護規則に対する準備』（無料PDF、日本プルーフポイント提供）では、本記事でコスグローブ氏が紹介している「GDPRの7つの重要な原則」や「GDPR遵守へのステップ」について、さらに詳しく、具体的に解説を行っています。
巻末には、GDPRへの対応準備ができているかを確認できる「GDPRコンプライアンスのチェックリスト」付き。実用でも大変役立ちます。入手は無料。ぜひ下記よりダウンロードして、ご一読ください。
