一般データ保護規則

定義

一般データ保護規則(GDPR、General Data Protection Regulation)は、EUの規則 Regulation (EU) 2016/679 です。EUの法令であり、日本の個人情報保護法とは別の法体系に属します。日本の個人情報保護法の一部ではありません。

このページの根拠について: 原文はEUの官報に掲載された規則ですが、原文を掲載するEUの公式サイトEUR-Lexからの自動取得ができなかったため、このページは個人情報保護委員会が公表しているGDPRの仮日本語訳を根拠にしています。この仮訳は、参考のための仮日本語訳であり正確な内容については原文を参照するよう明記された非公式訳です。条文の正確な文言や解釈を確かめるときは、原文にあたってください。

G検定のシラバス2024では、GDPRが対象キーワードとして掲載されています。

第4条は、規則で使う用語を定義しています。ここでは基本となる3つを取り上げます。

• 個人データ(第4条(1)): 識別された自然人又は識別可能な自然人に関する情報を意味します。この自然人をデータ主体と呼びます。識別可能な自然人とは、氏名・識別番号・位置データ・オンライン識別子等の識別子を参照することによって、又は当該自然人の身体的・生理的・遺伝的・精神的・経済的・文化的又は社会的な同一性を示す要素を参照することによって、直接的又は間接的に識別されうる者をいいます。
• 取扱い(第4条(2)): 自動的な手段によるか否かを問わず、個人データに実施される業務遂行を意味します。例として、収集・記録・編集・構成・記録保存・修正若しくは変更・検索・参照・使用・送信による開示・配布等が挙げられています。
• 管理者(第4条(7)): 自然人又は法人・公的機関・部局その他の組織であって、単独で又は他の者と共同で、個人データの取扱いの目的及び方法を決定する者を意味します。

定義の文言から読み取れる点を整理します。個人データの定義では、氏名や識別番号に加えて、位置データとオンライン識別子が識別子の例として明記されています。取扱いの定義は、自動的な手段によるか否かを問わないとしているため、コンピュータによる処理に限られません。管理者は、取扱いの目的と方法を決定する者として定義されており、単独で決める場合も他の者と共同で決める場合も含みます。

制度の要点

取扱いの適法性 第6条第1項

第6条第1項は、個人データの取扱いは、以下の少なくとも一つが適用される場合においてのみ、その範囲内で適法であると定めています。

• (a) データ主体が同意を与えた場合
• (b) データ主体が契約当事者となっている契約の履行に必要な場合
• (c) 管理者が服する法的義務を遵守するために必要な場合
• (d) データ主体又は他の自然人の生命に関する利益を保護するために必要な場合
• (e) 公共の利益において、又は管理者に与えられた公的な権限の行使において行われる職務の遂行のために必要な場合
• (f) 管理者又は第三者が求める正当な利益の目的のために必要な場合。ただし、データ主体の利益・基本的な権利及び自由が優先する場合を除きます

条文の構造から整理すると、同意は6つの根拠のうちの1つとして並んでいます。同意のほかに、契約の履行、法的義務の遵守、生命に関する利益の保護、公共の利益や公的な権限の行使、正当な利益という根拠が並列に置かれています。どの根拠も適用されない取扱いは適法とされず、根拠が適用される場合もその範囲内でのみ適法です。(f)の正当な利益には、データ主体の利益・基本的な権利及び自由が優先する場合を除くという限定が付いています。

第三国への移転 第44条と第45条

GDPRの第5章は、EUの外にある第三国や国際機関への個人データの移転を規律しています。

第44条は移転に関する一般原則として、第三国又は国際機関への個人データの移転は、本規則の他の条項に従い、第5章に定める要件が管理者及び処理者によって遵守される場合においてのみ行われると定めています。

第45条第1項は、十分性認定に基づく移転を定めています。第三国、第三国内の地域若しくは特定の部門、又は国際機関が十分なデータ保護の水準を確保していると欧州委員会が決定した場合、その第三国又は国際機関への個人データの移転を行うことができ、その移転は個別の許可を要しません。

十分性認定という仕組みを整理します。

• 決定する者: 欧州委員会です。
• 決定の内容: 移転先が十分なデータ保護の水準を確保していることです。
• 決定の対象: 第三国のほか、第三国内の地域若しくは特定の部門、国際機関が条文に挙げられています。
• 決定の効果: その移転先への移転は、個別の許可を要しません。

このページが根拠とした第5章の条文は、第44条と第45条第1項だけです。第5章のほかの条文の内容は、このページでは扱っていません。

日本の個人情報保護法との対応

個人情報保護委員会の公表によると、2019年1月23日に、日EU間の相互の円滑な個人データ移転を図る枠組みが発効しました。個人情報保護委員会は日本の個人情報保護法に基づいてEUを指定し、欧州委員会は同日付でGDPR第45条に基づいて日本に対する十分性認定を採択しました。EU側から見れば、日本は第45条の十分性認定を受けた第三国にあたり、日本側から見れば、EUは個人情報保護法に基づいて指定された相手ということになり、双方がそれぞれの法律に基づいて相手を認める相互の枠組みと読めます。日本側の指定は、個人情報保護法第28条(外国にある第三者への提供の制限)の規律と関係するものと考えられますが、第28条の条文はこのページの根拠資料に含めていないため、指定がどのように位置づけられるかの具体的な要件は、第28条の本文と個人情報保護委員会の資料で確かめてください。