一般データ保護規則（GDPR）

1. 定義

一般データ保護規則（GDPR）とは、欧州連合（EU）が定めた、個人のデータ保護とプライバシーに関する厳格な法規制です。2018年に施行され、EU域内の居住者の個人データを扱うすべての組織に適用されます。その影響力は世界中に及んでおり、グローバルに事業を展開する企業にとって遵守が不可欠な基準となっています。

2. 仕組みと種類

GDPRは、個人データの処理に関する法的根拠（同意など）を明確にし、データ主体（個人）に対して、データの消去を求める「忘れられる権利」や、データの持ち運びを求める「データポータビリティ権」などを認めています。また、個人データのEU域外への移転については、適切な保護水準が確保されている国や組織以外へは原則禁止しています。

違反した場合の制裁金が非常に高額（全世界売上高の最大4％または2,000万ユーロのいずれか高い方）であり、企業にとっては法的リスクだけでなく、ブランド価値にも影響します。適用範囲はEU域内の企業だけでなく、EU域内の居住者にサービスや商品を提供するEU外の企業も含まれる「域外適用」が特徴です。

3. 試験ごとの視点

ITパスポート試験および基本情報技術者試験では、情報セキュリティおよびコンプライアンス（法令遵守）の分野で扱われます。試験では、GDPRが世界的なプライバシー保護の基準になっていること、および日本企業であってもEU向けにビジネスをする場合は対象になるという「域外適用」の概念が頻出です。

また、個人情報保護法との比較や、プライバシー保護の技術的・組織的対策（匿名化、暗号化、アクセス権限管理）がどのようにGDPR対応に寄与するかが問われます。データ主体本位の考え方を理解することが重要です。

4. 紛らわしい語との違い

日本の個人情報保護法は日本国内の法規制であり、GDPRはEUの法規制です。ただし、日本の個人情報保護法もGDPRの影響を受けて改正が繰り返されており、保護の考え方は近接しています。プライバシーポリシーは、GDPR等の規制に基づき企業が公開する方針文書であり、規制そのものではありません。

5. 身近な例

EUのWebサイトにアクセスした際に表示される「Cookie利用への同意」を求めるポップアップは、GDPR対応の一環です。また、海外旅行の予約サイトやECサイトにおいて、個人情報の取り扱いが厳格になっている背景にはGDPRがあります。