「GDPR」はEUだけでなく世界中に影響を与える。国内事業者への影響や改正された個人情報保護法との違いを解説

2023年09月06日
ニュース・トレンド

8人がチェック！

新規事業やオープンイノベーションのプレイヤーやそれらを実践・検討する企業の経営者はTOMORUBAの主な読者層ですが、こうした人々は常に最新トレンドをキャッチしておかなければなりません。そんなビジネスパーソンが知っておきたいトレンドキーワードをサクッと理解できる連載が「5分で知るビジネストレンド」です。キーワードを「雑学」としてではなく、今日から使える「知識」としてお届けしていきます。

今回は「GDPR（EU一般データ保護規則）」を取り上げます。GDPRはEUで作られた規制ではあるものの、インターネットを利用してビジネスをしているプレイヤーの多くに影響が及ぶ可能性があります。

どういった背景からGDPRが作られて、どのようなプレイヤーに影響が及ぶのか、解説していきます。

GDPRはEU圏外の事業者であっても適用される

GDPR（General Data Protection Regulation、一般データ保護規則）は、欧州連合（EU）が2018年5月に施行した法令です。この法律は、EU域内に加えてアイスランドやノルウェー、リヒテンシュタインを含む欧州経済領域（European Economic Area、EEA）の全ての市民のプライバシーとデータを保護することを目的としています。前身となる1995年のデータ保護指令から大きくアップデートされており、デジタル時代に合わせた規制へと更新されています。

GDPRは個人のデータがどのように収集、使用、保存されるかについての透明性を高めることを主要な目的としています。特に、近年ではAmazonやFacebook、Googleなどのビッグテック企業がユーザーの承諾を得ずに個人情報を取得し、取得したそれらのデータをビジネスとして利用していることが問題視されています。

GDPRが世界的に話題になっている要因として、EUの圏外であってもEU市民のデータを処理する企業や団体にも“適用される”ことが挙げられます。これにより、全世界の多くの企業がGDPRの遵守を求められることになりました。

GDPRの主要な要件と影響

GDPRには多くの要件が盛り込まれていますが、主要なものをいくつか紹介します。

・明確な同意: GDPRは、企業や団体が消費者のデータを収集する際、明確かつ具体的な目的のもとでその同意を得ることを要求する。一般的な同意や暗黙の同意は許可されない。

・アクセスの権利: 個人は、自分のデータがどのように使用されているのかを知る権利を有し、必要に応じてそのデータのコピーを無料で受け取ることができる。

・データの訂正: 個人は、自分のデータに誤りがある場合、その訂正を求める権利を持つ。

・忘れられる権利: 個人は特定の条件下で、自分のデータの削除を求めることができる。

・データポータビリティ: 個人は、自分のデータをひとつのサービス提供者から別のサービス提供者へ移行する権利を持つ。

・データ侵害の通知: データ侵害が発生した場合、それを知った瞬間から72時間以内に監督機関に通知する必要があり、リスクが高い場合は関係者にも通知する必要がある。

そしてこれらの要件によって、ビジネスサイドで考えられる影響には主に以下のようなものがあります。

・グローバルビジネスへの影響: GDPRはEUに居住する市民のデータに関わる企業や団体全体に適用されるため、国際的なビジネスを展開している企業にも影響が及ぶ。

・高額な罰金: 違反時の罰金が非常に高額であるため、多くの企業はリスク管理とコンプライアンス強化の対応をせまられる。

・ビジネスモデルへの影響: データ収集の明確な同意の要求により、データ中心のビジネスモデルやマーケティング戦略について見直しが必要となる可能性がある。

・信頼の構築: GDPRの厳格な要件に対応することで、消費者との信頼関係を強化することができ、長期的なビジネス関係の構築に貢献する可能性がある。

・技術的・組織的課題: データ管理システムの変更や更新、従業員教育など、GDPRへの適合にともない技術的及び組織的な課題が発生する可能性がある。

・新しい市場の創出: データ保護とプライバシーに関連する新しいサービスや技術が登場し、新しい市場機会が生まれる可能性がある。

GDPRの将来展望と、日本国内に与える影響

GDPRの影響力は日増しに拡大しており、多くの国々がこれを模範としたデータ保護法を導入する動きを見せています。このトレンドが続けば、GDPRは事実上、グローバルなデータ保護のスタンダードとしての位置を固めていく可能性が高いです。

日本国内でも2022年4月に個人情報保護法が改正され、デジタル時代にあわせたデータの取り扱いが求められるようになりました。具体的には、個人情報を扱う事業者を対象に氏名、生年月日、マイナンバーカードなど個人を識別できるものが個人情報として扱われます。また、GDPRと同様にサードパーティのCookieも個人情報として扱われ規制の対象になりました。

2022年の改正法では個人関連情報を「個人関連情報取扱業者が個人関連情報の第三者提供を行う場合に、第三者がその情報を個人データとして取得する可能性があるとき」に規制の対象としています。

例えば、広告配信事業者がユーザーの閲覧履歴をもとに、ターゲット広告を配信する場合や、ソーシャルメディア運営者がユーザーの投稿内容を第三者企業に提供する場合などがこれに当てはまります。

経済産業省が公開している資料「DX時代における企業のプライバシーガバナンスガイドブックver1.2の背景」の中では、企業がプライバシーへの配慮を迫られている現状を受けて「経営者が取り組むべき3要件」を明示しています。

1.プライバシーガバナンスに係る姿勢の明文化

2.プライバシー保護責任者の氏名

3.プライバシーへの取組に対するリソースの投入

引用：DX時代における企業のプライバシーガバナンスガイドブックver1.2の背景

個人情報を扱う事業者は対応に追われるばかりの印象ですが、GDPRや個人情報保護法によってビジネスサイドに起こりうる良い一面もあります。

特に期待されるのはプライバシー保護に強い事業者が多くなることで新たに「プライバシーテック」と呼ばれる領域のビジネスモデルが台頭しはじめていることです。

出典：第324回NRIメディアフォーラム「ITナビゲーター2022年版」

野村総合研究所のレポートによると、国内のプライバシーテックの市場規模は、2023年時点では451億円の着地予測ですが、2027年には2倍以上の1,073億円に成長する見込みです。個人情報保護に誠実に取り組むことでプライバシーのノウハウが蓄積され、新規事業としてプライバシーテックに参入するなどの可能性が考えられます。

【編集後記】ユーザーの信頼を得る新技術が現れるか

本文でも紹介したように、GDPRを発端としてプライバシー保護への関心が事業者だけでなく一般のユーザーも高まっています。ビッグテック企業の個人情報の取り扱いをめぐるスキャンダルなども相次いだことで、特にデジタルのプロダクトでユーザーの信頼を得ることは難易度があがっています。オンラインにおけるCookieのような技術は事業者にとっては使い勝手が良いですが、ユーザーにとっても信頼を得られる新技術が現れることを期待したいものです。

（TOMORUBA編集部久野太一）