GDPRとは、EUで個人データを保護するために定められた「General Data Protection Regulation（一般データ保護規則）」です。
個人データを集める企業やサービスに対してルールを設けるだけでなく、本人にも自分のデータを確認したり、一定の条件で削除を求めたりする権利を認めています。
EUの制度ですが、日本企業でもEU内の人にサービスを提供したり、行動を監視したりする場合には適用対象となる可能性があります。
この記事では、GDPRの意味と仕組みを解説します。対象企業や具体的な使われ方、生成AIとの関係も初心者向けに紹介します。
GDPRの基本
この規則は、個人データを適切に扱い、本人の権利を保護するためにEUが定めたものです。
名称と意味
英語の正式名称は「General Data Protection Regulation」です。
正式には「Regulation (EU) 2016/679」で、2016年に制定され、2018年5月25日から適用されています。日本の個人情報保護委員会も、GDPRをEUの個人データ・プライバシー保護に関する制度として紹介しています。
GDPRが作られた目的
GDPRの大きな目的は、個人が自分のデータをより適切にコントロールできるようにすることです。
インターネットサービスでは、多くのデータが扱われます。氏名やメールアドレスのほか、IPアドレス、位置情報、利用履歴なども含まれます。
そのため、企業側が自由に集めて利用してよいわけではありません。利用目的を明確にし、必要な範囲で管理することが重要です。
GDPRと日本の個人情報保護法は同じものではない
GDPRと日本の個人情報保護法は、どちらも個人に関するデータの保護を扱いますが、別の制度です。
対象範囲や用語、事業者に求められる対応なども完全に同じではありません。
そのため、日本の個人情報保護法への対応だけでは十分とは限りません。GDPRを含め、それぞれの適用条件を確認する必要があります。
仕組みをわかりやすく解説
企業や組織が個人データを処理するときの原則を定めています。あわせて、本人が持つ権利も規定しています。
守られる「個人データ」とは
個人データは、自然人に関する情報です。特定された人だけでなく、特定可能な人の情報も含みます。
たとえば、次のような情報が該当する可能性があります。
- 氏名
- メールアドレス
- 住所
- IPアドレス
- 位置情報
- ID番号
- 個人を識別できるオンライン識別子
単独では氏名が分からないデータもあります。それでも、ほかの情報との組み合わせで個人を特定できる場合は対象になり得ます。
個人データを扱う7つの基本原則
欧州委員会は、GDPRにおける個人データ処理について7つの基本原則を示しています。
| 原則 | 初心者向けの意味 |
|---|---|
| 適法性・公正性・透明性 | 適切な根拠に基づき、分かりやすく扱う |
| 目的の限定 | 集めた目的から外れて勝手に使わない |
| データ最小化 | 必要以上の個人データを集めない |
| 正確性 | データを正確で適切な状態に保つ |
| 保存期間の制限 | 必要以上に長く保存しない |
| 完全性・機密性 | 漏えいや不正アクセスから守る |
| 説明責任 | ルールを守っていることを説明できるようにする |
つまり、「できるだけ多く集めて、とりあえず保存しておく」という考え方とは相性がよくありません。
必要な目的を決め、必要なデータだけを扱い、適切に管理することが基本です。
GDPRで認められている主な権利
GDPRでは、個人データの対象となる本人に複数の権利が認められています。
代表的なものは次のとおりです。
- 自分のデータがどのように使われているか知る権利
- 自分の個人データへアクセスする権利
- 間違ったデータの訂正を求める権利
- 一定の条件で削除を求める権利
- 処理の制限を求める権利
- データポータビリティの権利
- 特定の処理に異議を唱える権利
- 自動化された意思決定などに関する権利
いわゆる「忘れられる権利」は、このうち削除を求める権利に関連する考え方です。ただし、どのような場合でも必ず削除されるという意味ではありません。
GDPRは誰に適用される？
GDPRはEUの制度です。ただし、EUに会社があるかどうかだけで適用対象が決まるわけではありません。
EU・EEA内の企業や組織
EU域内に拠点があり、その活動の一環として個人データを処理する企業や組織はGDPRの対象となります。
データ自体をEU外のサーバーで処理している場合でも、一定の条件を満たせばGDPRが適用されます。
EUのデータ保護ルールはEEAにも関係します。対象には、アイスランド、リヒテンシュタイン、ノルウェーも含まれます。
日本企業でも対象になる場合がある
日本企業でもGDPRが無関係とは限りません。
EU外の企業でも、EU内の個人に対して商品やサービスを提供している場合や、EU内の個人の行動を監視している場合には、GDPRの適用対象となる可能性があります。
たとえば、EU市場を対象にECサービスを展開する企業があります。EU利用者の個人データを処理する場合は確認が必要です。
一方、EUに旅行してきた利用者が偶然日本企業のサービスを利用しただけで、EU市場を対象としていないケースなどでは、事情が異なる場合があります。
個人的な利用などは対象外になる場合がある
GDPRは、個人が純粋に私的・家庭内の目的で個人データを扱う場合には原則として適用されません。
また、亡くなった人や法人そのものに関するデータについても、GDPRの個人データとして扱われない場合があります。
ただし、業務や商用活動へつながる場合には別途確認が必要です。
GDPRは実際にどう使われる？
GDPRは単なる「プライバシーポリシーを書くためのルール」ではありません。
データを取得する前から、保存、利用、削除、漏えい対応まで幅広く関係します。
企業が個人データを取得するとき
企業が個人データを処理するときは、まず「なぜこのデータを利用できるのか」という適法な根拠を確認する必要があります。
GDPRでは同意だけでなく、契約の履行、法的義務、正当な利益など複数の法的根拠が定められています。
したがって、「GDPR＝すべて本人の同意が必要」という理解は正確ではありません。
どの根拠で処理するのかを、具体的な利用目的に応じて判断します。
本人が自分のデータを確認・削除したいとき
利用者から「自分についてどのようなデータを保存していますか」と問い合わせを受けた場合、GDPR上のアクセス権が関係する可能性があります。
また、条件を満たせば、訂正や削除、処理の制限などを求められる場合もあります。
企業側には、こうした要求を適切に処理できる仕組みが求められます。
個人データが漏えいしたとき
GDPRでは、個人データの機密性、完全性、利用可能性が損なわれるセキュリティ事故などが個人データ侵害に当たる場合があります。
個人の権利や自由にリスクが生じる可能性があるケースでは、原則として侵害を把握してから遅くとも72時間以内に監督機関へ通知することが求められます。
すべての漏えいで機械的に72時間以内の通知が必要というわけではなく、リスクなどを踏まえて判断します。
GDPRと生成AIの関係
GDPRは生成AI専用の法律ではありません。しかし、生成AIで個人データを扱う場合には重要な制度です。
AIでも個人データを処理すればGDPRが関係する
GDPRは特定の技術だけを対象とする制度ではなく、個人データの処理を対象とします。
欧州委員会も、GDPRはデータ処理に利用する技術にかかわらず適用される「technology neutral」な制度として説明しています。
したがって、生成AIであっても、対象となる個人データを収集・保存・分析・利用していればGDPRを検討する必要があります。
AIだからGDPRの対象外になるわけではない
生成AIの学習や運用では、大量のデータが利用されるケースがあります。
EDPBもAIモデルとGDPRの関係について見解を示しており、AIモデルの開発・利用における個人データ処理について、匿名性や適法な処理根拠などを個別に評価する必要があるとしています。
つまり、「AIが自動処理しているから個人データ保護の問題はなくなる」と考えることはできません。
AI利用時に確認したいポイント
企業で生成AIを使う場合は、少なくとも次の点を確認するとよいでしょう。
- AIへ個人データを入力する必要があるか
- 何の目的で個人データを処理するのか
- 処理の法的根拠は何か
- データがどこへ保存・送信されるか
- 不要な個人データを除外できないか
- 本人の権利要求へ対応できるか
- 利用するAIサービスのデータ処理条件はどうなっているか
特に業務利用では、「便利だから入力する」のではなく、そもそも個人データを入力する必要があるのかを先に確認することが大切です。
GDPRで注意したいポイント
GDPRは、用語だけ覚えるよりも、誤解しやすいポイントを押さえておくことが重要です。
「同意を取れば何でもできる」わけではない
同意はGDPRにおける法的根拠の一つですが、唯一の根拠ではありません。
また、同意を利用する場合にも、自由意思に基づいていることなど一定の条件があります。
「利用規約に同意ボタンを置けばGDPR対応が完了する」というものではありません。
日本企業だから無関係とは限らない
GDPRの特徴の一つは、EU外の企業にも適用されるケースがあることです。
EUの顧客向けにサービスを展開している企業や、EU内の利用者の行動を監視するサービスでは、所在地が日本であっても適用条件を確認する必要があります。
違反時には行政制裁金などの可能性がある
GDPR違反に対しては警告、処理の禁止、行政制裁金などが科される可能性があります。
重大な違反では、最大2,000万ユーロまたは企業の前会計年度の全世界年間売上高の4％のうち高い方まで、行政制裁金が設定される場合があります。実際の制裁は違反の内容や重大性などを踏まえて判断されます。
そのため、「最大4％」だけを取り上げて、すべての違反で同額の罰金が科されると理解するのは適切ではありません。
よくある質問
簡単にいうと何ですか？
EUにおいて個人データを適切に扱い、本人の権利を守るための規則です。
企業や組織にデータ処理のルールを求めるとともに、個人にはアクセス、訂正、削除などを求める権利を定めています。
日本に住んでいてもGDPRは関係しますか？
ケースによります。
特に日本企業がEU内の個人へ商品・サービスを提供したり、その行動を監視したりする場合には、GDPRが適用される可能性があります。
GDPRと個人情報保護法の違いは？
GDPRはEUの個人データ保護規則、日本の個人情報保護法は日本の法律です。
個人に関するデータを保護するという共通点はありますが、対象範囲や用語、事業者の義務などが同一ではありません。
ChatGPTなどの生成AIにもGDPRは関係しますか？
生成AIで個人データを処理する場合には、GDPRが関係する可能性があります。
GDPRは特定のAIサービスだけを対象とする制度ではなく、対象となる個人データの「処理」に着目するためです。EDPBもAIモデルにおける個人データ保護について継続的に検討しています。
まとめ
GDPRとは、EUにおける個人データ保護の中心的な規則です。
重要なのは、「EUの会社だけに関係する法律」と考えないことです。EU内の個人へサービスを提供する日本企業なども、条件によっては適用対象となります。
また、生成AIの利用でも個人データを処理していればGDPRを検討する必要があります。
初心者の段階では、まず次の4点を押さえておきましょう。
- GDPRは個人データを保護するEUの規則
- 個人データの利用には目的と適切な根拠が必要
- 本人にはアクセスや訂正、削除などの権利がある
- 日本企業や生成AIも条件次第で関係する
実際の事業でGDPRへの対応義務や具体的な法的対応を判断する場合は、事業内容・対象地域・データ処理の内容によって結論が変わるため、専門家への確認も検討してください。
関連用語
出典・参考情報
- EUR-Lex「Regulation (EU) 2016/679」
- European Commission「Data protection explained」
- European Commission「Application of the GDPR」
- European Commission「Legal grounds for processing data」
- European Commission「What is a data breach and what do we have to do in case of a data breach?」
- European Data Protection Board「Data subject rights」
- European Data Protection Board「Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models」
- 個人情報保護委員会「EU（外国制度）GDPR」
