GDPRと個人情報保護法の違いを比較｜対応が必要なケースも解説

GDPRと個人情報保護法の主な違いには、域外適用の要件や制裁の内容があります。GDPRの重い違反に対する制裁金の上限は、2,000万ユーロまたは前会計年度の全世界年間総売上高の4％のいずれか高い額です。日本企業にも適用される場合があるため、無視できません。

この記事では、適用範囲・保護対象・本人の権利・罰則の4点から両者の違いを比較します。あわせて、日本企業がGDPR対応を求められる代表的な3つのケースと、対応の進め方も解説します。自社に対応が必要かどうかを見極める材料として役立ててください。

GDPRとは？

GDPR（General Data Protection Regulation）は、EU域内の個人データ保護を目的とした規則です。日本語では一般データ保護規則と呼ばれ、2018年5月25日から適用されています。

特徴は、個人データの取得・利用のルールに加えて、EU・EEA（欧州経済領域）域外へデータを移転する手続きまで定めている点です。取扱いを決める管理者と、指示を受けて扱う処理者の双方に義務を課しています。

適用対象はEU域内の事業者にとどまりません。域内にいる個人へ商品やサービスを提供する場合など、一定の条件を満たす日本企業も対象です。

GDPRと個人情報保護法の違い

GDPRと個人情報保護法は、どちらも個人に関する情報を守る法令ですが、適用範囲・保護対象・本人の権利・罰則の4点に違いがあります。全体像は以下の通りです。

適用範囲の違い

適用範囲は、GDPRのほうが地理的に広く設計されています。第3条では、EU・EEA域内の拠点の活動に関連する取扱いを対象と定めており、域外での処理も含まれます。域内に拠点を持たない事業者も例外ではありません。域内の個人へ商品やサービスを提供する場合や、行動を監視する場合も対象です。

一方の個人情報保護法は、日本国内の個人情報取扱事業者が中心です。ただし第171条により、外国の事業者が日本国内にある者への物品・サービスの提供に関連して、その者を本人とする個人情報等を外国で取り扱う場合にも適用されます。

保護対象となる情報の違い

保護対象の範囲も、GDPRのほうが広く定められています。GDPRの個人データは、識別された、または識別可能な自然人に関する情報です。氏名のほか、オンライン識別子やCookie情報も含まれ得ます。

個人情報保護法の個人情報は、生存する個人に関する情報のうち、特定の個人を識別できるもの、または個人識別符号を含むものを指します。Cookie IDや閲覧履歴は、それだけでは個人を識別できず、他の情報と容易に照合して個人を識別できない場合、個人関連情報に該当し得ます。

一方、個人を識別できる場合は、個人情報に該当します。第三者への提供先で個人データとして取得されることが想定される場合は、本人同意の確認など所定の手続きが必要です。

本人に認められる権利の違い

本人に認められる権利は、GDPRのほうが多く定められています。データ主体にはアクセス権、訂正権、消去権、取扱いの制限を求める権利、データポータビリティの権利などがあります。中でもデータポータビリティの権利は、個人情報保護法に対応する規定がない点が大きな違いです。自ら提供した個人データを機械可読な形式で別の管理者へ移せます。

個人情報保護法にも、開示の請求（第33条）、訂正等の請求（第34条）、利用停止等の請求（第35条）があります。ただし請求の範囲や手続きは同じではありません。

違反した場合の罰則の違い

罰則は、GDPRのほうが企業経営に与える影響が大きくなります。制裁金は2段階に分かれ、重い類型は2,000万ユーロ、または前会計年度の全世界年間総売上高の4%のいずれか高い額が上限です。軽い類型は1,000万ユーロ、または同2%です。売上高を基準に算定されるため、事業規模が大きい企業ほど制裁金は跳ね上がります。

個人情報保護法でも、委員会の命令に違反すると、個人に1年以下の拘禁刑または100万円以下の罰金、法人に1億円以下の罰金が科される可能性があります。GDPRは売上高に応じて制裁金が高額になり得るため、適用対象となる個人データの取扱いには慎重な体制整備が必要です。

日本企業がGDPRへの対応を求められる主なケース

GDPRはEUの規則ですが、日本企業にとって無関係ではありません。国内に本社を置く企業でも、域内との接点があれば適用対象となる場合があります。以下では、代表的な3つのケースを解説します。

EU・EEA域内に拠点を持っているケース

EU・EEA域内に子会社や支店、営業所などの拠点を持つ日本企業では、その域内拠点の活動に関連する個人データの取扱いがGDPRの適用対象となります。処理が実際に行われる場所は問いません。

判断の分かれ目は、データが物理的にどこにあるかではなく、域内拠点の活動と結びついているかです。現地法人の従業員の人事情報を日本の本社で管理する場合も対象となる可能性があります。

駐在員事務所しか置いていない場合でも、顧客情報や取引先情報を扱っていれば対象となり得ます。拠点の規模ではなく、活動との関係で判断してください。

EU・EEA域内の個人に商品やサービスを提供しているケース

国内にしか拠点がない企業でも、EU・EEA域内の個人へ商品やサービスを提供していればGDPRの適用対象となり得ます。域内の個人への提供に関連する取扱いは、域外の事業者にも規則が及ぶ構造です。

対象になるかどうかは、域内の個人へ向けて意図的に事業を展開しているかで判断されます。域内の言語に対応させ、ユーロ建ての価格を表示している場合などは意図が明確です。
日本語のサイトが域内から閲覧できるだけでは、通常は対象と扱われません。越境ECやWebサービスを展開するなら、申込フォームで取得する情報の扱いを見直してください。

EU・EEA域内の個人データの処理を委託されているケース

EU・EEA域内の企業などから個人データの処理を委託された日本企業も、契約上、GDPRに沿った対応を求められることがあります。日本企業にGDPRが直接適用されるかどうかは、委託された処理と、EU・EEA域内にいる個人への商品・サービス提供や行動監視との関連などを踏まえて判断します。

処理者には、安全管理措置の実施や処理活動の記録、再委託時の手続きなどの義務が生じます。委託元とは、処理の目的や期間、対象データの種類を定めた契約が必要です。

論点になりやすいのが、データの移転です。EU・EEA域内から日本へ個人データを移転する場合は、日本に対する十分性認定の適用範囲を確認し、対象外となる場合は標準契約条項（SCC）などの移転根拠を整える必要があります。

GDPRと個人情報保護法に対応するためのポイント

GDPRと個人情報保護法へ対応するには、法令の違いを理解するだけでは足りません。自社が扱う個人データの実態を把握し、社内規程や運用体制を整える作業が必要です。

自社が扱う個人データを洗い出す

対応の第一歩は、自社が扱う個人データの洗い出しです。どのような個人データを、どの目的で取得し、どこに保管・移転しているかを整理してください。洗い出しの単位は、部門ごとではなく業務ごとに設定すると漏れが減ります。営業部門の顧客管理、人事部門の採用応募者情報、アクセス解析などを並べます。

社内規程や運用体制を見直す

洗い出した結果は、社内規程と運用体制の見直しへつなげます。プライバシーポリシーやCookieポリシー、委託先管理、漏えい時の対応手順を点検してください。

特に確認したいのが、本人からの請求に応じる手続きです。GDPRには消去権やデータポータビリティの権利があるため、開示請求だけの窓口では足りません。通知期限も要注意です。GDPRは、個人データ侵害を認識してから72時間以内に監督機関へ通知するよう求めています。迷う論点は専門家へ相談できる体制が安心です。

まとめ

GDPRと個人情報保護法は、適用範囲・保護対象・本人の権利・罰則の4点が異なります。GDPRは域外の事業者にも及び、制裁金の上限は2,000万ユーロ、または前会計年度の全世界年間総売上高の4%のいずれか高い額です。域内との接点がある企業は、個人データの洗い出しから着手してください。

ISOプロでは、ISO認証やプライバシーマークの取得・運用を支援しております。個人データの棚卸しや社内規程の整備でお困りの際は、ぜひISOプロにご相談ください。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。