GDPR（General Data Protection Regulation：一般データ保護規則）は、EU（欧州連合）が制定した欧州31カ国の住民の個人データを保護するための法律である。日本人から見ると、外国が制定した外国人のための法律なのであるが、その法律が欧州域外にも適用されるということで、GDPR施行の影響は世界中に及んでいる。欧州に拠点がなくても、欧州住民の個人データを取り扱う場合は、基本的にGDPRの規制が適用されるからだ。
 なぜ欧州域外にまで適用できるのかというと、プライバシーの権利は、データと一体不可分であり、データが欧州域外で取り扱われる場合であっても、域内と同じように保護されなければならないという論理による。背景には、EUにおいてプライバシー権は重要な人権の一つであるという認識が広く普及していることがある。近年では、さらにデータ保護（EUでは、個人情報保護のことを、通常「データ保護（Data Protection）」と呼称している）が重要な人権の一つであるといわれるまでになっている。
 一方で、「データポータビリティ権」に象徴されるように、GDPRには、グーグルやフェイスブックのような米系の巨大ネット企業による個人データの寡占を抑止しようという競争政策的な意図も込められているといわれる。AI（人工知能）の急速な進化で、一次データを獲得することの重要性が急速に高まっており、また、IoT（Internet of Things）の進展で、データソースも飛躍的に増大しており、こうしたビッグデータをいかに活用するかが、今後のビジネスの成否、ひいては国際競争力を決めると目されているからである。
 GDPRは施行されて間もないために、EU当局の運用方針も曖昧なところが多い。このため、多くの日本企業が、暗中模索しながら対応している状況にある。巨額の課徴金を恐れるあまり、GDPRの適用対象かどうか曖昧な部分までも対応している企業も散見される。

PDFファイルでは全文お読みいただけます。

全文ダウンロード（196KB）

執筆者情報

• 

  小林 慎太郎

  ICTメディア・サービス産業コンサルティング部

  パブリックポリシーグループマネージャー　上級コンサルタント

※組織名、職名は現在と異なる場合があります。