〈個人情報保護委員会〉　ＥＵと最終合意／データ移転先として体制確認

　個人情報保護委員会は７月１７日、「ＥＵ一般データ保護規則（ＧＤＰＲ）」に関し、ＥＵと合意したと発表した。日本、ＥＵ間での個人データの移転を円滑にする目的で、互いの地域におけるデータ保護体制レベルが同等であることを確認した。これにより、ＥＵに拠点を持つ企業が独自にＧＤＰＲ対策を講じる必要性が低くなる見通しとなった。
　個人情報保護委員会は「合意はあくまでデータ移転に関するもの。ＧＤＰＲの規定については通常通りの対応が求められる」（広報）と説明する。
　「ＧＤＰＲ」はサイバー攻撃などによるデータ漏えいに対応するための規則。「データ移転」の例として、ＥＵ圏に持つ拠点の情報システムへの日本からのアクセスなどが挙げられる。
　プライバシーポリシーの作成など「ＧＤＰＲ」が定める対応をとっていない場合、最大で２０００万ユーロまたは、前期の全世界売上高の４％が制裁金として課せられる場合がある。
　「データ移転」以外では、ＧＤＰＲはウエブサイトなどで直接個人からデータを収集する際、収集される側の同意を得ることを求めている。ＥＵ圏からアクセスが可能なＥＣサイトやウエブサイト上では、データを取得する旨をポップ表示などで通知し、許可を得なければならない。
　ＥＵ圏の顧客を多く抱えるＥＣ事業者は、引き続きＧＤＰＲ対策に注意が必要だ。