GDPR（読み）ジーディーピーアール（英語表記）GDPR

デジタル大辞泉

ジー‐ディー‐ピー‐アール【GDPR】［General Data Protection Regulation］

《General Data Protection Regulation》EU一般データ保護規則。EU（欧州連合）の個人情報保護法制。個人データの処理に関する個人の保護、および個人データの自由な流通のための規則を定めたもので、EU加盟国に直接適用される。EEA（欧州経済地域）から第三国や国際機関に個人データを移転する場合には所定の手続きが必要となる。2016年発効。2018年施行。

出典　小学館

知恵蔵

GDPR

欧州連合(EU)が、2018年5月に施行した個人情報の保護についてのルール。「General Data Protection Regulation」の略で、日本では「EU一般データ保護規則」と呼ばれている。1995年に採択された「EUデータ保護指令」に代わる規則で、EUに加盟する28カ国にノルウェーなど欧州3カ国を加えたEEA(欧州経済領域)域内の31カ国にある個人の名前や住所、クレジットカード情報のほか、メールアドレスやIPアドレス、位置情報、通販サイトにおける商品の購入履歴などインターネット上の情報などを「個人データ」とし、その収集や保管について厳格なルールを定めている。
近年、インターネット上の個人情報を、企業が広告などに利用するビジネスが急速に広がっていることに危機感を持ったEUが、個人の権利と企業活動とのバランスを取るために施行した。拠点とする国や地域、事業規模に関係なく、EEA域内で個人データを管理するほぼ全ての組織が規則の対象で、域内の個人データを域外に電子メールで送るなどして持ち出すことを原則、禁止する。規則に違反し、情報漏えいなどが起こった場合は、最高で2000万ユーロ(約26億円)または全世界での前年売上高の4%のいずれか多い方が制裁金として科される。規則には、域内の個人が、企業が保有する自分の情報の内容を知る権利や、その情報を他の企業に移せるデータポータビリティーに関する権利、インターネット上にある自分の情報を削除する権利なども明記されている。
EUは、例外として、スイスやイスラエルなど一部の国の組織に対しては、EEA域内と同程度の情報保護がされているとみなし、これまで通りに個人情報を持ち出すことを認めている。日本もこれらの国々と同じ扱いを求めてEUと交渉しているが、18年6月現在、合意に至っていない。このため、日本企業がEEA域外に個人データを持ち出す際は、EUが情報保護の方法や責任などを定めた「標準契約条項(SCC)」と呼ばれる契約を、本支社間や企業間で結ぶなどの対応が必要となる。企業が扱う情報の規模や種類によっては、GDPRの順守状況などをチェックする「データ保護責任者」を企業内に置くことも義務付けられる。日本の企業が自社の通販サイトで欧州の顧客から商品を受注したり、日本の宿泊施設が欧州から予約を受け付けたりする場合もGDPRを守る必要がある。
セキュリティー大手のトレンドマイクロが18年3～4月、日本企業や外資系企業の法務や情報システムの責任者らを対象に行った調査では、回答者の約3分の1がGDPRについて「十分理解している」「ある程度理解している」と答えたが、約3分の2は「名前だけは知っている」「知らない」と答えた。このため、認知・理解が進んでいないことを懸念する声もある。

(南　文枝　ライター／2018年)

出典　(株)朝日新聞出版発行「知恵蔵」

日本大百科全書(ニッポニカ)

GDPR
じーでぃーぴーあーる

→一般データ保護規則

出典　小学館　日本大百科全書(ニッポニカ)