GDPR（一般データ保護規則）とは？日本企業が知るべき対象範囲と実践的な対策を徹底解説

Webサイトの運営やデジタルマーケティングに関わっていると、一度は「GDPR」という言葉を耳にしたことがあるのではないでしょうか。「海外の法律だから、うちには関係ない」と思ってしまいがちですが、実は日本の企業であっても、ある日突然多額の制裁金を科されるリスクが潜んでいます。

インターネット上でビジネスを展開し、グローバルにユーザーと繋がれる現代において、プライバシー保護のルールは国境を越えて適用されるようになりました。特に、Webサイトにアクセスしてきたユーザーのデータを活用してサービス改善や広告配信を行っている場合、GDPRの知識は欠かせません。

この記事では、GDPRの基本的な仕組みや対象となる個人データの範囲、日本の個人情報保護法との違い、そして私たちが具体的にどのような対策を取るべきなのかを、分かりやすく紐解いていきます。ITや法務の専門家でなくても全体像がすっきりと掴めるように解説していきますので、ぜひ自社の状況と照らし合わせながら読み進めてみてくださいね。

GDPR（一般データ保護規則）の基礎知識と制定された背景

GDPR（General Data Protection Regulation：一般データ保護規則）とは、EU（欧州連合）における個人データの保護や取り扱いについて定めた非常に厳格な法律です。2016年に制定され、2018年5月から施行されました。

この法律が世界中で大きな話題となった理由は、単にEU域内のルールにとどまらず、基準を満たさないデータの取り扱いに対して莫大な罰則が設けられている点にあります。では、なぜこのような強力な法律が必要になったのでしょうか。

データ主権を市民の手に取り戻すためのルール

私たちが普段何気なくスマートフォンを使い、SNSを眺めたりオンラインショッピングを楽しんだりする裏側では、膨大な個人データが企業に収集されています。「いつ、誰が、どこで、何に興味を持ったか」というデータは、デジタルビジネスにおいて石油のような価値を持つようになりました。

しかし、自分のデータがどの企業に渡り、どのように使われているのか、私たち自身が把握するのは非常に困難です。ヨーロッパには伝統的に「プライバシーは基本的人権の一部である」という強い思想があります。巨大IT企業などが個人のデータを不透明に収集・活用する状況に歯止めをかけ、データのコントロール権（データ主権）を個人の手に取り戻すことこそが、GDPRが制定された最大の背景と言えます。

保護される「個人データ」の定義と範囲の広さ

GDPRが強力である理由の一つに、保護の対象となる「個人データ」の定義が非常に広いことが挙げられます。

日本の感覚だと「名前、住所、電話番号」などが個人情報の代表格ですが、GDPRでは「識別された、または識別され得る自然人に関するすべての情報」を個人データとして扱います。具体的には以下のようなものが含まれます。

• 氏名、住所、メールアドレス、電話番号
• クレジットカード情報、銀行口座情報
• パスポート番号、マイナンバーなどの識別番号
• 位置情報（GPSデータなど）
• オンライン識別子（IPアドレス、Cookie識別子、MACアドレスなど）
• 身体的、生理学的、遺伝子的、精神的、経済的、文化的な情報

特にWeb担当者が注意したいのは、IPアドレスやCookie（クッキー）も個人データとして明確に定義されている点です。「会員登録をさせていないから個人情報は持っていない」という認識は、GDPRにおいては通用しないというわけです。

日本企業にも適用される？GDPRの対象範囲とリスク

ここからが本題とも言える部分ですが、「EUの法律が、なぜ日本の企業に関係するのか」という疑問についてお答えします。GDPRには「域外適用」というルールがあり、EU圏内に拠点がなくても条件に当てはまれば適用対象となってしまうのです。

EU圏内に支社や拠点がある場合

これはもっとも分かりやすいケースですね。日本の企業であっても、フランスやドイツなどEU加盟国（およびEEA加盟国）に支社や営業所、子会社などを持ち、そこで個人データを扱っている場合は、当然ながらGDPRの対象となります。現地の従業員のデータ管理も対象に含まれるため、人事労務の観点でも厳格な対応が求められます。

EU圏内に拠点がなくても対象になるケース

多くの日本企業が足元をすくわれやすいのがこちらのケースです。物理的な拠点が日本国内にしかなくても、インターネットを通じてEU圏内の人々にサービスを提供している場合は、GDPRのルールを守らなければなりません。

• EU圏内の消費者に向けた越境ECサイトを運営している通貨をユーロで表示したり、言語を現地の言葉に切り替えられるようにして、明らかにEU圏からの注文を受け付けている場合。
• EU圏内のユーザーの行動を監視・分析しているEU圏内からのアクセスがあるWebサイトにGoogle Analyticsなどのアクセス解析ツールを導入し、Cookieを使ってユーザーの行動追跡（トラッキング）を行っている場合。
• グローバル対応のスマートフォンアプリを提供しているアプリを通じて世界中のユーザーから位置情報や端末情報を取得しており、そこにEU圏のユーザーが含まれる場合。

このように、Webサイトやアプリを世界に向けて公開しているIT・Web関連企業は、知らず知らずのうちにGDPRの対象となっている可能性が高いと言えるでしょう。

GDPRと日本の個人情報保護法の違いを比較

「日本の個人情報保護法にはきちんと対応しているから大丈夫だろう」と安心するのは少し危険です。GDPRは日本の法律と似ている部分もありますが、要求されるハードルが一段も二段も高く設定されています。

両者の主な違いを分かりやすく表にまとめてみました。

比較項目	日本の個人情報保護法（APPI）	GDPR（一般データ保護規則）
Cookieの扱い	単体では個人情報に該当しないことが多い（※個人関連情報という枠組みはある）	単体でも個人データとして扱われるケースが多い
同意の取得方法	オプトアウト（拒否されるまで利用可能）が許容される場面も多い	厳格なオプトイン（事前に明確な同意を得る必要がある）
罰則の最高額	法人の場合、最高1億円の罰金	全世界の年間売上高の4%、または2,000万ユーロ（約32億円）の高い方
個人の権利	開示、訂正、利用停止の請求権など	忘れられる権利、データポータビリティの権利なども明記

オプトイン（事前同意）の厳格さ

マーケティングの実務において最も大きな違いを感じるのが「同意の取り方」です。

日本のサイトでは「当サイトを利用することで、Cookieの使用に同意したものとみなします」といった文言を見かけることがありますが、GDPRではこのような「みなし同意」や、あらかじめチェックボックスにチェックが入っている状態（プレチェック）は無効とされます。

ユーザー自身が自発的に「同意する」というボタンを押すなど、明確なアクションを起こさない限り、データの取得や処理を始めてはいけないという厳格なルールになっています。

新たに保障された「忘れられる権利」

GDPRでは、ユーザーの権利がより強く守られています。その代表が「忘れられる権利（消去の権利）」です。ユーザーが「自分のデータをもう使わないでほしい、消してほしい」と求めた場合、企業は特別な正当な理由がない限り、速やかにデータを完全に削除しなければなりません。

データベースのどこに誰の情報が保管されているのか、企業側が正確にマッピングできていなければ、この要求に応えることは不可能です。

違反するとどうなる？GDPRの厳しい罰則規定と影響

GDPRへの対応を後回しにしてしまうと、企業存続を揺るがすほどの甚大なダメージを受ける可能性があります。法律違反に対する制裁金（課徴金）の仕組みを知っておきましょう。

制裁金の2つの基準

GDPRの制裁金は、違反の深刻度に応じて大きく2つのレベルに分かれています。

1. 軽度な違反の場合最高で1,000万ユーロ（約16億円）、または企業グループの全世界の年間総売上高の2%の、どちらか高い金額。（※データの安全管理措置の義務違反、侵害発生時の通知義務違反など）
2. 重度な違反の場合最高で2,000万ユーロ（約32億円）、または企業グループの全世界の年間総売上高の4%の、どちらか高い金額。（※同意取得の不備、個人の権利への侵害、越境データ移転のルール違反など）

「売上高の4%」というのは、利益ではなく「売上」にかかってくるため、利益率の低いビジネスにとっては致命的な金額になります。

過去の巨額な制裁事例から学ぶこと

実際に、海外の巨大IT企業はこれまでに数百億円から数千億円規模の制裁金を科されています。

例えば、「適切な同意を得ずに、ユーザーに合わせてパーソナライズされた広告を配信した」「子供のプライバシー設定がデフォルトで公開状態になっていた」「ユーザーが自身のデータ処理を拒否する手続きを意図的に複雑にしていた」といった理由で処罰の対象となりました。

こうした大企業のニュースばかりが目立ちますが、実は数十万円から数百万円規模の制裁金は中小企業や病院、学校などに対しても日常的に科されています。また、制裁金という直接的なダメージだけでなく、「プライバシーを軽視する企業である」というレッテルを貼られることによるブランドイメージの低下（レピュテーションリスク）も、決して無視できない痛手となります。

GDPR対応として日本企業がやるべき具体的な対策

では、私たちの会社がGDPRの対象になり得ると分かった場合、実務としてどのような対策を進めていけば良いのでしょうか。ここでは、Web担当者やシステム担当者が優先的に取り組むべき具体的なアクションを解説します。

1. 保有する個人データの棚卸し（データマッピング）

対策の第一歩は、「自社がどのような個人データを持っているのか」を正確に把握することです。

Webサイトのフォームから取得している情報、アクセス解析ツールで収集しているCookie情報、メルマガ配信システムのリストなど、社内に散在しているデータを洗い出します。その上で、「誰のデータを、何のために、どこに保存し、誰と共有しているのか」を一覧表（データマッピング）にまとめましょう。

2. プライバシーポリシーの改訂と透明性の確保

自社のWebサイトに掲載しているプライバシーポリシー（個人情報保護方針）を、GDPRの基準に合わせて改訂する必要があります。日本の法律向けに作ったものをそのまま英語に翻訳するだけでは不十分です。

GDPRでは、プライバシーポリシーを「法律の専門家でなくても、一般の人が読んで分かりやすい言葉」で書くことが求められています。

具体的には以下のような項目を明記します。

• 企業（データ管理者）の連絡先
• データを収集・処理する目的と、その「法的根拠」
• データの保存期間（いつまで保持するのか）
• ユーザーが持つ権利（アクセス権、訂正権、消去権など）の案内
• データをEU域外（日本など）へ移転していることの説明

3. Cookie同意バナーの適切な設置（CMPの導入）

Webサイトを訪れたユーザーに対し、「Cookieを利用しても良いか」の同意を得るためのバナーやポップアップを見たことがあるかと思います。GDPR圏内からのアクセスがあるサイトでは、この同意取得の仕組みが必須となります。

実務においては、「CMP（Consent Management Platform：同意管理プラットフォーム）」と呼ばれるツールをWebサイトに導入するのが一般的です。

ただバナーを表示するだけでなく、ユーザーが「同意する」ボタンを押すまでは、Google Analyticsなどのトラッキング用スクリプトが発火（作動）しないようにシステム側で制御する必要があります。また、ユーザーが「マーケティング用のCookieは拒否するが、サイトを機能させるための必須Cookieのみ許可する」といったように、細かく選択できる画面を用意することも大切です。

4. データ侵害時の報告体制の構築（72時間ルール）

万が一、サイバー攻撃や社内のミスによって個人データの漏えい（データ侵害）が起きてしまった場合のルールも非常に厳格です。

GDPRでは、データ侵害を検知してから「原則として72時間以内」に、管轄の監督機関へ報告する義務が定められています。また、漏えいによって個人の権利に高いリスクが生じる場合は、影響を受けるユーザー本人にも速やかに通知しなければなりません。

週末や祝日にインシデントが発覚した場合でも72時間のカウントは進むため、社内で誰がどのように対応し、どこに連絡するのかというエスカレーションフローをあらかじめ構築しておくことが重要です。

日本とEUの「十分性認定」についての正しい理解

GDPRを学ぶ上でよく登場するキーワードに「十分性認定（じゅうぶんせいにんてい）」があります。これについて少し補足しておきましょう。

原則として、GDPRはEU圏内の個人データを、プライバシー保護水準が不十分なEU域外の国（第三国）に持ち出すことを固く禁じています。しかし、それではグローバルなビジネスが立ち行かなくなってしまいます。

そこで、EUの欧州委員会が「この国は、EUと同等の個人データ保護水準を満たしている」とお墨付きを与える制度があり、これを十分性認定と呼びます。

日本は、2019年にこの十分性認定を取得しました。これにより、標準契約条項（SCC）などの複雑な法的手続きを踏まなくても、EUから日本へ個人データをスムーズに移転できるようになったのです。

ただし、ここで大きな注意点があります。

十分性認定を受けたからといって、「日本の企業はGDPRを守らなくてよくなった」わけでは決してありません。あくまで「データの移転（持ち出し）が許可された」だけであり、日本の企業がEUの個人データを取り扱う際には、依然としてGDPRの厳格なルール（同意の取得や消去の権利への対応など）に従う義務があります。この点を混同しないように気をつけましょう。

GDPRに関するよくある疑問（Q&A）

実務担当者からよく寄せられる疑問についても、分かりやすく整理しておきます。

BtoB企業でもGDPRの対象になりますか？

対象になります。GDPRは「消費者（BtoC）」だけを保護するものではありません。取引先企業の担当者の氏名、ビジネス用のメールアドレス（例：taro.yamada@company.com）、名刺情報なども、個人を特定できるため立派な個人データとして扱われます。したがって、BtoBのマーケティング活動や営業活動においても、GDPRに則った対応が求められます。

EU圏からのアクセスを完全に遮断（ジオブロック）すれば対策しなくても良いですか？

技術的にEU圏からのIPアドレスを弾いてサイトを閲覧できないようにすれば、EU圏の人々にサービスを提供しているとはみなされないため、GDPRの適用リスクは大幅に下がります。

しかし、この方法は「EU圏の見込み顧客を完全に捨てる」ことになりますし、VPN（仮想プライベートネットワーク）を経由してアクセスされる抜け道もあります。根本的な解決策というよりは、リスク回避のための最終手段の一つと考えるのが妥当でしょう。

イギリスはEUを離脱しましたが、GDPRはどうなりますか？

イギリスはEUを離脱（ブレグジット）しましたが、EUのGDPRとほぼ同じ内容の法律を「UK-GDPR（英国一般データ保護規則）」として国内法に組み込んでいます。そのため、イギリス向けのビジネスを展開する場合も、EU向けのGDPRと実質的に同じレベルの厳格な対応が必要になると考えてください。

最新動向と世界のプライバシー規制の広がり

GDPRは、世界のプライバシー保護のあり方を大きく変える「ドミノの最初の一枚」となりました。現在、世界各国でGDPRをお手本にした厳しいデータ保護法が次々と誕生しています。

代表的なものが、アメリカのカリフォルニア州で施行されたCCPA（カリフォルニア州消費者プライバシー法）や、それをさらに強化したCPRA（カリフォルニア州プライバシー権利法）です。これらも対象となるデータの範囲が広く、高額な制裁金が設定されています。

また、ブラジル、中国、インドなど、主要な市場のほとんどが独自のプライバシー保護法を整備し始めています。日本の個人情報保護法も、世界的な潮流に合わせて数年ごとに厳格化に向けた法改正が行われています。

さらに、AppleのSafari（ITP機能）やGoogle ChromeなどのWebブラウザ側でも、サードパーティCookieの利用制限など、技術的なプライバシー保護の取り組みが進んでいます。

もはや「どの法律がどうなっているから、どこまで対応すればいいか」というイタチごっこをする時代は終わりを迎えつつあります。

プライバシー保護は企業のブランド価値を高める

GDPRのような厳格な法律を前にすると、どうしても「対策コストがかかる」「ビジネスの制約になる」とネガティブに捉えてしまいがちです。

しかし、視点を変えてみてください。ユーザーのプライバシーを尊重し、データの使い道を透明性を持って説明し、しっかりと同意を得る姿勢は、ユーザーからの「この会社は信頼できる」という安心感に直結します。

逆に、不透明なデータの集め方を続けている企業は、今後ますますユーザーからもプラットフォームからも見放されていくことでしょう。

GDPRへの対応を単なる法律上の義務やコストとして捉えるのではなく、自社のブランド価値や顧客との信頼関係（エンゲージメント）を高めるための前向きな投資として捉えることが、これからのデジタル時代を生き抜くための重要な視点と言えるのではないでしょうか。