１．GDPRにおける個人情報の定義

​

GDPR第４条(1)：

「個人データ」とは、識別された又は識別され得る自然人（以下「データ主体」という。）に 関するあらゆる情報を意味する。識別され得る自然人は、特に、氏名、識別番号、位置データ、 オンライン識別子のような識別子、又は当該自然人に関する物理的、生理的、遺伝子的、精神 的、経済的、文化的若しくは社会的アイデンティティに特有な一つ若しくは複数の要素を参照 することによって、直接的に又は間接的に、識別され得る者をいう。

​

難しい記載となっておりますが、要は、

「個人を特定できる情報であれば何でも個人情報である」

ということです。

​

従いまして、氏名、住所等のこれまで個人情報と定義されていたものに加えて、Cookie情報、閲覧情報等、個人を識別できるのであれば個人情報の範囲に含まれます。

​

２．オプトインの同意

GDPRでは、個人情報を収集する際に、データ主体の「同意」が必須です。

​

日本の個人情報保護法では、収集時において、利用目的の通知で足りますが、GDPRでは、利用目的の通知に加えて、データ主体の「同意」を義務付けております。

​

従いまして、データ主体がウェブサイトにアクセスする際には、GDPRプライバシーポリシーを提示したうえで、Cookie情報等の取得に関する「同意」を取得しなければなりません。最近、企業のウェブサイトにアクセスすると表示されるポップアップがそれです。まれに、個人がウェブサイトにアクセスした際に、Cookie情報を自動取得したうえで、オプトアウト（同意の撤回）の方法を案内しているウェブサイトがありますが、この対応はGDPR上NGなのでご注意ください。

​

その他、ターゲット広告の配信やGoogle Analyticsを利用してアクセス解析などしている場合は、プライバシーポリシーにその旨を盛り込み、データ主体に表示したうえで同意を得る必要があります。

​

３．データ主体の権利

(1)訂正させる権利

GDPR第16条で、事業者がデータ主体に関する不正確な個人データを保有している場合、事業者に対して、訂正させる権利を有します。

​

GDPR第16条：

データ主体は当該データ主体に関する不正確な個人データについて管理者に不当に遅滞することなく 訂正させる権利を持つものとする。取扱いの目的を考慮し、追加の記述を提供するという手段を含め、 データ主体は不完全な個人データを完全にする権利を持つものとする。

​

(2)忘れられる権利

GDPR第17条に基づき、データ主体は、収集された個人データが以下に当てはまる場合には個人データを消去させる権利を有します。

​

• 法令上の保管期間を過ぎたなど、事業者が保管する必要が無くなった場合

• データ主体が同意を撤回し、その他取り扱いに関する法的根拠がない場合

• 個人データが不当に扱われた場合　etc.

​

４．個人データの第三国への移転(十分性に基づく移転)

原則として、データ主体の個人データを第三国又は国際機関へ移転することはできませんが、GDPR第45条第1項により、欧州委員会が、保護に関して十分なレベルを保証していると決定した場合には、当該第三国又は国際機関へ移転することができます。なお、日本は欧州委員会より、個人データの保護に関して十分性を充たしていると認定されています。

​

GDPR第45条第１項：

第三国又は国際機関への個人データの移転は、当該第三国、第三国域内の領域若しくは一つ若 しくは複数の特定された部門、又は国際機関が保護に関して十分なレベルを保証していると欧 州委員会が決定した場合に行うことができる。この移転は、いかなる個別的許可も要しない。

​

５．子どものプライバシー

GDPR第８条第1項で、16歳未満の子供の個人情報を取得する場合、子に対する保護責任を有する者の同意又は許可が必要であるとしておりますので、16歳未満の子供の個人情報を収集する場合には慎重な対応が必要です。

​

​

​GDPRの原文(和訳付)はこちらをご参照ください。

​