GDPR

「General Data Protection Regulation」の略です。GDPRは、Regulation (EU) 2016/679としても知られ、2016年4月27日に起草され、2018年5月25日に施行された欧州連合の法律です。1995年に採択されたEUデータ保護指令に代わるものです。GDPRの主な目的は、欧州連合（EU）内の国々に住む人々の個人データを保護することです。

88ページにわたるGDPR文書は、個人データに関する人々の保護は基本的人権であると述べるところから始まります。General Data Protection Regulationに含まれる規則とガイドラインは、この考えを支えるために設けられています。この規則では、すべてのデータ管理者（ユーザーデータを収集して保存する組織）は、データを保護し、ユーザーにデータへのアクセスを提供し、データを簡単に移転できるようにしなければならないと定めています。

GDPRは、以前のデータ保護指令を現代の状況やテクノロジーに適したものへと更新しています。たとえば、次のような規定があります。

• 第42条では、データ処理者(Webサイトなど）は身元を明確にし、データを保存する前にユーザーの同意を求めなければならないと定めています。
• 第49条では、ハッキングやサービス拒否攻撃など、データに関する悪意のある活動を禁止しています。
• 第83条では、データ管理者とデータ処理者は暗号化を使用してセキュリティリスクを軽減すべきだと定めています。
• 第33条1項では、データ侵害が発見された時点から72時間以内に、組織がユーザーに通知することを義務付けています。

GDPRは誰に適用されますか？

GDPRのガイドラインは、EU内のすべての公営および民間の企業と組織が守らなければなりません。規則に従わない事業体には、罰金や罰則が科される場合があります。GDPRは、電子商取引のWebサイトやクラウドサービスなどのIT業界と関連付けられることが一般的ですが、個人データを保存するEU内のすべての組織に適用されます。例として、医療サービス、法律事務所、教育機関、科学研究機関、政府機関などがあります。

GDPRは欧州連合内で施行されますが、EU居住者と取引を行うEU外の企業や組織にも適用されます。たとえば、米国に拠点を置く企業がスウェーデンに住む個人のデータを保存する場合、その企業はGDPRの規則に従わなければなりません。消費者側では、GDPRはEU市民だけでなく、EU内で生活し働く人々も保護します。この規則は商取引を行う個人に適用されますが、個人または家庭内の活動には適用されません。