GDPRは日本企業にも関係がある？意外と知らない適用範囲
「GDPRって海外の法律でしょ？うちには関係ないよ」——そう思っている方は多いかもしれません。しかし、GDPR（General Data Protection Regulation：EU一般データ保護規則）は、EU域内に拠点を持たない日本の中小企業であっても、一定の条件を満たせば適用される可能性があります。
たとえば、自社のECサイトでEU在住のお客さまに商品を販売している場合や、EU在住のユーザーがアクセスするWebサイトでCookieを使って行動データを収集している場合には、GDPRの対象となりえます。
「うちは小さな会社だから」と見過ごしていると、最大で年間売上の4%という巨額の制裁金が科される可能性もあるのです。この記事では、日本の中小企業がGDPRについて最低限知っておくべきポイントと、具体的な対応方法を解説します。
GDPRの基本——何を守るための法律なのか
GDPRは2018年5月にEUで施行された個人情報保護に関する規則です。EU域内に住む個人の「個人データ」の取り扱いについて厳格なルールを定めています。
GDPRが保護する「個人データ」は、日本の個人情報保護法よりも範囲が広いのが特徴です。氏名やメールアドレスだけでなく、IPアドレス、Cookie情報、位置情報なども個人データに含まれます。つまり、Webサイトにアクセスしたユーザーのアクセスログやトラッキングデータも保護の対象となるのです。
GDPRの基本原則として重要なポイントは3つあります。合法性と透明性として、個人データの収集には明確な法的根拠が必要であり、データの使用目的をユーザーに分かりやすく説明しなければなりません。目的の限定として、収集したデータは、事前に伝えた目的以外には使用してはならないとされています。データの最小化として、必要最小限のデータのみを収集すべきであり、「念のため取っておく」は認められません。
また、GDPRではデータ主体（個人データの持ち主であるユーザー）に強力な権利を認めています。自分のデータへのアクセス権、データの訂正・削除を求める権利（いわゆる「忘れられる権利」）、データのポータビリティ権（自分のデータを別のサービスに移す権利）などがあります。
日本の中小企業がGDPRの対象になる3つのケース
では、具体的にどのような場合に日本の中小企業がGDPRの適用を受けるのでしょうか。主に3つのケースが考えられます。
ケース1：EU向けにECサイトで商品を販売している場合です。自社のオンラインショップがEU在住の顧客に商品やサービスを提供している場合は、GDPRの適用対象となります。サイトがユーロ建ての価格表示をしている、EU向けの配送オプションがある、EUの言語でサイトを提供しているなどの要素は「EU域内の個人にサービスを提供する意図がある」と判断される材料になります。
ケース2：EU在住ユーザーの行動をトラッキングしている場合です。Googleアナリティクスなどのアクセス解析ツールやリターゲティング広告を使用して、EU在住ユーザーの行動データを収集・分析している場合もGDPRの対象です。Cookie同意バナーの設置については「Cookie同意バナーは必要？」でも詳しく解説しています。
ケース3：EU在住のフリーランスや取引先と仕事をしている場合です。業務委託契約を結んでいるフリーランスのデザイナーやエンジニアがEU在住の場合、彼らの個人データ（名前、メールアドレス、銀行口座情報など）の取り扱いにもGDPRが適用されます。
具体的な対応方法——最低限やるべき5つのこと
GDPRの対象になる可能性がある場合、以下の5つの対応を進めましょう。
1. プライバシーポリシーを更新する——GDPRに準拠したプライバシーポリシーを作成・掲載しましょう。収集するデータの種類、利用目的、保存期間、ユーザーの権利（アクセス権・削除権など）を明記する必要があります。プライバシーポリシーの基本的な書き方は「プライバシーポリシーの書き方」を参考にしてください。
2. Cookie同意の仕組みを導入する——EU在住ユーザーがアクセスする可能性がある場合、必須Cookie以外のCookie（分析用、広告用など）の使用前に明確な同意を得る仕組みが必要です。同意バナーでは「すべて同意」だけでなく、カテゴリごとに選択できるオプションを提供するのが望ましいです。
3. データ処理の記録を残す——どのような個人データをどのような目的で収集し、どこに保管しているかを記録しておきましょう。簡単なスプレッドシートで管理するだけでも十分です。
4. データ削除のリクエストに対応できる体制を整える——ユーザーからデータの削除要請があった場合に対応できるフローを用意しておきましょう。問い合わせ窓口を設け、対応手順を明文化しておくことが重要です。
5. データの安全管理措置を講じる——個人データへの不正アクセスや漏洩を防ぐための技術的・組織的な対策を実施しましょう。SSL/TLS暗号化の導入、アクセス制御、定期的なセキュリティチェックなどが含まれます。
日本の個人情報保護法との違いを押さえよう
GDPRと日本の個人情報保護法には重要な違いがあります。対応を考えるうえで、いくつか知っておきたいポイントがあります。
まず、同意の取得方法が異なります。日本ではオプトアウト方式（事後的に拒否できる方式）が一部認められていますが、GDPRでは原則としてオプトイン方式（事前の明確な同意）が求められます。チェックボックスが最初からオンになっている「デフォルトオン」の同意取得はGDPRでは無効とされています。
次に、制裁金の規模が大きく異なります。日本の個人情報保護法では違反に対する罰則は比較的軽微ですが、GDPRでは最大2,000万ユーロまたは年間売上の4%のいずれか高い方が制裁金として科される可能性があります。
ただし、2019年に日本はEUから「十分性認定」を受けています。これにより、一定の条件のもとでEUから日本への個人データの移転が認められています。この枠組みを活用することで、対応の負担を軽減できる場合もあります。
まとめ——まずは自社のリスクを把握しよう
GDPRへの対応は、すべての日本企業に必須というわけではありません。まずは自社のWebサイトやビジネスがGDPRの適用対象になるかどうかを確認しましょう。EU在住の顧客や取引先がいるか、EU向けのサービスを提供しているか、EU在住ユーザーのデータをトラッキングしているかをチェックすることが第一歩です。
対象になる可能性がある場合は、プライバシーポリシーの更新とCookie同意バナーの導入から始めましょう。この2つだけでも、リスクを大きく低減できます。
GDPRへの対応やWebサイトの法務面でお困りのことがあれば、Sane Designにご相談ください。お客さまのビジネスに合った対策を一緒に考え、安心して海外展開できるWebサイト作りをサポートいたします。
