週刊 ダイヤモンド (2018 6/2) (週刊誌)

ダイヤモンド社

• ダイヤモンド社 (2018年5月28日発売)

感想・レビュー・書評

[やまたくさんの感想 · 2019年1月20日]

【GDPR対応】
参照：週刊ダイヤモンド　2018年6月2日版

GDPR　＝General Data Protection Regulation

【概要】
・EEA（EU＋αの31か国）域内に所在する「個人データ」の「処理」と「移転」を規制する法律。
①個人データとは、名前や住所、クレカ情報のみならず、クッキーやIPアドレスを指す。
②処理とは、アドレスの収集やクレカ情報の保管、従業員の名前や写真などのリスト管理をすること。
③移転とは、個人データを含んだ文書を郵便またはメールで送付することや、従業員の人事情報をEEA域外にある拠点で閲覧すること。

また、個人の権利と管理者の義務を明示しており
個人の権利：削除権、データポータビリティの権利、異議を述べる権利などがある。
管理者の義務：個人データを適法、公正かつ透明性のある手段で処理をすること（個人データ主体に対するデータ処理の目的の明示と同意形成、不必要なデータ収集の自粛など）。処理の安全性確保、データ侵害の場合の72時間以内の通知義務、DPO（データ保護責任者）の任命、域外の管理者は代理人の使命などなど。

これらの義務に違反する場合は、1000万€や2000万€の制裁金が課される。

特徴として、EEA内に拠点がなくとも、ゲーム会社や旅行の予約サービスなど、EEA域内の個人のデータを域外で管理する会社に対しても、適用されるなど、適用の範囲が広いことが挙げられる。

【対策】
対外：データの移転ごとに、標準契約条項＝SCC（Standard Contractual Clauses）を結ぶことで、データ移転に対する同意を取り付ける。
なお、これらを包括的に結ぶためには拘束的企業準則＝BCR（Binding Corporate Rules）が必要となるが、前者が数か月で承認されるのに対して、後者は1年から2年かかる。そして、この準則を日本企業で得ているのは楽天1社のみである。

対内：個人データの棚卸をする必要がある。GDPRが定める個人データをどのように保管し、どのルートで移転しているのか、これらの実態をまず把握し、適切な管理を行うことがスタートライン。
DPOの設置：32条に定められる場合で、公的機関であることやその国の法律でア定められている場合（ドイツ）以外では、管理者、処理者の中心的業務が、データ主体への大規模化で定期的かつ系統的な監視を必要とする処理業務の場合。中心的業務とは、管理者や処理者の事業目標を達成する為に欠かせない重要な作業である。例えば、病院の中心的な活動は医療行為であるが、その目的を達成する為には患者の個人データの処理は不可欠となる。その為、病院はDPOの選任義務がある、ということになる。

[tattyammさんの感想 · 2018年6月26日]

GDPR特集の部分(GDPRに関する前半)のみ。
コンパクトにまとまっている上、判断ポイントはしっかり書いてある。

[blackkittyさんの感想 · 2018年6月2日]

2018年5月25日にEUで施行済み。GDPR特集は遅くないですかね？

著者プロフィール

1913年（大正2年）、「経済雑誌ダイヤモンド」の創刊とともに誕生し、2013年（平成25年）には創業100周年を迎えた。「ダイヤモンドのように小さくともキラリと光る」が創業の精神。現在、「週刊ダイヤモンド」「ダイヤモンド・オンライン」などの各種メディアでタイムリーなビジネス情報をダイバーシティ社会に提供するとともに、ビジネス書から生活実用書、経済小説まで、幅広い出版物とメディアを世に送り出している。本書は、同社経営情報編集局・出版編集部で制作。

「2022年 『相続＆事業承継で頼りになるプロフェッショナル　2022年度版』 で使われていた紹介文から引用しています。」