正しく知れば怖くない GDPRの基本と対策のポイントをIIJが解説：“日本が知らない”海外のIT（番外編）（5/5 ページ）

欧州連合（EU）が5月25日に施行したGDPR（一般データ保護規則）。実際、どんな影響を企業や個人に及ぼすのか。日本企業はどうすればいいのか。IIJに聞いた。

[水迫尚子，ITmedia]

　現在、ヨーロッパと歩調をそろえている感じです。日本の個人情報保護委員会（PPC）は、GDPRと日本の個人情報保護法の差分を吸収するガイドラインに法的な拘束力を持たせることで、ヨーロッパと双方向の個人データ移動を認定しあう取り組みをしています。

日本の個人情報保護委員会（PPC）

　ただし、カリフォルニア州の消費者プライバシー法の立法をはじめ、今後アメリカの各州で保護法が施行されたりしたら、PPCがどちらを向くかは分かりません。私は個人情報保護委員会の今までの姿勢から、個人データに対する個人の支配権や公正・透明に基本価値を置くヨーロッパの方を見ているのかなという気がします。今後、注視していきたいと思います。

──　GDPR対策で要となるポイントは何でしょう。

　GDPRに関するセミナーやコンサルタントで必ずお伝えするのは、「根っこから考えましょう」ということです。そこから考えれば、実は取るべき行動や対策は簡単に生まれます。根っことは、「個人データの主権は個人にある」「公正性・透明性を原則とする」です。大企業も中小企業も個人事業主もそのことを踏まえた対策をとればいいのです。

　細かな対策法だけを論じたり、「守らないとこんな怖いことになるよ」といったようなブラックメール論法がよく見られたりしますが、監督機関が最も注視しているポイントは実は難しいことではない。過去、罰金を受けた事例を調べると、大きな事故は別として、重い制裁金を課せられているのは、個人に正しい情報を提供せず、結果的に関係個人をだましたような不誠実な振る舞いをした企業です。

　極端な話、「個人データについて何をやるかを正直に説明せよ」の一言で済ませることさえできます。GDPRを順守することは、顧客との関係を大切にして誠実にビジネスを行うということ。つまり、顧客を大切にする企業イメージをつくる絶好のチャンスともいえるのです。

取材・執筆：水迫尚子

編集：岡徳之（Livit）