GDPR（欧州連合の一般データ保護規則）に違反すると最大2000万ユーロの制裁金が課されることを恐れ、世界中で対応が進められている。
そんななか、個人情報保護委員会の参事官が「欧州委員会との十分性認定に向けた交渉の最終段階にある」ことを明らかにした。仮に欧州から日本が「十分性認定」を受けると、個人情報の移転に関する規制は一定程度緩和されることになる。「十分性認定」によって巨額制裁金への恐怖から逃れることができるのか、日本企業の関心も高まっている。
-
フランス情報処理と自由に関する国家委員会（CNIL）が発行している中小企業向けGDPRガイド
EUからEU域外に移転する個人情報を規制
個人情報保護の強化を目的とした「一般データ保護規則（GDPR：General Data Protection Regulation）」が2018年5月25日にEUで施行された。GDPRはEU域内の個人情報の取扱いを規制する法律だが、EUからEU域外に移転する個人情報についても規制しているため、日本に移転される個人情報についても規制が課せれる。
違反すると、最大2000万ユーロの制裁金が課される可能性もあり、日本企業も対応に追われている。
GDPRでは、EUからEU域外に個人情報を移転することを原則として禁止している。そのため、EU域外の企業などが、EUから個人情報を取得するためには、所定の契約を締結したり、個人情報の本人からの明示の同意を取得するなど、GDPRに規定された手続きを取る必要がある。
たとえば、海外に支店があり、海外の支店の従業員の情報が日本の本店に移転する場合でも、所定の契約書を締結したり、個人情報の本人の同意を書面などで取得する必要が出てくる。
こうしたGDPR所定の手続きから一部解放されるのが欧州委員会の「十分性認定」だ。「十分性認定」は、十分な個人情報の保護水準が保障されていることを認定するもので、EUからEU域外に個人情報を移転する規制が免除される。
これまで政府は、GDPRの適用が産業の弊害とならないよう欧州委員会との交渉を重ねており、個人情報保護委員会は「十分性認定」が得られた場合の対応策をまとめたガイドライン案を2018年4月公表した。また、個人情報保護委員会の参事官は、2018年5月30日に都内の講演で「欧州委員会との十分性認定に向けた交渉の最終段階にある」と明かしており、欧州委員会から「十分性認定」がなされるのは時間の問題と考えられる。