GDPR Update　～違反に注意～　GDPR対応で見落としがちなポイントとは

本件で着目すべきポイントは、これまでしばしば報道されてきた、企業の「個人データの漏洩事故」に伴うものではなく、個人データの取扱の際の「公正性」「透明性」が不足していたことが違反の対象になっているという点です。このことは、GDPRが個人のプライバシー保護を目的とした規制であることを考えると容易に理解できますが、GDPR対応として、個人データが漏洩しないような仕組み作りや、万が一発生してしまった場合に72時間以内に所定の報告を行う体制を構築すれば一安心とはいかないことに、十分な理解が必要です。

さらに、個人データ取得の同意を得る際には、目的や保存期間について利用者にわかりやすくすること、収集した個人データがどの範囲で使われるかを利用者が認識しやすいようにすることなどの要件を、より厳格にとらえて対応する必要があります。これら2点については、G社のようなIT企業だけでなく、他の業界にも当然当てはまるため、一部業界に限定された課題ではないことに留意する必要があります。　

これらの一連の動きを受けて、自社のGDPR対応が「データ漏洩事故等が発生した場合の迅速な対応ができる体制整備」や「社内規程の整備」などに重心が傾きすぎていなかったかについて、振り返ることが重要です。
具体的には、個人データの取得に際し、顧客の同意をどのように得ているか、提示している個人データの利用方法が具体的かつ明示的になっているか（可能性や、事例を挙げるだけでは不十分）、確認する必要があります。
そのためには、個人データを利用している業務を漏れなく洗い出し、取得の法的根拠や利用目的を明確にしていく対応が重要です。その上で、明確化されたかかる内容を必要に応じて、EU域内の顧客や自社従業員等との間で取り交わす同意文面に反映する必要があります。

なお、日本企業のGDPR対応推進上の課題には、EU域内拠点だけの対応にとどまってしまい、全社プロジェクトとしての体制が構築されていないパターンと、日本の本社主導でプロジェクトを推進しているものの、特にEUの買収子会社等を十分に巻き込めていないパターンが代表として挙げられます。GDPR対応は、これらにも留意しつつ、優先度をつけて社内横断的に一気に取り組むことが重要です。