GDPRとは？じーでぃーぴーあーる
GDPRとは、EU域内の個人データ保護を定める規則。EUに拠点がなくても、域内の個人へ商品・サービスを提供したり行動を監視したりすれば適用される（域外適用）。データポータビリティ権、消去権（忘れられる権利）、プロファイリングへの異議、DPO（データ保護責任者）の設置、72時間以内の侵害通知、域外移転の制限といった規律を置き、制裁金が高額であることも特徴になる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
EUでは個人データの保護を基本的人権として扱っており、事業者の便宜より本人が自分のデータを統制できることが優先される。1995年のデータ保護指令は各国が国内法へ移す形をとったため加盟国ごとに水準がばらつき、越境するサービスにとって守るべき基準が定まらなかった。そこで加盟国の国内法化を待たずに直接適用される「規則」へ格上げし、域外の事業者にも及ぶ形にしたのがGDPRで、売上高に連動する高額の制裁金がその実効性を支えている。
具体例
日本の事業者がEU居住者向けにECサイトを運営し、ユーロ建ての価格表示や現地語の案内を出していれば、拠点が日本だけでも適用される。同意の取り方、Cookieによる行動追跡の扱い、日本国内のサーバへデータを移すときの根拠を、事前に整理しておく必要がある。
試験での引っ掛け
「EUに支店を置いていないから関係ない」は誤りで、域内の個人へ商品・サービスを提供したり行動を監視したりすれば適用される。EUの「指令」ではなく「規則」であるため、各国が国内法にするのを待たず直接適用される点も問われる。日本が受けている十分性認定は域外移転を正当化する根拠の一つにすぎず、GDPRの適用そのものを免れさせるものではない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。