津田大介「大企業に変革迫るEUの情報保護規則」

　ウェブを使った新しいジャーナリズムの実践者として知られるジャーナリストでメディア・アクティビストの津田大介氏。欧州連合で変わる個人情報保護について解説する。

＊　　＊　　＊

　欧州連合（EU）は5月25日、欧州経済領域（EEA＝EU28カ国およびアイスランド、リヒテンシュタイン、ノルウェー）について、個人情報保護を目的とする「一般データ保護規則（GDPR）」の適用を始めた。EEA域内の個人情報を収集・使用する企業に、どのような内容の情報を、どのような理由で収集し、どのように使用するのかをわかりやすく示した上で、個人の同意を得ることが義務づけられる。

　GDPRでは個人情報を「識別されたまたは識別されうる自然人に関するあらゆる情報」と定義しており、その範囲は極めて広い。氏名や住所、識別番号、メールアドレス、IPアドレスやクッキーといったオンライン識別子、位置情報、写真、ソーシャルメディアへの投稿など多岐にわたる。

　さらに、人種や政治信条、性的指向、診療記録、犯罪歴など、他人に知られた場合に不利益につながりうる情報には、より厳格な要件が設定されている。

　違反した場合の罰則は厳しい。最大のケースでは、2千万ユーロ（約26億円）、または前年売上高の4％のいずれか高いほうが、制裁金として科される。

　GDPRのインパクトが大きいのは、適用される範囲がEEA域内に留まらないところだ。「EEA域内の個人の情報を扱う」全世界の企業に適用されるため、日本企業にとってもひとごとではない。特にEEA域内に子会社や支店を置いたり、商品やサービスを提供したりしている企業は、対応が急務だ。

　GDPRの最大のターゲットは、ユーザーの個人情報を幅広く収集し、利益につなげてきたグーグルやフェイスブックを始めとする大手プラットフォームだ。

　これまでは細かい文字でびっしりと書き込まれた、いわば「読まれないことを前提とした」利用規約への同意にもとづいて、個人情報を集めてきた。これが認められなくなる。ユーザーが企業が管理する個人情報の内容を確認し、求めに応じて修正・削除できるようにもしなければならない。