一般データ保護規則 (GDPR) についてはきっと耳にしたことがあるでしょう。では、あなたのビジネスはコンプライアンス要件を満たしているでしょうか?
そうでないと思ったとしても、あなただけではありません。
GDPR は 2018 年 5 月 25 日に立法化されました。しかし、9 か月以上経った今、完全に準拠しているのは、EU を拠点とする企業の 29% にとどまっています。大半の企業が法令とその影響 (罰金のリスクも含む) を認識しているにもかかわらずです。
さらに重要なのは、米国に拠点を置く場合には GDPR が適用されないと思われるかもしれませんが、必ずしもそうであるとは限らないということです。EU にいるのユーザーが Web サイトにアクセスできる場合、GDPR が適用されます。
これを踏まえて、GDPR の最も重要な原則と、それが小規模企業にとって何を意味するのかを見ていきましょう。また、GDPR 準拠に向けて必要な手順もご案内します。
GDPR は EU 全体におけるデータ保護を標準化し、現在のテクノロジに合わせてそれらを実現しようとするものです。さらに重要なのは、次の点を目的としている点です:
小規模企業であっても、さらに言えば企業の規模にかかわらず、GDPR により、順守すべき新しい法的義務が課されます。
まず、この法律では、企業に次の要求を行う権利が個人に与えられます:
さらに重要なのは、GDPR によって ‘仕様によるプライバシー’ を実現する点です。これは、次のことを意味します:
GDPR は、物理的に EU 内にいる個人の個人データを企業が収集または追跡する場合に適用されます。
この法律における個人データとは、「身元が特定済みであるか特定可能な自然人に関連するあらゆる情報」のことです。つまり、個人の身元を明らかにするために使用できる場合、そのデータは個人データであり、GDPR によって保護されます。これには以下の項目が含まれます:
さらに重要なのは、この法律はオンラインだけでなく、オフラインの情報の収集と追跡の対象としていることです。つまり、CCTV を使用してオフィスを監視する場合でも、Google Analytics を使用して Web サイトにアクセスしたユーザーに関するデータを収集する場合にも、GDPR は同じように適用されます。
European Data Protection Board は、その人の国籍や地位、身分は無関係であることを強調しています。個人データが収集または追跡されたときに、その人が物理的に EU に存在していた場合は、GDPR が適用されます。その人が EU 市民か、EU 居住者か、それとも単なる観光客かは関係ありません。
さらに重要なのは、GDPR が適用されるには、ビジネスが EU に物理的に存在する必要はないという点です。EU から Web サイトにアクセスできる場合は、それだけで適用対象になります。GDPR の要件に準拠する必要があります。
GDPR に違反すると、多額の罰金が科される可能性があります。違反した場合、年間売上高の 4% または 2,000 万ユーロ (約 $2,300 万) のいずれか高い方が罰金として科される可能性があります。
いいえ、除外されません。GDPR は、EU に所在する人物からビジネスが個人データを収集するたびに適用されます。これは、個人事業である場合でも、6 大陸にオフィスを持っている場合でも同じように適用されます。
ただし、従業員数が 250 人未満の場合は、データ処理活動の記録を書面で残す必要はありません。ただし、次の場合を除きます:
多くの小規模企業や個人事業主は、最初の 3 つの免除条件には該当しないでしょう。
では、4 つ目はどうでしょうか? Belgian Privacy Commission は、毎日行う場合でも、すべてのデータ処理が "標準" であるとは限らないと考えています。この解釈によると、たとえば発注や顧客との連絡に使用する個人データの記録は残さなくてよいことになります。ただし、European Data Protection Board の前身である Article 29 Working Party による方針説明書では、"定期的" を文字どおり解釈する必要があることを示唆しているようです。European Data Protection Board もそれに同意しました。この立場は非常に不明確なので、免除されると思っていても、記録を残しておくことをおすすめします。備えあれば憂いなしです。
はい。GDPR は、次の場合に米国企業に適用されます:
EU でビジネスを続けたい場合は、GDPR に準拠する必要があります。さもなければ、多額の罰金を科されるリスクがあります。EU でビジネスを行わない場合は、次の 2 つのオプションがあります:
GDPR が最初に施行された際、多くの米国の Web サイトでは、GDPR に違反しないように EU ユーザーのアクセスを遮断しました。たとえば、2018年 8 月の時点で、1,000 を超える米国のニュース サイトに EU からはアクセスできません。一部のパブリッシャーは、EU から完全に撤退することにしました。Lee Enterprises のスポークスマン、Charles Arms 氏によると: 「EU と EEA からの私たちのローカル ニュース サイトへのインターネット トラフィックは些細であり、そこからのトラフィックをブロックするは私たちのローカル メディア クライアントにとって最善であると考えています。」 とはいえ、現在では多くの米国の Web サイトが、問題なく EU で再びオンラインになっています。また、小規模企業の Web サイトも、問題を起こすことなく EU で公開できます。では、次のポイントに進みましょう。
小規模企業を GDPR 対応の軌道に乗せるのは、思うほど難しくありません。まずは、この GDPR 対応チェックリストをご覧ください。
収集している個人情報の内容と、その中に機密情報が含まれるかどうか、つまり GDPR の第 9 条および第 10 条の対象に該当するかどうかを把握しておく必要があります。また、次の点についても確認してください:
これらの質問をされた時に、回答できる必要があります。
個人データを使用する法的拠がない限り、本人の同意が必要です。これは次の条件を満たす必要があります:
同意の書面による記録を保持する必要があります。同意の撤回を、すばやく簡単に行えるようにする必要があります。ここでは GDPR に準拠した顧客関係管理ソフトウェアが役立ちます。具体的には、次のことができます:
収集した個人データに対する責任は、事業者にあります。もしデータが間違った手に渡った場合、罰金を科されるリスクがあります。そのため:
72 時間以内に重大な違反を規制機関に報告する必要があります。それを怠ると、罰金が科されるリスクがあります。報告手順を整備しておきましょう。さらに重要なのは、従業員に次のトレーニングを行うことです:
それは明白です。GDPR コンプライアンスは時間がかかり、コストがかかります。2018 年 5 月 25 日までの間に、英国の中小企業は GDPR の準備にそれぞれ約 600 時間を費やしました。これは、金銭的な負担は考慮していません。世界全体では、中小企業は GDPR 対応のために $130 万を費やしています。同様に、コンプライアンス違反は、最終損益に極めて大きな影響を与える可能性があります。初の GDPR 事例では、ドイツのソーシャル ネットワークが、ユーザーの個人データを安全に保管しなかったために、ハッカーに 33 万件のメール アドレスとパスワードを盗まれたとして 2 万ユーロ (約 $22,600) の罰金を科されました。これを負担と感じるかもしれませんが、GDPR へのコンプライアンスは小規模企業にプラスの影響も与えています。その理由は次のとおりです。消費者がプライバシーをこれまで以上に重視しているのは明らかです。そして、情報を共有する企業にも同様の意識を求めています。最近の調査では、米国の消費者の 69% が、米国でも GDPR のような法律を施行してほしいと述べています。さらに重要なことに、CMO Council の調査では、GDPR に対応した会員は、消費者からのエンゲージメント、ロイヤルティ、信頼が向上していることがわかりました。明らかに、GDPR は、単に罰金を逃れるために従う必要がある規則ではありません。同意なしに個人情報が収集されることを好む人はいません。または、犯罪者が手に入れられる場所に保管されることも同じです。そのため、GDPR コンプライアンスを達成するための措置を講じることで、顧客のプライベート データを重視している中小企業だという印象を与えることができます。これにより、競合他社よりも優位に立てる可能性があります。
Marin は、Microsoft のマーケティング チームの一員であり、起業家によるビジネスのより適切な始動、管理、成長を実現する方法を確かめることに熱中しています。
ビジネス インサイトとアイデアは、専門家による税務または財務の助言ではありません。税務または財務の現状についての相談をご希望の場合は、お客様の顧問である専門家にお問い合わせください。
Microsoft 365 をフォロー