GDPRとは？対象となる個人データと日本の個人情報保護法との違い・企業の対応

GDPR（General Data Protection Regulation、EU一般データ保護規則）は、EU域内の人の個人データの取扱いを定めたEUの規則です。2016年4月27日に採択され、2018年5月25日から適用されています。EUに拠点が無い日本企業でも、EUの人に商品やサービスを提供している場合や、EU域内での行動を追跡している場合には直接適用されます。この記事では、GDPRが「個人データ」とみなす範囲、第5条の基本原則、日本企業に適用される条件、企業が負う義務と期限、制裁金の実例、日本の個人情報保護法との違い、GDPRの「認証」の実態を条文に沿って整理します。条文の引用は、個人情報保護委員会が公開しているGDPR条文の仮日本語訳（原文併記）と前文の仮日本語訳に基づいています。

まとめ：GDPRの要点と日本企業が最初に確認すべきこと

GDPRは本文99条・前文173項からなり、加盟国の国内法を介さず直接適用されます。日本企業にとって最初の分かれ目は「自社が適用対象かどうか」で、判断材料は第3条の3つの経路（EU域内の拠点／EUの人への商品・サービス提供／EU域内での行動の監視）です。

• 個人データには、氏名やメールアドレスに加え、IPアドレスやCookie識別子などのオンライン識別子も含まれます（第4条1号・前文30）。
• すべての処理は第5条の原則（適法性・公正性・透明性、目的の限定、データの最小化、正確性、記録保存の制限、完全性及び機密性、アカウンタビリティ）に従い、第6条の6つの根拠のいずれかを必要とします。
• 本人からの権利行使には原則1か月以内に回答し（第12条3項）、個人データ侵害が起きた管理者は、リスクが生じるおそれがない場合を除き、不当な遅滞なく、可能な限り気づいてから72時間以内に監督機関へ通知します（第33条）。
• 制裁金の上限は2,000万ユーロまたは全世界年間売上高の4%のいずれか高い額です（第83条5項）。2026年9月21日にはGoogleが位置情報の扱いで4億300万ユーロを科されました。
• 日本は2019年1月23日にEUから十分性認定を受けており、EUから日本への移転には、補完的ルールを守ればSCC（標準契約条項）などの移転用の保護措置が要りません。
• 「取得すればGDPRに準拠したことになる」認証はありません。第42条の認証（欧州データ保護シールなど）は任意で、取得しても管理者・処理者の責任は軽くなりません。

GDPRの定義と成立までの経緯

正式名称は「個人データの取扱いと関連する自然人の保護に関する、及び、そのデータの自由な移転に関する、並びに、指令95/46/ECを廃止する欧州議会及び理事会の規則（EU）2016/679」です。加盟国ごとに国内法を要した1995年のデータ保護指令（95/46/EC）と違い、「規則（Regulation）」なので第99条のとおり「全ての加盟国において直接に適用可能」です。

対象地域は正確にはEU加盟27か国に、EEA協定によりアイスランド・リヒテンシュタイン・ノルウェーを加えた範囲です。EUを離脱した英国は、国内法化した「UK GDPR」を別に運用しています。

GDPRが対象とする個人データと日本の「個人情報」との範囲の差

第4条1号は、個人データを「識別された自然人又は識別可能な自然人に関する情報」と定義し、識別子の例として「氏名、識別番号、位置データ、オンライン識別子」を挙げています。前文30はさらに、IPアドレス、Cookie識別子、無線識別タグ（RFID）を名指しし、これらが他の情報と組み合わさると個人のプロファイル作成や識別に使われうると説明しています。

Cookie IDとIPアドレスの扱いの違い

日本の個人情報保護法では、Cookie IDや閲覧履歴は単体では通常「個人関連情報」にとどまり、個人情報として扱うのは他の情報と容易に照合して特定の個人を識別できる場合です。GDPRでは、直接氏名が分からなくても、他の情報を使って間接的に識別できれば個人データに入ります。広告タグやアクセス解析の設計では、日本法とGDPRで個人データとして扱う範囲をそれぞれ確認します。個人を特定できる情報の分類はPII（個人を特定できる情報）の定義と個人情報との違いでも整理しています。

特別な種類の個人データと要配慮個人情報の違い

第9条1項は、人種・民族的出自、政治的意見、宗教・思想上の信条、労働組合への加入、遺伝データ、本人を一意に識別するための生体データ、健康データ、性生活・性的指向に関するデータの取扱いを原則として禁止しています。日本の要配慮個人情報には労働組合への加入と性生活・性的指向が含まれていません。そのため個人情報保護委員会は、EU・英国から十分性認定に基づいて受け取った個人データにこれらの情報が含まれる場合、要配慮個人情報と同様に扱うよう「補完的ルール」で定めています。

GDPRの7つの基本原則（第5条）と違反認定の実例

第5条は、個人データの取扱い全体にかかる原則を1項(a)〜(f)と2項で定めています。違反した場合の制裁金は、上限が高い側（第83条5項）に置かれています。

原則は抽象的な理念ではなく、そのまま違反認定の理由になります。アイルランドのデータ保護委員会（DPC）の制裁金一覧によると、DPCは2026年9月21日、Googleの位置情報の処理（「ウェブとアプリのアクティビティ」「ロケーション履歴」「位置情報の精度」の3機能、2018年5月25日〜2020年2月4日）について4億300万ユーロの制裁金を科しました。DPCが挙げた違反は、処理の適法性と公正性、透明性の義務、遵守を証明できなかったアカウンタビリティの義務、必要以上の位置情報の保存の4点で、表の(a)(e)と2項に当たる論点です。2項のアカウンタビリティは「守っていると示せる」ことまで求めるので、後述の処理活動の記録（第30条）が無い企業は調査でそれだけ不利になります。

日本企業にGDPRが適用される3つの経路と判定の目安

第3条は、GDPRが適用される経路を3つ定めています。1つ目はEU域内の拠点（子会社・支店など）の活動に伴う取扱いで、処理がEU域外で行われていても適用されます（第3条1項）。2つ目と3つ目はEU域内に拠点が無い事業者が対象で、EU域内のデータ主体への商品・サービスの提供（有償・無償を問わない）と、EU域内で行われる行動の監視です（第3条2項）。

「EU向けの提供」と判断される要素（前文23）

日本企業で判断が分かれるのは2つ目の経路です。前文23は、EUからWebサイトやメールアドレスに「アクセスできるということ」や、自国で一般的に使われている言語を使っていることだけでは提供の意図を認めるのに「不十分」としています。一方で、加盟国で一般的に使われている言語と通貨で注文できることや、EU域内の消費者への言及があることは、EUの人への提供を想定している根拠になりうると書いています。多言語化やユーロ決済を伴う越境ECを始めるときは、越境ECサイト構築の進め方の要件整理とあわせてこの判定を先に行います。

3つ目の行動の監視について前文24は、インターネット上で追跡されているかどうか、特に嗜好や行動を分析・予測するプロファイリングに使われるかを確認するよう求めています。保護の対象は国籍ではなく「EU域内にいる人」です。日本に住むEU国籍の人のデータを国内で扱うだけでは、この経路に当たりません（EU拠点の活動に伴う処理なら第3条1項で適用されえます）。

GDPRが適用されない取扱い（第2条2項）

第2条2項は、EU法の適用範囲外の活動、加盟国によるEU条約第5款第2章の活動、自然人による「純粋に私的な行為又は家庭内の行為」、所管官庁による犯罪の防止・捜査・訴追や刑罰の執行のための取扱いを対象外としています。個人が私的に使う連絡先は対象外でも、同じ連絡先を事業に使えば除外は効きません。企業の取扱いがこれに当たることは、まずありません。

EU域内代理人の指定（第27条）

第3条2項で適用される事業者は、書面でEU域内の代理人を指定しなければなりません（第27条1項）。免除されるのは、公的機関と、処理が一時的なもので、特別な種類のデータや有罪判決・犯罪行為に関する個人データ（第10条）の取扱いを大量に含まず、かつ権利・自由へのリスクが生じる可能性が低い場合に限られます（同2項）。EU向けに継続的に販売している企業がこの免除に当たることはまずなく、代理人を置かないまま運営しているのは典型的な見落としです。

処理の適法性を支える6つの根拠と同意の条件

第6条1項は、次のいずれかに当てはまる場合に限って処理を適法としています。

1. 本人の同意
2. 本人が当事者となる契約の履行（契約前の手続きを含む）
3. 管理者が負う法的義務の遵守
4. 本人または他の人の生命に関わる利益の保護
5. 公共の利益または公的権限の行使
6. 管理者または第三者の正当な利益（本人の利益が優越する場合を除く）

実務で「何でも同意を取る」のは誤りです。注文処理なら契約の履行が根拠になります。法的義務を根拠にできるのは、第6条3項によりEU法または加盟国の国内法が定める義務に限られるため、日本法の帳簿保存義務をそのまま当てはめることはできません。処理を同意に頼ると、撤回された時点で処理を止めなければなりません。第7条は、同意を取ったことを管理者が証明できること、同意の依頼を他の事項と区別して分かりやすく示すこと、撤回を同意と同じくらい容易にすることを求めています。同意ボタンだけを目立たせて撤回の手段を奥の画面に隠す設計は、この第7条の要件と相容れません。日本側では、電気通信事業者や一定のWebサービスを提供する事業者が、電気通信事業法の外部送信規律により、利用者への通知・公表、同意の取得、オプトアウトの提供のいずれかを別に求められます。自社が対象に当たるなら、同意画面はGDPRの同意要件と両方を満たす形で作ります。

データ主体の権利と1か月の回答期限

第15条から第22条は、本人が管理者に行使できる権利を定めています。第12条3項により、管理者は請求を受けてから1か月以内に対応状況を回答しなければならず、請求が複雑または多数なら2か月の延長ができます（延長する場合も1か月以内に理由を伝える必要があります）。

システム側では、特に第17条の消去と第20条のデータ移行に備えたデータ管理・出力手順を確認します。第17条の削除請求に1か月で応えるには、本人のデータがどのテーブル・ログ・外部サービスにあるかを整理しておきます。第20条は、同意または契約を根拠に自動化された手段で処理する場合に、本人が提供した個人データを機械可読な形式で受け取り、移行できる権利を定めています。対象データをCSVやJSONなどで提供できる手順を整えますが、特定の形式や専用の書き出し機能までは指定していません。

企業に課される主な義務：侵害通知・記録・DPO・DPIA

個人データ侵害の72時間通知（第33条・第34条）

個人データ侵害が起きた場合、管理者は権利・自由へのリスクが生じるおそれがない場合を除き、不当な遅滞なく、可能な限り侵害に気づいた時から72時間以内に所轄の監督機関へ通知しなければなりません。72時間を過ぎた場合は遅延の理由を付します。起算点は発生時ではなく「気づいた時」です。処理者は侵害を認識した後、不当な遅滞なく管理者へ通知します（第33条2項）。本人に高いリスクが生じるおそれがある場合、管理者は第34条3項の例外に当たらない限り、本人にも不当な遅滞なく通知します。日本の個人情報保護法では、個人情報保護委員会への速報は発覚から概ね3〜5日以内、確報は30日以内（不正の目的によるおそれがある場合は60日以内）で、GDPRのほうが初動の期限が短い設計です。日本側の報告の対象と手順は個人情報保護委員会への報告義務の実務にまとめています。

処理活動の記録と「250名未満」例外の限定（第30条）

管理者は、処理の目的、データ主体と個人データの種類、提供先、第三国への移転、削除の予定期限などを記録しなければなりません（第30条1項）。処理者は、委託元の管理者ごとに、代わりに行う処理の種類や第三国への移転などを記録します（同2項）。第30条5項には従業者250名未満の企業・組織を除外する規定がありますが、その処理が権利・自由へのリスクを生じうる場合、一時的でない場合、特別な種類のデータや有罪判決・犯罪行為に関するデータを含む場合は、その処理について記録義務が免除されません。顧客データベースの継続的な運用は「一時的でない」処理に当たるため、中小企業でもその処理は記録の対象になります。

DPOの選任条件（第37条）

データ保護オフィサー（DPO）の選任が義務になるのは、公的機関の場合、中心的業務が大規模かつ定期的・系統的な監視である場合、中心的業務が特別な種類のデータや有罪判決・犯罪行為に関するデータ（第10条）の大規模な取扱いである場合です（第37条1項）。業種ではなく監視や処理の規模で判断するため、EC事業でも閲覧行動を大規模に追跡していれば該当しえます。これ以外でも、EU法や加盟国の国内法が求める場合は選任が必要です（同4項）。

DPIAの実施条件（第35条）とデータ保護バイデザイン（第25条）

新技術を使う処理などで権利・自由に高いリスクが生じるおそれがある場合は、処理を始める前にデータ保護影響評価（DPIA）を行います。第35条3項は、特に必要になる場面として、プロファイリングを含む自動処理に基づき法的効果や同様の重大な影響を及ぼす判断をする体系的かつ広範囲な評価、特別な種類のデータや犯罪関連データの大規模な取扱い、公衆がアクセスできる場所の大規模な監視、の3つを挙げています。AIによる与信審査や採用の自動選考は1つ目に当たりえます。第25条は、設計段階と初期設定の段階でデータ保護を組み込む「データ保護バイデザイン及びデータ保護バイデフォルト」を求めており、収集項目を必要最小限にした状態を初期値にすることなどが該当します。

越境移転のルールと日本の十分性認定

EU域外への個人データ移転は、第45条の十分性認定、第46条の標準契約条項（SCC）などの適切な保護措置、第49条の例外のいずれかに基づく必要があります。欧州委員会は2019年1月23日の実施決定（EU）2019/419で日本を十分性認定しており、日本の個人情報取扱事業者はEUから個人データを受け取る際、移転用の保護措置としてのSCCを結ぶ必要がありません。EU企業から処理の委託を受ける場合の第28条の契約は、これとは別の話です。また前提条件として、前述の補完的ルール（要配慮個人情報の範囲の拡張、再移転の制限など）を守る必要があります。

個人情報保護委員会の日EU間のデータ越境移転のページによると、2023年4月に第1回の共同レビューが完了し、欧州委員会は日本への十分性認定の継続を決めました。次のレビューはその後少なくとも4年ごとです。個人情報保護委員会の令和7年度年次報告は、対象を学術研究分野へ広げる協議が終わり、公的部門への拡大の協議を強めることになったと報告しています。

EUから米国への移転は、2023年7月10日に採択されたEU-US Data Privacy Framework（DPF）の十分性決定で、DPFに参加する米国企業に限って追加の手当てなしで行えるようになりました。この決定の取消しを求めた訴訟（Latombe v Commission、T-553/23）で、EU一般裁判所は2025年9月3日に請求を棄却しましたが、原告は司法裁判所へ上訴しています（C-703/25 P）。EU司法裁判所の事件台帳では2026年11月時点で係属中で、2026年6月4日にはMicrosoftが欧州委員会側での訴訟参加を認められています。日本企業がEUから受け取ったデータを米国のクラウドへ再移転する場合は、この枠組みと補完的ルールの両方を確認します。

GDPR認証は日本で取れるか：第42条の認証とPマーク・ISMSの違い

GDPRが用意している認証の仕組みは、第42条のデータ保護認証と第40条の行動規範の2つで、どちらも任意です。第42条は、認証が自由意思によるもので（3項）、管理者・処理者の遵守の責任を軽減しないこと（4項）、有効期間は最長3年で、要件を満たさなくなれば撤回されること（7項）を定めています。

監督機関や欧州データ保護会議（EDPB）が承認した基準による認証は実在します。EDPBの意見28/2022は2022年10月10日、民間の認証制度「Europrivacy」の基準を、EU共通の「欧州データ保護シール」（第42条5項）として初めて承認しました。2026年4月15日には、第3条2項でGDPRが適用されるEEA域外の管理者・処理者まで対象を広げた改訂版の基準（意見14/2026）と、データの輸入者が第46条の移転の保護措置として使うための追加基準（意見15/2026）が承認されました。通常の認証だけでは移転の保護措置にはならず、移転用の認証と、輸入者による拘束力があり執行可能な約束が必要です。行動規範では、クラウド事業者（処理者）向けの規範が2021年5月20日にベルギーのデータ保護機関に承認され、承認された規範への参加は第28条の「十分な保証」を示す材料に使えるとされています。

ISO/IEC 27701について、フランスの監督機関CNILはそれ自体は第42条にいうGDPR認証の手段に当たらないと説明しています。日本で普及しているPマークとISMSも、日本の個人情報保護法や情報セキュリティの管理体制を示す制度で、GDPRの適用判定や第30条の記録の代わりにはなりません。両者の違いはPマーク（プライバシーマーク）とISMSの違いで整理しています。

EU向けの事業が無い企業が、取引先への説明のためだけに欧州データ保護シールの取得を急ぐ必要はありません。認証を取っても責任は軽くならず、まず必要なのは適用経路の判定・処理活動の記録・第6条の根拠の割当てです。認証を検討する場面には、EU企業から処理者としての保証を求められる場合や、自社が管理者として行う処理の遵守を示す場合があります。取得の要否は、対象となる処理と取引上の要求から判断します。

制裁金の上限と執行の実例

第83条は違反の種類に応じて2段階の上限を定めています。管理者・処理者の義務（第8条、第11条、第25条〜第39条など）の違反は1,000万ユーロまたは全世界年間売上高の2%のいずれか高い額まで（第83条4項）、処理の基本原則・同意の条件（第5条〜第7条、第9条）、データ主体の権利、越境移転のルールの違反は2,000万ユーロまたは4%のいずれか高い額まで（同5項）です。売上高は直前の会計年度の全世界年間売上高を基準にします。

3件はいずれもアイルランドのDPCの決定です。TikTokへの決定の内訳は、中国への移転に関する第46条1項違反が4億8,500万ユーロ、透明性の義務である第13条1項(f)違反が4,500万ユーロです。DPCの制裁金一覧では、2026年9月21日更新時点の賦課累計額は44億4,183万2,000ユーロです。裁判所による確認前や不服申立て中の金額も含み、徴収済み額ではありません。共通する争点は「データがどこへ渡り、何のために、いつまで残るか」の説明と保護措置で、クラウドや委託先の所在国、ログの保存期間を把握していない企業にとって同じ種類のリスクです。

GDPRと日本の個人情報保護法の主な違い

日本でも課徴金制度を導入する改正法が公布されました。2026年7月17日に公布された令和8年改正個人情報保護法（令和8年法律第56号）は、個人情報保護委員会の改正法資料によると、違反行為で得た財産的利益等に相当する額の課徴金納付命令を導入するものです。算定方式は売上高に連動するGDPRの制裁金とは異なります。施行は一部を除き公布日から2年以内の政令で定める日です。改正の全体像は令和8年改正で企業対応がどう変わるかの解説に、日本法の基本は個人情報保護法の定義と事業者の義務にまとめています。

2026年11月時点の改正の動きとEUデータ法との違い

成立済みの関連規則として、越境事案の執行手続を揃える規則（EU）2025/2518が2025年11月26日に成立し、2025年12月12日にEU官報に掲載されました。適用は2027年4月2日からで、複数の加盟国にまたがる苦情の処理手順や、調査対象の企業が意見を述べる機会を定めるものです。企業の義務の中身は変わりません。

まだ確定していないのが、欧州委員会が2025年11月19日に提出した「デジタルオムニバス」の法案COM(2025) 837です。GDPR部分には、監督機関への侵害通知を高いリスクが見込まれる場合に限り、期限を72時間から96時間へ延ばす案や、個人データの概念の明確化、Cookieの規律をGDPRの枠組みへ移す案が含まれています。EU理事会は2026年10月21日に立場を採択しましたが、欧州議会の手続（2025/0360(COD)）は2026年11月4日時点で委員会の決定待ちです。成立前なので、現行の72時間ルールで運用します。提案の中身はデジタルオムニバスとは？EUのGDPR・AI Act簡素化パッケージの解説で、同じEUのサイバー報告義務はNIS2指令の対象と24時間報告で扱っています。

名前が似ている「EUデータ法（Data Act）」は、IoT製品が生み出すデータへの利用者のアクセス・共有の権利を定めた別の規則で、2025年9月12日から適用されています。非個人データも対象にし、個人データが含まれる場合はGDPRのルールがそのまま適用されます。

日本企業のGDPR対応の進め方と過剰対応を避ける判断

対応は次の順で進めると手戻りが少なくなります。

1. 前述の判定表で、第3条のどの経路に当たるかを確定する
2. 第3条によりGDPRの対象となる処理について、個人データがどのシステム・委託先・国にあるかを棚卸しし、第30条に基づく処理活動の記録にする
3. 処理ごとに第6条の適切な根拠を判定・記録し、同意を根拠とする場合は取得・撤回の手順を整える
4. 保存期間を決めて削除の仕組みを入れる（第5条1項(e)）
5. プライバシーポリシー（第13条の情報提供）と権利行使の受付窓口を整える
6. 72時間通知を前提にしたインシデント対応手順を作り、日本法の速報と一本化する
7. 第3条2項で適用される場合はEU域内代理人を書面で指定する

逆に、EU拠点が無く、EU向けの販売も追跡もしておらず、第3条の適用対象外と確認できた国内向け事業の企業が、GDPR準拠をうたうためだけにDPOの選任や代理人の契約まで進める必要はありません。優先すべきは日本の個人情報保護法と令和8年改正への対応です。海外のSaaSやクラウドを使うこと自体で、GDPR上の管理者の義務が生じるわけでもありません。注意が要るのは、EU企業から業務を受託して個人データを受け取る場合です。委託元の管理者は第28条に基づく処理者契約を結ぶ義務を負うため、受託側も契約を通じて同等の義務を求められるのが通常です。自社が委託する側に回るときの日本法の監督義務は委託先管理と個人情報保護法25条の監督義務で確認できます。

よくある質問

GDPRとは簡単に言うと何ですか？

EU域内の人の個人データを扱う事業者に、処理の根拠・本人の権利・漏えい時の通知などを義務づけるEUの規則です。2018年5月25日から適用され、違反には最大2,000万ユーロまたは全世界年間売上高の4%の制裁金が科されます。

GDPRは日本企業にも適用されますか？

EUに拠点がある場合、EUの人に商品・サービスを提供している場合、EU域内での行動を監視している場合に適用されます（第3条）。EUからWebサイトにアクセスできるだけでは提供の意図を認めるのに不十分とされ、EUの言語・通貨での注文受付やEU消費者への言及があるかが判断材料になります。

GDPRと日本の個人情報保護法の違いは何ですか？

GDPRはCookie IDなどのオンライン識別子も個人データに含め、処理ごとに第6条の根拠を求め、漏えいの通知期限を72時間とします。日本法はCookie IDを原則として個人関連情報とし、利用目的の特定と通知・公表が中心で、速報は概ね3〜5日以内です。

日本でGDPRの認証は取れますか？

「GDPR認証」という単一の公的制度はありませんが、第42条に基づく任意の認証として、EDPBが2022年に承認した欧州データ保護シール（Europrivacy）があります。2026年4月の改訂で、第3条2項でGDPRが適用される日本企業などEEA域外の管理者・処理者も対象に含まれました。取得しても遵守の責任は軽くならず、PマークやISMS、ISO/IEC 27701は第42条の認証ではありません。

GDPRに違反するとどうなりますか？

監督機関から是正命令や制裁金を受けます。上限は違反の種類により1,000万ユーロまたは売上高2%、2,000万ユーロまたは4%のいずれか高い額です。実例として、Metaが2023年に12億ユーロ、TikTokが2025年に5億3,000万ユーロ、Googleが2026年に4億300万ユーロの制裁金を科されています。

関連記事

• 個人情報保護法とは？定義・事業者の4つの義務・罰則を条文番号で解説【2026年10月時点】
• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる
• デジタルオムニバスとは？EUのGDPR・AI Act簡素化パッケージを日本企業向けに解説【2026年時点】
• NIS2指令とは？対象18分野・24時間報告・制裁金と日本企業が対象になる経路【2026年時点】
• PII（個人を特定できる情報）とは？読み方・piiデータの具体例と個人情報との違い