GDPRとは？具体的な対応方法、おすすめのプラグインをご紹介！

本記事ではGDPRの概要と実装方法について、分かりやすく解説します！

EUでは、個人情報の保護という基本的人権の確保を目的とした GDPR(一般データ保護規則)が、2018年5月に適用されました。

グローバルビジネスを展開する多くの日本企業も GDPRの対象となるのだが、対策を完了している企業はまだ少ないようです。

1. GDPRとはEEAから個人情報を移転するための規則

GDPR（EU一般データ保護規則）とは、EUを含む欧州経済領地域内(EEA)で取得した「氏名」や「クレジットカード番号」「メールアドレス」などの個人情報をEEA以外の第三国に移転するために定められた法的規則のことです。

また、EUデータ保護指令がEU加盟国による法制化を要するのに対して、 GDPRはEU加盟国に直接効力を持ちます。

昨今では、AIやビックデータ、人工知能などの普及が急激に進んでおり、無記名の個人データを利用した新たなビジネスサービスの提供などが拡大しています。無記名の個人データであっても、個人データと紐づいてしまうと人権が侵害される危険性があります。 GDPRはそうした状況に対する規制を行う先進的な見本にもなっています。

1-1. 規制に関する6つの重要なポイント

・本人が個人データの管理者に自身の個人データの削除を要求できる
・自身の個人データを簡単に取得でき、別のサービスで再利用できる
・個人データの侵害を迅速に知ることができる
・サービスやシステムはデータ保護の観点で設計され、データ保護されることを基本概念とする
・法令違反時の罰則強化
・監視、暗号化、匿名化などのセキュリティ条件の明確化

GDPRの条文の仮日本語訳を掲載しておきます。
一般データ保護規則(GDPR)の条文
個人情報保護委員会

1-2. GDPRによる日本企業への影響

GDPRの適用対象は、企業だけではなく、官公庁自治体及び、非営利法人なども含まれます。

大手企業から中小企業まで規模の大きさを問わず、全ての企業が対象であり、インターネット取引などでEEA所在者の顧客データを取得・移転する場合、適用対象となります。

【日本企業において GDPRへの対策が必要となる企業】
・EUに子会社や支店、営業所を所有している企業
・日本からEUに商品やサービスを提供している企業
・EUから個人データ処理の委託を受けている企業など

EU内で個人データを収集し、日本国内で扱う場合は GDPRに基づいたデータ処理が必要となります。

GDPRに違反した場合は、違反企業に対して厳しい罰則を科されるリスクがあります。制裁金の上限額は2000万ユーロ(約28億円)、または該当企業における全世界年間売上の4％のいずれか高い方と定められています。違反を防ぐためにも、企業規模の大小に関わらず適切に取り組んでいくべき課題だと言えます。

2. GDPRに則りCookie同意を実装するために必要な対応

GDPRに則り「Cookie同意」を実装するにあたって、以下の対応が必要です。

・初めてサイトを訪問した時に通知を表示する
・個人データ取得のオプトアウト(拒否)を可能にする
・必要に応じて個人データ取得の明示的なオプトインを可能にする
・上記の選択を一定期間保存しておき、次以降からは通知を表示しない

上記により様々な仕組みが必要であり、 GDPRはクッキーを利用する際の同意を得る手順を踏むように求めています。

具体的な実装方法

【WordPress】

WordPressで作成されているサイトであれば、プラグインで実装するのが一番簡単です。

いくつも Cookieのプラグインはありますが、おすすめは以下のプラグインです。

（下のボタンからリンクに飛べます↓）

ウェブサイトバナーのカスタマイズから、Webアプリケーションで自動コンプライアンス機能と強化された設計制御を提供する同意管理プラットフォームです。

【WordPress以外のサイト】

WordPressではないサイトでは、jQueryでの対応となります。

おすすめのプラグインは以下となります。

（下の画像からリンクに飛べます↓）

※そもそもjQueryとは？
jQueryはWebサイト制作やWebサービスを作成する上で必要となるJavaScriptのためのライブラリです。「ライブラリ」とは、ある程度まとまったプログラムが作成されているファイルのことです。jQueryはJavaScriptを使いやすいように拡張してくれます。

3. まとめ

インターネットが当たり前に普及している現代ですが、「個人」に紐づけられるデータの取り扱いには注意を払う必要があります。

企業のグローバル化が進んでいる今、世界各国の法律も蔑ろにはできません。また、EUでのGDPRの施行は世界全体の企業において、長期的な企業成長や戦略実現に向けて、個人データの取り扱いにより慎重になりました。

現段階でGDPRに直接関係が無いとしても個人データの取り扱いを十分に考えてサイトを作る必要があり、今後のセキュリティ技術やITリテラシーの進展についても考えなければなりません。