グローバルビジネスをするなら押さえるべきGDPRとCCPA。日本企業の対応例も

Kenichiro Harashima

2022.03.02

個人情報と聞いて、何が思いあたりますか？

「個人情報保護法」では、「個人情報」を次のように定義しています。

「個人情報」とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）をいう。
※引用元：個人情報保護委員会事務局

つまり、名前・住所・電話番号・年齢・国籍・性別・カード番号・個人番号（マイナンバー）・パスポートナンバーなどですね。

個人情報保護法は、日本で個人情報を取り扱うすべての組織、団体を対象とした法律になります。企業の場合、お客様情報だけでなく社員の情報も対象となります。これは死者の情報も同様とのこと。ただし、歴史上の人物は対象外のようです。

これに対し日本の各企業では、個人情報保護方針（プライバシーポリシー）ページをWebサイトに設置し利用者に対して公開することが推奨されています。

では、日本以外の利用者が対象である場合に、上記の対応のみで問題ないのでしょうか？ 答えはNOです。世界では、さらに厳しい規制があるようです。そこで今回は昨今話題となっている「CCPA」「GDPR」について日本の個人情報保護法と比較しながらご説明します。

GDPR・CCPAってなに？
- GDPRとは
- CCPAとは
日本の個人情報保護法と異なる点は？
国内企業の対応例
CCPAの規制対象となる企業とは
最後に

GDPR・CCPAってなに？

GDPRとは

「EU 一般データ保護規則（General Data Protection Regulation））」

略してGDPRと呼ばれており、同法は2018年5月25日から施行されています。EU域内（アイスランド、ノルウェー、リヒテンシュタイン含む）の個人情報の取り扱いに関する規則です。

CCPAとは

「カリフォルニア州消費者プライバシー法（California Consumer Privacy Act）」

略してCCPAと呼ばれており、同法は2020年1月1日から施行されています。アメリカ、カリフォルニア州内の個人情報の取り扱いに関する規則です。

日本の個人情報保護法と異なる点は？

日本の個人情報保護法

対象

個人を特定できる情報（氏名、住所、電話番号、個人番号など）。

パーミッション

プライバシーポリシーの明示。

管理体制

適切な管理。

罰金

2022年4月1日より法改正により、1年以下の懲役又は100万円以下の罰金に処することを定めました。

GDPR

対象

EUを含む欧州経済領域（EEA）域内で取得した個人情報に加え、IPアドレス、Cookie、IDFA、AAID等を含むあたりが厳格です。
※IDFA (Identifier for Advertisers) は、Appleがユーザーの端末にランダムに割り当てるデバイスIDです。
※AAID（Google Advertising ID）は、GoogleがAndoreidユーザーの端末にランダムに割り当てるデバイスIDです。