GDPRとは何か？Cookie同意ポップアップが表示される理由をわかりやすく解説

現代において、データはかつてないほど私たちの生活に深く関わっています。日常的に使うオンラインサービスからショッピングモールに至るまで、膨大なデータが日々収集されており、その管理を誤ればプライバシー侵害につながり、生活の質を損なう恐れがあります。

だからこそ、GDPR（EU一般データ保護規則）のようなデータ保護規制が重要なのです。

GDPRがもたらした大きな変化の一つは、ウェブサイトにおけるポップアップの使い方に見られます。「GDPRとは何か」「なぜウェブサイトで自分のデータに関するポップアップが表示されるのか」と疑問に思っている方にとって、この記事はきっと役立つでしょう。

GDPRとは？

GDPRは2016年に欧州委員会によって起草されました。2018年に発効し、EU市民が自身の個人データをより細かくコントロールできるようにするためのルールを定めています。発効以来、EU域外の国々でも適用が広がっており、GDPRの影響力はますます強まっています。

GDPRの7つの基本原則

GDPRの目的は、市民と企業の双方がデジタル経済の恩恵を公平に受けられるようにすることです。EUによると、GDPRは加盟国間でデータ保護法制を「調和」させ、個人により高度なデータ保護とプライバシーの権利を提供することを目指しています。

GDPRは7つの基本原則に基づいており、その一部は従来のデータ保護ルールにも存在していました。7つの原則は以下の通りです。

• 適法性・公平性・透明性
• 目的の限定
• データ最小化
• 正確性
• 保存期間の限定
• 完全性および機密性（セキュリティ）
• 説明責任

データ管理者とデータ処理者

GDPRは、データ管理者（コントローラー）とデータ処理者（プロセッサー）が遵守すべきものとされています。管理者とは、個人データの処理目的および手段について管理権限を持つ組織のことです。GDPRでは、個人データを「なぜ」「どのように」処理するかを決定する企業が管理者と分類されます。

場合によっては、複数の組織が共同で処理の目的と手段を決定する際、「共同管理者」とみなされることがあります。

例えば、2つの企業が自社製品を販売するウェブサイトを共同で構築し、顧客データを共有するケースが挙げられます。この場合、両社は提供するサービスと共通プラットフォームの関係から、共同管理者に分類される可能性があります。

一方、データ処理者とは、管理者のために個人データを処理する個人または組織のことです。例えば、クライアントの顧客の個人データを使い、その指示に基づいてデジタルマーケティング素材を作成する印刷会社などが該当します。

GDPRの下では、管理者と処理者は規則を遵守しなければなりません。違反した場合、巨額の罰金や評判の低下といった深刻な結果を招く可能性があります。これらの規制は、管理者と処理者が個人データをどのように収集・利用するかに焦点を当てたものです。

個人データとは

GDPRにおいて、個人を特定できるデータは「個人データ」とされます。多くの場合、個人データはオンライン上の識別子、または身体的・心理的・遺伝的・精神的・商業的・文化的・社会的アイデンティティを表す特性を伴う形で存在します。

個人データはGDPRの中核的な要素です。GDPRが適用されるのは個人データの利用のみだからです。現行の法制下で個人データと分類されうるデータには、以下のようなものがあります。

• 氏名
• 識別番号
• 位置情報
• 住所
• クレジットカード番号
• アカウント情報
• ナンバープレート
• 顧客番号

特別カテゴリーの個人データ

特別カテゴリーの個人データには、一般的な個人データよりもはるかに高い保護基準が課されます。特別カテゴリーには以下が含まれます。

• 遺伝情報
• 生体認証情報
• 医療・健康情報
• 政治的意見
• 宗教的または思想的信念
• 労働組合の所属情報
• 人種・民族的出身を明らかにする個人データ

GDPRは透明性を非常に重視しており、そのためウェブサイト運営者に対し、保護対象データを利用する前にユーザーの同意を得ることを義務付けています。

なぜデータやCookieの同意ポップアップが表示されるのか？

ウェブサイトにアクセスすると、デバイスにCookieファイルが保存されることがあります。このファイルには、そのウェブサイトとユーザー本人に関する情報が含まれており、ウェブサイトは保存した情報をもとに、ユーザー一人ひとりに合わせた体験を提供できます。

Cookieファイルには、GDPRによって保護されうる個人情報が含まれる場合があります。そのため、ウェブサイトはCookieでデータを収集する前に、必ずユーザーの同意を得なければならないのです。

一部のウェブサイトでは、すべてのCookieに同意しないとサイトを利用し続けられない場合があります。また、許可するCookieの種類を細かく選択できるサイトもあれば、情報収集自体を行わない、あるいはCookieバナーへの対応を求めるサイトもあります。

なぜ英国にGDPRは適用されないのか？

英国がBrexit移行期間（EUからの離脱プロセスの一環）を完了した後、GDPRは英国に直接適用されなくなりました。英国はEU加盟国ではなくなったためです。ただし、この規制は今なお、間接的な形で英国のデータ保護に影響を与え続けています。

2019年のDPPEC（データ保護・プライバシー・電気通信）規則を通じて、GDPRの一部要件が英国の2018年データ保護法（DPA 2018）に組み込まれました。英国はEUのGDPR要件とDPA 2018を統合し、「UK GDPR」と呼ばれる新しいデータ保護ルールを創設しました。

GDPRと世界各国の類似規制

GDPRと同様の条項を含むデータプライバシー法が、世界各地で相次いで導入されています。その結果、特に欧州諸国を中心に、これまで以上に多くの地域でGDPRに準拠した法律・規制が整備されつつあります。

ブラジルのLGPD（個人情報保護一般法）は、GDPRを直接的なモデルとして制定されたものです。同法は、ブラジルで事業を行いたい企業に対しデータ保護規制への遵守を求め、違反者には罰金を科します。LGPDにおける個人情報の定義は、GDPRの定義とほぼ共通しています。

米国では各州が独自のプライバシー法を持っています。中でもカリフォルニア州消費者プライバシー法（CCPA）は、米国で最も厳格なデータプライバシー規則を含んでおり、多くの条項がGDPRと重複しています。GDPRが企業にウェブサイト上でCookieなどのトラッキング技術への同意を求めるよう義務付けるのに対し、CCPAは「Do Not Sell My Info（私の情報を販売しないで）」というリンクの設置を企業に義務付けている点が特徴です。

なお、GDPR導入以前から、多くのEU加盟国には類似のルールを含む規制が存在していました。多くのEU諸国では、GDPR適用前にデータ保護ルールになかった唯一の原則が「説明責任」だったのです。

個人の権利を守るために

99の個別条項からなるGDPRは、世界で最も強力なデータ保護規則とされています。

他地域の規制と比較すれば、その理由は明らかです。GDPRは既存の規制を土台としながら、個人の権利を保護するためのさらなるルールを追加しています。GDPRはデータプライバシー保護のプロセスを大きく簡素化し、その結果、匿名性の高いウェブサイトでさえ、Cookieでデータを収集する前にポップアップでユーザーの同意を得ることが当たり前となったのです。