プライバシー法規制とは（全体像）
プライバシー法規制は、個人情報という大切なものを、本人の意に反して勝手に扱わせないためのルール。国や地域ごとに法律がある。
代表が、日本の個人情報保護法と、EUのGDPR。とくにGDPRは、EUの人のデータを扱うなら、世界中のどの企業にも適用されるという強い特徴を持つ。だから、EUにいる人を相手にする日本の企業にも関わってくる。
押さえるのは、GDPRの適用範囲と制裁金、そして本人の権利だ。
詳しく：日本とEUの法を押さえる
ここが心臓部。日本とEUの代表的な法を整理する。
代表的なプライバシー法規制
| 法 | ポイント |
|---|---|
| 個人情報保護法（日本） | 2022年改正で漏えい報告の義務化・仮名加工情報の創設など |
| GDPR（EU） | EU居住者のデータを扱えば全世界に適用。制裁金が高額 |
| CCPA／PIPL など | 米カリフォルニアや中国など、各国・各地域にも法がある |
GDPRで特に問われる点を整理する。
GDPRのポイント
| 項目 | 内容 |
|---|---|
| 適用範囲 | EU企業だけでなく、EU居住者のデータを扱う全世界の企業に適用 |
| 制裁金 | 最大2000万ユーロか、世界売上の4%の、高い方 |
| 本人の権利 | アクセス・訂正・削除・ポータビリティ・反対 など |
言葉を噛み砕いておく。
- GDPRは全世界に適用 … 「EUの企業だけのルール」ではない。EUにいる人のデータを扱えば、日本の企業にも適用される。
- 制裁金の決め方 … 「最大2000万ユーロ」と「世界売上の4%」のうち、高い方が上限。大企業ほど重くなる。
- 本人の権利 … 自分の情報について「見せて（アクセス）・直して（訂正）・消して（削除）・持ち出して（ポータビリティ）・使わないで（反対）」と言える権利がある。
わかりやすく言い換えると
つまり、プライバシー法規制は「大切な持ち物を、勝手に扱わせないルール」にたとえるとスッと入る。
個人情報は本人の大切な持ち物。これを勝手に集めたり・使ったり・漏らしたりさせないよう、国ごとに法律で守っている。日本は個人情報保護法で、2022年の改正で「漏れたら報告する義務」などが加わった。
EUのGDPRで大事なのは、「EUの人を相手にするなら、世界のどの会社にも当てはまる」という点と、破ったときの制裁金が非常に高いこと。そして本人には、自分の情報を見せて・直して・消してなどと求められる権利がある、というわけだ。
試験のツボ
🔴 一番出る：GDPRの適用範囲
①EU企業だけでなく、EU居住者のデータを扱う全世界の企業に適用
②日本の企業でもEUの人を相手にすれば関わる
🔴 次に出る：制裁金と本人の権利
①制裁金は最大2000万ユーロか世界売上の4%の高い方
②本人の権利＝アクセス・訂正・削除・ポータビリティ・反対
🟡 押さえると安定：日本は個人情報保護法（2022改正で漏えい報告の義務化など）
よくある間違い
①「GDPRはEUの企業だけが守ればよい」→ ✗ EU居住者のデータを扱えば、世界中の企業に適用される。日本の企業も対象になりうる。
②「GDPRの制裁金はどんな場合も一律で少額だ」→ ✗ 最大2000万ユーロか世界売上の4%の高い方が上限。大企業ほど重くなる。
③「個人情報保護法は一度作られてから変わっていない」→ ✗ 2022年の改正で漏えい報告の義務化などが加わり、見直されている。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（GDPRの適用範囲）
GDPRに関する次の記述のうち、正しいものはどれか。
- GDPRはEUの企業だけが守ればよいルールで、EU以外の企業にはいっさい適用されないとされているのである
- GDPRは通信を速くするための技術規格のことで、個人情報の保護とはまったく関係がないとされているのだ
- GDPRは紙の書類の配送方法を定めたルールで、データの扱いとは関係しないとされているのが実情である
- GDPRはEU居住者のデータを扱えば全世界の企業に適用され、日本の企業も実際に対象になりうるものである
解答は 4 である。
GDPRは、EU居住者のデータを扱えば全世界の企業に適用される。だから、EUの人を相手にする日本の企業も対象になりうる。「EU企業だけ」ではない点が大事だ。
選択肢1は「EU企業だけ」が誤り。選択肢2の技術規格、選択肢3の書類配送は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | EU企業だけでなく全世界に適用 |
| 2 | ✗ | 通信の技術規格ではない |
| 3 | ✗ | 書類の配送方法ではない |
| 4 | ✓ | EU居住者データで全世界適用で正しい |
オリジナル問題2（制裁金）
GDPRの制裁金に関する次の記述のうち、正しいものはどれか。
- 制裁金は最大2000万ユーロか世界売上の4%のうち、高い方が上限とされ、大企業ほどより重くなりうる
- 制裁金はどんな違反でも一律で千円と決まっており、企業の規模によって変わることはないとされているのだ
- 制裁金という考え方はGDPRにはいっさいなく、違反しても金銭的な責任は問われないとされているのである
- 制裁金は通信の速度に応じて自動で決まるしくみで、個人情報の扱いとは関係しないとされているものである
解答は 1 だ。
GDPRの制裁金は、最大2000万ユーロか、世界売上の4%のうち、高い方が上限。大企業ほど重くなりうる、という決め方だ。
選択肢2は「一律で千円」が誤り。選択肢3は「制裁金はない」が誤り。選択肢4は「通信の速度で決まる」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 2000万ユーロか売上4%の高い方で正しい |
| 2 | ✗ | 一律で千円ではない |
| 3 | ✗ | 制裁金の考え方はある |
| 4 | ✗ | 通信の速度で決まるのではない |
オリジナル問題3（本人の権利と個情法）
個人情報の保護に関する次の記述のうち、正しいものはどれか。
- 本人には自分の情報に関する権利はいっさいなく、企業が自由に扱ってよいとされているのが実情である
- 個人情報保護法は一度作られてから一度も改正されておらず、内容は昔のままだとされているものである
- 本人にはアクセス・訂正・削除などの権利があり、日本の個人情報保護法も2022年に改正されている
- 個人情報の保護はGDPRだけの話で、日本には個人情報を守る法律はいっさい存在しないとされているのだ
解答は 3 だ。
本人には、自分の情報についてアクセス・訂正・削除などを求める権利がある。日本の個人情報保護法も2022年に改正され、漏えい報告の義務化などが加わった。
選択肢1は「権利はない」が誤り。選択肢2は「改正されていない」が誤り。選択肢4は「日本に法律がない」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 本人には権利がある |
| 2 | ✗ | 2022年に改正されている |
| 3 | ✓ | 本人の権利・2022改正で正しい |
| 4 | ✗ | 日本にも個人情報保護法がある |
まとめ
押さえどころ
- 🔴 プライバシー法規制 ＝ 個人情報を勝手に扱わせないルール。日本は個人情報保護法（2022改正）、EUはGDPR。
- 🔴 GDPRはEU居住者のデータを扱えば全世界に適用（EU企業だけではない）。制裁金は最大2000万ユーロか世界売上の4%の高い方。
- 🟡 本人の権利＝アクセス・訂正・削除・ポータビリティ・反対など。
次に学ぶ
- セキュリティガバナンス（ISO 27001・NIST CSF） ── 法を守る土台になる、組織のセキュリティ管理のしくみ。
- ゼロトラスト認証（条件付きアクセス） ── 個人データを守るための、現代の守りの考え方。
- ランサムウェア（RaaS・四重脅迫） ── 個人データの漏えいにもつながる、組織の大きな脅威。
執筆: SikakuQuest編集部