EUのGDPRの適用範囲

こんぷらいん

GDPRの適用範囲（第3条）

GDPRの適用範囲は、第3条に明示されています。この条文は、GDPRがどのような状況下で適用されるかを規定しています。

第3条 - 領域的適用範囲

  1. EU域内の取扱い（第3条第1項）

    1. この規則は、データ主体の居住地にかかわらず、欧州連合内における管理者または処理者の業務活動に関連して、個人データの取扱いに適用される。

      • 要点: GDPRは、EU内で事業活動を行う管理者（データコントローラー）や処理者（データプロセッサー）に適用されます。これは、企業がEU内に拠点を持っているかどうかにかかわらず、EU内で行われる個人データの処理すべてに適用されることを意味します。

  2. EU域外の取扱い（第3条第2項）

    1. この規則は、以下の場合において、欧州連合内に所在するデータ主体に対する個人データの取扱いに適用される： a) 商品またはサービスの提供（有償、無償を問わず） b) データ主体の行動の監視

      • 要点: EU外の企業であっても、EU内に所在するデータ主体（EU市民や住民）に対して商品やサービスを提供する場合、あるいはその行動を監視する場合には、GDPRが適用されます。例えば、オンラインショッピングサイトがEU内の顧客に商品を販売する場合や、ウェブサイトがEU内のユーザーの行動をトラッキングする場合が該当します。

  3. EU域内の管理者または処理者の指揮（第3条第3項）

    1. この規則は、欧州連合内に所在する管理者または処理者による指揮の下で行われる個人データの取扱いに適用される。

      • 要点: EU外の企業であっても、そのデータ処理活動がEU内の管理者または処理者の指揮の下で行われる場合には、GDPRが適用されます。これは、例えば、EU内の企業がEU外のサプライヤーにデータ処理を委託する場合などが該当します。


GDPRの適用範囲を具体例をベースに説明します。

1. EU内企業のデータ処理

例1:

  • 状況: ドイツに本社を持つオンライン小売企業が、EU全域に商品を販売しています。

  • 適用: この企業はEU内に拠点を持ち、EU内で商品を販売しているため、GDPRが適用されます。EU内の顧客の個人データ（名前、住所、支払い情報など）を処理する際には、GDPRの規定を遵守しなければなりません。

2. EU外企業のデータ処理（EU市民対象）

例2:

  • 状況: アメリカのソフトウェア企業が、フランスの消費者向けにアプリを提供しています。このアプリにはユーザー登録機能があり、ユーザーの個人情報を収集しています。

  • 適用: この企業はEU外に拠点を持っていますが、EU内の消費者（フランスのユーザー）に対してサービスを提供しているため、GDPRが適用されます。フランスのユーザーの個人データ（名前、メールアドレス、使用状況データなど）を処理する際には、GDPRに従う必要があります。

3. EU外企業の行動監視

例3:

  • 状況: 中国の広告技術会社が、欧州のウェブサイト訪問者の行動をトラッキングし、行動ターゲティング広告を提供しています。

  • 適用: この企業はEU外に拠点を持っていますが、EU内のウェブサイト訪問者の行動を監視しているため、GDPRが適用されます。この場合、訪問者の個人データ（IPアドレス、ブラウジング履歴など）を処理する際にGDPRの規定を遵守する必要があります。

4. EU内企業のデータ処理を委託

例4:

  • 状況: スペインの製造企業が、個人データの処理をインドのITサービスプロバイダーにアウトソースしています。

  • 適用: スペインの企業はEU内に拠点を持ち、インドのプロバイダーはEU内の管理者の指揮の下でデータ処理を行っています。このため、GDPRが適用されます。スペインの企業は、インドのプロバイダーがGDPRを遵守するように契約で定め、適切なデータ保護措置を講じる必要があります。

5. 国際的なサービス提供

例5:

  • 状況: カナダの教育サービスプロバイダーが、オンライン学習プラットフォームをEU内の学生向けに提供しています。学生は個人情報を登録してコースを受講します。

  • 適用: この企業はEU外に拠点を持っていますが、EU内の学生に対してサービスを提供しているため、GDPRが適用されます。学生の個人データ（名前、メールアドレス、学習履歴など）を処理する際には、GDPRの規定を遵守する必要があります。

まとめ

これらの具体例からわかるように、GDPRはEU内外の企業に広く適用されます。特に、EU内の個人データを処理する場合や、EU内の個人の行動を監視する場合には、GDPRの規定を遵守する必要があります。企業は、データ処理の合法性を確保し、データ主体の権利を保護するために、適切な措置を講じることが求められます。

日本企業が日本人向けにWEBサービスを提供しており、EU圏内の在住者がそのサービスにアクセスできる場合、GDPRが適用されるかどうかは次の要素によって判断されます。

1. サービスの明確なターゲット

GDPR第3条第2項によると、EU圏内のデータ主体に対してサービスを提供しているかどうかが重要です。具体的には、次のような要素が考慮されます：

  • ウェブサイトやサービスがEU圏内の利用者を明確にターゲットにしている場合（例：EUの言語でのサービス提供、EU通貨での価格表示、EU向けの広告）。

  • サービス利用規約やプライバシーポリシーにEU圏内のデータ主体についての記載がある場合。

2. 意図的なアプローチ

日本企業が意図的にEU圏内のユーザーをターゲットにしていない場合、GDPRの適用対象外となる可能性があります。単にEU在住者がアクセス可能であるというだけでは、GDPRの適用範囲に含まれない可能性が高いです。ただし、次の点に注意が必要です：

  • ウェブサービスがEU圏内のユーザーに積極的にマーケティングや販売を行っている場合には、GDPRの適用が検討されるべきです。

具体例

例1: 日本企業の日本向けサービス

  • 状況: 日本のeコマースサイトが、日本国内向けに商品を販売しており、サイトは日本語で運営され、日本円で価格が表示されている。

  • 適用: この場合、サイトが意図的にEUの消費者をターゲットにしていない限り、GDPRは適用されません。ただし、EU在住者が偶然アクセスして購入する場合には、特定の条件下でGDPRの影響を受けることはありません。

例2: 日本企業の国際展開

  • 状況: 日本の観光業者が、欧州の観光客向けに英語やその他のEU言語でウェブサイトを提供し、ユーロでの支払いを受け付けている。

  • 適用: この場合、EU圏内のユーザーを明確にターゲットにしているため、GDPRが適用されます。この観光業者は、EU圏内のデータ主体の個人データを取り扱う際にGDPRの規定を遵守する必要があります。


日本企業にGDPRが適用される例

  1. 国際的なオンラインショップ

    • 状況: 日本のオンライン小売業者が、EU内の消費者向けに商品を販売し、サイトに複数のEU言語とユーロでの価格表示を行っている。

    • 理由: EU内の消費者を明確にターゲットにしているため、GDPRが適用されます。

  2. 観光業者のマーケティング活動

    • 状況: 日本の観光会社が、英語やドイツ語のウェブサイトを通じてEUからの観光客をターゲットにしており、EU向けに広告を出している。

    • 理由: EU内のデータ主体に対してサービスを提供しているため、GDPRが適用されます。

  3. EU内データの処理委託

    • 状況: 日本の製造企業が、EU内の顧客データを処理するためにデータ処理業務をEUのサプライヤーに委託している。

    • 理由: EU内のデータ主体の個人データを処理するため、GDPRが適用されます。

  4. オンラインサービスのグローバル展開

    • 状況: 日本のソフトウェア企業が、EU内のユーザー向けにオンラインサービスを提供し、利用規約をEUの言語で用意している。

    • 理由: EU内のデータ主体にサービスを提供しているため、GDPRが適用されます。

  5. EUのマーケットプレイスでの販売

    • 状況: 日本の企業がEUのマーケットプレイス（例：Amazon EU）で商品を販売しており、EUの消費者データを収集している。

    • 理由: EU内の消費者の個人データを収集・処理しているため、GDPRが適用されます。

日本企業にGDPRが適用されない例

  1. 国内向けサービス

    • 状況: 日本の飲食店チェーンが、日本国内の顧客向けにオンライン予約システムを提供している。

    • 理由: サービスが明確に日本国内の顧客のみをターゲットとしているため、GDPRは適用されません。

  2. 日本語のみの情報提供サイト

    • 状況: 日本のニュースサイトが日本語のみで記事を提供しており、特定のEU内の読者をターゲットにしていない。

    • 理由: EU内の読者をターゲットにしていないため、GDPRは適用されません。

  3. 日本国内限定のeコマース

    • 状況: 日本のオンラインショップが、日本国内に限定して商品を販売しており、配送先も日本国内のみとしている。

    • 理由: サービスの対象が日本国内の顧客に限定されているため、GDPRは適用されません。

  4. 日本国内のB2Bサービス

    • 状況: 日本の企業が日本国内の他の企業向けにB2Bサービスを提供しており、個人データの処理がない。

    • 理由: EU内の個人データを処理していないため、GDPRは適用されません。

  5. 日本国内のアプリ

    • 状況: 日本の開発者が、日本国内向けに提供しているアプリが日本語のみで利用でき、EU内の利用者を特に意図していない。

    • 理由: EU内のデータ主体をターゲットにしていないため、GDPRは適用されません。


この記事が気に入ったらサポートをしてみませんか？