GDPR

GDPR対応には法務・IT・事業部門が連携した組織横断プロジェクトが不可欠であり、一定以上の人員規模と予算を持つ企業でなければ継続的な運用体制の維持が困難です。初期対応には、データマッピング（処理活動記録の作成）、プライバシーポリシーの改訂、同意管理基盤の整備、データ移転メカニズム（SCCや十分性認定の活用）の整備など、複数の施策を並行して進める必要があります。

コスト面では、外部法律事務所のGDPR専門弁護士への相談費用（時間単価3〜10万円）、CMPツールの導入・運用コスト（月20〜200万円）、DPO（データ保護責任者）の設置または外部委託費用（年200〜1,000万円）などが積み重なります。従業員300名・年間売上50億円未満の企業では、これらのコスト負担に対するリターンが見合わないケースもあります。

小規模企業の場合は、まずSCC（標準契約条項）の活用と最低限のプライバシーポリシー整備から着手し、EU売上が拡大するにつれて対応を段階的に厚くするアプローチが現実的です。EU売上が年間1億円を超え始めた段階で、本格的な体制整備への投資判断を行うことを推奨します。

GDPRの前身は1995年に制定されたEUデータ保護指令（Directive 95/46/EC）です。インターネットが普及する以前に設計されたこの指令は、クラウド・スマートフォン・SNSの登場により実効性を失いつつありました。2012年に欧州委員会が規則化を提案し、欧州議会・EU理事会との4年間の審議を経て2016年4月に成立、2018年5月25日に施行されました。GDPR最大の特徴は「規則（Regulation）」であるため加盟国の国内法制化を不要とし、EU全域で直接適用される点と、域外適用条項（第3条）によりEU域外の企業にも適用される点です。

日本では2019年の日EU間の相互十分性認定により、GDPRの枠組みの下で日本企業のEUへの個人データ移転が容易になりました。これを機に国内大手企業でのGDPR対応プロジェクトが本格化し、2020〜2022年にかけてCMP・DPO設置・データマッピングツール等の導入が急増しました。2022年の個人情報保護法改正（いわゆる「改正個情法」）はGDPRの概念を部分的に取り込んでおり、国内規制との整合を取りながらGDPR対応を一体で進める動きが加速しています。