GDPR（EU一般データ保護規則）とは：日本の個人情報保護法との違い、域外適用、十分性認定、違反したときの制裁金

ひとことで言うと、GDPR（General Data Protection Regulation：一般データ保護規則）は、EUの個人データの保護のルールです。個人情報保護委員会の説明では、2016年4月に制定され、2018年5月25日に施行されました。EU域内に拠点がない事業者でも、EU域内の人に物品やサービスを提供するなどして、その人の個人データを扱うときは適用されます（3条2項）。

日本とEUの間では、2019年（平成31年）1月23日に、互いに個人データを円滑に移転できる枠組みが発効しました。欧州委員会はGDPR45条にもとづいて日本に十分性認定を行い、日本の個人情報保護委員会は、個人情報保護法にもとづいてEUを指定しました。EUから十分性認定により移転を受けた個人データには、個人情報保護委員会の「補完的ルール」も適用されます。

この記事の位置づけ：基礎知識の4分野（一般知識・業務関連法令・情報通信と個人情報保護・文章理解）のうち、情報通信・個人情報保護の分野の記事です。足切り（令和7年度の合否判定基準では基礎知識24点＝6問）を越えるための6問を、文章理解と、条文で答えが決まる法令から先に固める、という基礎知識の記事の順番は変わりません。GDPRの言葉は、個人情報保護委員会が公表している仮日本語訳によります（仮訳は参考のためのもので、正確な内容は原文によるとされています）。事業者の対応の実務や、制裁の事例には入りません。日本の個人情報保護法は、令和8年4月1日時点の条文で比べます（2026年10月17日に確認）。

身近な例で考えると

れんさんは、和雑貨をネットで売るC社で働きながら、行政書士試験の勉強をしています。C社は日本の会社で、EU域内に支店も事務所もありません。最近、EU域内に住む人からの注文も受けるようになり、送り先の名前・住所・メールアドレスを扱っています。

1. C社は、EU域内に住む人に向けて商品を売り、注文者の個人データを扱う。
2. C社には日本の個人情報保護法がかかる。あわせて、EU域内のデータ主体に物品を提供しているので、GDPRの3条2項（a）にも当たる。
3. もし個人データの漏えいが起きたら、日本の法律の報告の期限と、GDPRの通知の期限の両方を考えることになる。

たとえると、GDPRは「EUの中にいる人のデータには、どこの会社が扱ってもEUのルールが付いてくる」という作りです。ただし本物のルールでは、拠点のない事業者に適用されるのは、EU域内のデータ主体への物品・サービスの提供か、EU域内で行われる行動の監視に関連するときに限られます。

GDPRの条文ではこう決まっている

個人データの定義（4条1号）

仮訳では、「個人データ」とは「識別された自然人又は識別可能な自然人（「データ主体」）に関する情報を意味する」とされています。データベースを作っているかどうかは、この定義の要件になっていません。なお、規則が適用される取扱いの範囲（2条1項）は、全部又は一部が自動的な手段による取扱いと、自動的な手段以外の取扱いのうちファイリングシステムの一部を構成する（又は構成することが予定されている）個人データの取扱いです。

どこの事業者に適用されるか（3条）

• 1項：EU域内の管理者又は処理者の拠点の活動に関連する取扱い。
• 2項：EU域内に拠点のない管理者又は処理者が、EU域内のデータ主体の個人データを扱う場合で、次のどちらかに関連するとき。（a）データ主体の支払いが要求されるか否かを問わず、EU域内のデータ主体に対する物品又はサービスの提供。（b）データ主体の行動がEU域内で行われるものである限り、その行動の監視。

侵害の通知・責任者・制裁金

• 監督機関への通知（33条1項）：管理者は、個人データ侵害が自然人の権利及び自由に対するリスクを発生させるおそれがない場合を除き、不当な遅滞なく、かつ、それが実施可能なときは、その侵害に気づいた時から遅くとも72時間以内に、監督機関に通知する。72時間以内に行われないときは、遅延の理由を付す。
• データ保護オフィサー（37条1項）：取扱いが公的機関又は団体によって行われる場合、中心的業務がデータ主体の大規模な定期的かつ体系的な監視を要する取扱作業である場合、中心的業務が特別な種類のデータなどの大規模な取扱いである場合に、指名が求められる。
• 制裁金（83条）：違反した規定の種類で上限が2段階に分かれる。4項（管理者・処理者の義務の違反など。33条の通知や37条の指名もここに入る）は、最大1,000万ユーロ、事業の場合は直前の会計年度の全世界年間売上高の2％までの、いずれか高いほう。5項（取扱いの基本原則、データ主体の権利、第三国への移転などの違反）と6項（監督機関の命令に従わないこと）は、最大2,000万ユーロ、事業の場合は4％までの、いずれか高いほう。金額は個人情報保護委員会が載せている制裁金のガイドラインと欧州委員会の資料の仮訳、「直前の会計年度」「いずれか高いほう」と各項の対象は規則の原文（英語）による。

日本の個人情報保護法と何が違うか

いちばん取り違えやすいのは「個人データ」という同じ言葉です。日本の法律では、個人データはデータベースなどを構成する個人情報に限った言葉で、広い言葉は「個人情報」です。GDPRの「個人データ」は、その定義の中にデータベースの要件がありません。日本の8つの定義の違いは個人情報保護法の記事で、国の行政機関などのルールは行政機関等のルールの記事で扱っています。

日本の漏えい等の報告がいるのは、個人情報保護委員会規則7条の4つの事態（要配慮個人情報を含むもの、不正に利用されて財産的被害が生じるおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるもの）です。個人情報保護法は令和8年7月17日に公布された法律でも改正されていますが、令和8年4月1日より後のことなので、上の表には入れていません。

十分性認定と補完的ルールはどんな仕組みか

• 発効：平成31年（2019年）1月23日。同じ日に、欧州委員会がGDPR45条にもとづく日本の十分性認定を、個人情報保護委員会が個人情報保護法にもとづくEUの指定を行った。指定の根拠は、当時の24条で、今の28条（外国にある第三者への提供の制限）。
• 見直し：個人情報保護委員会の説明では、2023年3月22日に日本側の指定の継続が、4月3日に欧州委員会の十分性認定の継続が決まった。
• 補完的ルール：題名は「個人情報の保護に関する法律に係るEU及び英国域内から十分性認定により移転を受けた個人データの取扱いに関する補完的ルール」。移転される個人データを受領する個人情報取扱事業者を拘束し、法的拘束力を有する規律で、委員会の執行の対象になるとされている。項目は、要配慮個人情報、利用目的の特定・利用目的による制限、外国にある第三者への提供の制限、仮名加工情報、匿名加工情報。

EUの機関（欧州委員会など）がどういう役割の組織かは、EUの仕組みの記事で扱います。日本で電気通信事業者が取り扱う通信の秘密を守る決まりは、個人情報保護法とは別の法律にあり、電気通信事業法と通信の秘密の記事で扱っています。

当てはまる例・当てはまらない例

1. 当てはまる例：EU域内に拠点のないC社が、EU域内に住む人に商品を売って注文者の個人データを扱う。3条2項（a）の物品の提供に関連する取扱いです。
2. 当てはまる例：無料のサービスでも、EU域内のデータ主体に提供するなら同じです。3条2項（a）は「支払いが要求されるか否かを問わず」としています。
3. 当てはまる例：EU域内で行われる人の行動を監視する取扱い。3条2項（b）の入口です。
4. 当てはまらない例：EU域内に拠点のない日本の会社が、日本国内の客だけを相手に、日本にいる人の個人データを扱う。3条1項の拠点の活動にも、2項のEU域内のデータ主体への提供・監視にも当たりません。
5. ひっかけやすい例：EUから十分性認定により移転を受けた個人データを扱う日本の事業者。個人情報保護法だけでなく、補完的ルールにも従います。

試験ではここをまちがえやすい

• 名前と年：GDPR＝一般データ保護規則。2016年4月に制定、2018年5月25日に施行。日EUの枠組みの発効は2019年1月23日。
• 域外適用の入口：拠点がなくても、EU域内のデータ主体への物品・サービスの提供（有料か無料かを問わない）か、EU域内の行動の監視なら適用（3条2項）。
• 同じ言葉の違い：GDPRの「個人データ」は広い言葉。日本の「個人データ」はデータベース等を構成する個人情報（16条3項）。
• 期限の数え方：GDPRは「気づいた時から遅くとも72時間以内」（実施可能なとき）。日本は「速やかに」と「知った日から30日以内（60日以内）」の2段。
• 制裁の形：GDPRは監督機関の制裁金（83条）。日本の罰則は、委員会の命令違反などへの刑事罰（178条・184条）。

○✕でたしかめよう

問1（このサイトのオリジナル問題）
日本のC社は、EU域内に拠点を持たないまま、EU域内に住む人に向けて商品を販売し、注文者の個人データを扱っている。C社はEU域内に拠点がないので、この取扱いにGDPRは適用されない。

答え：✕　分かれ目は、3条の1項と2項のどちらの入口かです。正しくは、EU域内に拠点のない管理者でも、EU域内のデータ主体に対する物品又はサービスの提供に関連してその個人データを扱うときは、GDPRが適用されます（3条2項（a））。拠点の活動に関連する取扱い（3条1項）だけを適用範囲と考えた誤りです。日本の個人情報保護法にも、外国で扱う場合に適用する171条があります。

問2（このサイトのオリジナル問題）
EU域内から十分性認定により移転を受けた個人データを受領した日本の個人情報取扱事業者は、その個人データの取扱いについて、個人情報保護法に加えて、個人情報保護委員会が定めた補完的ルールにも従う必要がある。

答え：○　分かれ目は、十分性認定のあとに日本側で何が上乗せされるかです。個人情報保護委員会の補完的ルールは、EU域内から十分性認定により移転される個人データを受領する個人情報取扱事業者を拘束し、法的拘束力を有する規律で、委員会の執行の対象になるとされています。十分性認定があるなら日本の法律だけで足りる、と考えると✕に見えます。十分性認定は欧州委員会がGDPR45条で行うもの、補完的ルールは日本の委員会が定めたもので、出どころが違います。

問3（このサイトのオリジナル問題）
GDPRの「個人データ」の定義（4条1号）は、日本の個人情報保護法の「個人データ」（16条3項）と同じく、データベースなどを構成する情報であることを要件にしている。

答え：✕　分かれ目は、同じ「個人データ」という言葉の範囲です。正しくは、GDPRの個人データは「識別された自然人又は識別可能な自然人（「データ主体」）に関する情報」で、データベースの要件はありません（4条1号、個人情報保護委員会の仮訳）。データベース等を構成することを要件にしているのは、日本の「個人データ」（16条3項）です。日本の言葉の定義をGDPRに当てはめた誤りで、日本の言葉で近いのはむしろ「個人情報」（2条1項）です。

基礎知識の○✕は、行政書士の5分○✕ドリルの「基礎知識」で続けて解けます。

まとめ

• GDPR＝EUの一般データ保護規則。2018年5月25日に施行。
• EU域内に拠点がなくても、EU域内のデータ主体への物品・サービスの提供（無料でも）や、EU域内の行動の監視に関連すれば適用（3条2項）。
• 侵害の通知は、実施可能なときは気づいた時から遅くとも72時間以内（33条1項）。日本は「速やかに」と「30日以内（60日以内）」。
• 制裁金の上限は2段階（最大1,000万ユーロか売上高の2％、最大2,000万ユーロか4％の、それぞれいずれか高いほう）（83条）。
• 日EUの枠組みは2019年1月23日に発効。EUから移転を受けた個人データには補完的ルールも適用。

このサイトで次に読むなら、個人情報保護法の記事です。この記事で比べた日本の側の定義と、第三者提供・漏えい等の報告の条文を、令和8年度試験の基準の版でまとめています。

参考にした公式の情報（2026年10月確認）

GDPRの言葉は個人情報保護委員会が公表している仮日本語訳で、日本の条文は e-Gov 法令検索で令和8年4月1日時点の内容を確かめました（2026年10月17日確認）。

• 個人情報保護委員会「EU（外国制度）」（GDPRの名前・制定・施行日、仮日本語訳の掲載）
• 個人情報保護委員会「GDPR 条文（仮日本語訳）」（2条1項、3条、4条1号）
• EUR-Lex「Regulation (EU) 2016/679」（規則の原文・英語）（83条4項〜6項）
• 個人情報保護委員会「GDPRに基づく個人データ侵害通知に関するガイドライン9/2022」（仮日本語訳）（33条1項の訳文）
• 個人情報保護委員会「データ保護オフィサー（DPO）に関するガイドライン」（仮日本語訳）（37条1項の訳文）
• 個人情報保護委員会「規則における制裁金の適用及び設定に関するガイドライン」（仮日本語訳）と欧州委員会「データ保護改革包括案に関する質疑応答」（仮日本語訳）（83条の上限）
• 個人情報保護委員会「日EU間の相互の円滑な個人データ移転を図る枠組み発効」と「日EU間・日英間のデータ越境移転について」（発効日、GDPR45条、指定の根拠と継続）
• 個人情報保護委員会「補完的ルール」（題名、拘束力、項目）
• e-Gov法令検索「個人情報の保護に関する法律」（2条1項、16条3項、26条1項、171条、178条、184条1項1号）と「個人情報の保護に関する法律施行規則」（7条、8条）
• 個人情報保護委員会「令和8年 改正個人情報保護法について」（公布日）