2018年データ保護法が発効、EUのGDPRに対応

EUの一般データ保護規則（GDPR）の適用（5月25日）を目前にした5月23日、英国で「2018年データ保護法」（以下、2018年法）が発効した。GDPRは一部条項について、EU各国法での規定を可能としており、これを受けて各国が法制化作業を進めてきた。

法案は2017年9月、既存の「1998年データ保護法」を全面的に置き換えるべくデジタル・文化・メディア・スポーツ省により議会に提出された。同省は改正の目的の1つにEU離脱後に向けた法整備を挙げたが、これは2018年法がGDPRに準拠し、離脱後も英国が個人データを十分に保護していくことを確認することを意味している。このため2018年法では、GDPRを英国で運用するための定義を明確化したほか、治安維持、不正防止、移民管理、調査・研究、報道などを目的とする場合のデータ保護に例外規定を設けている。

各国での規定が委ねられた項目としては、例えば個人情報の処理に関する子供の同意に関して、保護者の同意を必要とする年齢をGDPRの16歳未満から13歳未満に引き下げた。また罰則について、GDPRで定められた2種類の高額制裁金の支払いに応じない企業に対して課徴金（当該企業、データ管理者の直近の会計事情から算出して支払可能金額の150％が上限）を定めて公表するよう、データ保護監督機関である情報コミッショナーオフィス（ICO）に義務付けている。

2018年法では、ICOの役割が改正前より明確となり、権限も拡大している。権限の1つとしてICOは、個人データを取り扱う在英企業に対し登録を義務付けているが、国民の個人情報保護を徹底するため、企業に対しては登録の徹底を求めていく姿勢をみせている。登録を怠った企業には高額な罰金が科せられる可能性もあるため、在英日本企業も留意が必要だ。

ICOへの登録はICOデータ保護登録ページから可能で、登録の要否に関する情報はICOの登録要否判定ページを参照。年間登録料は2018年5月25日付で改定され、小企業（注）は40ポンド（約5,840円、1ポンド＝約146円）、中企業は60ポンド、大企業は2,900ポンド。

（注）小企業は従業員数10人以下または年間売上高が63万2,000ポンド以下、中企業は従業員数10人超250人以下または年間売上高が63万2,000ポンド超3,600万ポンド以下、大企業は従業員数250人超かつ年間売上高が3,600万ポンド超。

（岩井晴美）