GDPR発効から4カ月、データ保護に関する苦情申し立てが急増

フランスの個人情報保護監督機関である「情報処理および自由に関する全国委員会（CNIL）」は9月25日、EU一般データ保護規則（GDPR）が発効して4カ月がたったタイミングで、国内のGDPR関連の動向について報告した。

CNILによると、2万4,500の企業や団体がデータ保護責任者（DPO）を任命した。また、GDPRの適用開始後、CNILに対して1日平均7件、合計600件（1,500万人分）以上の違反通知があり、3,767件の個人による苦情申し立て（前年同期比64％増）、2件の集団による苦情申し立て（インターネット上の市民の自由と権利の保護団体「ラ・カドラチュール・ドュ・ネット」によるグーグル、アマゾン、フェイスブック、リンクトイン、アップルに対する申し立て、プライバシー保護団体NOYBによるグーグルに対する申し立て）があった。また、欧州各国のデータ保護当局は現在、200件の国境をまたぐ申し立てを処理しているという。

GDPRにより、各国当局は、新しい技術を用いたデータ処理などが個人の権利や自由に与える影響を評価する「データ保護影響評価（DPIA）」が必要となる処理行為の一覧を作成する義務があり、CNILはこれを欧州データ保護会議（EDPB）に提出した。EDPBの承認が下り次第、対象となる処理業務のリストをCNILのウェブサイト上で掲載する予定だ。

CNILのファルク＝ピエロタン会長は、「レゼコー」紙のインタビューに対し、「苦情の主な内容は、透明性の原則と同意に関するもの。欧州レベルでは、集団の申し立てによる大手IT企業の事案を優先的に取り扱う。欧州の監督機関にとって信用問題でもあり、早く結論が出る可能性もある。CNILは、複数国にまたがる200件の申し立ての大多数の監督機関となっている」と述べた。

（奥山直子）