個人情報保護法とGDPRの比較：企業が準拠すべき国際基準

1　最初に結論：比較表だけでは足りず「適用法マップ」が必要

個人情報保護法とGDPRは、目的限定、安全管理、本人の権利、越境移転規制など共通する考え方を持っています。しかし、制度設計は同一ではありません。特に、GDPRは個人データ処理について適法化根拠を要求し、管理者・処理者の役割を明確に分け、説明責任を強く求めます。他方、日本法は利用目的規制と第三者提供規制を軸にしており、通常の社内利用についてGDPRと同じ意味の「法的根拠」を逐一選択する仕組みではありません。

したがって、実務では「より厳しい方に合わせればよい」という抽象論ではなく、①適用法、②当事者の役割、③利用目的・処理目的、④取得経路、⑤第三者提供・委託、⑥越境移転、⑦本人対応、⑧事故対応を一つずつ整理する必要があります。

2　どの企業に適用されるか―日本法とGDPRの域外適用

（1）個人情報保護法

日本の個人情報保護法は、個人情報データベース等を事業の用に供する個人情報取扱事業者に広く適用されます。旧制度のイメージから「一定件数以上の個人情報を保有する企業だけが対象」と理解するのは適切ではありません。

また、外国事業者であっても、日本にある本人に対する物品・サービスの提供に関連してその本人を識別できる個人情報等を取得し、国外で取り扱う場合には、個人情報保護法の域外適用が問題となります。

（2）GDPR

GDPRは、EU域内に拠点を置く管理者・処理者による処理だけでなく、EU域内に拠点を持たない日本企業にも適用されることがあります。典型的には、EU域内にいるデータ主体に対して商品・サービスを提供する活動に関連する処理、またはEU域内における行動をモニタリングする処理です。

ここで注意したいのは、GDPRの条文は単に「EU国籍者」や「EU居住者」という属性だけで適用範囲を決めているわけではない点です。日本企業のウェブサイトがEUから閲覧できるというだけで直ちに適用されるとは限らず、EU市場を狙った提供やEU域内での行動監視など、事業活動との結び付きが重要です。

3　用語の違いをそろえる

比較の前提として、同じ「個人データ」という日本語を使っても、法令上の意味が完全には一致しません。社内規程や契約を日英で整備するときは、用語を機械的に翻訳せず、対象となる法的役割を確認する必要があります。

4　最大の違い―「同意が原則」ではない

（1）日本法は利用目的と個別の同意要件を確認する

日本法では、まず利用目的をできる限り特定し、原則としてその目的の達成に必要な範囲を超えて個人情報を取り扱わないことが基本です。その上で、要配慮個人情報の取得、個人データの第三者提供、外国にある第三者への提供など、法律が本人同意を要求する場面を個別に確認します。

したがって、「個人情報を利用するには毎回同意が必要」という理解は正確ではありません。逆に、利用目的を通知・公表しているからといって、第三者提供や外国移転の同意要件まで当然に満たすわけでもありません。

（2）GDPRは処理ごとにArticle 6の適法化根拠を特定する

GDPRでは、個人データの処理が適法となるため、少なくとも一つの適法化根拠が必要です。代表的なものは、本人の同意、契約の履行・契約締結前措置、法的義務、重大な利益、公共の利益・公的権限、正当な利益です。

同意はその一つにすぎません。企業が何でも同意に依存すると、同意撤回時の処理継続や、雇用関係のように本人が自由に拒否できるか疑問がある場面で問題になります。処理目的ごとに、どの法的根拠が適切かを記録しておくことが実務上重要です。

5　主要論点の比較

6　第三者提供と委託―「委託だから同じ」と考えない

（1）日本法

日本法では、利用目的達成に必要な範囲内の委託など一定の場合は、国内の第三者提供規制上「第三者」に該当しない扱いがあります。一方、委託元には委託先に対する必要かつ適切な監督が求められます。委託契約では、取扱範囲、安全管理、再委託、事故報告、返還・削除、監査・報告などを実態に応じて定めることが重要です。

さらに、国外の委託先へ個人データを移す場合は、国内委託と同じ発想だけでは足りません。外国にある第三者への提供に関する法28条の検討が必要となり、提供先国、提供先の体制、本人同意の有無、相当措置の継続確保などを確認します。

（2）GDPR

GDPRでは、controllerがprocessorを利用する場合、十分な保証を提供するprocessorを選定し、Article 28が求める内容を含む契約その他の法的行為で拘束する必要があります。processorが別のprocessorを利用する場合の条件も整理が必要です。

実務では、サービス名称が「業務委託」「SaaS利用」「クラウド利用」であることから役割を決めるのではなく、誰が処理目的・手段を決めているかを確認します。場合によっては双方が独立controllerとなることやjoint controllerの検討が必要になることもあります。

7　越境移転―日本・EU間の十分性認定を正しく使う

（1）日本から外国への提供

個人情報保護法28条では、外国にある第三者への個人データ提供について、原則として外国第三者提供を認める本人同意が問題となります。ただし、提供先が日本と同等の水準にあると認められる国・地域にある場合、提供先が相当措置を継続的に講ずるための体制を整備している場合など、法定のルートがあります。

相当措置体制を使う場合には、契約を結べば終わりではなく、措置の実施状況や外国制度を定期的に確認し、継続的な実施が困難になった場合の対応も必要です。本人同意を使う場合にも、本人の判断に必要な外国制度等の情報提供が必要になります。

（2）EUから日本への移転

欧州委員会は日本についてGDPR45条の十分性認定を行っており、一定の範囲でEUから日本への個人データ移転に十分性認定を利用できます。日本側もEUについて、個人情報保護法28条上、日本と同等の水準にあると認められる外国として扱う枠組みを設けています。

もっとも、EU・英国から十分性認定に基づき日本へ移転された個人データには、個人情報保護委員会の「補完的ルール」が適用されます。十分性認定を理由に、その後の利用・再移転まで無条件に自由になるわけではありません。

（3）十分性認定を使えない移転

移転先や移転関係によって十分性認定を使えない場合は、SCC（Standard Contractual Clauses）などGDPR46条の適切な保護措置を検討します。SCCを締結するだけで常に十分とは限らず、移転先国の法制度・実務を踏まえ、必要に応じて補完的措置を検討する実務が定着しています。

8　クラウド・SaaS利用で確認すべきこと

クラウドを使うだけで直ちに「外国第三者提供」になる、またはサーバーが国内なら越境論点がない、と一律に判断するのは危険です。契約当事者、データへのアクセス可能性、保存場所、サポート拠点、再委託先、データ移転の実態を確認する必要があります。

9　透明性―プライバシーポリシーを英訳するだけでは足りない

日本法上のプライバシーポリシーと、GDPRのArticles 13・14が求める情報提供は、必要項目や考え方が一致しません。GDPR適用がある処理では、controllerの情報、処理目的、法的根拠、正当な利益を用いる場合の内容、受領者、国外移転、保存期間、本人の権利、監督機関への不服申立て、データ提供が法的・契約上必要かなど、処理に応じた説明が必要です。

そのため、日本語のプライバシーポリシーを英訳してEU向けページに掲載するだけでは不十分になり得ます。処理一覧と法的根拠を先に整理し、その結果を外部向け通知に落とす順序が安全です。

10　本人からの請求―権利の種類と期限を分けて管理する

（1）日本法

日本法では、保有個人データについて、利用目的等の公表事項、開示、訂正等、利用停止等、第三者提供停止等の制度があります。ただし、各請求には法定の要件や例外があり、GDPRの権利をそのまま日本法に読み替えることはできません。

（2）GDPR

GDPRは、アクセス、訂正、消去、処理制限、データポータビリティ、異議申立て、一定の自動化された意思決定に関する権利などを定めています。権利は絶対ではなく、それぞれ条件・例外があります。

企業実務では、窓口を一本化し、本人確認、対象システムの特定、社内検索、例外判断、回答期限、回答記録を手順化します。GDPRでは原則1か月以内の対応が基本となるため、複数部門をまたぐ企業では受付後に手作業で担当を探す体制では間に合わないことがあります。

11　漏えい・サイバー事故―報告基準と期限が異なる

（1）日本法

個人データの漏えい等が法令上の報告対象事態に該当する場合、個人情報保護委員会への報告と本人への通知が必要です。個人情報保護委員会は、速報について発覚から概ね3～5日以内を目安に速やかな報告を案内し、確報は原則30日以内、不正目的で行われたおそれがある事態では60日以内としています。

（2）GDPR

GDPRでは、personal data breachが自然人の権利・自由に対するリスクを生じさせる可能性が低い場合を除き、controllerは監督機関に不当に遅滞なく、可能であれば認識後72時間以内に通知します。高いリスクがある場合には、一定の例外を除きデータ主体への通知も必要です。processorはcontrollerに不当に遅滞なく通知します。

同じインシデントが日本法とGDPRの双方の対象となる場合、報告対象性・期限・報告先・本人通知要件を別々に判定しつつ、事実関係の説明が食い違わないよう一元管理する必要があります。

11-1　最高裁判例：漏えいによる精神的損害は具体的に審理される

最高裁判所第二小法廷平成29年10月23日判決（平成28年（受）第1892号）は、通信教育事業者が管理していた氏名、住所、電話番号等の個人情報が、委託先の従業員によって持ち出され、名簿業者に売却された事案を扱いました。

原審は、本人が迷惑行為や財産的損害など「不快感や不安を超える損害」を被ったことの主張・立証がないとして請求を棄却しました。しかし最高裁は、漏えいした情報はプライバシーに係る情報として法的保護の対象であり、漏えいによってプライバシー侵害が生じたとした上で、精神的損害の有無・程度を十分に審理しないまま請求を棄却した原審判断には審理不尽があるとして、原判決を破棄し差し戻しました。

もっとも、この最高裁判決自体が事業者の過失や具体的な慰謝料額まで確定したものではありません。企業実務では、漏えい時に財産被害が確認されていない場合でも、プライバシー侵害に伴う民事責任が問題となり得ることを前提に、事故対応・本人対応・再発防止を進める必要があります。

12　GDPR特有のガバナンス―「守っている証拠」を残す

GDPRではaccountability（説明責任）が中核原則です。単に適切に取り扱っていたと主張するのではなく、検討・判断・管理措置を記録し、必要に応じて示せる体制が重要です。

主に確認する制度

13　安全管理措置―チェックリスト型ではなくリスク型で設計する

日本法は、個人データの漏えい等を防止するため必要かつ適切な安全管理措置を講ずることを求めています。GDPR Article 32も、リスクに応じた適切な技術的・組織的措置を求めます。

両制度とも、暗号化・アクセス制御・ログ・バックアップなどの技術だけで完結するものではありません。組織体制、従業者教育、委託先管理、権限棚卸し、インシデント訓練、データ削除まで含めて設計する必要があります。

13-1　裁判例：委託先監査は、実際の情報持出しリスクに即して行う

東京高等裁判所令和7年1月22日判決（令和6年（ネ）第2935号）は、通信教育事業者が保有する大量の顧客情報が、4次委託先の従業員によって持ち出され、名簿業者に売却された事案です。

裁判所は、事業者側が、MTP対応スマートフォンを業務用パソコンに接続して顧客情報を転送する方法による不正取得を予見できたと判断しました。その上で、委託先ではセキュリティソフトの設定を変更して接続制御を有効にすることが可能であり、委託元も定期的な監査を行っていたものの、その設定内容を監査対象としていなかったことから、委託先に対する監督が不十分であったと評価しています。

この判決からは、委託契約の締結、誓約書の取得、定期研修や一般的な監査を実施しているだけで、常に「必要かつ適切な監督」が尽くされたことになるわけではないことが分かります。取り扱うデータの量・性質や、その時点で予見可能な持出し手段を踏まえ、技術的設定やアクセス経路まで監査対象に含める必要があるかを検討することが重要です。

14　日本企業で起こりやすい5つの場面

15　「GDPR基準に統一すれば安全」とは限らない

GDPRの要求水準が高い場面は多いものの、GDPR対応だけで日本法の要件が自動的に満たされるわけではありません。例えば、日本法には要配慮個人情報、第三者提供記録、外国第三者提供時の情報提供・継続確認、匿名加工情報・仮名加工情報など独自の制度があります。

反対に、日本法に適合したプライバシーポリシーや委託契約だけでは、GDPRの法的根拠、processor契約、DPIA、ROPA、データ主体権利等が不足することがあります。共通基盤を作りつつ、法域固有の差分を上乗せする設計が実務的です。

16　2026年改正個人情報保護法

2026年4月7日に提出された個人情報保護法等改正法案は、同年7月10日に成立し、7月17日に公布されました。個人情報保護委員会によれば、改正法は一部を除き、公布日から2年以内で政令で定める日から施行されます。

改正法には、一定の個人情報取扱いに関する規律の見直しや、違反行為に対する新たな制度など、企業実務へ影響する項目が含まれます。ただし、2026年9月15日時点では、政令・委員会規則・ガイドライン等の整備が進められている段階です。

したがって、現在の契約・プライバシーポリシー・漏えい対応を未施行の改正法だけで設計するのではなく、まず現行法に適合させ、その上で施行準備として改正内容を追跡するのが安全です。

17　実務導入の10ステップ

① データインベントリ：顧客、従業員、取引先、アクセスログ、広告識別子等、保有・取得するデータを洗い出します。

② 適用法マップ：事業拠点、対象市場、データ主体の所在、提供・モニタリングの実態から適用法を整理します。

③ 役割マップ：日本法上の委託・第三者と、GDPR上のcontroller / processor等の役割を取引ごとに確認します。

④ 目的・法的根拠表：日本法では利用目的、GDPRでは処理目的とArticle 6等の根拠を紐付けます。

⑤ データフロー・越境移転図：取得から保存、利用、共有、委託、再委託、削除まで、国境を越える地点を可視化します。

⑥ 契約整備：DPA、委託契約、SCC等を役割と移転ルートに合わせて整備します。

⑦ 外部通知・同意管理：プライバシーポリシー、Cookie表示、同意取得画面等を処理実態と一致させます。

⑧ 本人請求手順：受付、本人確認、社内検索、判断、期限、回答、記録を標準化します。

⑨ 事故対応手順：日本法・GDPR双方の報告判定、72時間管理、PPC報告、本人通知、証拠保全を含めます。

⑩ 継続監査：新サービス、新委託先、新しい国への展開時に再評価し、定期的にデータ、契約、権限を棚卸しします。

18　契約レビューで確認すべき条項

19　弊所が重視する実務ポイント

弊所が国際的なデータ取引やSaaS契約を確認する際は、プライバシーポリシー単体ではなく、契約・データフロー・システム運用を一体で確認することを重視しています。文章上は適法に見えても、実際のサブプロセッサーや海外アクセス、保存期間、削除方法が整理されていなければ、事故時に説明できません。

特に日本企業では、「EUの顧客がいるからGDPR」「海外サーバーだからSCC」と結論を先に決めるのではなく、適用範囲、当事者の役割、移転主体と受領主体、十分性認定の利用可否を順番に確認することが、過不足のない対応につながります。

20　社内チェックリスト

21　よくある質問（FAQ）

22　まとめ

個人情報保護法とGDPRは共通する理念を持ちますが、適用範囲、適法性の根拠、第三者・委託の整理、本人の権利、越境移転、事故報告、ガバナンス、制裁の仕組みには重要な違いがあります。

日本企業が国際的に個人データを扱う場合は、「GDPRの方が厳しいから全部GDPRに合わせる」という抽象的な対応ではなく、データ処理ごとに適用法と根拠をマッピングし、契約・システム・社内手順を一致させることが重要です。

また、2026年改正個人情報保護法は公布済みですが、未施行のルールと現行法を混同せず、施行までの政令・規則・ガイドラインを継続的に確認する必要があります。海外展開、新規SaaS、AI・広告分析、海外クラウド導入などデータフローが変わるタイミングで、早めに法務・IT・セキュリティ部門が共同で見直すことが有効です。

23　主要な裁判例・一次資料・公式情報

• 【裁判例】東京高等裁判所令和7年1月22日判決（令和6年（ネ）第2935号）
• 【裁判例】最高裁判所第二小法廷平成29年10月23日判決（平成28年（受）第1892号）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
• 個人情報保護委員会「日EU間・日英間のデータ越境移転について」
• 個人情報保護委員会「法令・ガイドライン等（補完的ルールを含む）」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「令和8年 改正個人情報保護法について」
• EUR-Lex「Regulation (EU) 2016/679 (GDPR)」
• European Commission「Data protection adequacy for non-EU countries」
• European Data Protection Board「Guidelines 3/2018 on the territorial scope of the GDPR (Article 3)」