IT・ベンチャーの企業法務

UK GDPRとは？GDPRとの関係性や押さえておくべきポイントを解説

2024.01.22

2024.04.04

イギリスのEU離脱に伴い、2021年1月1日にUK GDPR（英国一般データ保護規制）が施行されました。

GDPRとは、個人データの処理や移転を行うためのEUの規則で、EU域内の顧客に向けてサービスを展開する日本企業は、GDPRへの対応が必要です。UK GDPRとは、このGDPRのイギリス版です。

本記事では、GDPRとEUのGDPRの関係性や、EUのGDPRについて詳しく解説します。イギリスを含む欧州へ事業展開する際に押さえておくべきポイントや、対策しておくべき法律を知っておきましょう。

この記事の目次

イギリスのEU離脱に伴い施行されたUK GDPR

イギリスは、2020年1月31日にEU（欧州連合）を離脱し、それに伴いEUのGDPRに基づいてUK GDPRが施行されました。

イギリスはEUのGDPRの下では「第三国」となり、EUの消費者にサービスを提供するイギリス企業は、イギリスとEU、両方のGDPRを守る必要があります。

GDPR（EU一般データ保護規則）	2018年に施行された法律。 EU域内の人々に商品やサービスを提供したり行動を監視したりする場合には、データ保護対策を取る必要がある。
UKｰGDPR（英国一般データ保護規制）	2020年のEU離脱に伴い施行された法律。イギリスに設立された企業・組織や、イギリス国内のユーザーにサービスを提供する場合にデータ保護対策を取る必要がある。

UK GDPR（英国一般データ保護規制）とは、個人データの処理および英国国外への移転を行うための要件を定めるとともに、処理または移転を行う者が遵守すべき規範・義務を定めた規則です。

2018年に制定されたデータ保護法2（Data Protection Act 2018）は、イギリスで1998年に制定されたデータ保護法の枠組みを更新し定めたものです。その後、英国のEU離脱状況を顧み、2018年にEU離脱法に基づく規制により2021年1月1日にUK GDPRとして改正されました。

UK GDPR は、英国国内の管理者や処理者の拠点活動の過程において行われる「個人データ処理」に適用されます。また、UK GDPRは、一定の場合にイギリス国内に拠点を持たない管理者・処理者による個人データ処理にも適用されます。

本章では、UK GDPRで押さえておくべき以下の2つのポイントについて解説します。

日英間におけるデータ移転について、日本側はEUに対して行った個人情報保護法第24条（個人情報保護法第24条は、令和4年4月1日施行のデジタル社会形成整備法第50条による改正前のものであり、現在は第28条）に基づく指定を離脱後においてもイギリスに対して継続することとしています。

また、イギリスとEU間の個人データの移転については、移行期間中もこれまで通り円滑な個人データの移転が可能です。

そのため、イギリスのEU離脱後でも、日英間の円滑な個人データ移転が確保されています。

イギリス企業は、EU域内に支店や事務所を持たない場合はEU代理人を任命し、データ保護通知を適宜更新することが必要です。

代理人	EU域内に拠点を置かない企業がEU域内で個人データを処理する場合に、EU域内に代理人を選任することが義務付けられている。代理人は、EU域内の当局との間で、企業の代表として個人データの処理に関する事項を調整する役割を担います。
代表者	代表者は、EU域内に拠点を置く企業が、EU域内で個人データを処理する場合に、EU域内に代表者を選任することが義務付けられています。代表者は、企業のEU域内での個人データの処理に関する責任を負います。

代理人は、支店や事務所が代表者として機能することになります。

また、イギリスの法律では、個人データを保有するEU企業はイギリスに代表者を置くことも求められます。

そのため、EUに拠点を置く企業では、取り扱われる情報がUK GDPR規則の対象になっているかを判断するために、記録の見直しと分離を行う必要があります。