GDPRについて知った気になっていた自分へ

2026年10月1日 07:00

こんにちは。まなぶです。
ふだんはシステムエンジニアをしながら、noteの記事を書いています。
前回の記事「いまさら聞けない、Cookie（クッキー）について調べてみた」を読んでくださった方、ありがとうございます。

前回、Cookieの同意バナーが出るようになった背景に「EUのGDPR」があると書きました。

でも正直、このアルファベット4文字は「なんとなく知ってるつもり」で、ちゃんと調べたことがありませんでした。

今回はCookieの記事の補足として、知った気になっていた自分に代わって、GDPRそのものを調べてみます。

GDPRは、EUが作った個人情報保護のルール

GDPRは「General Data Protection Regulation」の頭文字を取ったもの。

日本語では「EU一般データ保護規則」と訳されます。

EU（欧州連合）が2016年に成立させ、2018年5月25日から適用している、個人情報の扱い方についてのルールです。

内容をひとことで言うと、「企業が個人のデータを集めたり使ったりするときは、本人にちゃんと説明して、同意を取りなさい」というもの。

Cookieによる広告トラッキングも「個人のデータの扱い」に含まれるため、同意バナーが必要になりました。

「同意する」ボタンをわざわざ用意させるくらいなので、よほどのことがあったのだろうと調べてみました。

分かりやすい実例が、「ケンブリッジ・アナリティカ事件」です。

Facebookの利用者、最大8,700万人分のデータが、本人の同意のないまま外部の会社に渡っていました。

そのデータが、選挙のための広告ターゲティングに使われていたことが分かった事件です。

GDPRが原因でこの事件が起きたわけではありません。

でも「ちゃんとしたルールがないと、こういうことが起きる」を象徴する出来事として、GDPRの施行とセットでよく語られます。

こういうルールがなければ、企業がどんなデータを何のために集めているのか、利用者側には知るすべも、止める権利もありません。

「同意する」ボタンの面倒くささの裏には、「勝手にデータを使われない権利」が隠れているというわけです。

GDPRはEUのルールです。なのに、なぜ日本のサイトにも同意バナーが出るのでしょうか。

理由は、GDPRの「域外適用」という決め方にあります。会社がどこの国にあっても、次のどちらかに当てはまれば対象になります。

②はまさに前回のCookieの話です。

日本のサイトがEUから来た人の行動をCookieで追いかけていれば、それだけでGDPRの対象になりえます。

すべてのサイトがGDPRだけを理由にバナーを出しているわけではありません。

日本の個人情報保護法など、ほかの国・地域のルールも合わさって、いまの「同意する」文化ができています。

正直に言うと、GDPRのことは「なんかヨーロッパの厳しいやつ」くらいにしか思っていませんでした。

でも「自分のデータがどう使われるか、ちゃんと説明を受けて選べるようにする」というシンプルな考え方だと知って、同意バナーを見る目が少し変わりました。

GDPRのようなルールは、話を聞くだけだと堅く感じます。

でもたどってみると、「自分のデータを自分で選べるように」という、わりと身近な理由からできています。

みなさんは、GDPRという言葉、聞いたことはありましたか？　コメントで教えてください。