GDPR（一般データ保護規則）とは？その概要と影響

「GDPRは個人データの保護を強化し、プライバシー権利を守る重要な規制」と謳っているけれど、EU域内の市民たちからは、個人のプライバシーを守るのが目的なんじゃなくて、外国企業から制裁金を搾り取りたいだけでしょ、と皮肉る声が多く上がっている。実際に損をしているのは国民や企業で、恩恵を受けているのはEUだけだってね。そもそもGDPRなんてふわっとした規制で、不正や犯罪を取り締まるなんて無理があるとしか思えないよ。しかもふわっとしているわりに柔軟性がないから、医療データさえ同意を受けた特定の医師しかアクセスができず、救急医療の現場などでは患者の既往症や禁忌物（アレルギーなど）などのデータにさえアクセスできずに問題が出てしまったりしているんだ。怖いよね。

EU内の企業でも、GDPRで守られているはずの、個人データの削除に応じてもらえなかったり、データが悪用されることなんて日常的に起きているけれど、CNIL（フランス共和国データ保護機関）に報告しても自動応答メールが来るだけで、実際に対応してくれているとは到底思えない。いっぽうでMeta社などには「EUから米国へのデータ転送がGDPRの要件を満たしていなかった。」などという、殆どの企業が該当しそうな理由をつけて、約1800億円もの制裁金を徴収したりしている。 そもそも「GDPRの要件」の内容自体が曖昧で、制裁の理由もかなりアバウトだ。データ処理やセキュリティ対策にそこまで投資できない中小企業などは調べれば殆どがGDPR違反に該当してそうだけど、実際に制裁されているのは外国籍の大企業ばかりだ。多額の制裁金を見込めない中小企業には興味ないし、GDPRのせいでEUの企業が倒産しては困る、というのが本音だろうね。結局EUの外国企業いじめに、個人のプライバシーの保護という大義名分が利用されているだけで、外国企業もお布施だと思って仕方なく制裁金を支払っているんじゃないかな。

去年のFREEのデータ漏洩事件がいい例だけど、これまで制裁を受けてきた外国企業はGDPRの要件を満たしていないというだけで、実際にユーザーが深刻な被害に遭ったケースは殆どない。いっぽうでFREEの場合は個人情報と共に引き落とし用の銀行口座までダークウェブで売買されてしまっている。フランス国民の約３分の１（外国人も多く含まれているけど）が被害に遭うほどの大きな事件を起こしていながら、「GDPRに基づく対応」ができていたから罪には問われない、なんていう結果になったら、身内（EU圏内の企業）に甘すぎだと言われてもしかたがないよ。（まだ審議中らしいけど、なぜかEUの企業の審議のほうが時間がかかる。）

これまでの制裁は外国企業いじめが目的だったという証明になってしまうから、FREEもちゃんと制裁しなければならないことは政府もわかっているはずだ。FREEだってハッキングの被害者だから気の毒だとは思うけど、同じハッキングの被害者である英国のBritish Airwaysなどは、銀行口座情報を含まない約50万人の顧客情報が漏洩した件で、データセキュリティ要件の違反と見なされて約25億円の制裁金を支払っているんだから（コロナによる業績の低迷がなければ元々の制裁金は約230億円だった！）、FREEが同様の基準で制裁を受けたら、制裁金はとんでもない額になるだろうね。

技術やグローバリゼーションが進んだこの時代に、GDPRのようなエンジニアや企業や個人の足を引っ張るだけの悪法が成立したことに驚くけど、こんな悪代官みたいなやり方が8年間も通用していることがほんとに信じられないよ。