GDPRのお勉強：導入

GDPRのお勉強：目的と免責

　EUで2018年に施行されたGeneral Data Protection Regulation、いわゆるGDPRは、世界の個人情報の保護に関する法律のお手本のように世界的にみられています。
　GDPRに関する解説は、書籍やウェブ上にある程度ありますが、医療データや治験データなどの健康医療関連データの取り扱いについて特化した、しかも日本語での解説はほとんど見当たりません。

　そこで、自分の勉強も兼ね、GDPRの条文を第1条から（第50条ぐらいまでを目標に）、関連するガイドラインなども引用しつつ、特に医療データでの扱い方について注目して見ていきたいと思います。
　ちなみに私はGDPRの専門家でも、法律の専門家でもありません。
　そのため、誤った理解をして記述してしまうかもしれませんが、ご容赦下さい。

GDPRの基本のキホン

　GDPRの正式な名称は以下のような長い名前です。

　この法律の原文（英語）はここから閲覧することができます。

　最初にRecital（前文）という、「GDPRがどのような背景ででき、個人データはどのように扱われるべきと考えているか」といった、背景や概念的なことが173項にわたって書かれています。
　そのあとに、法律の条文が第一章から始まります。

　よほど英語が得意な人でないと、なかなか英語のまま法律を読もうとする気にはならないと思いますが、　ありがたいことに、日本の個人情報保護委員会がGDPRを日本語訳（仮訳）してくれているので、この個人情報保護委員会の訳をベースにGDPRを読んでいきたいと思います。

個人情報保護委員会のGDPRのページ
https://www.ppc.go.jp/enforcement/infoprovision/laws/GDPR/

　なお、個人情報保護委員会は、GDPRをRecital（前文）部分と条文部分でファイルを分けて訳しています。

　また、個人情報保護員会はGDPRの前文、条文だけでなく、関連するガイドラインの日本語訳も用意してくれています。
　ただ、これらはGDPRに関するガイドラインの一部でしかありません。
　特に重要と思われるものの一部は和訳してくれていますが、医療や臨床試験でのデータの取り扱いについて説明しているガイドラインはほとんどありません（これを書いている時点では「新型コロナウイルス感染症の発生下における科学的研究を目的とした健康に係るデータの取り扱いに関するガイドライン03/2020」のみ）。
　よって、適宜、本場のガイドラインを見ざるを得ないことも出てきます。

　この個人情報保護委員会のページを見ると、一番上にGDPRとは何ぞやということを書いてくれていますので、引用させて頂きますと…

EU（※）では、EU域内の個人データ保護を規定する法として、1995年から現在に至るまで適用されている「EUデータ保護指令（Data Protection Directive 95）」に代わり、2016年4月に制定された「GDPR（General Data Protection Regulation：一般データ保護規則）」が2018年5月25日に施行されました。
GDPRは個人データやプライバシーの保護に関して、EUデータ保護指令より厳格に規定します。
また、EUデータ保護指令がEU加盟国による法制化を要するのに対し、GDPRはEU加盟国に同一に直接効力を持ちます。

※EU：EU加盟国及び欧州経済領域（EEA）の一部であるアイスランド、ノルウェー、リヒテンシュタイン

https://www.ppc.go.jp/enforcement/infoprovision/laws/GDPR/

　もともとEUにはGDPRの前身となる「EUデータ保護指令（Data Protection Directive 95）」というルールが1995年から存在していたのですが、そのルールが2016年にDirective（指令）から、Regulation（規則）に格上げされ（EU全体の法律となる）、2018年5月25に施行されたとのことです。
　ちなみに、ここでいうEUとは、いわゆるEU加盟国に加え、アイスランド、ノルウェー、リヒテンシュタインを含んだ国々になります。

　さて、ここで法律の正式名称に戻りますが、

　という、長～い法律名を、個人情報保護委員会は以下のように訳しています。

　皆さんご存知の通り、GDPRは個人情報の保護に関連する法律ですが、この日本語訳を見ると、ちょっと違和感を感じるかもしれません。
　「EUの地域における、個人データの取り扱い、関連する個人の保護、およびそのデータの移転に関連する法律であり、あわせて1995年から存在していたDirective（指令）を廃止する規則である」ということは、なんとなく読み取れるかと思いますが、しっくりこないと感じる方もいるかも思います。
　また、「個人情報ではなく個人データと書いてあるけど違いがあるの？」といった疑問を感じる方もいるかもしれませんが、今はあまり気にしないで良いと思います。

GDPRの条文の構成（目次）

　GDPRの構成は以下のようになっています。
　第1章が法律の目的や対象、第2章は個人データの取り扱いに関する基本原則、第3章は個人（GDPR用語でいうと「データ主体（data subject）、日本の個人情報保護法の用語でいうと「本人」）の権利、第4章は個人データの取り扱いに関する管理者・処理者を中心にした内容、第5章はEUの外（EU域外）に個人データを移転する時の取り扱いについて記述されています。
　実務などでGDPRを勉強したい人でも、普通の人はこの第5章までの内容を知っていれば十分だと思いますので、基本的には第6章以降は対象外にします。

　それでは次回以降、第１条から見ていきたいと思います！

---

GDPRのお勉強：一覧

医療データや治験データなどの健康医療関連データの取り扱いに特に注意を払いながらGDPRを勉強していきます。

jibun-no.work