GDPRに関する参考文書が与えられている場合、GDPRが個人データの保護にどのように役立つかを教えてください。
一般データ保護規則（2016/679、「GDPR」）は、EUおよび欧州経済領域（EEA）におけるデータ保護とプライバシーに関するEU法の規則である。GDPRはEUプライバシー法および人権法（特に欧州連合基本権憲章第8条1項）の重要な構成要素です。また、EUおよびEEA域外への個人データの移転にも対応しています。GDPRの主な目的は、個人データに対する個人の管理と権利を強化し、国際ビジネスにおける規制環境を簡素化することである。データ保護指令95/46/ECに取って代わるこの規則は、EEA域内にいる個人（正式には「データ主体」と呼ばれる）の個人データ処理に関する規定と要件を含んでおり、EEA域内で個人の個人情報を処理している企業であれば、その所在地やデータ主体の国籍や居住地に関係なく適用される。
GDPRは2016年4月14日に採択され、2018年5月25日から施行された。GDPRは指令ではなく規則であるため、直接的な拘束力と適用力があり、各加盟国が規則の特定の側面を調整できる柔軟性を備えている。

欧州委員会によると、「個人データとは、識別された、または識別可能な個人に関連する情報である。その情報から個人を直接特定できない場合は、その個人がまだ特定可能かどうかを検討する必要があります。個人を特定するために、あなたまたは他の人が合理的に使用する可能性のあるすべての手段とともに、あなたが処理している情報を考慮する必要があります。個人データ」、「処理」、「データ主体」、「管理者」、「処理者」などの用語の正確な定義は、規則第4条に記載されている。

原則
個人データは、少なくとも1つの法的根拠がない限り、処理してはならない。第6条によると、合法的な目的は以下の通りです：

(a) 情報主体が個人データの処理に同意した場合；
(b) データ主体との契約上の義務を履行するため、または契約締結過程にあるデータ主体からの要求による業務のため；
(c) データ管理者の法的義務を遵守するため；
(d) データ主体または他の個人の重大な利益を保護するため；
(e) 公益のため、または公的な権限において業務を遂行するため；
(f) データ管理者または第三者の正当な利益のため。ただし、これらの利益がデータ対象者の利益または基本権憲章に基づくデータ対象者の権利（特に子供の場合）によって優先される場合はこの限りではありません。

個人データの安全性
個人データの管理者および処理者は、データ保護の原則を実施するために、適切な技術的および組織的措置を講じなければならない。個人データを取り扱う業務プロセスは、原則を考慮して設計・構築され、データ保護のためのセーフガード（例えば、適切な場合には仮名化または完全匿名化を使用する）を提供しなければならない。データ管理者は、プライバシーを考慮して情報システムを設計しなければならない。例えば、デフォルトで可能な限り高いプライバシ ー設定を使用し、データセットがデフォルトでは公開されず、対象者を特定するために 使用できないようにする。個人データの処理は、この規則で規定された6つの合法的な根拠（同意、契約、公務、重要な利益、正当な利益、法的要求）のいずれかに基づいて行われない限り、行うことはできない。処理が同意に基づいて行われる場合、データ対象者はいつでもその同意を取り消す権利を有します。

第33条では、データ管理者は、違反が個人の権利および自由に対するリスクにつながる可能性が低い場合を除き、監督当局に過度の遅滞なく通知する法的義務を負うと定めています。データ侵害に気づいてから最大72時間以内に報告しなければならない。悪影響のリスクが高いと判断された場合は、個人に通知しなければならない（第34条）。また、データ処理者は、個人データ漏洩を認識した後、過度の遅滞なく管理者に通知しなければならない（第33条）。ただし、データ管理者が、暗号化など、アクセス権限のない者が個人データを理解できないようにする適切な技術的・組織的保護措置を講じている場合は、データ主体への通知は不要である（第34条）。

データ保護責任者

第37条はデータ保護責任者の選任を義務付けています。処理が公的機関（裁判所または独立した司法当局が司法の資格で行動する場合を除く）によって実施される場合、処理業務がデータ対象者の定期的かつ体系的な監視を大規模に伴う場合、または特別な種類のデータおよび前科・犯罪に関する個人データを大規模に処理する場合（第9条および第10条）、データ保護法および慣行に関する専門的知識を有する者であるデータ保護責任者（DPO）を任命し、管理者または処理者の規則遵守の内部監視を支援しなければなりません。

指定されたDPOは、管理者または処理者の現職員であることも、サービス契約を通じて外部の個人または機関にその役割を委託することもできます。いずれの場合も、処理機関は、DPOが保有する可能性のある他の役割または利益について利害の対立がないことを確認しなければならない。DPOの連絡先の詳細は、処理機関が公表し（例えば、プライバシー通知）、監督当局に登録しなければならない。

DPOはコンプライアンス・オフィサーに類似しており、ITプロセスの管理、データ・セキュリティ（サイバー攻撃への対処を含む）、および個人データや機密データの保有と処理に関連するその他の重要な事業継続問題の管理にも精通していることが期待される。要求されるスキルは、データ保護法や規制の法的遵守を理解することにとどまりません。DPOは、組織に代わって収集・保存されるすべてのデータのインベントリーを管理しなければなりません。データ保護責任者の機能と役割に関する詳細は、2016年12月13日（2017年4月5日改訂）のガイドライン文書に記載されている。

EU域外に拠点を置く組織も、GDPR義務に関する代表者兼窓口としてEUに拠点を置く者を任命しなければならない（第27条）。これはDPOとは別の役割ですが、この役割は指定DPOが兼務できることを示唆する責任の重複があります。
一般データ保護規則（General Data Protection Regulation）は、個人データの保存と処理に関するガイドラインを規定している。個人データとは、特定または識別可能な個人に関するあらゆる情報であり、データ主体とも呼ばれます。個人データには、以下のような情報が含まれます：

氏名
住所
IDカード/パスポート番号
収入
文化的プロフィール
インターネット・プロトコル（IP）アドレス
病院や医師が保有するデータ（健康目的で個人を特定するもの）

特別カテゴリーのデータ
個人情報を処理することはできません：

人種または民族的出身
性的指向
政治的意見
宗教的または哲学的信条
労働組合への加盟
特定の場合（明示的な同意を得た場合や、EU法または国内法に基づき、実質的な公益のために処理が必要な場合など）を除く、遺伝情報、生体情報、健康情報
EU法または国内法で認められている場合を除き、前科および犯罪に関する個人データ。

誰が個人データを処理するのか？
個人データは、処理の過程でさまざまな企業や組織を経由します。このサイクルの中で、個人データを処理する2つの主なプロファイルがあります：

データ管理者 - 個人データの処理目的と処理方法を決定します。
データ処理者 - データ管理者に代わってデータを保有し、処理する。
企業内で個人データがどのように処理されているかを監視するのは誰ですか？
データ保護責任者（DPO）は、個人データの処理方法を監視し、個人データを処理する従業員にその義務について通知・助言する責任を負います。DPOはまた、データ保護局（DPA）と協力し、DPAおよび個人に対する窓口の役割を果たします。

他社のためのデータ処理
データ管理者は、十分な保証を提供するデータ処理業者のみを使用することができ、これらの保証は関係者間の書面による契約に盛り込む必要があります。契約には、データ処理者はデータ管理者から指示があった場合にのみ個人データを処理するなどの必須条項も含まれていなければなりません。

EU域外へのデータ移転
個人データがEU域外に移転される場合、GDPRが提供する保護はデータとともに移転されるべきです。つまり、海外にデータを輸出する場合、貴社は以下のいずれかの措置を確実に遵守しなければなりません：

EU域外の国の保護がEUによって適切であるとみなされる。
貴社が、欧州域外の個人データ輸入者と合意した契約に特定の条項を盛り込むなど、適切な保護措置を提供するために必要な措置を講じている。
御社が、本人の同意など、データ移転の具体的な根拠（適用除外）に依拠している。
データ処理が許可されるのはいつですか？
EUデータ保護規則では、特定された正当な目的のために、公正かつ合法的な方法でデータを処理し、その目的を達成するために必要なデータのみを処理する必要があります。個人データを処理するには、以下のいずれかの条件を満たす必要があります：

当該個人の同意があること。
個人との契約上の義務を履行するために個人データが必要な場合。
法的義務を満たすために個人データが必要である。
個人の重大な利益を保護するために個人データが必要な場合。
公共の利益のために業務を遂行するために個人データを処理する場合。
データが処理される個人の基本的権利および自由が重大な影響を受けない限り、貴社の正当な利益のために行動する場合。個人の権利が貴社の利益に優先する場合は、個人データを処理することはできません。


データ処理への同意-同意
データへのアクセス権およびデータ・ポータビリティ権
訂正権および異議申立権
消去権（忘れられる権利）
自動化された意思決定およびプロファイリング
データ侵害 - 適切な通知の提供
要求への対応
影響評価
記録の保存