GDPRに関する参考テキストを与えられて、GDPRが個人データの安全確保にどのように役立つかを教えてください。
一般データ保護規則（2016/679、「GDPR」）は、EUおよび欧州経済領域（EEA）におけるデータ保護とプライバシーに関するEU法上の規則なのだ。GDPRは、EUのプライバシー法および人権法（特に欧州連合基本権憲章第8条1項）の重要な構成要素となっているのだ。また、EUおよびEEA地域外への個人データの移転にも対処しているのだ。GDPRの主な目的は、個人データに対する個人のコントロールと権利を強化し、国際的なビジネスのための規制環境を簡素化することなのだ。データ保護指令95/46/ECの後継となるこの規則は、EEA域内にいる個人（正式には「データ主体」と呼ばれる）の個人データの処理に関する規定と要件を含み、その所在地やデータ主体の市民権や居住地に関係なく、EEA域内で個人の個人情報を処理しているあらゆる企業に適用されます。
GDPRは2016年4月14日に採択され、2018年5月25日から施行されるようになりました。GDPRは指令ではなく規則であるため、直接的な拘束力と適用力があり、規則の特定の側面を個々の加盟国が調整できる柔軟性を備えているのだ。

欧州委員会によると、「個人データとは、識別された、または識別可能な個人に関連する情報なのだ。その情報から直接個人を特定できない場合、その個人がまだ特定可能であるかどうかを検討する必要があるのだ。個人を特定するために、あなたまたは他の人が使用する可能性のあるすべての手段とともに、あなたが処理している情報を考慮する必要があるのだ。個人データ」、「処理」、「データ主体」、「管理者」、「処理者」などの用語の正確な定義は、同規則の第4条に記載されているのだ。

プリンシプル
個人データは、少なくとも1つの法的根拠がない限り、処理することができません。第6条では、合法的な目的を次のように定めています：

(a) データ主体が個人データの処理に同意している場合；
(b) データ主体との契約上の義務を果たすため、または契約を締結する過程にあるデータ主体の要請による業務のため；
(c) データ管理者の法的義務を遵守するため；
(d) データ主体または他の個人の重大な利益を保護するため；
(e) 公益のために、または公的な権限で業務を遂行するため；
(f) データ管理者または第三者の正当な利益のため。ただし、これらの利益がデータ対象者の利益または基本権憲章に基づくデータ対象者の権利（特に子供の場合）に優先される場合はこの限りではありません。

個人データの安全性
個人データの管理者および処理者は、データ保護の原則を実施するために、適切な技術的および組織的措置を講じなければならない。個人データを扱うビジネスプロセスは、原則を考慮して設計・構築され、データを保護するためのセーフガード（例えば、必要に応じて仮名化または完全匿名化を使用する）を提供しなければなりません。データ管理者は、プライバシーを考慮した情報システムを設計しなければならない。例えば、デフォルトで可能な限り高いプライバシー設定を使用し、データセットがデフォルトで公開されず、対象者を特定するために使用することができないようにする。この処理が、規則で指定された6つの合法的な根拠（同意、契約、公共事業、重要な利益、正当な利益、法的要件）のいずれかに基づいて行われない限り、個人データを処理することはできません。処理が同意に基づく場合、データ対象者は、いつでもそれを取り消す権利を有するのだ。

第33条では、データ管理者は、違反が個人の権利と自由に対するリスクをもたらす可能性が低い場合を除き、監督当局に過度の遅滞なく通知する法的義務を負うとされているのだ。データ侵害に気づいてから最大72時間以内に報告することが義務付けられているのだ。悪影響のリスクが高いと判断された場合は、個人に通知する必要があります（第34条）。また、データ処理者は、個人データの侵害を認識した後、過度な遅延なく管理者に通知しなければならなくなる（第33条）。ただし、データ管理者が、暗号化など、アクセス権限のない者が個人データを理解できないようにする適切な技術的・組織的保護措置を講じている場合は、データ主体への通知は不要である（第34条）。

データ保護責任者

第37条では、データ保護責任者の選任を義務付けているのだ。処理が公的機関（裁判所または独立した司法当局がその司法能力を行使する場合を除く）によって実施される場合、処理業務がデータ対象者を定期的かつ体系的に大規模に監視する場合、または特殊なデータおよび前科や犯罪に関する個人データを大規模に処理する場合（第9条および第10条）、データ保護法および実務に関する専門知識を有する人である、管理者および処理者が規則への内部遵守状況を監視できるように支援する、データ保護責任者を指名しなければならない。

指定されたDPOは、管理者または処理者の現職のスタッフであってもよいし、サービス契約を通じて外部の人物または機関にその役割を委託することもできる。いずれの場合も、処理機関は、DPOが保有する可能性のある他の役割または利益について、利害の対立がないことを確認しなければならない。DPOの連絡先は、処理機関が公表し（例えば、プライバシー通知で）、監督当局に登録しなければならない。

DPOはコンプライアンス・オフィサーに似ており、個人データや機密データの保有・処理に関連するITプロセス、データセキュリティ（サイバー攻撃への対処を含む）、その他の重要な事業継続問題の管理に精通していることも期待されます。求められるスキルは、データ保護に関する法律や規制の遵守を理解するだけではありません。DPOは、組織のために収集・保存されたすべてのデータのインベントリーを維持する必要があるのだ。データ保護責任者の機能と役割に関する詳細は、2016年12月13日（2017年4月5日改訂）にガイドライン文書で示されました。

EU域外に拠点を置く組織も、GDPRの義務に関する代表者および連絡先として、EU域内の担当者を任命する必要があります（第27条）。これはDPOとは別の役割ですが、この役割を指定されたDPOが担うことも可能であることを示唆する責任の重複があるのだ。
一般データ保護規則は、個人データの保存と処理に関するガイドラインを提供しているのだ。個人データとは、データ主体とも呼ばれる、特定または識別可能な個人に関するあらゆる情報なのだ。個人データには、彼らのような情報が含まれます：

名前
宛先
IDカード/パスポート番号
所得
文化面
アイピーアドレス
病院または医師が保有するデータ（健康上の目的で個人を一意に特定するもの）。

データの特別なカテゴリー
そなたは、誰かの個人データを処理することはできません：

みんぞくかんけい
性的指向
政見
信条
くみあいいん
特定の場合（明示的な同意を得た場合や、EU法または国内法に基づき、実質的な公益のために処理が必要な場合など）を除く、遺伝的データ、バイオメトリクスデータ、健康データ
EU法または国内法で認められている場合を除き、犯罪歴および犯罪に関連する個人データ。

誰が個人データを処理するのですか？
個人データは、処理中にさまざまな異なる企業や組織を経由する可能性があるのだ。このサイクルの中で、個人データの処理に対処する2つの主要なプロファイルがあるのだ：

データ管理者 - 個人データを処理する目的および方法を決定する。
データ処理者 - データ管理者に代わってデータを保持し、処理するのだ。
企業内で個人データがどのように処理されているかを監視するのは誰ですか？
データ保護責任者（DPO）は、企業によって指定されている場合もありますが、個人データの処理方法を監視し、個人データを処理する従業員にその義務について通知し助言する責任を負いるのだ。また、DPOはデータ保護局（DPA）と協力し、DPAと個人に対する窓口の役割を果たするのだ。

他の会社のためにデータを処理すること
データ管理者は、十分な保証を提供するデータ処理業者のみを使用することができ、これらの保証は関係者間の書面による契約に含まれる必要があるのだ。また、契約書には、データ処理者はデータ管理者から指示があった場合にのみ個人データを処理するなどの必須条項が含まれている必要があるのだ。

EU圏外へのデータ転送
個人データがEU圏外に転送される場合、GDPRが提供する保護はデータとともに移動する必要があるのだ。つまり、データを海外に輸出する場合、貴社は以下のいずれかの措置を確実に遵守する必要があるのだ：

非EU国の保護がEUによって適切と判断される。
そなたの会社は、個人データの非EU輸入業者との合意された契約に特定の条項を含めるなど、適切な保護措置を提供するために必要な措置を講じている。
御社が、本人の同意など、移転の具体的な根拠（derogations）に依存している。
データ処理はいつまで許されるのか？
EUのデータ保護規則では、特定された正当な目的のために、公正かつ合法的な方法でデータを処理し、この目的を達成するために必要なデータのみを処理する必要があるのだ。個人データを処理するためには、以下の条件のいずれかを満たすことを確認する必要があります；そなた：

本人の同意が得られている
個人との契約上の義務を果たすために個人情報が必要な場合。
法的義務を満たすために個人データが必要な場合
個人の重要な利益を保護するために、個人データが必要なのだ。
公共の利益のために業務を遂行するために個人データを処理すること
は、データが処理される個人の基本的な権利と自由が深刻な影響を受けない限り、そなたの会社の正当な利益のために行動しているのだ。本人の権利が貴社の利益に優先する場合、個人データを処理することはできません。


データ処理に同意すること-同意
アクセス権およびデータポータビリティの権利
訂正権および異議申立権
消去の権利（忘れられる権利）
自動的な意思決定とプロファイリング
データ漏洩 - 適切な通知の提供
リクエストへの対応
インパクトアセスメント
記録を残すなのだ。